NAT sau propriul IPv4: ce poate și ce nu poate face un singur port redirecționat

Cei mai mulți oameni descoperă ce înseamnă NAT la vreo zece minute după ce l-au cumpărat. Nginx pornește fără probleme, curl localhost returnează pagina, iar apoi browserul de pe laptop doar se învârte. Nimic nu e stricat. Serverul pur și simplu nu are propriul IPv4 public, iar singura lui ușă de intrare e un port redirecționat pentru SSH.

Ușa asta se dovedește suficientă pentru o cantitate surprinzătoare de muncă și departe de a fi suficientă pentru câteva lucruri foarte obișnuite. Dacă încă alegi între cele două feluri de planuri, articolul nostru mai vechi, IP dedicat sau VPS NAT, pune singura întrebare care decide. Articolul ăsta e despre cum trăiești cu răspunsul: ce poate face un server NAT în practică, unde dă de zid și cum ieși când îl depășești.

Ce primești de fapt

Un server NAT are o adresă privată în spatele gateway-ului nostru. Panoul îți arată un host și un port personal, iar tu te conectezi așa:

ssh -p 20123 root@host

Portul e mapat pe portul 22 din serverul tău. Toate celelalte porturi de intrare pe IPv4 sunt închise din exterior și nu există opțiunea de a redirecționa mai multe. Spre exterior e altă poveste: serverul poate ajunge la orice de pe internet, cu excepția porturilor SMTP 25 și 465, care sunt închise pe toate planurile, NAT sau nu. Regulile complete sunt în Rețea și porturi.

Încă un detaliu care contează pentru unii: adresa de ieșire nu e a ta. Traficul pleacă printr-o adresă pe care nu o controlezi, deci nu poți seta reverse DNS pentru ea și nu poți construi pe ea o reputație de expeditor.

Ce rulează fără probleme în spatele unui singur port

Tot ce începe singur conversația. E o categorie mai mare decât pare:

• Boții care fac polling. Un bot Telegram pe long polling, un bot Discord pe conexiunea lui gateway, un bot de trading care vorbește cu API-ul unui exchange. Toate spre exterior.
• Agenții AI. Un agent care apelează API-uri de modele, navighează, scrie fișiere și rulează cod nu are nevoie să-l apeleze cineva. Are nevoie de CPU, memorie și o conexiune spre exterior.
• Workerii și scraperele. Tot ce preia sarcini dintr-o coadă, parcurge pagini sau sincronizează date după un program.
• Mașinile de build și runnerele. Runnerele CI se înregistrează de obicei la server și își trag singure munca, așa că sunt mulțumite pe NAT.

Pentru felul ăsta de sarcină, cel mai ieftin plan e, sincer, în regulă. Nano costă $3 pe lună pentru 2 vCPU, 1 GB de RAM și 15 GB de disc; Small costă $8 pentru 4 vCPU, 4 GB și 35 GB. Există o pagină întreagă despre planurile NAT, dacă vrei lista completă.

Unde un singur port nu ajunge

Zidul e orice lucru la care altcineva trebuie să înceapă conexiunea.

Un site e exemplul evident. Browserele se conectează la portul 443 (și la 80 pentru redirecționare), iar pe un plan NAT porturile astea nu există din exterior. Nici nu-l poți rula pe un port nestandard, cel puțin nu într-un fel pe care să-l accepte vizitatorii.

Propriul domeniu cu HTTPS dă de același zid de două ori. Poți îndrepta o înregistrare DNS spre adresa gateway-ului, dar nimic din ce ajunge acolo nu e redirecționat spre serverul tău, cu excepția portului SSH. Iar calea obișnuită de a obține un certificat gratuit îți verifică serverul pe portul 80 sau 443.

Webhookurile cedează în tăcere. Notificările de plată, o platformă de boți care împinge actualizări, un server Git care anunță un commit nou: toate trebuie să ajungă la tine. Botul care mergea fără probleme pe long polling nu mai merge în clipa în care îl treci pe webhookuri.

