Šiame straipsnyje gilinsimės į maršrutizatoriaus portų atidarymo subtilybes, nagrinėdami tiek teorinius pagrindus, tiek praktinius nustatymus. Nuo IP adresų valdymo iki tinklo saugumo, suprasime, kodėl portų atidarymas kartais tampa neišvengiamas ir kaip tai atlikti efektyviai. Taip pat paliesime mobiliųjų operatorių tinklų ypatumus ir pateiksime konkrečių pavyzdžių, kaip konfigūruoti įrangą, pavyzdžiui, MikroTik, Telia aplinkoje.
IP Adresų Valdymas: Tinklo Pagrindas
Kiekvienas, kas bent kartą bandė namuose prijungti naują įrenginį prie Wi-Fi ar spręsti interneto ryšio problemas, tikriausiai yra girdėjęs apie maršrutizatorių. Bet kas iš tikrųjų vyksta tame nedideliame dėžutėje su mirguliuojančiomis lemputėmis? Vienas svarbiausių maršrutizatoriaus darbų - IP adresų valdymas. IP adresas - tai skaičių kombinacija, kuri veikia kaip tikslus adresas skaitmeniniame pasaulyje. Jūsų išmanusis telefonas, kompiuteris, televizorius ar net šaldytuvas (jei jis išmanus) - visi jie reikalauja unikalaus IP adreso, kad galėtų siųsti ir gauti duomenis.
Daugumoje namų tinklų veikia DHCP (Dynamic Host Configuration Protocol) serveris, kuris yra integruotas į patį maršrutizatorių. Šis protokolas atlieka nuostabų darbą - jis automatiškai priskiria IP adresus visiems įrenginiams, kurie prisijungia prie tinklo. Įsivaizduokite, kad kiekvieną kartą prijungdami naują telefoną turėtumėte rankiniu būdu įvesti IP adresą, potinklio kaukę, šliuzo adresą ir DNS serverius. DHCP veikia gana paprastai, bet efektyviai. Kai naujas įrenginys bando prisijungti prie tinklo, jis išsiunčia „broadcast” pranešimą - tarsi šauktų į visą tinklą: „Labas, aš naujas čia, ar kas nors gali man padėti?” DHCP serveris (jūsų maršrutizatorius) išgirsta šį šauksmą ir atsako: „Sveiki atvykę!” Įdomiausia, kad šie adresai nėra duodami amžinai. DHCP naudoja taip vadinamą „nuomos” sistemą. Paprastai IP adresas įrenginiui priskiriamas tam tikram laikotarpiui - dažniausiai 24 valandoms ar savaitei. Prieš pasibaigiant šiam terminui, įrenginys automatiškai prašo pratęsti nuomą.
Nors DHCP yra patogus kasdieniame naudojime, kartais reikia, kad tam tikras įrenginys visada turėtų tą patį IP adresą. Pavyzdžiui, jei namuose turite tinklo spausdintuvą, norėtumėte, kad jis visada būtų pasiekiamas tuo pačiu adresu. Čia į pagalbą ateina statiniai IP adresai. Yra du būdai juos sukonfigūruoti. Pirmas - pačiame įrenginyje rankiniu būdu įvesti visą tinklo konfigūraciją. Tai veikia, bet nėra labai patogu, ypač jei vėliau keičiate tinklo nustatymus. Antras ir geresnis būdas - DHCP rezervacija. DHCP rezervaciją galite sukonfigūruoti maršrutizatoriaus administravimo sąsajoje. Paprastai reikia nurodyti įrenginio MAC adresą (unikalus aparatūrinis identifikatorius) ir norimą IP adresą. Nuo šiol, kai tas įrenginys prisijungs prie tinklo, DHCP serveris visada jam paskirs būtent tą IP adresą.
