После смены порта клиент при подключении к устройствам через SSH из интернета должен будет указать порт 9022. Попытка подключиться к порту 22 извне окажется неудачной, поскольку проброс будет идти от порта 9022, а не от порта 22. Параметр Private Port иногда именуемый как Destination Port установлен как 22, поскольку демон SSH на устройстве Pi работает на 22 порту. Вы также можете использовать сервис типа Fail2ban фреймворк для защиты от внешний вторжений , предназначенного для защиты сети от атак с использованием брутфорса, после того как злоумышленник найдет активный порт.

Настройка проброса портов для создания интернет-сервисов

Если вы читаете это руководство в интернете при помощи веб-браузера, то вероятно используете протокол HTTPS, работающий на порту 443.

Хотя порты упрощают задачу идентификации и обработки определенных запросов, соглашение о нумерации портов является стандартом, но не правилом. Порты могут использовать для любых задач при условии, что соединение между клиентом и сервером на указанном порту использует соответствующий протокол.

Шаг 1. Выяснение IP адреса роутера

Обычно у роутеров доступна административная панель по протоколу HTTP (порт 80). В большинстве случаев для доступа используется локальный IP адрес роутера (192.168.0.1 или 192.168.1.1). В Microsoft Windows подключенный роутер (или шлюз, используемый по умолчанию) легко обнаружить при помощи команды ipconfig/all.

В Линуксе та же самая задача решается при помощи утилиты netstat. Откройте терминал и введите следующую команду для выяснения IP адреса подключенного роутера.

Шаг 2. Доступ к конфигурационной панели роутера

После выяснения локального IP адреса роутера вы можете получить доступ к конфигурационной панели, если введете адрес в браузере, как и в случае с обычным URL (у некоторых роутеров, например, предусмотрено мобильное приложение, и задача упрощается).

Рисунок 2: Форма авторизации конфигурационной панели роутера

После загрузки панели управления необходимо выполнить авторизацию. Имя пользователя и пароль могут быть установлены производителем или интернет-провайдером или вами. Эту информацию можно найти в документации на роутер или на корпусе.

Шаг 3. Настройка правил проброса портов

Для демонстрации правил проброса портов рассмотрим простейший случай, когда у пользователя есть устройство Raspberry Pi, подключенное домашнему сетевому роутеру. На Pi запущена служба SSH, позволяющая залогиниться на устройстве при наличии корректного имени пользователя и пароля. Текущий IP адрес устройства Raspberry Pi — 192.168.0.105.

Правило было названо как «RBPi SSH» с целью упрощения идентификации в будущем. В целом имя правила полностью зависит от ваших личных предпочтений и не влияет на используемые порты.

Диапазон параметра Public Port (иногда именуемого как Source Port) установлен от 22 до 22 (стандартный порт протокола SSH). Этот порт роутер сделает доступным через интернет. Через этот же порт пользователь будет подключаться к Raspberry Pi.

Параметр Private Port (иногда именуемый как Destination Port) установлен как 22, поскольку демон SSH на устройстве Pi работает на 22 порту.

Мнение эксперта

Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета

Все сложные вопросы мы с вами решим вместе.

Задать вопрос эксперту

Во многих случаях данных правил по-умолчанию может быть достаточно обычному пользователю, который просто настроил маршрутизатор дома для выхода в интернет. Если вам нужна бесплатная консультация, пишите мне!

Настройка проброса портов для создания интернет-сервисов

Проброс портов в Линуксе на системном уровне

Проброс портов на уровне роутера может быть полезным для настройки сетей, доступных через интернет. В Линуксе ту же самую задачу можно решить на системном уровне.

Для конфигурирования локального проброса портов в Линуксе вначале нужно выполнить следующую команду с целью установки в параметр ip_forward значения 1 (в этом случае проброс портов активируется на уровне операционной системы):

Как только IP форвардинг включен, убедитесь, что вы знаете текущий порт сервиса, который нужно пробросить. Во время конфигурирования ханипота Cowrie эта задача решается посредством настройки демона SSH на порт 9022.

