NAT или собствен IPv4: какво може и какво не може един пренасочен порт

Повечето хора научават какво означава NAT около десет минути след покупката. Nginx стартира, curl localhost връща страницата, а браузърът на лаптопа просто се върти. Нищо не е счупено. Сървърът просто няма собствен публичен IPv4, а единствената му входна врата е един пренасочен порт за SSH.

Тази една врата стига за изненадващо много работа и изобщо не стига за някои много чести неща. Ако още избирате между двата вида тарифи, по-старата ни статия Специален IP или NAT VPS задава единствения въпрос, който решава нещата. Тази е за живота с отговора: какво може NAT сървърът на практика, къде се удря в стена и как да излезете, когато го надраснете.

Какво всъщност получавате

NAT сървърът има частен адрес зад нашия шлюз. Контролният панел показва хост и личен порт, а вие се свързвате така:

ssh -p 20123 root@host

Този порт води към порт 22 вътре в сървъра ви. Всички други входящи портове по IPv4 са затворени отвън и няма как да пренасочите още. С изходящите е друго: сървърът стига до всичко в интернет освен SMTP портовете 25 и 465, които са затворени на всички тарифи, NAT или не. Пълните правила са в Мрежа и портове.

И още един детайл, който е важен за някои: изходящият адрес не е ваш собствен. Трафикът излиза през адрес, който не контролирате, затова не можете да зададете обратен DNS за него, нито да изградите върху него репутация на подател.

Какво работи спокойно зад един порт

Всичко, което само започва разговора. А това е по-широка категория, отколкото звучи:

• Ботове, които питат. Telegram бот на long polling, Discord бот на gateway връзка, търговски бот, който говори с API на борса. Всичко е изходящо.
• AI агенти. Агент, който вика API на модели, разглежда сайтове, пише файлове и пуска код, няма нужда някой да му се обажда. Трябват му CPU, памет и връзка навън.
• Уъркъри и скрейпъри. Всичко, което тегли задачи от опашка, обхожда страници или синхронизира данни по график.
• Машини за билд и рънъри. CI рънърите обикновено сами се регистрират на сървъра и си взимат работа, така че на NAT им е добре.

За такова натоварване най-евтината тарифа честно стига. Nano струва $3 на месец за 2 vCPU, 1 GB RAM и 15 GB диск; Small — $8 за 4 vCPU, 4 GB и 35 GB. Пълният списък е на отделна страница за NAT тарифите.

Къде един порт не стига

Стената е всичко, при което връзката трябва да започне някой друг.

Сайтът е очевидният пример. Браузърите се свързват към порт 443 (и 80 за пренасочването), а при NAT тарифа тези портове отвън просто ги няма. Нестандартен порт също не помага, поне не по начин, който посетителите ще приемат.

Собственият домейн с HTTPS се удря в същата стена два пъти. Можете да насочите DNS запис към адреса на шлюза, но нищо от пристигналото там не се препраща към сървъра ви освен SSH порта. А обичайният начин за безплатен сертификат проверява сървъра ви на порт 80 или 443.

Уебхуците се чупят тихо. Известия за плащания, платформа за ботове, която праща обновления, Git сървър, който съобщава за нов комит — всички те трябва да стигнат до вас. Ботът, който работеше чудесно на long polling, спира точно в момента, в който го превключите на уебхуци.

VPN точките, гейм сървърите и пощенските сървъри по дефиниция имат нужда от входящи портове. Както и всичко, което бихте искали да отворите на колега в браузъра.

Заобиколните пътища, честно

IPv6. Новите Linux сървъри получават публичен IPv6 адрес, а при NAT тарифите той води към сървъра директно, на всеки порт. Ако всички клиенти на услугата ви са ваши (лаптопът, другите ви сървъри, мониторинг с IPv6), това работи добре. За публичен сайт — не: част от посетителите още са в мрежи без IPv6 и просто никога няма да заредят страницата. Windows тарифите засега са само с IPv4.

Тунел. Можете да пуснете малък агент, който държи изходяща връзка към ретранслатор някъде другаде, а той връща публичния трафик обратно през тунела. Това работи и за демо или вътрешен панел е разумно. За нещо важно обаче сте сложили трета страна по средата на всяка заявка и още едно нещо, което може да се счупи в три през нощта.

SSH тунел за себе си. Ако админ панелът трябва само на вас, изобщо не го излагайте навън. Пренасочете го през SSH порта, който вече имате:

ssh -p 20123 -L 8080:localhost:8080 root@host

После отворете http://localhost:8080 на своята машина. Това е най-подценяваният трик на NAT сървър, а освен това е по-сигурен от панел в отворения интернет.

Честното ми мнение: IPv6 и SSH тунелите са добри инструменти. Постоянна публична услуга, пусната през тунел само защото сървърът няма IPv4, обикновено значи, че сте надраснали NAT.

Към собствен IPv4 без преинсталиране

Не е нужно да сглобявате нищо наново. Отворете сървъра в контролния панел, изберете „Смяна на тарифа“ и тарифа със специален IP със същия или по-голям размер. Сървърът се рестартира веднъж и се връща със собствен публичен IPv4, своя диск и всичко, което сте инсталирали. Портове 80, 443 и всичко, което отворите във файъруола, стават достъпни отвън, а SSH се мести на обичайния порт 22. Подробностите са в Смяна на тарифа.

Няколко неща е добре да знаете, преди да натиснете:

• Доплащате пропорционалната разлика до края на текущия период, от баланса. Nano-IP струва $8 на месец срещу $3 за Nano; Small-IP — $16 срещу $8.
• Трябва свободен адрес в локацията на сървъра ви. Ако в момента няма, контролният панел ще го каже преди каквото и да е таксуване.
• Ако сте редактирали ръчно мрежовата конфигурация вътре в сървъра, проверете я след рестарта. При стандартен образ тя се прилага сама.
• Първо направете бекъп. Само един рестарт е, но данните все пак са ваши.

Къде NAT не пасва — и къде не пасва IPv4

NAT е грешен избор за всичко публично, за всичко, което приема уебхуци, и за всичко, на което му трябва фиксиран адрес, който някой ще впише в allowlist. Не губете дни да го заобикаляте. Разликата между Nano и Nano-IP е $5 на месец.

Но и специалният IPv4 не е магия. Той няма да накара сайт, който блокира адреси на центрове за данни, да ви пусне, и няма да спаси скрейпър от лимити, защото тези решения се взимат според мрежата, в която сте, а не според това кой друг е ползвал адреса. А ако целият ви проект е няколко бота и един агент, да купите IPv4, към който никой никога няма да се свърже, е хвърлени пари.

Ако и без това планирате преместване към по-голяма конфигурация, Как да преместите VPS без прекъсване описва реда на стъпките, а Как да четете спецификациите на VPS ще помогне при сравнението на тарифи.