Проброс портов на роутере это правило, которое разрешает конкретному внешнему запросу из интернета попасть на конкретное устройство внутри домашней сети, вместо того чтобы роутер отбрасывал его по умолчанию. Без такого правила домашняя сеть спрятана от внешнего мира: все устройства выходят в интернет через один общий адрес, а обратный путь снаружи к отдельному компьютеру или камере закрыт. Дальше разбираем, зачем это нужно и как настроить проброс порта своими силами.
Почему без настройки внешний доступ не работает
Домашний роутер использует технологию трансляции адресов, которая объединяет все устройства квартиры под одним внешним адресом, видимым интернету. Это удобно и безопасно по умолчанию: снаружи никто не может достучаться напрямую до вашего телефона или компьютера, потому что для внешнего мира они как будто не существуют по отдельности. Обратная сторона этой защиты в том, что и легитимный внешний запрос, например от игрового сервера, домашней камеры или программы для удаленного доступа, тоже не проходит внутрь без явного разрешения.
Проброс порта и есть такое разрешение: роутер запоминает, что весь трафик, приходящий на определенный порт снаружи, нужно направлять на определенный внутренний адрес и порт. Это не то же самое, что открыть доступ всей сети, здесь речь именно про одно устройство и один порт, а все остальное остается закрытым, как и раньше.
Когда проброс портов действительно нужен
Чаще всего проброс требуется для игровых серверов, которые размещают на домашнем компьютере, для программ удаленного доступа к рабочему столу, для домашних камер видеонаблюдения, к которым хочется подключаться через собственное приложение без посредников, и для торрент-клиентов, у которых без открытого порта заметно падает скорость раздачи. Во всех этих случаях именно ваше устройство должно принимать входящее соединение снаружи, а не только отправлять запросы наружу, и обычной работы сети для этого недостаточно.
Если же речь про обычный просмотр сайтов, стриминг видео или облачные сервисы, проброс не нужен вовсе: там инициатором всегда выступает ваше устройство, и ответ приходит по уже открытому им каналу.
Присваиваем устройству постоянный локальный адрес
Прежде чем открывать порт, устройству внутри сети нужно назначить постоянный локальный адрес, иначе правило проброса перестанет работать после того, как роутер в следующий раз выдаст этому устройству другой адрес. Это делается в разделе настроек, отвечающем за раздачу адресов в локальной сети: там либо закрепляют адрес за конкретным устройством по его сетевому идентификатору, либо задают адрес вручную прямо на самом устройстве. Общий порядок входа в панель управления роутером и поиска нужных разделов описан в материале как настроить роутер.
Записываем получившийся адрес отдельно, он понадобится на следующем шаге, и убеждаемся, что устройство действительно получает именно его после перезагрузки, а не какой-то другой из того же диапазона. Если разница между внутренним и внешним адресом устройства пока не до конца понятна, стоит сначала прочитать материал что такое IP-адрес, там же объясняется, чем локальный адрес отличается от внешнего.
Находим раздел проброса портов в панели управления
Название раздела с пробросом портов у разных роутеров звучит по-разному: где-то это "виртуальные серверы", где-то "переадресация портов", где-то встроено в общий раздел настроек сети. Ищем по смыслу, а не по точному названию пункта меню, потому что оно меняется от прошивки к прошивке и от производителя к производителю. Общий признак раздела: там есть поля для внешнего порта, внутреннего адреса, внутреннего порта и выбора типа протокола.
Если найти раздел не получается, стоит заглянуть в справку или поиск по интерфейсу самого роутера, если он есть, набрав в нем слово "порт" или "переадресация".
Отдельно стоит различать проброс одного конкретного порта и режим полного открытия устройства наружу, который иногда встречается в тех же настройках под другим названием. Второй вариант отдает все входящие запросы на одно устройство без разбора по портам и на порядок опаснее: для обычной домашней задачи вроде одной игры или одной камеры он избыточен, и разумнее настроить именно точечное правило под конкретный порт, а не открывать устройство целиком.
Заполняем параметры правила
В найденном разделе создаем новое правило и заполняем несколько полей. Внешний порт это номер, на который будут приходить запросы снаружи, внутренний адрес это постоянный адрес устройства из предыдущего шага, а внутренний порт это порт, который слушает программа на самом устройстве, и он не всегда совпадает с внешним. Отдельно выбираем протокол: одни программы работают по одному типу, другие по другому, а если точно неизвестно, какой нужен, разумно включить сразу оба варианта.
