- Portu pāradresācija ļauj ārējām ierīcēm piekļūt noteiktiem pakalpojumiem privātā tīklā, kartējot portus.
- Šīs datplūsmas pārvaldībai ir manuālas un automātiskas metodes (piemēram, UPnP), lai gan katrai no tām ir atšķirīgs drošības līmenis.
- Portu atvēršana bez izšķirības palielina uzbrukuma virsmu, pakļaujot tīklu ielaušanās, ļaunprogrammatūras un DDoS uzbrukumiem.
- VPN un mākonī balstīti attālās piekļuves risinājumi tiek piedāvāti kā drošākas alternatīvas, jo tie novērš publiskās IP adreses tiešu atklāšanu.
Jūs droši vien esat saskārušies ar terminu "porta pāradresācija" , mēģinot iestatīt spēļu serveri vai piekļūt datoram no darba. Tiem, kas ar to nav pazīstami, tas ir vienkārši veids, kā norādīt maršrutētājam nebloķēt noteiktus ārējos zvanus un nosūtīt tos tieši uz konkrētu ierīci jūsu mājas tīklā. Būtībā tas atver noteiktu ceļu jūsu tīkla drošības ugunsmūrī, lai kāds no ārpuses varētu izveidot savienojumu, maršrutētājam to automātiski nebloķējot.
Lai gan sākumā tas varētu šķist muļķības, tas ir diezgan loģisks mehānisms. Iedomājieties savu tīklu kā ēku ar vienu durvju sargu (maršrutētāju) un daudzām telpām (jūsu ierīcēm). Parasti durvju sargs neielaiž nevienu, kas nav uzaicināts, bet ar portu pāradresāciju jūs viņam dodat skaidru norādījumu: "Ja kāds jautā pēc 80. durvīm, aizvediet viņu tieši uz tīmekļa servera telpu." Tādā veidā mēs padarām iekšējos pakalpojumus redzamus plašajā interneta pasaulē.
Kā tieši šis process darbojas?
Lai to pareizi izprastu, vispirms jārunā par tīkla portiem . Iedomājieties tos kā numurētas virtuālas durvis, kas pārvalda datplūsmu. Katra lietojumprogramma izmanto citu: drošā tīmekļa datplūsma parasti iet caur 443. portu , savukārt Windows attālā darbvirsma izmanto 3389. portu. Bez šīm etiķetēm dati sasniegtu ierīci, bet ierīce nezinātu, kurai programmai tie jāpiegādā.
Šeit noder tīkla adrešu tulkošana (NAT ) . Maršrutētājs izmanto NAT, lai nodrošinātu, ka visām jūsu ierīcēm ir viena publiska IP adrese. Drošības nolūkos NAT bloķē nevēlamus ienākošos savienojumus. Portu pāradresācija maina NAT darbību , izveidojot noteikumu, kas saista ārējo portu ar konkrētu privātu IP adresi un iekšējo portu, pamatojoties uz izveidotajiem tīkla protokoliem .
Process notiek pēc ļoti specifiskas plūsmas: ārējs lietotājs nosūta pieprasījumu uz jūsu publisko IP adresi un noteiktu portu. Maršrutētājs saņem pieprasījumu, pārbauda savu noteikumu tabulu un, ja atrod atbilstību, novirza datu paketi uz mērķa ierīci lokālajā tīklā. Visbeidzot, ierīce apstrādā pieprasījumu un atgriež atbildi pa to pašu maršrutu.
Pāradresācijas veidi un automātiskās metodes
Ne visas portu pāradresācijas ir vienādas. Pastāv lokālā portu pāradresācija , ko izmanto, lai apietu tīkla ierobežojumus vai ugunsmūrus, izveidojot savienojumu ar attālo serveri. No otras puses, attālā portu pāradresācija ir visizplatītākā: tā padara pakalpojumu jūsu mājas tīklā pieejamu no interneta. Pastāv arī dinamiskā portu pāradresācija , kas ir daudz daudzpusīgāka un bieži tiek izmantota tuneļos vai starpniekservera serveros, lai vienlaikus pārvaldītu vairākus pakalpojumus.
Ja nevēlaties veikt manuālas konfigurācijas, ir pieejamas automātiskās opcijas. UPnP (Universal Plug and Play) ir ērtākais; tas ļauj ierīcēm atvērt savas pieslēgvietas pēc nepieciešamības. Tas ir ļoti izplatīts konsolēs un straumēšanas sistēmās, lai gan tas var būt riskants, jo atver pieslēgvietas bez lietotāja ziņas.
Līdzsvarotāka alternatīva ir portu aktivizēšana . Atšķirībā no fiksētas pāradresācijas, maršrutētājs atver portu tikai tad, kad tas nosaka, ka iekšēja ierīce ir uzsākusi izejošo saziņu. Tiklīdz datplūsma apstājas, ports tiek slēgts , samazinot iespēju hakerim mēģināt ielauzties.
Bieži sastopami ikdienas lietošanas gadījumi
Šī sistēma ir vitāli svarīga ikvienam, kam patīk tiešsaistes spēles . Ja vēlaties iestatīt Minecraft vai Counter-Strike serveri, jums ir jāatver īpaši porti, lai jūsu draugi varētu pievienoties spēlei bez savienojuma kļūdām. Tāpat tā ir pamats IP drošības kameru un videonovērošanas pārvaldībai, ļaujot jums skatīties tiešraidi no savas mobilās ierīces, lai kur jūs atrastos.