Endpointurile VPN, serverele de jocuri și serverele de e-mail au nevoie, prin definiție, de porturi de intrare. La fel orice ai vrea să deschidă un coleg într-un browser.

Soluțiile ocolitoare, cinstit

IPv6. Serverele Linux noi primesc o adresă IPv6 publică, iar pe planurile NAT ea ajunge direct la server, pe orice port. Dacă toți clienții serviciului tău sunt ai tăi (laptopul tău, celelalte servere, o sondă de monitorizare cu IPv6), merge bine. Pentru un site public nu merge: o parte dintre vizitatori stau încă în rețele fără IPv6 și pur și simplu nu vor încărca niciodată pagina. Planurile Windows sunt deocamdată doar pe IPv4.

Un tunel. Poți rula un mic agent care ține o conexiune spre exterior cu un releu aflat în altă parte, iar releul trimite traficul public înapoi prin tunel. Merge, iar pentru o demonstrație sau un dashboard intern e rezonabil. Pentru orice contează, ai adăugat un terț în mijlocul fiecărei cereri, plus încă un lucru care se poate strica la 3 noaptea.

Un tunel SSH pentru tine. Dacă singura persoană care are nevoie de panoul de administrare ești tu, nu-l expune deloc. Redirecționează-l prin portul SSH pe care îl ai deja:

ssh -p 20123 -L 8080:localhost:8080 root@host

Apoi deschide http://localhost:8080 pe mașina ta. E cel mai subestimat truc pe un server NAT și oricum e mai sigur decât să pui panoul pe internet.

Părerea mea cinstită: IPv6 și tunelurile SSH sunt unelte bune. Un serviciu public permanent trecut printr-un tunel pentru că serverul nu are IPv4 e de obicei un semn că ai depășit NAT-ul.

Trecerea la propriul IPv4 fără reinstalare

Nu trebuie să reconstruiești nimic. Deschide serverul în panou, alege Upgrade de plan și un plan cu IP dedicat de aceeași mărime sau mai mare. Serverul repornește o dată și revine cu propriul IPv4 public, cu discul și cu tot ce ai instalat. Porturile 80, 443 și orice altceva deschizi în firewall devin accesibile, iar SSH-ul trece pe portul normal 22. Detaliile sunt în Schimbarea planului.

Câteva lucruri merită știute înainte să dai clic:

• Plătești din sold diferența proporțională pentru restul perioadei curente. Nano-IP costă $8 pe lună față de $3 pentru Nano; Small-IP costă $16 față de $8.
• E nevoie de o adresă liberă în locația serverului tău. Dacă acum nu există una, panoul îți spune asta înainte să se taxeze ceva.
• Dacă ai editat manual configurația de rețea din server, verific-o după repornire. Pe o imagine standard se aplică automat.
• Fă întâi un backup. E o singură repornire, dar tot datele tale sunt.

Unde nu se potrivește NAT și unde nu se potrivește nici IPv4

NAT e alegerea greșită pentru orice e public, pentru orice primește webhookuri și pentru orice are nevoie de o adresă fixă pe care altcineva o pune pe lista albă. Nu pierde zile construind ocolișuri. Diferența de preț dintre Nano și Nano-IP e de $5 pe lună.

Dar nici un IPv4 dedicat nu e magie. Nu va face un site care blochează adresele din centre de date să te lase să intri și nu va repara un scraper care e limitat, pentru că deciziile astea țin de rețeaua în care ești, nu de cine mai folosește adresa. Iar dacă tot proiectul tău înseamnă câțiva boți și un agent, să cumperi un IPv4 pe care nu vei accepta nicio conexiune înseamnă bani pentru nimic.

Dacă oricum plănuiești mutarea pe o configurare mai mare, mutarea unui VPS fără întrerupere acoperă ordinea pașilor, iar cum citești specificațiile unui VPS te ajută când compari planuri.