רוב האנשים מגלים מה זה NAT בערך עשר דקות אחרי הרכישה. Nginx עולה, curl localhost מחזיר את הדף, והדפדפן במחשב הנייד פשוט ממשיך להסתובב. שום דבר לא שבור. לשרת פשוט אין כתובת IPv4 ציבורית משלו, ודלת הכניסה היחידה שלו היא פורט אחד שמועבר ל-SSH.
הדלת האחת הזאת מספיקה לכמות מפתיעה של עבודה, ולא מספיקה בכלל לכמה דברים נפוצים מאוד. אם אתם עדיין בוחרים בין שני סוגי התוכניות, המאמר הוותיק שלנו IP ייעודי או VPS עם NAT שואל את השאלה האחת שמכריעה. המאמר הזה עוסק בחיים עם התשובה: מה שרת NAT יודע לעשות בפועל, איפה הוא נתקל בקיר, ואיך יוצאים כשהוא כבר קטן עליכם.
מה אתם מקבלים בפועל
לשרת NAT יש כתובת פרטית מאחורי ה-gateway שלנו. לוח הבקרה מציג host ופורט אישי, ומתחברים כך:
ssh -p 20123 root@host
הפורט הזה מוביל לפורט 22 בתוך השרת שלכם. כל שאר הפורטים הנכנסים ב-IPv4 סגורים מבחוץ, ואין אפשרות להעביר עוד. בכיוון היוצא הסיפור אחר: השרת מגיע לכל מקום באינטרנט, חוץ מפורטי ה-SMTP 25 ו-465, שסגורים בכל התוכניות, NAT או לא. הכללים המלאים נמצאים ברשת ופורטים.
ועוד פרט, שחשוב לחלק מהאנשים: הכתובת היוצאת אינה שלכם. התעבורה יוצאת דרך כתובת שאינכם שולטים בה, ולכן אי אפשר להגדיר לה DNS הפוך ואי אפשר לבנות עליה מוניטין שולח.
מה רץ מצוין מאחורי פורט אחד
כל דבר שמתחיל את השיחה בעצמו. וזו קטגוריה רחבה יותר ממה שנשמע:
- בוטים שעושים polling. בוט Telegram עם long polling, בוט Discord על חיבור ה-gateway שלו, בוט מסחר שמדבר עם ה-API של בורסה. הכול יוצא.
- סוכני AI. סוכן שקורא ל-API של מודלים, גולש, כותב קבצים ומריץ קוד לא צריך שמישהו יתקשר אליו. הוא צריך CPU, זיכרון וחיבור החוצה.
- Workers וסקרייפרים. כל מה שמושך משימות מתור, סורק דפים או מסנכרן נתונים לפי לוח זמנים.
- מכונות build ו-runners. runners של CI בדרך כלל נרשמים בעצמם לשרת ומושכים עבודה, ולכן מרגישים טוב על NAT.
לעומס כזה התוכנית הזולה ביותר מספיקה, בכנות. Nano עולה $3 לחודש עבור 2 vCPU, 1 GB זיכרון ו-15 GB דיסק; Small עולה $8 עבור 4 vCPU, 4 GB ו-35 GB. הרשימה המלאה נמצאת בעמוד נפרד על תוכניות NAT.
איפה פורט אחד לא מספיק
הקיר הוא כל דבר שבו מישהו אחר צריך להתחיל את החיבור.
אתר הוא הדוגמה המובהקת. דפדפנים מתחברים לפורט 443 (ולפורט 80 בשביל ההפניה), ובתוכנית NAT הפורטים האלה פשוט לא קיימים מבחוץ. גם פורט לא סטנדרטי לא יעזור, לפחות לא בצורה שהגולשים יקבלו.
דומיין משלכם עם HTTPS נתקל באותו קיר פעמיים. אפשר להפנות רשומת DNS לכתובת של ה-gateway, אבל שום דבר שמגיע לשם לא מועבר לשרת שלכם, חוץ מפורט ה-SSH. והדרך הרגילה לקבל תעודה חינמית בודקת את השרת בפורט 80 או 443.
Webhooks נכשלים בשקט. התראות תשלום, פלטפורמת בוטים ששולחת עדכונים, שרת Git שמודיע על commit חדש: כולם צריכים להגיע אליכם. הבוט שעבד מצוין עם long polling מפסיק לעבוד ברגע שאתם מעבירים אותו ל-webhooks.
נקודות קצה של VPN, שרתי משחקים ושרתי דואר צריכים פורטים נכנסים מעצם הגדרתם. וכך גם כל דבר שהייתם רוצים לפתוח לעמית בדפדפן.
