NAT и проброс портов: что это и чем белый IP отличается от серого

Коротко

• Серый (частный) IP работает только внутри вашей локальной сети. Тысячи офисов используют одни и те же адреса вроде 192.168.1.10, и это нормально — в интернете они не появляются.
• Белый (публичный) IP уникален в интернете. Провайдер выдаёт офису один (иногда несколько), и он назначается на внешний порт роутера.
• NAT (Network Address Translation) — механизм, с помощью которого роутер выпускает десятки устройств с серыми IP в интернет через один белый: подменяет адрес в исходящем трафике и запоминает, какой ответ кому вернуть.
• Проброс портов (port forwarding) — правило NAT, которое пускает трафик из интернета внутрь: «всё, что пришло на внешний порт 8443, отправляй на 192.168.1.20».

Частные диапазоны адресов

Три диапазона зарезервированы для локальных сетей и не маршрутизируются в интернете:

Если адрес устройства попадает в один из этих диапазонов, он серый по определению.

Как работает NAT

1. Ноутбук с адресом 192.168.1.57 открывает сайт.
2. Роутер подменяет адрес отправителя на свой белый IP и записывает соединение в таблицу трансляций.
3. Сайт отвечает на белый IP.
4. Роутер находит запись в таблице и передаёт ответ на 192.168.1.57.

Полезный побочный эффект: никто из интернета не может сам начать соединение с устройством внутри, если для этого нет правила. NAT — не межсетевой экран, но по умолчанию скрывает внутреннюю сеть.

CGNAT: когда серый адрес даже у роутера

Белых IPv4-адресов на всех клиентов у многих провайдеров не хватает, поэтому они применяют NAT ещё и на своей стороне. Это CGNAT (Carrier-Grade NAT). Ваш роутер получает адрес из внутренней сети провайдера — часто из диапазона 100.64.0.0 – 100.127.255.255 — и выходит в интернет через общий белый IP.

Как проверить:

• посмотрите WAN-адрес в настройках роутера;
• сравните его с адресом, который показывает любой сервис «мой IP».

Если они различаются или WAN-адрес серый либо из 100.64.x.x, вы за CGNAT. Обычный интернет работает нормально, но проброс портов работать не будет: входящий трафик останавливается у провайдера.

Когда нужен статический белый IP

Статический (выделенный) белый IP не меняется и принадлежит только вам. Его стоит заказать у провайдера, если:

• удалённые сотрудники подключаются к офису по VPN;
• филиалы объединены туннелем site-to-site;
• внешний сервис пускает только с адреса вашего офиса (банковские системы, API партнёров, облачные панели управления);
• в офисе работает что-то, что должно быть доступно снаружи.

Динамический белый IP может смениться после переподключения. За ним может следить Dynamic DNS, но для бизнес-подключений статический адрес проще и предсказуемее. Обратите внимание: «белый» и «статический» — разные свойства, адрес может быть белым, но меняться.

Почему открывать порты рискованно

Каждый проброшенный порт — дверь в вашу сеть, в которую может постучать весь интернет. Автоматические сканеры постоянно ищут открытые сервисы, и чаще всего атакуют как раз то, что офисы выставляют наружу:

• RDP (удалённый рабочий стол) и SSH — подбор паролей и известные уязвимости;
• веб-интерфейсы камер, NAS и регистраторов — заводские пароли и устаревшие прошивки;
• базы данных и учётные системы, которые вообще не рассчитаны на прямой доступ из интернета.

Безопасные альтернативы:

• давайте удалённый доступ через VPN и открывайте только порт VPN — или используйте сервис защищённого удалённого доступа;
• если порт открыть необходимо, ограничьте его известными адресами источников;
• обновляйте прошивки, меняйте заводские пароли, включайте двухфакторную аутентификацию;
• отключите UPnP на роутере — он позволяет устройствам самим открывать порты незаметно для вас;
• регулярно просматривайте список правил проброса и удаляйте ненужные.