Перенаправлення портів і брандмауер

Дві вкладки на одну тему: до чого ззовні дозволено дістатися всередині кафе. Більшості кафе перша потрібна для консолей, а другу вони так і не відкривають.

Навіщо консолі порт

Консоль, до якої неможливо дістатися ззовні, показує строгий тип NAT, а строгий NAT стоїть за скаргами «не можу приєднатися до групи друга» і «голосовий чат не працює». Відкритий для цієї консолі порт це виправляє.

Перенаправлення портів

Перенаправлення означає: трафік, що надходить з інтернету на цей порт, іде на цей пристрій усередині кафе.

Кожне перенаправлення містить лінію, до якої воно застосовується, протокол, зовнішній порт, а також внутрішній пристрій і порт. Два перенаправлення не можуть використовувати той самий порт на тій самій лінії. Саме тому кафе з кількома консолями зазвичай потребує наступного розділу.

Перенаправлення на пристрій без статичної адреси ламається, щойно ця адреса змінюється. Спочатку дайте консолі статичну адресу, а вже потім перенаправляйте на неї.

Консолі відкривають порти самі

Коли UPnP увімкнено, консоль сама запитує в шлюзу порт і, отримавши його, показує відкритий тип NAT. Жодного списку вести не треба, і це працює, навіть якщо консоль переставили на інше місце.

Зворотний бік у тому, що запитувати може й будь-що інше на цих машинах. Вмикайте UPnP лише для груп, яким він потрібен, тобто на практиці для групи консолей, а не для ігрових ПК.

Якщо у Windows консолі не знаходять шлюз, зазвичай винна служба SSDP Discovery, яка займає порт, на якому вони шукають. Зупиніть цю службу й застосуйте зміни ще раз.

Правила брандмауера

Шлюз уже блокує те, що слід блокувати. Правила потрібні кафе з особливими потребами: офісний ПК, до якого треба дістатися з дому, ігровий ПК, відокремлений від решти мережі, служба, яка не повинна виходити за межі приміщення.

Поведінку правила визначають дві речі:

• Порядок. Правила перевіряються згори донизу, і рішення ухвалює перше правило, що збіглося. Широке правило над вузьким робить вузьке мертвим.
• Напрямок. Правило на боці LAN стосується трафіку, що виходить із кафе. Правило на боці WAN стосується вхідного трафіку.

Псевдоніми

Псевдонім дає назву списку адрес або портів, щоб правила могли на нього посилатися. Напишіть «офісні ПК» один раз і використовуйте в чотирьох правилах замість чотирьох копій тих самих трьох адрес, які за рік розійдуться.

Доступ до кафе за іменем

Якщо адреса кафе змінюється щоразу, коли модем перепідключається, динамічний DNS тримає за нею постійне ім'я. Налаштуйте його за допомогою ключа оновлення від вашого провайдера, а не пароля від облікового запису, і шлюз підтримуватиме ім'я актуальним.

Саме так перенаправлення залишається корисним для того, хто підключається ззовні: адреса змінюється, а ім'я ні.