העקיפות, בכנות
כתובת IPv6. שרתי Linux חדשים מקבלים כתובת IPv6 ציבורית, ובתוכניות NAT היא מגיעה לשרת ישירות, בכל פורט. אם כל הלקוחות של השירות שלכם הם שלכם (המחשב הנייד, השרתים האחרים, בדיקת ניטור עם IPv6), זה עובד טוב. לאתר ציבורי לא: חלק מהגולשים עדיין נמצאים ברשתות בלי IPv6 ופשוט לעולם לא יטעינו את הדף. תוכניות Windows הן כרגע IPv4 בלבד.
מנהרה. אפשר להריץ סוכן קטן שמחזיק חיבור יוצא לממסר במקום אחר, והממסר מחזיר את התעבורה הציבורית דרך המנהרה. זה עובד, ולדמו או לדשבורד פנימי זה סביר. אבל לכל דבר חשוב הכנסתם צד שלישי לאמצע כל בקשה, ועוד רכיב שיכול להישבר בשלוש לפנות בוקר.
מנהרת SSH בשבילכם. אם רק אתם צריכים את לוח הניהול, אל תחשפו אותו החוצה בכלל. העבירו אותו דרך פורט ה-SSH שכבר יש לכם:
ssh -p 20123 -L 8080:localhost:8080 root@host
אחר כך פתחו את http://localhost:8080 במחשב שלכם. זה הטריק הכי מוערך בחסר על שרת NAT, וממילא הוא בטוח יותר מלשים את הלוח באינטרנט.
הדעה הכנה שלי: IPv6 ומנהרות SSH הם כלים טובים. שירות ציבורי קבוע שעובר דרך מנהרה רק כי לשרת אין IPv4 הוא בדרך כלל סימן שגדלתם מעבר ל-NAT.
מעבר ל-IPv4 משלכם בלי התקנה מחדש
לא צריך לבנות שום דבר מחדש. פתחו את השרת בלוח הבקרה, בחרו «החלפת תוכנית» ותוכנית עם IP ייעודי באותו גודל או גדולה יותר. השרת מופעל מחדש פעם אחת וחוזר עם IPv4 ציבורי משלו, עם הדיסק שלו ועם כל מה שהתקנתם. פורטים 80, 443 וכל מה שתפתחו בחומת האש נעשים נגישים, ו-SSH עובר לפורט 22 הרגיל. הפרטים נמצאים בהחלפת תוכנית.
כמה דברים כדאי לדעת לפני שלוחצים:
- משלמים את ההפרש היחסי לשארית התקופה הנוכחית, מהיתרה. Nano-IP עולה $8 לחודש לעומת $3 ל-Nano; Small-IP עולה $16 לעומת $8.
- נדרשת כתובת פנויה במיקום של השרת. אם אין כזאת כרגע, לוח הבקרה אומר זאת לפני שמחויב משהו.
- אם שיניתם ידנית את הגדרות הרשת בתוך השרת, בדקו אותן אחרי ההפעלה מחדש. באימג' סטנדרטי הן מוחלות אוטומטית.
- גבו קודם. זו רק הפעלה מחדש אחת, אבל אלה עדיין הנתונים שלכם.
איפה NAT לא מתאים, ואיפה גם IPv4 לא
NAT הוא בחירה שגויה לכל דבר ציבורי, לכל מה שמקבל webhooks ולכל מה שצריך כתובת קבועה שמישהו יוסיף לרשימת היתרים. אל תבזבזו ימים על עקיפה. הפרש המחיר בין Nano ל-Nano-IP הוא $5 לחודש.
אבל גם IPv4 ייעודי הוא לא קסם. הוא לא יגרום לאתר שחוסם כתובות של מרכזי נתונים להכניס אתכם, ולא יציל סקרייפר ממגבלות קצב, כי ההחלטות האלה נוגעות לרשת שבה אתם נמצאים, לא לשאלה מי עוד משתמש בכתובת. ואם כל הפרויקט שלכם הוא כמה בוטים וסוכן אחד, לקנות IPv4 שאף אחד לא יתחבר אליו לעולם זה כסף לפח.
אם בכל מקרה אתם מתכננים מעבר להגדרה גדולה יותר, איך להעביר VPS בלי השבתה מתאר את סדר הפעולות, ואיך לקרוא מפרטים של VPS עוזר בהשוואת תוכניות.
תגובות
אין עדיין תגובות. היו הראשונים.