«Откройте порт» — частая просьба от разработчика игрового сервера, установщика видеонаблюдения или специалиста, которому нужен удалённый доступ к компьютеру. За этой фразой стоят две разные настройки: правило в брандмауэре компьютера и проброс порта на роутере. Разберём, что такое порт и проброс, как открыть порт и проверить результат и какие порты открывать в интернет опасно.
Коротко
- Порт — номер «двери» на устройстве, через которую принимает подключения конкретная программа.
- Чтобы подключение из интернета дошло до компьютера в офисе, нужно правило проброса на роутере и разрешение в брандмауэре.
- Проверять порт нужно снаружи, из интернета, а не из той же сети.
- С серым IP-адресом проброс не сработает без помощи провайдера.
- Удалённый рабочий стол, общие папки, базы данных и панели управления в интернет напрямую не открывают — для них есть VPN.
Что такое порт
Если IP-адрес — это адрес здания, то порт — номер кабинета в нём. На одном компьютере одновременно работают разные программы, и каждая ждёт подключения на своём номере порта от 1 до 65535. Номера стандартных служб закреплены в реестре организации IANA: например, сайты работают через порты 80 и 443, а удалённый рабочий стол Windows по умолчанию использует порт 3389.
Порт называют открытым, когда на нём работает программа, готовая принять подключение, и ничто по дороге это подключение не блокирует. Если программа не запущена, порт будет закрыт, какие бы настройки Вы ни сделали.
Почему порт «закрыт»: брандмауэр и NAT
Подключению из интернета к компьютеру в офисе мешают два препятствия.
- Брандмауэр — встроенная защита компьютера, которая пропускает только разрешённые входящие подключения. Многие программы при установке сами создают для себя разрешение, другим его нужно добавить вручную.
- NAT на роутере. Все устройства в Вашей сети выходят в интернет под одним внешним адресом роутера. Когда снаружи приходит подключение, роутер не знает, какому из компьютеров его передать, и отбрасывает. Правило проброса порта (по-английски port forwarding) говорит роутеру: «Всё, что пришло на такой-то внешний порт, передавай на такой-то компьютер внутри сети».
Сначала решите, нужно ли открывать порт
Открытый порт виден всему интернету, а не только тому, кому Вы хотели дать доступ. Автоматические программы постоянно перебирают адреса в поисках открытых служб и сразу начинают подбирать пароли. Поэтому перед настройкой стоит спросить себя: можно ли решить задачу без открытого порта? Для удалённого доступа к офису обычно лучше подходит VPN, а многие камеры и программы удалённого доступа умеют работать через облачный сервис производителя без проброса.
Как открыть порт: общий порядок
Меню роутеров и версии программ различаются, поэтому ниже описана логика, а не точный путь по пунктам.
- Закрепите внутренний адрес за устройством. В настройках роутера найдите список клиентов и зарезервируйте за нужным компьютером постоянный внутренний IP. Иначе после перезагрузки адрес может смениться, и правило перестанет работать.
- Разрешите порт в брандмауэре. В Windows откройте «Брандмауэр Защитника Windows» в панели управления, затем «Дополнительные параметры» и создайте новое правило для входящих подключений: укажите протокол (TCP или UDP) и номер порта. Если программа при первом запуске сама спросила разрешение на доступ к сети, правило уже создано.
- Создайте правило проброса на роутере. Раздел обычно называется «Переадресация портов», «Виртуальные серверы», «NAT» или Port Forwarding. Укажите протокол, внешний порт, внутренний IP компьютера и внутренний порт.
- Сохраните настройки и запустите программу, которая должна принимать подключения.
- Проверьте результат снаружи — об этом следующий раздел.
Если программа предлагает открыть порты автоматически через UPnP, учтите: эта функция роутера позволяет любой программе в сети самой открывать порты наружу, в том числе вредоносной. Если UPnP Вам не нужен, его лучше выключить в настройках роутера.
Как проверить, что порт открыт
Проверять нужно из интернета. Если пробовать подключиться с соседнего компьютера той же сети, результат может ввести в заблуждение: многие роутеры по-разному обрабатывают подключения к собственному внешнему адресу изнутри.
Удобнее всего воспользоваться нашим инструментом проверки порта: он подключается к указанному адресу и порту со своего сервера, то есть именно так, как это сделал бы внешний пользователь. Узнать свой внешний адрес для проверки можно на странице «Мой IP».
