NAT of je eigen IPv4: wat één doorgestuurde poort wel en niet kan

De meeste mensen ontdekken wat NAT betekent ongeveer tien minuten na de aankoop. Nginx start, curl localhost geeft de pagina terug, en de browser op de laptop blijft gewoon draaien. Er is niets kapot. De server heeft alleen geen eigen publiek IPv4-adres, en zijn enige voordeur is één doorgestuurde poort voor SSH.

Die ene deur is genoeg voor verrassend veel werk, en bij lange na niet genoeg voor een paar heel gewone dingen. Twijfel je nog tussen de twee soorten tarieven, dan stelt ons eerdere stuk Dedicated IP of NAT-VPS de ene vraag die de knoop doorhakt. Dit artikel gaat over leven met het antwoord: wat een NAT-server in de praktijk kan, waar hij tegen een muur loopt en hoe je eruit komt als je hem ontgroeit.

Wat je echt krijgt

Een NAT-server heeft een privéadres achter onze gateway. Het dashboard toont een host en een persoonlijke poort, en je verbindt zo:

ssh -p 20123 root@host

Die poort leidt naar poort 22 in je server. Alle andere inkomende IPv4-poorten zijn van buitenaf dicht, en extra doorsturen kan niet. Uitgaand is een ander verhaal: de server bereikt alles op internet, behalve de SMTP-poorten 25 en 465, die op elk tarief dicht zijn, NAT of niet. De volledige regels staan in Netwerk en poorten.

Nog een detail dat voor sommigen telt: het uitgaande adres is niet van jou. Verkeer verlaat de server via een adres dat je niet beheert, dus je kunt er geen reverse DNS voor instellen en er geen afzenderreputatie op opbouwen.

Wat prima draait achter één poort

Alles wat zelf het gesprek begint. Dat is een grotere categorie dan het klinkt:

• Bots die pollen. Een Telegram-bot met long polling, een Discord-bot via zijn gatewayverbinding, een tradingbot die met de API van een exchange praat. Allemaal uitgaand.
• AI-agents. Een agent die model-API's aanroept, browst, bestanden schrijft en code draait, heeft niemand nodig die hem belt. Hij heeft CPU, geheugen en een verbinding naar buiten nodig.
• Workers en scrapers. Alles wat jobs uit een queue haalt, pagina's crawlt of op een schema data synchroniseert.
• Buildmachines en runners. CI-runners registreren zich meestal zelf bij de server en halen werk op, dus die zitten prima op NAT.

Voor dit soort werk is het goedkoopste tarief eerlijk gezegd genoeg. Nano kost $3 per maand voor 2 vCPU, 1 GB RAM en 15 GB schijf; Small $8 voor 4 vCPU, 4 GB en 35 GB. De volledige lijst staat op een eigen pagina over NAT-tarieven.

Waar één poort niet genoeg is

De muur is alles waarbij iemand anders de verbinding moet beginnen.

Een website is het duidelijkste voorbeeld. Browsers verbinden met poort 443 (en 80 voor de redirect), en op een NAT-tarief bestaan die poorten van buitenaf niet. Een niet-standaard poort werkt ook niet, in elk geval niet op een manier die bezoekers accepteren.

Je eigen domein met HTTPS loopt twee keer tegen dezelfde muur. Je kunt een DNS-record naar het adres van de gateway laten wijzen, maar niets wat daar binnenkomt wordt naar je server doorgestuurd, behalve je SSH-poort. En de gebruikelijke manier om een gratis certificaat te krijgen controleert je server op poort 80 of 443.

Webhooks falen stil. Betaalmeldingen, een botplatform dat updates stuurt, een Git-server die een nieuwe commit meldt: ze moeten jou allemaal kunnen bereiken. De bot die prima werkte met long polling houdt ermee op op het moment dat je hem naar webhooks omzet.

