NAT va port forwarding: ochiq va xususiy IP farqi nimada

Qisqa javob

• Xususiy (private) IP faqat lokal tarmog‘ingiz ichida ishlaydi. Dunyodagi minglab ofislar 192.168.1.10 kabi bir xil manzillardan foydalanadi va bu normal — ular internetda ko‘rinmaydi.
• Ochiq (public) IP internetda yagona. Provayder ofisga bitta (ba’zan bir nechta) beradi va u routerning tashqi portiga biriktiriladi.
• NAT (Network Address Translation) — router xususiy IP li o‘nlab qurilmalarni bitta ochiq IP orqali internetga chiqaradigan mexanizm: chiquvchi trafikda manzilni almashtiradi va qaysi javobni kimga qaytarishni eslab qoladi.
• Port forwarding (portni yo‘naltirish) — internetdan trafikni ichkariga kiritadigan NAT qoidasi: «tashqi 8443-portga kelgan hamma narsani 192.168.1.20 ga yubor».

Xususiy manzillar diapazonlari

Uchta diapazon lokal tarmoqlar uchun ajratilgan va internetda marshrutlanmaydi:

Agar qurilma manzili shu diapazonlardan biriga tushsa, u ta’rifga ko‘ra xususiy hisoblanadi.

NAT qanday ishlaydi

1. 192.168.1.57 manzilli noutbuk saytni ochadi.
2. Router jo‘natuvchi manzilini o‘zining ochiq IP siga almashtiradi va ulanishni translatsiya jadvaliga yozadi.
3. Sayt ochiq IP ga javob beradi.
4. Router jadvaldagi yozuvni topadi va javobni 192.168.1.57 ga uzatadi.

Foydali qo‘shimcha ta’sir: agar qoida bo‘lmasa, internetdan hech kim ichkaridagi qurilma bilan o‘zi ulanishni boshlay olmaydi. NAT firewall emas, lekin sukut bo‘yicha ichki tarmoqni yashiradi.

CGNAT: hatto routerda ham xususiy manzil bo‘lsa

Ko‘plab provayderlarda barcha mijozlarga yetadigan ochiq IPv4 manzillar yo‘q, shuning uchun ular o‘z tomonida ham NAT qo‘llaydi. Bu CGNAT (Carrier-Grade NAT). Routeringiz provayderning ichki tarmog‘idan manzil oladi — ko‘pincha 100.64.0.0 – 100.127.255.255 diapazonidan — va internetga umumiy ochiq IP orqali chiqadi.

Qanday tekshirish mumkin:

• router sozlamalarida WAN manzilni ko‘ring;
• uni istalgan «mening IP-manzilim» xizmati ko‘rsatgan manzil bilan solishtiring.

Agar ular farq qilsa yoki WAN manzil xususiy yoxud 100.64.x.x dan bo‘lsa, siz CGNAT ortidasiz. Oddiy internet yaxshi ishlaydi, lekin port forwarding ishlamaydi: kiruvchi trafik provayderda to‘xtab qoladi.

Statik ochiq IP qachon kerak

Statik (ajratilgan) ochiq IP o‘zgarmaydi va faqat sizga tegishli. Uni provayderdan quyidagi hollarda so‘rash kerak:

• masofaviy xodimlar ofisga VPN orqali ulanadi;
• filiallar site-to-site tunnel bilan birlashtirilgan;
• tashqi xizmat faqat ofisingiz manzilidan kirishga ruxsat beradi (bank tizimlari, hamkorlar API lari, bulutli boshqaruv panellari);
• ofisda tashqaridan kirish mumkin bo‘lishi kerak bo‘lgan biror narsa ishlaydi.

Dinamik ochiq IP qayta ulanishdan keyin o‘zgarishi mumkin. Uni Dynamic DNS kuzatib borishi mumkin, lekin biznes ulanishlari uchun statik manzil soddaroq va oldindan bashorat qilinadigan. E’tibor bering: «ochiq» va «statik» — turli xususiyatlar, manzil ochiq bo‘lsa ham o‘zgarib turishi mumkin.

Portlarni ochish nima uchun xavfli

Har bir yo‘naltirilgan port — butun internet taqillatishi mumkin bo‘lgan tarmog‘ingizga eshik. Avtomatik skanerlar doimo ochiq xizmatlarni qidiradi va ko‘pincha aynan ofislar tashqariga chiqaradigan narsalarga hujum qiladi:

• RDP (masofaviy ish stoli) va SSH — parollarni tanlash va ma’lum zaifliklar;
• kameralar, NAS va registratorlarning veb-interfeyslari — zavod parollari va eskirgan proshivkalar;
• internetdan to‘g‘ridan-to‘g‘ri kirishga umuman mo‘ljallanmagan ma’lumotlar bazalari va hisob tizimlari.

Xavfsizroq muqobillar:

• masofaviy kirishni VPN orqali bering va faqat VPN portini oching — yoki himoyalangan masofaviy kirish xizmatidan foydalaning;
• agar portni ochish shart bo‘lsa, uni ma’lum manba manzillari bilan cheklang;
• proshivkalarni yangilang, zavod parollarini almashtiring, ikki bosqichli autentifikatsiyani yoqing;
• routerda UPnP ni o‘chiring — u qurilmalarga sizga sezdirmasdan portlarni o‘zi ochishga imkon beradi;
• yo‘naltirish qoidalari ro‘yxatini muntazam ko‘rib chiqing va keraksizlarini o‘chiring.