- Portide edastamine võimaldab välistel seadmetel portide kaardistamise kaudu pääseda juurde privaatvõrgus olevatele teenustele.
- Selle liikluse haldamiseks on olemas käsitsi ja automaatsed meetodid (näiteks UPnP), kuigi igal neist on erinev turvatase.
- Portide valimatu avamine suurendab rünnakupinda, paljastades võrgu sissetungidele, pahavarale ja DDoS-rünnakutele.
- VPN-e ja pilvepõhiseid kaugjuurdepääsu lahendusi esitletakse turvalisemate alternatiividena, kuna need väldivad avaliku IP-aadressi otsest kokkupuudet.
Tõenäoliselt olete kohanud terminit "pordi edastamine", kui proovite töölt mänguserverit seadistada või oma arvutile ligi pääseda. Neile, kes pole sellega tuttavad, on see lihtsalt viis, kuidas öelda oma ruuterile, et ta ei blokeeriks teatud väliseid kõnesid ja suunaks need otse teie koduvõrgu kindlale seadmele. Põhimõtteliselt avab see teie võrgu turvatulemüüris kindla tee , et keegi väljastpoolt saaks ühenduse luua ilma, et ruuter seda automaatselt blokeeriks.
Kuigi see võib esmapilgul tunduda arusaamatu, on see üsna loogiline mehhanism. Kujutage ette oma võrku hoonena, kus on üks uksehoidja (ruuter) ja palju ruume (teie seadmed). Tavaliselt ei lase uksehoidja sisse kedagi, keda pole kutsutud, kuid pordi edastamise abil annate talle selge juhise: "Kui keegi küsib ust 80, viige ta otse veebiserveri ruumi." Nii teeme sisemised teenused nähtavaks interneti laiale maailmale.
Kuidas see protsess täpselt toimib?
Selle õigeks mõistmiseks peame kõigepealt rääkima võrguportidest . Mõelge neist kui nummerdatud virtuaalsetest ustest, mis haldavad liiklust. Iga rakendus kasutab erinevat: turvaline veebiliiklus läbib tavaliselt porti 443 , samas kui Windows Remote Desktop kasutab porti 3389. Ilma nende siltideta jõuaksid andmed seadmesse, kuid seade ei teaks, millisele programmile need edastada.
Siin tulebki mängu võrguaadresside teisendamine (NAT ) . Ruuter kasutab NAT-i, et tagada kõigi teie seadmete ühine avalik IP-aadress. Turvalisuse huvides blokeerib NAT soovimatud sissetulevad ühendused. Portide edastamine muudab NAT-i käitumist, luues reegli, mis seob välise pordi kindla privaatse IP-aadressi ja sisemise pordiga, tuginedes kehtestatud võrguprotokollidele .
Protsess järgib väga spetsiifilist voogu: väline kasutaja saadab päringu teie avalikule IP-aadressile ja kindlale pordile. Ruuter võtab päringu vastu, kontrollib oma reeglite tabelit ja kui leiab vaste, suunab andmepaketi ümber kohalikus võrgus olevale sihtseadmele. Lõpuks töötleb seade päringu ja saadab vastuse sama marsruuti pidi tagasi.
Ümbersuunamise tüübid ja automaatsed meetodid
Kõik pordi edastamised ei ole ühesugused. On olemas kohalik pordi edastamine , mida kasutatakse võrgupiirangute või tulemüüride möödahiilimiseks, luues ühenduse kaugserveriga. Teisest küljest on kõige levinum kaugpordi edastamine : see muudab teie koduvõrgu teenuse internetist kättesaadavaks. Samuti on olemas dünaamiline pordi edastamine , mis on palju mitmekülgsem ja mida kasutatakse sageli tunnelites või puhverserverites mitme teenuse samaaegseks haldamiseks.
Kui te ei soovi käsitsi seadistamisega tegeleda, on olemas automaatsed valikud. UPnP (Universal Plug and Play) on kõige mugavam; see võimaldab seadmetel vajadusel oma porte avada. See on konsoolide ja voogedastussüsteemide puhul väga levinud, kuigi see võib olla riskantne, kuna avab porte kasutaja teadmata.
Tasakaalustatum alternatiiv on pordi käivitamine . Erinevalt fikseeritud edasisuunamisest avab ruuter pordi ainult siis, kui tuvastab, et sisemine seade on algatanud väljamineva side. Niipea kui liiklus lakkab, suletakse port , vähendades häkkeril sissetungimise võimalust.
Levinud igapäevased kasutusjuhud
See süsteem on ülioluline kõigile, kellele meeldib võrgumänge mängida . Minecrafti või Counter-Strike'i serveri seadistamiseks peate avama vastavad pordid, et teie sõbrad saaksid mänguga liituda ilma ühenduse vigadeta. Samuti on see IP-turvakaamerate ja videovalve haldamise alus, mis võimaldab teil vaadata otseülekannet oma mobiilseadmest, kus iganes te ka poleks.
