NAT ή δικό σας IPv4: τι μπορεί και τι δεν μπορεί να κάνει μία προωθημένη θύρα

Οι περισσότεροι μαθαίνουν τι σημαίνει NAT περίπου δέκα λεπτά μετά την αγορά. Ο Nginx ξεκινά, το curl localhost επιστρέφει τη σελίδα, και ο browser στο laptop απλώς γυρίζει. Τίποτα δεν έχει χαλάσει. Ο server απλώς δεν έχει δικό του δημόσιο IPv4, και η μόνη του εξώπορτα είναι μία προωθημένη θύρα για SSH.

Αυτή η μία πόρτα φτάνει για εκπληκτικά πολλή δουλειά και καθόλου για κάποια πολύ συνηθισμένα πράγματα. Αν ακόμα διαλέγετε ανάμεσα στους δύο τύπους τιμολογίων, το παλιότερο άρθρο μας Αποκλειστική IP ή NAT VPS θέτει τη μία ερώτηση που το ξεκαθαρίζει. Αυτό εδώ μιλά για το πώς ζείτε με την απάντηση: τι μπορεί να κάνει ένας NAT server στην πράξη, πού χτυπά τοίχο και πώς βγαίνετε όταν τον ξεπεράσετε.

Τι παίρνετε στην πραγματικότητα

Ένας NAT server έχει ιδιωτική διεύθυνση πίσω από το gateway μας. Ο πίνακας ελέγχου δείχνει έναν host και μια προσωπική θύρα, και συνδέεστε έτσι:

ssh -p 20123 root@host

Αυτή η θύρα οδηγεί στη θύρα 22 μέσα στον server σας. Όλες οι άλλες εισερχόμενες θύρες IPv4 είναι κλειστές από έξω, και δεν υπάρχει επιλογή να προωθήσετε περισσότερες. Τα εξερχόμενα είναι άλλη ιστορία: ο server φτάνει οπουδήποτε στο internet, εκτός από τις θύρες SMTP 25 και 465, που είναι κλειστές σε όλα τα τιμολόγια, NAT ή όχι. Οι πλήρεις κανόνες είναι στο Δίκτυο και θύρες.

Ακόμα μια λεπτομέρεια, που μετράει για κάποιους: η εξερχόμενη διεύθυνση δεν είναι δική σας. Η κίνηση φεύγει από μια διεύθυνση που δεν ελέγχετε, οπότε δεν μπορείτε να ορίσετε reverse DNS γι' αυτήν ούτε να χτίσετε πάνω της φήμη αποστολέα.

Τι τρέχει άνετα πίσω από μία θύρα

Ό,τι ξεκινά μόνο του τη συζήτηση. Η κατηγορία είναι μεγαλύτερη απ' όσο ακούγεται:

• Bots που κάνουν polling. Ένα Telegram bot με long polling, ένα Discord bot στη σύνδεση gateway του, ένα trading bot που μιλά με το API ενός ανταλλακτηρίου. Όλα εξερχόμενα.
• Πράκτορες AI. Ένας πράκτορας που καλεί APIs μοντέλων, περιηγείται, γράφει αρχεία και τρέχει κώδικα δεν χρειάζεται κανέναν να τον καλέσει. Χρειάζεται CPU, μνήμη και μια σύνδεση προς τα έξω.
• Workers και scrapers. Ό,τι παίρνει εργασίες από μια ουρά, σαρώνει σελίδες ή συγχρονίζει δεδομένα με πρόγραμμα.
• Μηχανές build και runners. Οι CI runners συνήθως εγγράφονται μόνοι τους στον server και τραβούν δουλειά, οπότε είναι μια χαρά σε NAT.

Για τέτοιο φορτίο, το φθηνότερο τιμολόγιο αρκεί, ειλικρινά. Το Nano κοστίζει $3 τον μήνα για 2 vCPU, 1 GB RAM και 15 GB δίσκο· το Small $8 για 4 vCPU, 4 GB και 35 GB. Η πλήρης λίστα βρίσκεται σε ξεχωριστή σελίδα για τα τιμολόγια NAT.

Πού δεν φτάνει μία θύρα

Ο τοίχος είναι ό,τι απαιτεί κάποιος άλλος να ξεκινήσει τη σύνδεση.

Το site είναι το προφανές παράδειγμα. Οι browsers συνδέονται στη θύρα 443 (και στην 80 για την ανακατεύθυνση), και σε τιμολόγιο NAT αυτές οι θύρες απλώς δεν υπάρχουν από έξω. Μια μη τυπική θύρα δεν βοηθά ούτε αυτή, τουλάχιστον όχι με τρόπο που θα δεχτούν οι επισκέπτες.

Το δικό σας domain με HTTPS χτυπά στον ίδιο τοίχο δύο φορές. Μπορείτε να στρέψετε μια εγγραφή DNS στη διεύθυνση του gateway, αλλά τίποτα από όσα φτάνουν εκεί δεν προωθείται στον server σας εκτός από τη θύρα SSH. Και ο συνηθισμένος τρόπος για δωρεάν πιστοποιητικό ελέγχει τον server σας στη θύρα 80 ή 443.

Τα webhooks αποτυγχάνουν σιωπηλά. Ειδοποιήσεις πληρωμών, μια πλατφόρμα bots που στέλνει ενημερώσεις, ένας Git server που ανακοινώνει νέο commit: όλα πρέπει να σας φτάσουν. Το bot που δούλευε τέλεια με long polling σταματά να δουλεύει τη στιγμή που το γυρίζετε σε webhooks.

Τα VPN endpoints, οι game servers και οι mail servers χρειάζονται εξ ορισμού εισερχόμενες θύρες. Όπως και οτιδήποτε θα θέλατε να ανοίξει ένας συνάδελφος στον browser.