Profesionālā vidē to izmanto attālinātai piekļuvei darbvirsmai , izmantojot RDP, vai NAS (tīklam pievienotu krātuvju) serveru pārvaldībai ārpus biroja. Tā ir arī standarta metode, ja esat nolēmis iestatīt mājas tīmekļa vai FTP serveri , ļaujot HTTP datplūsmai sasniegt jūsu lokālo datoru.
Pat dažas P2P failu koplietošanas lietojumprogrammas, piemēram, BitTorrent, darbojas daudz labāk, ja porti ir atvērti, jo tie ļauj citiem mezgliem tieši izveidot savienojumu ar jums, palielinot lejupielādes un augšupielādes ātrumu.
Drošības riski: ne viss ir saulains un varavīksnes pilns
Porta atvēršana burtiski nozīmē loga atvēršanu jūsu digitālajā cietoksnī. Visacīmredzamākais apdraudējums ir nesankcionēta piekļuve ; ja neaizsargātajai ierīcei nav spēcīgas paroles, uzbrucējs varētu ielauzties, izmantojot brutālu spēku. Turklāt, ja izmantotā programmatūra ir novecojusi, jebkuras neaizlāpotas ievainojamības kļūst par sarkano paklāju ļaunprogrammatūrai.
Nedrīkst aizmirst arī par DDoS uzbrukumiem . Atvērts ports ir ideāls mērķis tūkstošiem zombiju datoru, lai piesātinātu jūsu savienojumu, padarot jūsu tīklu pilnībā nelietojamu. Palielinot uzbrukuma virsmu , jūs sniedzat kibernoziedzniekiem norādes par to, kādus pakalpojumus esat instalējis, tādējādi atvieglojot viņiem mērķtiecīgu uzbrukumu veikšanu.
Vēl viena kritiska problēma ir šifrēšanas trūkums vecākos protokolos. Ja novirzāt klasisko FTP portu, jūsu akreditācijas dati tiek pārsūtīti vienkāršā tekstā un tos var viegli pārtvert. Vēl ļaunāk, jūsu ierīce var kļūt par daļu no botneta , ko izmanto, lai uzbruktu citiem bez jūsu ziņas.
Kā soli pa solim konfigurēt portu pāradresāciju
Lai tas darbotos, pirmkārt, mērķa ierīcei ir jābūt Statiskā IPJa mainās IP adrese (DHCP), maršrutētāja noteikums pārstās darboties. Operētājsistēmā Windows varat izmantot PowerShell ar tādām komandām kā Get-NetIPConfiguration lai skatītu savus datus un pēc tam manuāli iestatītu IP adresi un DNS serveri.
Kad esat iestatījis IP adresi, jums jāpiekļūst maršrutētāja administrēšanas saskarnei, izmantojot tīmekļa pārlūkprogrammu. Atrodiet sadaļu “Portu pāradresācija” un izveidojiet jaunu noteikumu, norādot ārējo portu (to, kas saņems pieprasījumu), ierīces iekšējo IP adresi un iekšējo portu (to, ko izmanto pakalpojums).
macOS sistēmā process ir līdzīgs: vispirms tīkla iestatījumos piešķirat IP adresi, mainot no DHCP uz Manuāli, un pēc tam konfigurējat noteikumu maršrutētājā. Ir svarīgi saglabāt izmaiņas un restartēt maršrutētāju, ja tas aicina pārliecināties, ka maršrutēšanas tabula ir pareizi atjaunināta.
Mūsdienu alternatīvas un to saistība ar VPN
Ja portu atvēršana šķiet pārāk riskanta, ir pieejami droši , mākonī balstīti attālās piekļuves risinājumi. Tādi rīki kā Splashtop izmanto šifrētus tuneļus un divfaktoru autentifikāciju, novēršot nepieciešamību mainīt maršrutētāja iestatījumus un ievērojami samazinot jūsu ievainojamību pret uzbrukumiem.
No otras puses, vislabāk ir izmantot VPN (virtuālo privāto tīklu) . VPN izveido drošu tuneli uz jūsu tīklu; tā vietā, lai atvērtu portu visai pasaulei, jūs vispirms izveidojat savienojumu ar VPN un pēc tam piekļūstat savām ierīcēm tā, it kā atrastos mājās. Tas ļauj izvairīties no pakalpojumu tiešas piekļuves jūsu publiskajai IP adresei.
Ir vērts atzīmēt, ka daži VPN pakalpojumu sniedzēji atļauj portu pāradresāciju, kas ir noderīga, lai saglabātu jūsu reālās IP adreses privātumu, vienlaikus ļaujot pārsūtīt noteiktus datus. Tomēr citi to stingri aizliedz, lai nodrošinātu maksimālu lietotāju drošību un novērstu savu serveru izmantošanu ļaunprātīgām darbībām.
Lai izvairītos no problēmām, ieteicams salīdzināt portu pāradresāciju ar DMZ (demilitarizēto zonu) . Lai gan portu pāradresācija atver tikai vienu portu, DMZ pakļauj visu ierīci internetam, atstājot to pilnīgi neaizsargātu. Tāpēc DMZ jāizmanto tikai ārkārtas gadījumos un ar ļoti stingriem papildu drošības pasākumiem.
Portu pāradresācijas apgūšana ļauj pārveidot mājas maršrutētāju par jaudīgu rīku serveru, spēļu un drošības pārvaldībai, ja vien jūs saglabājat līdzsvaru starp pieejamību un aizsardzību . Spēcīgu paroļu izmantošana, regulāra programmaparatūras atjaunināšana un alternatīvu, piemēram, VPN, apsvēršana ir svarīgi soļi, lai baudītu attālo savienojumu, nepārvēršot lokālo tīklu par hakeru sietu.