Professionaalses keskkonnas kasutatakse seda kaugtöölauale juurdepääsuks RDP kaudu või NAS-serverite (võrguga ühendatud salvestusruumi) haldamiseks väljaspool kontorit. See on ka standardtehnika, kui olete otsustanud seadistada koduse veebi- või FTP-serveri , mis võimaldab HTTP-liiklusel teie kohalikku masinasse jõuda.
Isegi mõned P2P-failijagamisrakendused, näiteks BitTorrent, töötavad palju paremini, kui pordid on avatud, kuna need võimaldavad teistel sõlmedel teiega otse ühendust luua , suurendades allalaadimise ja üleslaadimise kiirust.
Turvariskid: kõik pole ainult päike ja vikerkaar
Pordi avamine on sõna otseses mõttes akna avamine teie digitaalsesse kindlusesse. Kõige ilmsemaks ohuks on volitamata juurdepääs ; kui haavataval seadmel pole tugevat parooli, võib ründaja sisse murda toore jõu abil. Lisaks, kui teie kasutatav tarkvara on aegunud, muutuvad kõik parandamata haavatavused pahavara jaoks punaseks vaibaks.
Samuti ei saa unustada DDoS-rünnakuid . Avatud port on ideaalne sihtmärk tuhandetele zombiarvutitele, mis võivad teie ühenduse küllastada ja teie võrgu täiesti kasutuskõlbmatuks muuta. Rünnakupinna suurendamisega annate küberkurjategijatele vihjeid selle kohta, millised teenused olete installinud, muutes neil sihitud rünnakute käivitamise lihtsamaks.
Teine kriitiline probleem on vanemate protokollide krüptimise puudumine . Kui suunate ümber klassikalise FTP-pordi, liiguvad teie volikirjad lihttekstina ja neid saab kergesti pealt kuulata. Veelgi hullem on see, et teie seade võib sattuda botneti osaks , mida kasutatakse teie teadmata teiste ründamiseks.
Kuidas pordi edastamist samm-sammult seadistada
Selleks, et see toimiks, on esiteks vaja, et sihtseadmel oleks Staatiline IPKui IP-aadress (DHCP) muutub, siis ruuteri reegel lakkab töötamast. Windowsis saate PowerShelli kasutada selliste käskudega nagu Get-NetIPConfiguration oma andmete vaatamiseks ja seejärel IP-aadressi ja DNS-serveri käsitsi määramiseks.
Kui olete IP-aadressi määranud, peate oma veebibrauseri kaudu oma ruuteri haldusliidesele ligi pääsema . Otsige üles jaotis "Port Forwarding" ja looge uus reegel, mis määrab välise pordi (see, mis päringu vastu võtab), seadme sisemise IP-aadressi ja sisemise pordi (see, mida teenus kasutab).
macOS-is on protsess sarnane: esmalt määrate võrgusätetes IP-aadressi, muutes DHCP-lt käsitsi valikule, ja seejärel konfigureerite ruuteri reegli. Kui ruuter palub teil veenduda, et marsruutimistabelit on õigesti värskendatud, on oluline muudatused salvestada ja taaskäivitada.
Kaasaegsed alternatiivid ja nende seos VPN-idega
Kui portide avamine tundub liiga riskantne, on olemas turvalised pilvepõhised kaugjuurdepääsu lahendused. Tööriistad nagu Splashtop kasutavad krüpteeritud tunneleid ja kaheastmelist autentimist, mis välistab vajaduse muuta ruuteri sätteid ja vähendab oluliselt teie haavatavust rünnakute suhtes.
Teisest küljest on parim soovitus VPN-i (virtuaalse privaatvõrgu) kasutamine . VPN loob teie võrku turvalise tunneli; selle asemel, et avada port kogu maailmale, loote esmalt ühenduse VPN-iga ja seejärel pääsete oma seadmetele ligi nagu kodus. See väldib teenuste otsest kokkupuudet teie avaliku IP-aadressiga.
Tasub märkida, et mõned VPN-pakkujad lubavad pordi edastamist, mis on kasulik teie tegeliku IP-aadressi privaatsuse säilitamiseks, võimaldades samal ajal teatud andmete läbimist. Teised aga keelavad selle rangelt, et tagada maksimaalne kasutajate turvalisus ja takistada oma serverite kasutamist pahatahtlikuks tegevuseks.
Probleemide vältimiseks on soovitatav võrrelda pordi edastamist DMZ-ga (demilitariseeritud tsoon) . Kuigi pordi edastamine avab ainult ühe pordi, avab DMZ kogu seadme internetile, jättes selle täiesti kaitsmata. Seetõttu tuleks DMZ-i kasutada ainult äärmuslikel juhtudel ja väga rangete täiendavate turvameetmetega.
Portide edastamise valdamine võimaldab teil muuta koduse ruuteri võimsaks tööriistaks serverite, mängude ja turvalisuse haldamiseks, eeldusel, et säilitate tasakaalu ligipääsetavuse ja kaitse vahel . Tugevate paroolide kasutamine, püsivara regulaarne värskendamine ja alternatiivide, näiteks VPN-ide kaalumine on olulised sammud kaugühenduse nautimiseks ilma, et teie kohalik võrk häkkerite sõelaks muutuks.