Οι παρακάμψεις, με ειλικρίνεια

IPv6. Οι νέοι Linux servers παίρνουν δημόσια διεύθυνση IPv6, και στα τιμολόγια NAT αυτή φτάνει στον server απευθείας, σε οποιαδήποτε θύρα. Αν όλοι οι clients της υπηρεσίας σας είναι δικοί σας (το laptop σας, οι άλλοι σας servers, ένας probe παρακολούθησης με IPv6), δουλεύει καλά. Για δημόσιο site όχι: ένα μέρος των επισκεπτών βρίσκεται ακόμα σε δίκτυα χωρίς IPv6 και απλώς δεν θα φορτώσει ποτέ τη σελίδα. Τα τιμολόγια Windows έχουν προς το παρόν μόνο IPv4.

Ένα tunnel. Μπορείτε να τρέξετε έναν μικρό agent που κρατά μια εξερχόμενη σύνδεση προς ένα relay κάπου αλλού, το οποίο στέλνει τη δημόσια κίνηση πίσω μέσα από το tunnel. Δουλεύει, και για ένα demo ή ένα εσωτερικό dashboard είναι λογικό. Για οτιδήποτε σημαντικό όμως έχετε βάλει έναν τρίτο στη μέση κάθε αιτήματος, συν ένα ακόμα κομμάτι που μπορεί να χαλάσει στις τρεις τα ξημερώματα.

Ένα SSH tunnel για εσάς. Αν το admin panel το χρειάζεστε μόνο εσείς, μην το εκθέσετε καθόλου. Προωθήστε το μέσα από τη θύρα SSH που ήδη έχετε:

ssh -p 20123 -L 8080:localhost:8080 root@host

Μετά ανοίξτε το http://localhost:8080 στον υπολογιστή σας. Είναι το πιο υποτιμημένο κόλπο σε NAT server, και είναι έτσι κι αλλιώς ασφαλέστερο από το να βάλετε το panel στο internet.

Η ειλικρινής μου άποψη: το IPv6 και τα SSH tunnels είναι καλά εργαλεία. Μια μόνιμη δημόσια υπηρεσία που περνά από tunnel μόνο επειδή ο server δεν έχει IPv4 είναι συνήθως σημάδι ότι έχετε ξεπεράσει το NAT.

Σε δικό σας IPv4 χωρίς επανεγκατάσταση

Δεν χρειάζεται να ξαναστήσετε τίποτα. Ανοίξτε τον server στον πίνακα ελέγχου, επιλέξτε «Αλλαγή τιμολογίου» και ένα τιμολόγιο με αποκλειστική IP ίδιου ή μεγαλύτερου μεγέθους. Ο server κάνει μία επανεκκίνηση και επιστρέφει με δικό του δημόσιο IPv4, τον δίσκο του και ό,τι έχετε εγκαταστήσει. Οι θύρες 80, 443 και ό,τι ανοίξετε στο firewall γίνονται προσβάσιμες, και το SSH μετακομίζει στη συνηθισμένη θύρα 22. Οι λεπτομέρειες είναι στην Αλλαγή τιμολογίου.

Μερικά πράγματα αξίζει να ξέρετε πριν πατήσετε:

• Πληρώνετε την αναλογική διαφορά για το υπόλοιπο της τρέχουσας περιόδου, από το υπόλοιπό σας. Το Nano-IP κοστίζει $8 τον μήνα έναντι $3 για το Nano· το Small-IP $16 έναντι $8.
• Χρειάζεται ελεύθερη διεύθυνση στην τοποθεσία του server σας. Αν δεν υπάρχει αυτή τη στιγμή, ο πίνακας ελέγχου το λέει πριν χρεωθεί οτιδήποτε.
• Αν έχετε αλλάξει με το χέρι τη ρύθμιση δικτύου μέσα στον server, ελέγξτε την μετά την επανεκκίνηση. Σε τυπικό image εφαρμόζεται αυτόματα.
• Πάρτε πρώτα backup. Είναι μόνο μία επανεκκίνηση, αλλά τα δεδομένα είναι δικά σας.

Πού δεν ταιριάζει το NAT, και πού δεν ταιριάζει ούτε το IPv4

Το NAT είναι λάθος επιλογή για οτιδήποτε δημόσιο, για ό,τι δέχεται webhooks και για ό,τι χρειάζεται σταθερή διεύθυνση που κάποιος θα βάλει σε allowlist. Μη χάνετε μέρες προσπαθώντας να το παρακάμψετε. Η διαφορά τιμής ανάμεσα σε Nano και Nano-IP είναι $5 τον μήνα.

Αλλά ούτε ένα αποκλειστικό IPv4 είναι μαγεία. Δεν θα κάνει ένα site που μπλοκάρει διευθύνσεις data center να σας αφήσει να μπείτε, και δεν θα σώσει έναν scraper από rate limits, γιατί αυτές οι αποφάσεις αφορούν το δίκτυο στο οποίο βρίσκεστε, όχι το ποιος άλλος χρησιμοποιεί τη διεύθυνση. Κι αν όλο σας το project είναι μερικά bots κι ένας πράκτορας, ένα IPv4 στο οποίο δεν θα συνδεθεί ποτέ κανείς είναι πεταμένα λεφτά.

Αν έτσι κι αλλιώς σχεδιάζετε μετακόμιση σε μεγαλύτερο setup, το Πώς να μεταφέρετε ένα VPS χωρίς διακοπή περιγράφει τη σειρά των βημάτων, και το Πώς να διαβάζετε τα χαρακτηριστικά ενός VPS βοηθά στη σύγκριση τιμολογίων.