После сохранения правила часть роутеров требует перезагрузки, чтобы оно вступило в силу, поэтому не стоит сразу делать вывод о неудаче, если проброс не заработал в первую же минуту.
Проверяем, что порт действительно открылся
Проверить результат изнутри собственной сети нельзя: запрос с домашнего устройства до внешнего адреса того же роутера обычно возвращается назад, не выходя наружу по-настоящему, и создает ложное впечатление успеха или неудачи. Правильный способ проверки, соответственно, снаружи: через мобильный интернет с телефона, отключенного от домашнего Wi-Fi, либо через один из открытых онлайн-сервисов проверки доступности порта, куда достаточно ввести внешний адрес и номер порта.
Если снаружи порт закрыт, а правило настроено верно, стоит проверить, не блокирует ли обращение к этому же порту защитная программа на самом устройстве внутри сети: правило на роутере открывает путь до устройства, но финальное решение все равно остается за ним самим.
Стоит также убедиться, что программа на устройстве действительно слушает именно тот порт, который указан в правиле, а не выбрала себе другой при последнем запуске: часть программ при каждом старте предлагает новый номер порта, если предыдущий занят, и тогда правило проброса указывает уже не туда. Разумно один раз зафиксировать порт вручную в настройках самой программы, чтобы он не менялся между перезапусками и правило проброса продолжало работать без повторной настройки.
Если провайдер выдает адрес не напрямую
Отдельная и частая причина, по которой проброс не работает даже при полностью верных настройках роутера: провайдер может выдавать абонентам не отдельный внешний адрес, а общий на несколько клиентов сразу, из-за чего внешний запрос физически не долетает до вашего роутера. Заметить это можно, сравнив адрес, который показывает сам роутер в своих настройках, с адресом, который показывает внешний сервис проверки: если они отличаются, проброс порта в домашнем роутере технически бессилен, и вопрос нужно решать через провайдера, а не через дальнейшую перенастройку сети.
Автоматический проброс без ручной настройки
У большинства современных роутеров есть функция автоматического открытия портов по запросу программы, которая в этом нуждается, обычно она называется коротким сокращением из четырех латинских букв, начинающимся на UPnP. Если она включена, некоторые игры и программы для видеосвязи открывают себе нужный порт сами, без единого ручного шага, и часто именно поэтому проброс "просто работает" на одних сетях и не работает на других с виду одинаковых устройствах.
У автоматического режима есть обратная сторона: любая программа внутри сети может открыть себе доступ снаружи без вашего явного согласия, включая нежелательные. Для разовой домашней задачи удобнее и безопаснее один раз настроить проброс вручную для конкретного устройства, чем держать автоматический режим включенным постоянно ради разных программ.
Что стоит проверить по безопасности после открытия порта
Открытый порт это законная дверь наружу, и вместе с нужным сервисом через нее теоретически может постучаться кто угодно. Поэтому сразу после настройки стоит убедиться, что на устройстве, к которому открыт доступ, стоит собственный пароль, отличный от заводского, и что этот пароль достаточно сложный. Разумно также сменить сам пароль от Wi-Fi сети на что-то, что не угадывается с первой попытки, порядок такой смены описан в статье как поменять пароль на Wi-Fi.
Если проброс делался под конкретную задачу и надобность в нем отпала, правило стоит удалить из настроек роутера, а не оставлять его висеть на будущее: закрытая дверь, которой никто не пользуется, безопаснее открытой про запас.
Не лишним будет периодически заглядывать в список действующих правил проброса на роутере целиком, особенно если им пользуется вся семья и настройки менялись не один раз. Забытое правило от программы, которой давно не пользуются, продолжает работать точно так же, как и в день создания, и со временем таких забытых правил накапливается больше, чем кажется на первый взгляд.
Если планируется настроить сразу несколько правил для разных устройств и программ, удобнее вести отдельный список с указанием, какому устройству и задаче соответствует каждый открытый порт: со временем набор правил растет, и без такой памятки становится сложно понять, какое из них еще нужно, а какое можно смело убирать.