Сначала убедитесь, что проверяете правильно
Самая частая причина «неработающего» проброса состоит в том, что его проверяют изнутри сети. Если вы набираете внешний адрес роутера со своего же компьютера, результат зависит от того, умеет ли роутер возвращать такие запросы обратно. Многие модели не умеют или делают это не всегда, и вы видите отказ при том, что для остального мира всё открыто.
Проверять нужно из другой сети. Самый простой путь — телефон, у которого выключен Wi-Fi и работает мобильный интернет. Можно попросить знакомого открыть адрес со своего устройства. Для проверки порта подойдут и специальные онлайн-сервисы, которые обращаются к вашему адресу снаружи.
Перед этим проверьте, что служба вообще работает на самом устройстве. Откройте её по внутреннему адресу с другого устройства домашней сети. Если локально она не отвечает, проброс ни при чём, и искать надо в программе: она может быть выключена, слушать только локальный интерфейс или использовать другой порт.
Звено 1: правило на роутере
Ошибки в самом правиле выглядят мелко, но именно они встречаются чаще всего. Откройте раздел проброса и сверьте каждое поле.
- Внутренний адрес. Он должен совпадать с текущим адресом устройства. Если устройство получает адрес динамически, после перезагрузки он мог измениться, и правило стало указывать в пустоту.
- Порты. Внешний порт, по которому идёт обращение, и внутренний порт, на котором слушает служба, могут различаться, но оба должны быть указаны намеренно.
- Тип соединения. Некоторые программы используют TCP, другие UDP, третьи оба. Если указан не тот тип, подключение не пройдёт.
- Состояние правила. В ряде интерфейсов правило нужно отдельно включить галочкой, а добавление без сохранения ничего не меняет.
- Конфликты. Два правила на один внешний порт не могут работать одновременно, а порт управления роутером иногда пересекается с пробрасываемым.
Если у вас включён UPnP, программа могла создать собственное правило на тот же порт. Тогда ручное правило и автоматическое мешают друг другу, и в таблице пробросов стоит посмотреть, нет ли дублей.
Звено 2: постоянный адрес устройства
Правило привязано к адресу. Если адрес сменился, проброс перестаёт работать без каких-либо сообщений об ошибке. Это классическая ловушка: вчера всё открывалось, сегодня после выключения света или перезагрузки роутера нет.
Лекарство одно: закрепите адрес за устройством. Роутер будет всегда выдавать ему один и тот же адрес по MAC-адресу, и правило перестанет «уезжать». Как это сделать, рассказано в материале про резервирование адреса. Закрепляйте адрес до создания правила, а не после того, как всё сломалось.
Отдельно проверьте, не использует ли устройство случайный MAC-адрес. Современные телефоны и некоторые ноутбуки по умолчанию подставляют разный MAC для разных сетей, а иногда меняют его со временем. Для сервера или камеры эта функция должна быть отключена в настройках сети конкретного устройства, иначе резервирование по MAC просто не сработает.
Звено 3: брандмауэр и сама служба
Даже при идеальном правиле пакеты могут упираться в защиту на конечном устройстве. Брандмауэр компьютера обычно разрешает входящие соединения только для известных программ и сетей определённого типа. Если сеть помечена как «общедоступная», правила для неё строже, чем для «частной».
Что проверить на устройстве:
- Разрешено ли входящее подключение на нужный порт или для нужной программы.
- Слушает ли программа на всех интерфейсах, а не только на локальном адресе самой машины.
- Не стоит ли в программе ограничение по диапазону адресов, откуда принимаются подключения.
- Не запущена ли вторая копия службы, занявшая порт.
Для проверки удобно временно отключить ограничения, но делать это стоит осторожно и на короткое время, а затем вернуть всё обратно и добавить точечное разрешение. Оставлять устройство без защиты ради работающего проброса не нужно.
Звено 4: внешний адрес и провайдер
Если все звенья внутри сети в порядке, а снаружи порт всё равно закрыт, вероятнее всего, проблема в том, как провайдер выдаёт адрес. Сравните два значения: адрес, который роутер показывает в состоянии подключения к провайдеру, и адрес, который видят внешние сервисы проверки.
| Что видите | Что это значит | Что делать |
|---|---|---|
| Адреса совпадают | роутер имеет собственный внешний адрес | искать причину внутри сети |
| Адреса разные | адрес общий для нескольких абонентов | уточнить у провайдера отдельный адрес |
| Адрес роутера из частного диапазона | перед ним стоит ещё одно устройство | проверить двойной NAT |
В случае общего адреса пробросить порт на своём роутере технически нельзя, потому что запрос из интернета не доходит до него. Подробнее об этом сказано в материалах про двойной NAT и про серый адрес. Часто провайдеры предлагают отдельный адрес по запросу, условия лучше уточнять у них напрямую.
Ещё одна причина — динамический внешний адрес, который меняется. Тогда подключение работает лишь до смены адреса, а для постоянного доступа используют динамическое DNS-имя.
Когда лучше остановиться и пересмотреть задачу
Если вы дошли до конца списка и порт остаётся закрытым, вопрос уже не в настройках, и дальше можно потерять много времени. Стоит задать себе два вопроса. Действительно ли нужен доступ из интернета напрямую, или хватит облачного сервиса производителя устройства? И безопасно ли оставлять эту службу открытой для всех?
Открытый порт — это постоянно доступная точка входа. Если за ним стоит служба без пароля или с паролем по умолчанию, ею могут воспользоваться посторонние. Поэтому перед пробросом смените пароли, обновите программное обеспечение устройства и открывайте только то, что действительно нужно. Если после всех проверок ничего не заработало, обратитесь в поддержку провайдера с конкретным вопросом: выдан ли вам отдельный внешний адрес и не ограничены ли входящие соединения.