Dauguma namų maršrutizatorių naudoja privatų IP adresų diapazoną. Dažniausiai tai 192.168.1.x arba 192.168.0.x, nors galite sutikti ir 10.x.x.x ar 172.16.x.x diapazonus. Tipiškas namų tinklas naudoja /24 potinklį, kuris reiškia, kad galima turėti iki 254 unikalių įrenginių adresų (nuo .1 iki .254). Paprastai .1 adresas priskiriamas pačiam maršrutizatoriui, o DHCP serveris dalina adresus iš tam tikro diapazono, pavyzdžiui, nuo .100 iki .254. Jei turite daug įrenginių arba norite organizuoti sudėtingesnį tinklą, galite sukurti kelis potinklius. Pavyzdžiui, vieną potinklį namų įrenginiams, kitą svečių Wi-Fi, trečią IoT (interneto daiktų) įrenginiams.
NAT ir Portų Persiuntimas: Tiltas Tarp Vidinių ir Išorinių Tinklų
Čia kyla įdomus klausimas: jei visi namų įrenginiai naudoja privačius IP adresus, kaip jie gali pasiekti internetą, kur veikia tik vieši IP adresai? NAT (Network Address Translation) yra viena genialesnių tinklo technologijų. Jūsų interneto paslaugų teikėjas suteikia jums vieną viešą IP adresą (kartais kelis, bet dažniausiai vieną). Maršrutizatorius naudoja šį adresą kaip „veidą” visam jūsų namų tinklui. Kai atsakymas grįžta iš interneto, maršrutizatorius žino, kad jis skirtas jūsų kompiuteriui, ir nukreipia jį teisingai. Tai vyksta naudojant portų numerius - maršrutizatorius kiekvienai sesijai priskiria unikalų išorinį portą ir tvarko atitikmenų lentelę.
NAT turi ir papildomą saugumo privalumą. Kadangi jūsų namų įrenginiai naudoja privačius IP adresus, jie nėra tiesiogiai pasiekiami iš interneto. Kartais vis dėlto reikia, kad tam tikras įrenginys būtų pasiekiamas iš interneto. Pavyzdžiui, jei paleidžiate namų serverį, žaidimų serverį ar norite pasiekti savo stebėjimo kameras iš bet kur. Portų persiuntimas (port forwarding) leidžia nurodyti maršrutizatoriui, kad tam tikro porto užklausos, ateinančios iš interneto, būtų nukreiptos į konkretų vidinį IP adresą. Pavyzdžiui, galite sukonfigūruoti, kad visi užklausimai į 80 portą (HTTP) būtų siunčiami į jūsų namų serverį su IP 192.168.1.50.
DMZ (Demilitarized Zone) yra kraštutinė priemonė - tai įrenginio perkėlimas į zoną, kur jis yra visiškai atviras interneto srautui. Visi portai yra persiųsti į tą įrenginį. Tai gali būti naudinga kai kurioms žaidimų konsolėms ar sudėtingoms programoms, kurios naudoja daug skirtingų portų, bet tai kelia didelę saugumo riziką.
IPv4 ir IPv6: Ateities Tinklai
Kol kas kalbėjome apie IPv4 - tradicinę IP adresų sistemą, kuri naudoja keturių skaičių formatą. Bet IPv4 adresų erdvė baigiasi - yra tik apie 4.3 milijardo galimų adresų, o pasaulyje įrenginių yra daug daugiau. IPv6 naudoja visiškai kitokį adresų formatą - ilgą šešioliktainių skaičių eilutę, atskirtą dvitaškiais, pavyzdžiui: 2001:0db8:85a3:0000:0000:8a2e:0370:7334. IPv6 keičia daugelį dalykų, įskaitant IP adresų valdymą. Teoriškai su IPv6 kiekvienas jūsų įrenginys gali turėti savo unikalų viešą IP adresą - NAT tampa nebereikalingas. Daugelis šiuolaikinių maršrutizatorių palaiko dvigubo steko režimą - jie vienu metu valdo ir IPv4, ir IPv6 adresus. Tai leidžia sklandžiai pereiti į naują protokolą, kol visas internetas pilnai nepereina prie IPv6.
