NAT eller egen IPv4: vad en enda vidarebefordrad port kan och inte kan

De flesta upptäcker vad NAT betyder ungefär tio minuter efter köpet. Nginx startar, curl localhost returnerar sidan, och webbläsaren på laptopen bara snurrar. Inget är trasigt. Servern har helt enkelt ingen egen publik IPv4-adress, och den enda ytterdörren är en vidarebefordrad port för SSH.

Den enda dörren räcker till förvånansvärt mycket arbete och inte alls till några väldigt vanliga saker. Om du fortfarande väljer mellan de två tariffsorterna ställer vår äldre artikel Dedikerad IP eller NAT-VPS den enda fråga som avgör saken. Den här handlar om att leva med svaret: vad en NAT-server klarar i praktiken, var den slår i väggen och hur du tar dig ur när du växer ifrån den.

Vad du faktiskt får

En NAT-server har en privat adress bakom vår gateway. Kontrollpanelen visar en värd och en personlig port, och du ansluter så här:

ssh -p 20123 root@host

Porten leder till port 22 inne i din server. Alla andra inkommande IPv4-portar är stängda utifrån, och det finns inget sätt att vidarebefordra fler. Utgående är en annan historia: servern når allt på internet utom SMTP-portarna 25 och 465, som är stängda på alla tariffer, NAT eller inte. De fullständiga reglerna finns i Nätverk och portar.

En detalj till som spelar roll för vissa: den utgående adressen är inte din egen. Trafiken lämnar servern via en adress du inte styr över, så du kan inte ställa in omvänd DNS för den och inte bygga ett avsändarrykte på den.

Vad som fungerar fint bakom en port

Allt som själv inleder samtalet. Det är en större kategori än det låter:

• Botar som pollar. En Telegram-bot med long polling, en Discord-bot på sin gateway-anslutning, en tradingbot som pratar med en börs API. Allt utgående.
• AI-agenter. En agent som anropar modell-API:er, surfar, skriver filer och kör kod behöver ingen som ringer den. Den behöver CPU, minne och en anslutning ut.
• Workers och scrapers. Allt som hämtar jobb från en kö, crawlar sidor eller synkar data enligt ett schema.
• Byggmaskiner och runners. CI-runners registrerar sig oftast själva hos servern och hämtar jobb, så de trivs på NAT.

För den här sortens last räcker den billigaste tariffen, ärligt talat. Nano kostar $3 i månaden för 2 vCPU, 1 GB RAM och 15 GB disk; Small $8 för 4 vCPU, 4 GB och 35 GB. Hela listan finns på en egen sida om NAT-tariffer.

Där en port inte räcker

Väggen är allt där någon annan måste inleda anslutningen.

En webbplats är det självklara exemplet. Webbläsare ansluter till port 443 (och 80 för omdirigeringen), och på en NAT-tariff finns de portarna inte utifrån sett. En icke-standardport fungerar inte heller, åtminstone inte på ett sätt som besökare accepterar.

Din egen domän med HTTPS slår i samma vägg två gånger. Du kan peka en DNS-post mot gatewayens adress, men inget som kommer dit vidarebefordras till din server utom din SSH-port. Och det vanliga sättet att få ett gratis certifikat kontrollerar din server på port 80 eller 443.

Webhooks misslyckas tyst. Betalningsaviseringar, en botplattform som skickar uppdateringar, en Git-server som meddelar en ny commit: alla måste kunna nå dig. Boten som fungerade utmärkt med long polling slutar fungera i samma ögonblick som du byter den till webhooks.

VPN-ändpunkter, spelservrar och e-postservrar behöver inkommande portar per definition. Liksom allt du vill att en kollega ska kunna öppna i webbläsaren.

Genvägarna, ärligt bedömda

IPv6. Nya Linuxservrar får en publik IPv6-adress, och på NAT-tariffer når den servern direkt, på vilken port som helst. Om alla klienter till din tjänst är dina egna (din laptop, dina andra servrar, en övervakningssond med IPv6) fungerar det bra. För en publik webbplats gör det inte det: en del av besökarna sitter fortfarande på nät utan IPv6 och laddar helt enkelt aldrig sidan. Windows-tarifferna har bara IPv4 än så länge.

En tunnel. Du kan köra en liten agent som håller en utgående anslutning till ett relä någon annanstans, som skickar publik trafik tillbaka genom tunneln. Det fungerar, och för en demo eller en intern dashboard är det rimligt. För allt som spelar roll har du lagt en tredje part mitt i varje förfrågan, plus en del till som kan gå sönder klockan tre på natten.

En SSH-tunnel för dig själv. Om du är den enda som behöver adminpanelen, exponera den inte alls. Vidarebefordra den över SSH-porten du redan har:

ssh -p 20123 -L 8080:localhost:8080 root@host

Öppna sedan http://localhost:8080 på din egen dator. Det är det mest underskattade tricket på en NAT-server, och det är säkrare än att lägga panelen på internet ändå.

Min ärliga åsikt: IPv6 och SSH-tunnlar är bra verktyg. En permanent publik tjänst som går genom en tunnel bara för att servern saknar IPv4 är oftast ett tecken på att du har vuxit ifrån NAT.

Till egen IPv4 utan ominstallation

Du behöver inte bygga om något. Öppna servern i kontrollpanelen, välj ”Byt tariff” och en tariff med dedikerad IP i samma storlek eller större. Servern startar om en gång och kommer tillbaka med en egen publik IPv4-adress, sin disk och allt du har installerat. Port 80, 443 och det du öppnar i brandväggen blir nåbara, och SSH flyttar till den vanliga port 22. Detaljerna finns i Byta tariff.

Några saker är bra att veta innan du klickar:

• Du betalar mellanskillnaden för resten av den aktuella perioden, från ditt saldo. Nano-IP kostar $8 i månaden mot $3 för Nano; Small-IP $16 mot $8.
• Det krävs en ledig adress på serverns plats. Finns ingen just nu säger kontrollpanelen det innan något debiteras.
• Om du har ändrat nätverkskonfigurationen i servern för hand, kontrollera den efter omstarten. På en standardavbildning tillämpas den automatiskt.
• Ta en säkerhetskopia först. Det är bara en omstart, men det är fortfarande dina data.

Där NAT inte passar, och där IPv4 inte heller gör det

NAT är fel val för allt publikt, för allt som tar emot webhooks och för allt som behöver en fast adress som någon lägger på en tillåtelselista. Lägg inte dagar på att gå runt det. Prisskillnaden mellan Nano och Nano-IP är $5 i månaden.

Men en dedikerad IPv4 är inte heller magi. Den får inte en webbplats som blockerar datacenteradresser att släppa in dig, och den räddar inte en scraper från hastighetsbegränsningar, eftersom de besluten handlar om nätet du befinner dig i, inte om vem mer som använder adressen. Och om hela ditt projekt är ett par botar och en agent är en IPv4 som ingen någonsin ansluter till bortkastade pengar.

Om du ändå planerar att flytta till något större beskriver flytta en VPS utan driftstopp ordningen, och så läser du VPS-specifikationer hjälper dig att jämföra tariffer.