Проброс без участия человека
Настраивать проброс портов вручную сложно для обычного пользователя, и производители придумали автоматику. UPnP, Universal Plug and Play, позволяет приложению внутри сети само попросить роутер открыть нужный порт и потом закрыть его. Часть функций называется Internet Gateway Device: именно она отвечает за трансляцию адресов и порты на шлюзе.
Идея удобная. Игровая консоль, программа для звонков или клиент для обмена файлами не требуют от вас лезть в панель администрирования, а просто договариваются с роутером сами.
Как это происходит
Устройство ищет шлюз широковещательным запросом протокола SSDP, который отправляется на групповой адрес 239.255.255.250 и UDP-порт 1900. Роутер отвечает и сообщает адрес, по которому доступно описание его возможностей. Затем приложение отправляет управляющие команды, в том числе «добавить сопоставление порта». Роутер создаёт правило, а при закрытии приложения оно должно его убрать.
Существуют и близкие протоколы с похожей задачей, например NAT-PMP и его преемник PCP, они проще и применяются в основном в оборудовании определённых производителей.
Что в этом опасного
Главная слабость: роутер выполняет команды любого устройства в локальной сети без запроса подтверждения. Заражённая программа на одном компьютере или в умном гаджете может незаметно открыть порт в интернет на любое устройство, и вы не увидите ни окон, ни предупреждений.
Кроме того, реализации UPnP в разных роутерах не раз содержали ошибки. Известны случаи, когда служба отвечала на запросы и снаружи, из интернета, а не только из локальной сети, а в 2020 году описали уязвимость CallStranger, которая позволяла использовать устройства с UPnP для рассылки трафика и утечки данных. Поэтому специалисты по безопасности советуют отключать эту функцию, если она не нужна.
Когда UPnP всё же нужен
Отключение иногда ломает игры и приложения: NAT-тип на консоли становится строгим, голосовой чат или прямые соединения между участниками перестают устанавливаться. Тогда вместо автоматики создайте правило проброса вручную только для нужных портов и нужного устройства. Это даёт тот же результат, но под вашим контролем.
Компромиссный вариант: в некоторых прошивках можно включить UPnP с журналом и ограничением по устройствам либо только для одного адреса.
Как проверить и отключить
Зайдите в панель роутера и найдите раздел UPnP или IGD, обычно он в блоке NAT, дополнительных или сетевых настройках. Там часто есть таблица активных сопоставлений: посмотрите, какие порты открыты и для каких адресов. Незнакомые записи повод разобраться, какое устройство их создало.
Отключить функцию можно переключателем в том же разделе. После этого проверьте внешний адрес сервисом проверки портов: те, что были открыты автоматически, должны закрыться. Порядок ручной настройки описан на странице про проброс портов. Такая ревизия занимает несколько минут, зато позволяет заметить лишние открытые порты до того, как ими воспользуются посторонние.
Как отличить полезное от вредного
Не каждый запрос UPnP в вашей сети подозрителен. Обычно легитимными записями в таблице сопоставлений оказываются порты игровой консоли, клиента для видеозвонков, клиента обмена файлами или медиасервера. Их можно узнать по описаниям, которые приложения передают при создании записи, и по внутреннему адресу устройства, которому они принадлежат.
Подозрительны записи, у которых нет понятного названия, порты открыты на устройство, которым вы давно не пользуетесь, либо на умный гаджет, которому внешний доступ не нужен: лампу, колонку, розетку. Тогда полезно отключить UPnP, очистить таблицу и посмотреть, что попытается открыть снова.
Для контроля периодически проверяйте внешний адрес сканером портов и сравнивайте результат с таблицей роутера. Полностью доверять интерфейсу роутера тоже не стоит, потому что при некоторых ошибках он может показывать неполную картину.
Наконец, если вы всё же оставили UPnP, обновляйте прошивку роутера: производители время от времени исправляют ошибки в этом компоненте. Роутеры, которые давно не получают обновлений, разумнее заменить, чем продолжать полагаться на их встроенные службы.