Praktiniai Patarimai Tinklo Valdymui
Gerai supratus, kaip maršrutizatorius valdo IP adresus, galima efektyviau organizuoti namų tinklą. Pirma, sukurkite sau paprastą dokumentą, kur užsirašysite, kokie įrenginiai turi kokius IP adresus. Gali atrodyti, kad tai nereikalinga, bet kai tinkle turite 20-30 įrenginių, atsiminti, kuris yra kuris, tampa sudėtinga. Antra, naudokite loginę IP adresų paskirstymo schemą. Trečia, reguliariai tikrinkite prijungtus įrenginius maršrutizatoriaus administravimo sąsajoje. Daugelis maršrutizatorių turi DHCP klientų sąrašą, kuriame matote visus aktyvius įrenginius. Ketvirta, jei planuojate keliauti ar ilgesniam laikui palikti namus, apsvarstykite galimybę sukonfigūruoti nuotolinę prieigą prie maršrutizatoriaus. Daugelis šiuolaikinių maršrutizatorių turi debesų paslaugas, leidžiančias valdyti tinklą iš bet kur. Penkta, nepamirškite reguliariai atnaujinti maršrutizatoriaus programinę įrangą. Gamintojai nuolat taiso saugumo spragas ir pagerina funkcionalumą.
IP adresų valdymas gali atrodyti sudėtingas, bet iš tikrųjų tai gerai apgalvota sistema, kuri dažniausiai veikia tyliai fone, nereikalaudama jokio dėmesio. Suprasdami pagrindinius principus - kaip veikia DHCP, kam reikalingi statiniai adresai, kaip NAT leidžia privatiems tinklams pasiekti internetą - galite ne tik geriau suprasti savo namų tinklą, bet ir efektyviau spręsti problemas, kai jos kyla. Geriausias patarimas - leiskite DHCP atlikti savo darbą automatiškai daugumai įrenginių, bet nesibijokite sukonfigūruoti statinių adresų ar rezervacijų tiems įrenginiams, kuriems tai prasminga. Organizuokite savo tinklą logiškai, dokumentuokite svarbius nustatymus ir reguliariai peržiūrėkite, kas prijungta prie jūsų tinklo.
Mikrotik Konfigūracija ir Portų Atidarymas Telia Tinkle
Vartotojas susiduria su problema atidarant portus routeryje 4G tinkle (Bitė, Telia), tačiau iš išorės jie lieka nepasiekiami. Toks įspūdis, kad yra dar viena ugniasienė pas mobilaus ryšio operatorių, kuri visa tai blokuoja. Kyla klausimas dėl ryšio tarp statinio išorinio IP ir portų atidarymo, ir kodėl neturint statinio išorinio IP negalimas port forwarding. Pažymima, kad portus atidaryti neturint statinio IP galima turint, pvz., šviesolaidinį Telia internetą.
Nors portų persiuntimo funkcija turėtų veikti nepriklausomai nuo IP adreso statinio pobūdžio, mobilieji operatoriai kartais taiko papildomus tinklo apribojimus. Tai gali reikšti, kad net tinkamai sukonfigūravus maršrutizatorių, portai liks neprieinami iš išorės dėl operatoriaus tinklo konfigūracijos. Tokiu atveju gali tekti kreiptis į operatorių dėl išimties arba naudoti alternatyvius sprendimus, tokius kaip VPN arba tarpinio serverio paslaugos.
Toliau pateikiami pavyzdžiai, kaip konfigūruoti MikroTik įrangą, ypač Telia aplinkoje, atsižvelgiant į IPTV ir portų atidarymo poreikius.
IP Cloud ir DDNS
Pirmas nustatymas būtų IP > Cloud įjungimas. Pagrindinis tikslas - suteikti jūsų IP adresui nemokamą subdomeniną. Tai leis pasiekti maršrutizatorių nevedant namų IP adreso, o taip pat padės, jei WAN adresas keičiasi.
/ip cloudset ddns-enabled=yesMikroTik Telia Konfigūracija IPTV
Internete egzistuoja pamokos, kaip pasijungti MikroTik su TEO GALA TV. Tačiau, pasirodo, MikroTik atnaujino savo nustatymus ir panaikino master-port funkciją. Dabar MikroTik siūlo viską dėti į bridge, panašiai, kaip naudojant TP-Link routerius, kurie neturi atskiro eth tarp switch nustatymų.