VPN-endpoints, gameservers en mailservers hebben per definitie inkomende poorten nodig. Net als alles wat je een collega in de browser wilt laten openen.

De omwegen, eerlijk bekeken

IPv6. Nieuwe Linux-servers krijgen een publiek IPv6-adres, en op NAT-tarieven bereikt dat de server rechtstreeks, op elke poort. Als alle clients van je dienst van jou zijn (je laptop, je andere servers, een monitoringprobe met IPv6), werkt dat goed. Voor een publieke website niet: een deel van de bezoekers zit nog op netwerken zonder IPv6 en laadt de pagina simpelweg nooit. Windows-tarieven hebben voorlopig alleen IPv4.

Een tunnel. Je kunt een kleine agent draaien die een uitgaande verbinding openhoudt met een relay ergens anders, die publiek verkeer via de tunnel terugstuurt. Het werkt, en voor een demo of een intern dashboard is het redelijk. Voor alles wat ertoe doet heb je een derde partij midden in elk verzoek gezet, plus nog een onderdeel dat om drie uur 's nachts kan omvallen.

Een SSH-tunnel voor jezelf. Als jij de enige bent die het beheerpaneel nodig heeft, zet het dan helemaal niet online. Stuur het door via de SSH-poort die je al hebt:

ssh -p 20123 -L 8080:localhost:8080 root@host

Open daarna http://localhost:8080 op je eigen machine. Het is de meest onderschatte truc op een NAT-server, en het is sowieso veiliger dan het paneel op internet zetten.

Mijn eerlijke mening: IPv6 en SSH-tunnels zijn goed gereedschap. Een permanente publieke dienst die alleen via een tunnel loopt omdat de server geen IPv4 heeft, is meestal een teken dat je NAT ontgroeid bent.

Naar je eigen IPv4 zonder herinstallatie

Je hoeft niets opnieuw op te bouwen. Open de server in het dashboard, kies „Tarief wijzigen” en een tarief met dedicated IP van dezelfde grootte of groter. De server herstart één keer en komt terug met een eigen publiek IPv4-adres, zijn schijf en alles wat je had geïnstalleerd. Poort 80, 443 en wat je verder in je firewall openzet worden bereikbaar, en SSH verhuist naar de gewone poort 22. De details staan in Tarief wijzigen.

Een paar dingen om te weten voordat je klikt:

• Je betaalt het pro-rata verschil voor de rest van de lopende periode, van je saldo. Nano-IP kost $8 per maand tegenover $3 voor Nano; Small-IP $16 tegenover $8.
• Er moet een vrij adres zijn op de locatie van je server. Is dat er nu niet, dan zegt het dashboard dat voordat er iets wordt afgeschreven.
• Heb je de netwerkconfiguratie in de server met de hand aangepast, controleer die dan na de herstart. Op een standaardimage wordt alles automatisch toegepast.
• Maak eerst een back-up. Het is maar één herstart, maar het blijven jouw gegevens.

Waar NAT niet past, en waar IPv4 ook niet past

NAT is de verkeerde keuze voor alles wat publiek is, voor alles wat webhooks ontvangt en voor alles wat een vast adres nodig heeft dat iemand op een allowlist zet. Besteed geen dagen aan eromheen werken. Het prijsverschil tussen Nano en Nano-IP is $5 per maand.

Maar een dedicated IPv4 is ook geen toverij. Een website die datacenteradressen blokkeert laat je er niet door binnen, en een scraper die tegen rate limits aanloopt red je er niet mee, want die beslissingen gaan over het netwerk waarin je zit, niet over wie het adres nog meer gebruikt. En als je hele project uit een paar bots en een agent bestaat, is een IPv4 waarop nooit iemand verbinding maakt weggegooid geld.

Ben je toch al van plan over te stappen naar iets groters, dan beschrijft een VPS verhuizen zonder downtime de volgorde, en VPS-specificaties lezen helpt bij het vergelijken van tarieven.