يكتشف معظم الناس معنى NAT بعد نحو عشر دقائق من الشراء. يعمل Nginx، ويعيد curl localhost الصفحة، بينما يظل المتصفح على الحاسوب المحمول يدور بلا نهاية. لا شيء معطّل. كل ما في الأمر أن الخادم لا يملك عنوان IPv4 عامًا خاصًا به، وأن باب دخوله الوحيد منفذ واحد محوَّل لـ SSH.
هذا الباب الواحد يكفي لقدر مفاجئ من العمل، ولا يكفي إطلاقًا لبعض الاستخدامات الشائعة جدًا. إن كنت ما زلت تختار بين نوعي الباقات، فمقالنا الأقدم IP مخصّص أم VPS بنظام NAT يطرح السؤال الوحيد الذي يحسم الأمر. أما هذا المقال فعن التعايش مع الإجابة: ما الذي يستطيعه خادم NAT عمليًا، وأين يصطدم بالجدار، وكيف تخرج منه حين يضيق عليك.
ما الذي تحصل عليه فعلًا
لخادم NAT عنوان خاص خلف بوابتنا. تعرض لوحة التحكم مضيفًا ومنفذًا شخصيًا، وتتصل هكذا:
ssh -p 20123 root@host
يقود هذا المنفذ إلى المنفذ 22 داخل خادمك. كل المنافذ الواردة الأخرى عبر IPv4 مغلقة من الخارج، ولا يوجد خيار لتحويل المزيد. الاتجاه الصادر قصة أخرى: يصل الخادم إلى أي مكان على الإنترنت باستثناء منفذي SMTP رقم 25 و465، وهما مغلقان في كل الباقات، سواء كانت NAT أم لا. القواعد الكاملة في الشبكة والمنافذ.
وهناك تفصيل آخر مهم لبعض الناس: العنوان الصادر ليس عنوانك الخاص. تخرج الحركة عبر عنوان لا تتحكم فيه، لذلك لا يمكنك ضبط DNS عكسي له ولا بناء سمعة مرسِل عليه.
ما الذي يعمل جيدًا خلف منفذ واحد
كل ما يبدأ المحادثة بنفسه. وهذه فئة أوسع مما تبدو:
- البوتات التي تستطلع. بوت Telegram بالاستطلاع الطويل، وبوت Discord على اتصال gateway الخاص به، وبوت تداول يتحدث مع واجهة API لمنصة تداول. كلها اتصالات صادرة.
- وكلاء الذكاء الاصطناعي. الوكيل الذي يستدعي واجهات النماذج ويتصفح الويب ويكتب الملفات ويشغّل الشيفرة لا يحتاج إلى أحد يتصل به. يحتاج إلى معالج وذاكرة واتصال نحو الخارج.
- العمّال وأدوات الكشط. كل ما يسحب المهام من طابور أو يزحف على الصفحات أو يزامن البيانات وفق جدول.
- أجهزة البناء والمشغّلات. مشغّلات CI تسجّل نفسها عادةً لدى الخادم وتسحب العمل، لذلك ترتاح على NAT.
لهذا النوع من الحمل تكفي أرخص باقة بصراحة. سعر Nano هو 3 دولارات شهريًا مقابل 2 vCPU و1 GB ذاكرة و15 GB قرص، وSmall بـ 8 دولارات مقابل 4 vCPU و4 GB و35 GB. القائمة الكاملة في صفحة خاصة بباقات NAT.
حيث لا يكفي منفذ واحد
الجدار هو كل ما يجب فيه أن يبدأ طرف آخر الاتصال.
الموقع هو المثال الأوضح. تتصل المتصفحات بالمنفذ 443 (وبالمنفذ 80 لإعادة التوجيه)، وفي باقة NAT هذه المنافذ غير موجودة إذا نظرت من الخارج. ولن ينفع منفذ غير قياسي أيضًا، على الأقل ليس بطريقة يقبلها الزوار.
أما نطاقك الخاص مع HTTPS فيصطدم بالجدار نفسه مرتين. يمكنك توجيه سجل DNS إلى عنوان البوابة، لكن لا شيء مما يصل إليه يُحوَّل إلى خادمك سوى منفذ SSH. كما أن الطريقة المعتادة للحصول على شهادة مجانية تتحقق من خادمك على المنفذ 80 أو 443.
تفشل الـ webhooks بصمت. إشعارات الدفع، ومنصة بوتات ترسل التحديثات، وخادم Git يعلن عن commit جديد: كلها يجب أن تصل إليك. البوت الذي كان يعمل تمامًا بالاستطلاع الطويل يتوقف في اللحظة التي تحوّله فيها إلى webhooks.