- VLAN kūrimas: Atsidarius interface, reikia sukurti vlan6, priskiriant interface wan.
- Bridge kūrimas IPTV: Eikite į bridge skiltį ir sukurkite naują bridge, skirtą IPTV. Užtenka tik persivadinti, kaip norite; daugiau nieko keisti nereikia.
- Prievadų priskyrimas: Eikite į ports dalį, priskirkite tuos LAN portus, prie kurių jungsite STB (Set-Top Box), į sukurtą bridge.
- VLAN prijungimas prie Bridge: Nepamirškite paspausti „+” ir pridėti vlan6 prie to bridge (pvz.,
iptv-vlan6). - Multicast paketo įrašymas: Taip pat reiktų įrašyti multicast paketą iš MikroTik puslapio. Prie routerio modelio yra „extra packages”, kuriame yra įvairių paketų, kurių nėra pagal nutylėjimą. Mums reikės multicast paketo. Tada per WinBox atsidarykite files ir nutempkite iš desktop tą failą, perkraukite routerį ir tada tarp packages galima įjungti.
Teorija tokia, jog sujungiate viską - tiek portus, tiek sukurtą vlan6 - į vieną bridge ir turite vaizdą per STB.
Telia Išmaniosios TV Pajungimas Naudojant Switch Nustatymus
Viename bloge rastos komandos leidžia paleisti IPTV naudojant tik switch nustatymus, nekuriant jokių bridge:
Pagal pavadinimus galima suprasti, jog ether4-STB ir ether5-STB turi nustatymus, reikalingus priedėliams. Nustatykite lygiai taip pat, kaip pavaizduota. WAN nustatymus taip pat svarbu taip nustatyti. Toliau kitką palikite kaip buvo.
Svarbu parašyti, jog vlan id 6 ir sudėti portus: pirmas privalomas yra WAN, toliau eina priedėlio portai. Beje, naudojant tokį būdą nesugalvojau, kaip pasileisti LRT kanalą per VLC.
LRT Kanalo Naudojimas per Bridge
Kaip žinia, Telia naudoja DRM apsaugas. Bet kažkodėl leidžia žiūrėti per VLC: LRT 1080p ir LRT 720p. Keista, jog SD versijos neduoda. Aišku, jau reikia būti susitvarkius, jog rodytų ir patys priedėliai.
Portų Atidarymas ir Nuotolinė Prieiga
Jei norite pasiekti MikroTik WEB portą per išorę, teko pakeisti mano naudojamą portą 81 į 81 (jeigu jis buvo užimtas). Jeigu norite pasiekti su Winbox per išorę, tada vietoj mano naudojamo porto 81 pakeiskite į 8291.
/ip firewall filter add action=accept chain=input comment=winbox dst-port=8291 protocol=tcpJeigu norite pasiekti įrenginį, kuris yra vietiniame tinkle, reikės naudoti kitą komandą.
Norint sukurti WAN-IP adresų sąrašą, kad leistų, būnant vidiniame tinkle, pasiekti vidinį tinklą su išoriniu adresu, reikia atlikti šiuos veiksmus:
/ip firewall address-list add list=WAN-IP address=išorinis_adresasPradedama kurti taisyklė IP > Firewall > NAT:
- Dst. Port: tai portas, kuris bus pasiekiamas iš išorės.
- To Addresses: tai adresas vietiniame tinkle.
- To Ports: tai portas vietiniame tinkle, į kurį bus nukreipta.
/ip firewall nat add action=dst-nat chain=dstnat dst-port=943 dst-address-list=WAN-IP protocol=tcp to-addresses=192.168.1.200 to-ports=943Papildomai galima pridėti dar papildomų nustatymų prie atidaryto porto. Galima naudoti Time reikšmę, kuri atidaro portą tik tam tikru laiku.
