NAT atau IPv4 sendiri: apa yang bisa dan tidak bisa dilakukan satu port yang diteruskan

Kebanyakan orang baru tahu arti NAT sekitar sepuluh menit setelah membeli. Nginx menyala, curl localhost mengembalikan halaman, dan browser di laptop hanya berputar-putar. Tidak ada yang rusak. Server itu hanya tidak punya alamat IPv4 publik sendiri, dan satu-satunya pintu masuknya adalah satu port yang diteruskan untuk SSH.

Satu pintu itu cukup untuk pekerjaan yang jumlahnya mengejutkan, dan sama sekali tidak cukup untuk beberapa hal yang sangat umum. Jika Anda masih memilih di antara dua jenis tarif, artikel lama kami IP khusus atau VPS NAT mengajukan satu pertanyaan yang menentukan. Artikel ini tentang hidup dengan jawabannya: apa yang bisa dilakukan server NAT dalam praktik, di mana ia menabrak tembok, dan cara keluar saat Anda sudah melampauinya.

Apa yang sebenarnya Anda dapat

Server NAT punya alamat privat di balik gateway kami. Dasbor menampilkan host dan port pribadi, dan Anda terhubung seperti ini:

ssh -p 20123 root@host

Port itu mengarah ke port 22 di dalam server Anda. Semua port masuk IPv4 lainnya tertutup dari luar, dan tidak ada opsi untuk meneruskan port tambahan. Trafik keluar lain cerita: server bisa menjangkau apa saja di internet kecuali port SMTP 25 dan 465, yang tertutup di semua tarif, NAT atau bukan. Aturan lengkapnya ada di Jaringan & port.

Satu detail lagi yang penting bagi sebagian orang: alamat keluarnya bukan milik Anda sendiri. Trafik keluar lewat alamat yang tidak Anda kendalikan, jadi Anda tidak bisa mengatur reverse DNS untuknya dan tidak bisa membangun reputasi pengirim di atasnya.

Yang berjalan lancar di balik satu port

Apa pun yang memulai percakapan sendiri. Kategori ini lebih luas daripada kedengarannya:

• Bot yang melakukan polling. Bot Telegram dengan long polling, bot Discord di koneksi gateway-nya, bot trading yang berbicara dengan API bursa. Semuanya keluar.
• Agen AI. Agen yang memanggil API model, menjelajah web, menulis file, dan menjalankan kode tidak butuh siapa pun untuk memanggilnya. Ia butuh CPU, memori, dan koneksi keluar.
• Worker dan scraper. Apa pun yang mengambil tugas dari antrean, merayapi halaman, atau menyinkronkan data sesuai jadwal.
• Mesin build dan runner. Runner CI biasanya mendaftar sendiri ke server dan menarik pekerjaan, jadi mereka nyaman di NAT.

Untuk beban seperti ini, tarif termurah sejujurnya sudah cukup. Nano seharga $3 per bulan untuk 2 vCPU, RAM 1 GB, dan disk 15 GB; Small $8 untuk 4 vCPU, 4 GB, dan 35 GB. Daftar lengkapnya ada di halaman khusus tarif NAT.

Di mana satu port tidak cukup

Temboknya adalah apa pun yang koneksinya harus dimulai oleh pihak lain.

Situs web adalah contoh yang jelas. Browser terhubung ke port 443 (dan 80 untuk pengalihan), dan di tarif NAT port itu tidak ada jika dilihat dari luar. Port non-standar juga tidak bisa, setidaknya tidak dengan cara yang mau diterima pengunjung.

Domain Anda sendiri dengan HTTPS menabrak tembok yang sama dua kali. Anda bisa mengarahkan catatan DNS ke alamat gateway, tetapi tidak ada yang tiba di sana diteruskan ke server Anda kecuali port SSH Anda. Dan cara biasa mendapatkan sertifikat gratis memeriksa server Anda di port 80 atau 443.

Webhook gagal tanpa suara. Notifikasi pembayaran, platform bot yang mengirim pembaruan, server Git yang mengumumkan commit baru: semuanya harus bisa menjangkau Anda. Bot yang berjalan sempurna dengan long polling berhenti bekerja tepat saat Anda mengalihkannya ke webhook.