Пример: доступ к видеорегистратору из дома
Допустим, в офисе стоит видеорегистратор, и руководитель хочет смотреть камеры с телефона. Установщик предлагает «пробросить порт». Прежде чем соглашаться, уточните у него три вещи:
- Умеет ли регистратор работать через облачный сервис производителя — тогда проброс не нужен вовсе.
- Какой именно порт и для чего открывается: для просмотра видео или для веб-панели управления. Панель управления наружу открывать не стоит.
- Сменён ли заводской пароль регистратора и обновлена ли его прошивка.
Если без проброса не обойтись, после настройки проверьте порт снаружи и запишите, какое правило и зачем создано. Через год это избавит от гаданий, откуда в сети открытый порт.
Почему порт не открывается
| Признак | Вероятная причина | Что делать |
|---|---|---|
| Порт закрыт, хотя правило на роутере есть | Программа не запущена или слушает другой порт | Проверить, что служба работает и номер порта совпадает |
| Изнутри сети подключение есть, снаружи нет | Брандмауэр блокирует внешние адреса или проброс настроен неверно | Проверить правило брандмауэра и внутренний IP в правиле роутера |
| Адрес роутера не совпадает с адресом на странице «Мой IP» | Серый IP: роутер сам находится за NAT провайдера | Заказать у провайдера белый адрес или выбрать решение без проброса |
| Перед роутером стоит модем или терминал провайдера | Двойной NAT: порт нужно пробросить на обоих устройствах | Настроить проброс на первом устройстве или перевести его в режим моста |
| Правило работало, а потом перестало | Компьютер получил другой внутренний адрес | Закрепить постоянный внутренний IP за устройством |
| Не проходит только определённый порт | Провайдер ограничивает отдельные порты | Уточнить в поддержке провайдера или использовать другой порт |
Какие порты опасно открывать в интернет
Есть службы, которые нельзя выставлять в интернет напрямую ни при каких обстоятельствах, — они слишком часто становятся точкой входа для взлома и вирусов-шифровальщиков:
- Удалённый рабочий стол Windows (RDP). Его постоянно атакуют подбором паролей.
- Общие папки Windows (SMB, порт 445). Через уязвимости этой службы распространялись известные эпидемии шифровальщиков.
- Базы данных — Microsoft SQL Server, MySQL, PostgreSQL и сервер 1С.
- Панели управления роутеров, камер, видеорегистраторов, сетевых хранилищ и серверов.
- Старые протоколы без шифрования, например Telnet.
Смена стандартного номера порта на нестандартный не защищает: она лишь уменьшает число случайных попыток, но служба остаётся доступной любому, кто просканирует адрес. Безопасные варианты — подключение через VPN, шлюз удалённых рабочих столов, а если порт всё же нужен — разрешение подключаться только с конкретных IP-адресов, сложные пароли и двухфакторная аутентификация.
Если доступ к серверам компании нужен регулярно, а разбираться в правилах брандмауэра и VPN самостоятельно нет времени, такую работу можно передать специалистам: в рамках услуги настройка и администрирование серверов безопасный удалённый доступ настраивают с учётом задач компании.
Частые вопросы
Чем отличаются TCP и UDP?
Это два способа передачи данных. Большинство служб (сайты, почта, удалённый рабочий стол) используют TCP, многие игры, видеозвонки и VPN — UDP. Какой протокол нужен, указано в инструкции к программе; если сомневаетесь, создайте правило для обоих.
Можно ли открыть порт без доступа к роутеру?
Нет. Правило проброса создаётся именно на роутере, который смотрит в интернет. Если доступа к нему нет, например в бизнес-центре с общей сетью, обратитесь к администратору здания или используйте решения, которые работают без проброса.
Нужно ли закрывать порт, когда он больше не нужен?
Да. Удалите правило проброса на роутере и правило в брандмауэре. Забытые открытые порты — одна из частых причин взломов в небольших компаниях.
Почему инструмент показывает, что порт 80 или 443 открыт, хотя я ничего не настраивал?
Возможно, это веб-интерфейс самого роутера или провайдерского оборудования. Проверьте в настройках роутера, не включено ли управление из интернета, и отключите его, если оно не нужно.