IP adresų paaiškinimas: tinklo pagrindai
Maršrutizatoriaus Saugumo Užtikrinimas: Nuo Pagrindų Iki Pažangių Saugumo Sluoksnių
Dauguma žmonių maršrutizatorių laiko tik tuo daiktu, kuris duoda interneto ryšį. Bet realybė kiek kitokia - tai tarsi jūsų namų skaitmeninė durų spyna. Ir kaip niekam nekiltų mintis palikti buto durų neužrakintas, taip ir maršrutizatoriaus saugumas neturėtų būti ignoruojamas. Problema ta, kad gamintojų nustatymai dažnai orientuoti į patogumą, o ne saugumą. Įsivaizduokite situaciją: kažkas prisijungia prie jūsų Wi-Fi tinklo ir naudoja jūsų interneto ryšį neteisėtiems dalykams. Arba dar blogiau - gauna prieigą prie jūsų namų tinkle esančių įrenginių. Skamba nemalonu?
Prieš keisdami bet kokius nustatymus, reikia patekti į maršrutizatoriaus administravimo puslapį. Paprastai tai daroma įvedus naršyklėje IP adresą - dažniausiai 192.168.1.1 arba 192.168.0.1. Jei nė vienas neveikia, pažiūrėkite į maršrutizatoriaus apačią - ten turėtų būti lipdukas su informacija. Prisijungimo duomenys taip pat dažniausiai yra ant to paties lipduko. Klasikiniai variantai: admin/admin, admin/password arba tiesiog admin be slaptažodžio.
Tai pats svarbiausias dalykas, kurį turite padaryti. Ir ne, „admin123” nėra geras slaptažodis. Kibernetiniai nusikaltėliai turi automatizuotas programas, kurios tiesiog bando visus įmanomus standartinių slaptažodžių derinius. Geras administratoriaus slaptažodis turėtų būti bent 12 simbolių ilgio, turėti didžiųjų ir mažųjų raidžių, skaičių ir specialiųjų simbolių. Ir ne, jūsų gimimo data su šauktuku gale nėra pakankamas variantas. Naudokite slaptažodžių valdymo programą arba sugalvokite kokią frazę, kurią lengva prisiminti, bet sunku atspėti. Svarbu suprasti, kad šis slaptažodis skirtas ne kasdieniniam naudojimui - prie maršrutizatoriaus nustatymų prisijungsite retai. Todėl galite jį užsirašyti ir laikyti saugioje vietoje namuose.
Daugelis žmonių palieka gamyklinį SSID (tai jūsų Wi-Fi tinklo pavadinimas), kuris atrodo kaip „TP-Link5GA7B3” ar panašiai. Pakeiskite SSID į kažką neutralaus. Nebūtinai „Jonų šeimos internetas” - geriau kažkas neasocijuojamo su jumis. Dėl Wi-Fi slaptažodžio - jis turėtų būti stiprus, bet ne toks sudėtingas kaip administratoriaus. Juk šį slaptažodį dalinsitės su svečiais, įvesite telefone, planšetėje ir kituose įrenginiuose. Bent 10-12 simbolių su raidžių ir skaičių deriniu pakaks.
Maršrutizatorių programinė įranga (firmware) turi saugumo spragų. Tai faktas. Gamintojai reguliariai išleidžia pataisymus, bet jūsų maršrutizatorius pats jų neįdiegs, jei to nenustatysite. Kai kurie naujesni modeliai turi automatinių atnaujinimų funkciją - įjunkite ją. Atnaujinimo procesas paprastai vyksta per administravimo sąsają. Ieškokite skilties „Firmware Update”, „System Update” ar panašiai. Kai kurie maršrutizatoriai patys patikrina, ar yra naujesnė versija, kitiems reikia atsisiųsti failą iš gamintojo svetainės ir įkelti rankiniu būdu. Svarbus patarimas: atnaujinimo metu neatjunkite maitinimo. Jei procesas nutrūks, galite sugadinti maršrutizatorių ir teks jį atkurti arba net pirkti naują.
