Перенаправление портов и брандмауэр

Две вкладки на одну тему: к чему внешний мир может достучаться внутри клуба. Большинству клубов первая нужна для консолей, а вторую они никогда не открывают.

Зачем консоли порт

Консоль, до которой нельзя достучаться снаружи, сообщает о строгом типе NAT. Именно из-за строгого NAT возникают жалобы «не могу зайти в пати к другу» и «не работает голосовой чат». Открытие порта для этой консоли решает проблему.

Перенаправление портов

Правило перенаправления означает: трафик, приходящий из интернета на этот порт, направляется на это устройство внутри клуба.

В каждом правиле указаны линия, к которой оно относится, протокол, внешний порт, а также внутреннее устройство и порт. Два правила не могут использовать один и тот же порт на одной линии, и поэтому клубу с несколькими консолями обычно больше подходит следующий раздел.

Правило, направленное на устройство без статического адреса, перестаёт работать, как только этот адрес меняется. Сначала закрепите за консолью статический адрес, а затем перенаправляйте на него.

Консоли открывают порты сами

При включённом UPnP консоль сама запрашивает у шлюза порт и, получив его, сообщает об открытом типе NAT. Никаких списков вести не нужно, и настройка сохраняется, даже если консоль переносят на другое место.

Обратная сторона в том, что запрашивать порты может и всё остальное на этих машинах. Включайте UPnP только для групп, которым он нужен, то есть на практике для группы консолей, а не для игровых ПК.

Если в Windows консоли не находят шлюз, обычно служба SSDP Discovery занимает порт, на котором они его ищут. Остановите эту службу и примените настройки ещё раз.

Правила брандмауэра

Шлюз уже блокирует то, что нужно блокировать. Правила нужны клубу, которому требуется что-то особенное: офисный ПК, доступный из дома, игровой ПК, отделённый от остальной сети, служба, трафик которой не должен выходить за пределы здания.

Поведение правила определяют две вещи:

• Порядок. Правила проверяются сверху вниз, и решает первое совпавшее. Широкое правило над узким делает узкое бесполезным.
• Направление. Правило на стороне LAN относится к трафику, покидающему клуб. Правило на стороне WAN относится к входящему трафику.

Псевдонимы

Псевдоним даёт имя списку адресов или портов, чтобы правила могли на него ссылаться. Напишите «офисные ПК» один раз и используйте в четырёх правилах, вместо четырёх копий одних и тех же трёх адресов, которые за год разойдутся.

Доступ к клубу по имени

Если адрес клуба меняется при каждом переподключении модема, динамический DNS удерживает имя, указывающее на этот адрес. Настройте его с помощью ключа обновления от провайдера, а не пароля от учётной записи, и шлюз будет поддерживать имя в актуальном состоянии.

Так перенаправление портов остаётся полезным для того, кто подключается снаружи: адрес меняется, а имя нет.