نقاط VPN وخوادم الألعاب وخوادم البريد تحتاج بطبيعتها إلى منافذ واردة. وكذلك كل ما تريد أن يفتحه زميلك في المتصفح.
الحلول البديلة، بصراحة
عنوان IPv6. تحصل خوادم Linux الجديدة على عنوان IPv6 عام، وفي باقات NAT يصل هذا العنوان إلى الخادم مباشرة على أي منفذ. إذا كان كل عملاء خدمتك تابعين لك (حاسوبك، وخوادمك الأخرى، ومسبار مراقبة يدعم IPv6)، فهذا يعمل جيدًا. أما لموقع عام فلا: جزء من الزوار ما زال على شبكات بلا IPv6 ولن يحمّل الصفحة أبدًا. باقات Windows تقتصر حاليًا على IPv4.
نفق. يمكنك تشغيل وكيل صغير يحافظ على اتصال صادر بمرحّل في مكان آخر، فيعيد المرحّل الحركة العامة عبر النفق. هذا يعمل، وهو معقول لعرض تجريبي أو لوحة داخلية. لكن لأي شيء مهم تكون قد وضعت طرفًا ثالثًا في منتصف كل طلب، إضافة إلى قطعة أخرى قد تتعطل في الثالثة فجرًا.
نفق SSH لنفسك. إذا كنت الوحيد الذي يحتاج إلى لوحة الإدارة، فلا تكشفها للخارج أصلًا. حوّلها عبر منفذ SSH الذي تملكه بالفعل:
ssh -p 20123 -L 8080:localhost:8080 root@host
ثم افتح http://localhost:8080 على جهازك. هذه أكثر حيلة يُستهان بها على خادم NAT، وهي على أي حال أكثر أمانًا من وضع اللوحة على الإنترنت.
رأيي الصريح: IPv6 وأنفاق SSH أدوات جيدة. أما خدمة عامة دائمة تمر عبر نفق فقط لأن الخادم بلا IPv4، فغالبًا ما تكون علامة على أنك تجاوزت NAT.
الانتقال إلى IPv4 خاص بك دون إعادة تثبيت
لا حاجة لإعادة بناء أي شيء. افتح الخادم في لوحة التحكم، واختر «تغيير الباقة» ثم باقة IP مخصّص بالحجم نفسه أو أكبر. يُعاد تشغيل الخادم مرة واحدة ويعود بعنوان IPv4 عام خاص به، وبقرصه، وبكل ما ثبّته. تصبح المنافذ 80 و443 وكل ما تفتحه في الجدار الناري متاحة من الخارج، وينتقل SSH إلى المنفذ 22 المعتاد. التفاصيل في تغيير الباقة.
أمور تستحق المعرفة قبل الضغط:
- تدفع الفرق التناسبي لما تبقى من الفترة الحالية من رصيدك. سعر Nano-IP هو 8 دولارات شهريًا مقابل 3 دولارات لـ Nano، وSmall-IP بـ 16 دولارًا مقابل 8.
- يلزم وجود عنوان شاغر في موقع خادمك. إن لم يتوفر الآن، تخبرك لوحة التحكم بذلك قبل خصم أي مبلغ.
- إذا عدّلت إعدادات الشبكة داخل الخادم يدويًا، فراجعها بعد إعادة التشغيل. على الصورة القياسية تُطبَّق تلقائيًا.
- خذ نسخة احتياطية أولًا. إنها إعادة تشغيل واحدة فقط، لكنها بياناتك في النهاية.
حيث لا يناسب NAT، وحيث لا يناسب IPv4 أيضًا
NAT خيار خاطئ لكل ما هو عام، ولكل ما يستقبل webhooks، ولكل ما يحتاج إلى عنوان ثابت يضيفه أحدهم إلى قائمة السماح. لا تضيّع أيامًا في الالتفاف على ذلك. فرق السعر بين Nano وNano-IP هو 5 دولارات شهريًا.
لكن عنوان IPv4 المخصّص ليس سحرًا أيضًا. لن يجعل موقعًا يحظر عناوين مراكز البيانات يسمح لك بالدخول، ولن ينقذ أداة كشط من حدود معدل الطلبات، لأن هذه القرارات تتعلق بالشبكة التي أنت فيها، لا بمن يستخدم العنوان غيرك. وإن كان مشروعك كله بضعة بوتات ووكيلًا واحدًا، فشراء IPv4 لن يتصل به أحد أبدًا إهدار للمال.
إن كنت تخطط على أي حال للانتقال إلى إعداد أكبر، فمقال نقل VPS دون انقطاع يشرح ترتيب الخطوات، ومقال كيف تقرأ مواصفات VPS يساعدك على مقارنة الباقات.
التعليقات
لا تعليقات بعد. كن الأول.