Daugelis šiuolaikinių maršrutizatorių turi svečių tinklo funkciją, bet ji dažnai būna išjungta. O tai viena iš naudingiausių saugumo priemonių. Įjunkite svečių tinklą ir nustatykite jam atskirą slaptažodį. Galite jį padaryti paprastesnį nei pagrindinio tinklo - juk jį dažnai teks diktuoti žmonėms. Kai pas jus ateina draugų, giminaičių ar remonto meistrų, duokite jiems svečių tinklo duomenis. Dar vienas pliusas - jei įtariate, kad kažkas nepageidaujamas prisijungė prie svečių tinklo, galite tiesiog pakeisti jo slaptažodį, ir tai neturės įtakos jūsų pagrindiniams įrenginiams.
Maršrutizatoriai dažnai ateina su įjungtomis funkcijomis, kurios teoriškai patogu, bet praktiškai kelia saugumo riziką. WPS (Wi-Fi Protected Setup) - viena tokių. Idėja buvo gera: spaudžiate mygtuką ant maršrutizatoriaus, ir įrenginys prisijungia be slaptažodžio įvedimo. Problema ta, kad WPS turi žinomą saugumo spragą, kuria galima pasinaudoti įsilaužimui. Nuotolinis valdymas (Remote Management) - dar viena funkcija, kurią daugelis žmonių niekada nenaudoja, bet ji būna įjungta. Ji leidžia prisijungti prie maršrutizatoriaus nustatymų iš bet kurios vietos internete. Skamba patogu, bet tai atidaro duris potencialiems užpuolikams. UPnP (Universal Plug and Play) palengvina tam tikrų programų ir žaidimų darbą, automatiškai atidarydamas reikiamus tinklo portus. Bet tai taip pat reiškia, kad kenkėjiška programa jūsų kompiuteryje gali automatiškai atidaryti portus sau. Jei nesate tikri, ar jums reikia UPnP, geriau jį išjunkite.
DNS (Domain Name System) yra tarsi interneto telefonų knyga - jis paverčia svetainių pavadinimus į IP adresus. Dauguma žmonių naudoja savo interneto paslaugų teikėjo DNS serverius, bet yra geresnių variantų. Dar geriau - galite naudoti DNS serverius, kurie automatiškai blokuoja kenksmingas svetaines. OpenDNS ir Cloudflare siūlo tokias paslaugas nemokamai. Tai papildoma apsaugos sluoksnis - net jei kažkas jūsų tinkle paspaus ant kenkėjiškos nuorodos, DNS lygmenyje ji bus užblokuota. DNS nustatymų keitimas paprastai randamas maršrutizatoriaus nustatymų skiltyje „Internet” arba „WAN”. Tiesiog įveskite pageidaujamus DNS serverių adresus vietoj automatinių.
Gerai, perkonfigūravote savo maršrutizatorių, pakeisti visi svarbūs slaptažodžiai, išjungtos nereikalingos funkcijos. Ar tai reiškia, kad galite apie tai pamiršti? Ne visai. Kas keletą mėnesių patikrinkite, ar nėra programinės įrangos atnaujinimų. Pažiūrėkite į prisijungusių įrenginių sąrašą - ar ten yra kažkas, ko neatpažįstate? Jei taip, pakeiskite Wi-Fi slaptažodį. Jei jūsų maršrutizatorius jau kelių metų senumo, pagalvokite apie jo keitimą. Technologijos vystosi, ir naujesni modeliai turi geresnes saugumo funkcijas, greitesnį ryšį ir patikimesnį veikimą. Ir paskutinis dalykas - jei kada nors parduodate ar atiduodate savo maršrutizatorių, atlikite gamyklinį atstatymą. Kitaip naujas savininkas galės pamatyti jūsų Wi-Fi slaptažodžius ir kitus nustatymus. Maršrutizatoriaus saugumas nėra raketų mokslas, bet reikalauja šiek tiek dėmesio ir laiko. Tie 20-30 minučių, kuriuos skirsite dabar, gali sutaupyti daug galvos skausmo ateityje.