Endpoint VPN, server game, dan server email butuh port masuk menurut definisinya. Begitu juga apa pun yang ingin Anda buka untuk rekan kerja di browser.

Jalan pintasnya, secara jujur

IPv6. Server Linux baru mendapat alamat IPv6 publik, dan di tarif NAT alamat itu menjangkau server secara langsung, di port mana pun. Jika semua klien layanan Anda adalah milik Anda (laptop Anda, server Anda yang lain, probe pemantauan dengan IPv6), ini bekerja dengan baik. Untuk situs web publik tidak: sebagian pengunjung masih berada di jaringan tanpa IPv6 dan tidak akan pernah memuat halamannya. Tarif Windows untuk saat ini hanya IPv4.

Terowongan. Anda bisa menjalankan agen kecil yang menjaga koneksi keluar ke relay di tempat lain, yang meneruskan trafik publik kembali lewat terowongan. Ini berfungsi, dan untuk demo atau dasbor internal masih masuk akal. Untuk apa pun yang penting, Anda telah menaruh pihak ketiga di tengah setiap permintaan, ditambah satu komponen lagi yang bisa rusak jam tiga pagi.

Terowongan SSH untuk diri sendiri. Jika hanya Anda yang butuh panel admin, jangan buka panel itu ke luar sama sekali. Teruskan lewat port SSH yang sudah Anda punya:

ssh -p 20123 -L 8080:localhost:8080 root@host

Lalu buka http://localhost:8080 di mesin Anda. Ini trik yang paling diremehkan di server NAT, dan bagaimanapun lebih aman daripada menaruh panel di internet.

Pendapat jujur saya: IPv6 dan terowongan SSH adalah alat yang bagus. Layanan publik permanen yang dialirkan lewat terowongan hanya karena server tidak punya IPv4 biasanya tanda bahwa Anda sudah melampaui NAT.

Pindah ke IPv4 sendiri tanpa instal ulang

Anda tidak perlu membangun ulang apa pun. Buka server di dasbor, pilih «Ganti tarif» dan tarif dengan IP khusus berukuran sama atau lebih besar. Server melakukan reboot sekali dan kembali dengan IPv4 publiknya sendiri, disknya, dan semua yang sudah Anda pasang. Port 80, 443, dan apa pun yang Anda buka di firewall menjadi bisa dijangkau, dan SSH pindah ke port 22 yang biasa. Detailnya ada di Mengganti tarif.

Beberapa hal perlu diketahui sebelum mengeklik:

• Anda membayar selisih prorata untuk sisa periode berjalan, dari saldo. Nano-IP seharga $8 per bulan dibanding $3 untuk Nano; Small-IP $16 dibanding $8.
• Perlu ada alamat kosong di lokasi server Anda. Jika saat ini tidak ada, dasbor memberi tahu sebelum ada biaya yang ditarik.
• Jika Anda mengubah konfigurasi jaringan di dalam server secara manual, periksa setelah reboot. Pada image standar semuanya diterapkan otomatis.
• Buat cadangan dulu. Hanya satu kali reboot, tetapi datanya tetap milik Anda.

Di mana NAT tidak cocok, dan di mana IPv4 juga tidak

NAT adalah pilihan yang salah untuk apa pun yang publik, untuk apa pun yang menerima webhook, dan untuk apa pun yang butuh alamat tetap yang dimasukkan seseorang ke allowlist. Jangan habiskan berhari-hari untuk mengakalinya. Selisih harga Nano dan Nano-IP adalah $5 per bulan.

Tetapi IPv4 khusus juga bukan sulap. Ia tidak akan membuat situs yang memblokir alamat pusat data mengizinkan Anda masuk, dan tidak akan menyelamatkan scraper dari pembatasan laju, karena keputusan itu didasarkan pada jaringan tempat Anda berada, bukan pada siapa lagi yang memakai alamat itu. Dan jika seluruh proyek Anda hanyalah beberapa bot dan satu agen, membeli IPv4 yang tidak akan pernah menerima koneksi adalah buang uang.

Jika Anda memang berencana pindah ke konfigurasi yang lebih besar, memindahkan VPS tanpa downtime menjelaskan urutan langkahnya, dan cara membaca spesifikasi VPS membantu saat membandingkan tarif.