Наконец, для включения локального проброса портов, можно воспользоваться iptables. Команда ниже перенаправляет запросы с порта 22 на порт 2222, где эти запросы обрабатывает ханипот.

После смены порта клиент при подключении к устройствам через SSH из интернета должен будет указать порт 9022. Попытка подключиться к порту 22 извне окажется неудачной, поскольку проброс будет идти от порта 9022, а не от порта 22. Параметр Private Port иногда именуемый как Destination Port установлен как 22, поскольку демон SSH на устройстве Pi работает на 22 порту. Вы также можете использовать сервис типа Fail2ban фреймворк для защиты от внешний вторжений , предназначенного для защиты сети от атак с использованием брутфорса, после того как злоумышленник найдет активный порт.

Расширенные настройки Mikrotik RouterOS: перенаправление портов — dstnat

Давайте разберемся, ка же осуществляется перенаправление портов, когда в качестве маршрутизатора, используется оборудование Mikrotik RouterBoard, работающее под управлением сетевой операционной системы Mikrotik RouterOS.

Для осуществления этих действий, мы будем использовать фирменную утилиту Winbox. Подключаемся к маршрутизатору и переходим в раздел IP -> Firewall.

Предположим, что у нас в сети есть web-server, его IP адрес — 192.168.0.2 и нам надо, чтобы все обращения на наш внешний адрес и порт 80, были направлены на этот сервер, с таким же портом.

Переходим на вкладку NAT и добавляем новое правило, нажатием кнопки “+”. В открывшемся окне, на вкладке General в поле Chain выбираем цепочку dstnat, в поле Protocol — выбираем tcp, а в поле Dst.Port, вписываем наш порт 80.

После чего, переходим на вкладку Action и в поле Action выбираем dst-nat, в появившихся с низу полях To Address и To Ports соответственно вписываем локаный адрес нашего сервера 192.168.0.2 и тот же 80 порт.

И сохраняем наше новое правило, кнопкой OK. В результати, у нас должно появиться еще одно правило на вкладке NAT и теперь, все запросы пришедшие на внешний IP адрес порт 80, допустим 211.10.173.239:80, будут перенаправлены на наш сервер 192.168.0.2:80.

Похожая ситуация и с перебросом портов, для приложений. Допустим на вашем персональном компьютере, который имеет локальный IP адрес 192.168.0.5, установлено приложение, требующее соединения по порту 12400 для протокола TCP и соединения по порту 12500 для протокола UDP.

В этом случае, нам нужно будет создать 2 правила, по одному для каждого из портов и соответственно, протоколов.

В первом случае, при создании нового правила, мы должны будем на вкладке General в поле Chain выбираем цепочку dstnat, в поле Protocol — выбираем tcp, а в поле Dst.Port — 12400.

А на вкладке Action и в поле Action выбираем dst-nat, а в появившихся с низу полях To Address и To Ports — локальный адрес нашего компьютера 192.168.0.5 и порт 12400.

Для второго порта и протокола UDP, создаем похожее правило, только в качестве значения для поля Protocol на вкладке General, мы выбираем udp, в а поле Dst.Port, вписываем 12500.

На вкладке Action, для этого правила, как и в первом случае, выбираем dst-nat для поля Action, а в появившихся с низу полях To Address и To Ports — локальный адрес нашего компьютера 192.168.0.5 и порт, на этот раз 12500.

Мнение эксперта

Черноволов Василий Петрович, эксперт по вопросам мобильной связи и интернета

Все сложные вопросы мы с вами решим вместе.

Задать вопрос эксперту

Во многих случаях данных правил по-умолчанию может быть достаточно обычному пользователю, который просто настроил маршрутизатор дома для выхода в интернет. Если вам нужна бесплатная консультация, пишите мне!

Проброс портов и Hairpin NAT в роутерах Mikrotik