Documentación
Inicio rápido + descripción de cada función y de cada dispositivo (en constante actualización)
Reenvío de puertos
Este artículo presenta el «Reenvío de puertos» del panel: el reenvío de puertos tradicional (DNAT con iptables/nftables) en servidores con IP pública propia.
En una frase
Tienes un servidor con IP pública y quieres que redirija automáticamente el tráfico que llega a «un puerto público» hacia «otra máquina (u otro puerto de la propia máquina)». El reenvío de puertos sirve exactamente para eso.
Descripción de la función
En servidores con IP pública propia, se puede usar el cortafuegos del sistema (iptables/nftables) para reenviar el tráfico entrante de «un puerto público» a «IP de destino:puerto». Es el reenvío de puertos tradicional, a nivel de sistema.
Diferencia con la Penetración de puertos (decide primero cuál usar)
| Reenvío de puertos (este artículo) | Penetración de puertos | |
|---|---|---|
| Servidores aplicables | Con IP pública propia | Sin IP pública (servidores en túnel) |
| Implementación | DNAT del cortafuegos del sistema | Túnel inverso |
| Ubicación del reenvío | La propia máquina de destino | Servidor del panel |
| Requiere Agent | No | Sí |
Casos de uso
- Reenviar un puerto de la IP pública del servidor al servicio de otro servidor
- Mapear un puerto no estándar (como 8888) a un puerto de servicio estándar
- Exponer el servicio de una máquina interna a través de una máquina con IP pública
Ejemplo
Tienes un servidor público 1.2.3.4 y una máquina interna 192.168.1.100 con un servicio web (puerto 80). Quieres que quien acceda desde fuera a 1.2.3.4:8888 acceda al puerto 80 de la máquina interna:
- Protocolo: TCP
- Puerto de escucha:
8888 - IP de destino:
192.168.1.100 - Puerto de destino:
80
Cómo se usa
Entra en «Panel de Gestión del sistema → Cortafuegos → Reenvío de puertos» del servidor de destino con IP pública y abre «Gestión de reenvío de puertos»:
1. Pulsa «Añadir reenvío» y rellena:
- Protocolo: TCP / UDP
- Puerto de escucha: puerto público de entrada
- IP de destino: la dirección real del destino del reenvío (IP pública o IP interna enrutable)
- Puerto de destino: puerto del servicio de destino
2. Una vez creado, el tráfico ya se reenvía
3. Los reenvíos creados se muestran en una lista y se pueden editar o eliminar
Notas técnicas (reglas de reenvío)
El panel configura automáticamente tres reglas en el servidor (tomando como ejemplo TCP, escucha 8888, destino 192.168.1.100:80):
1. DNAT: reescribe el tráfico dirigido a :8888 hacia 192.168.1.100:80
2. Permitir en FORWARD: permite el tráfico de ida y de vuelta del reenvío
3. MASQUERADE: traducción de dirección de origen, para que los paquetes de respuesta vuelvan correctamente
> En términos sencillos: DNAT es «cambiar el destino» y MASQUERADE es «cambiar la dirección de vuelta»; las tres reglas deben actuar juntas para que el reenvío funcione del todo.
Advertencias
1. Requiere IP pública propia: el reenvío de puertos se hace en la propia máquina de destino, por lo que este servidor debe tener IP pública propia (el tráfico llega realmente a él).
2. Permitir en el cortafuegos: al reenviar a otro servidor, el servidor de destino o el cortafuegos intermedio debe permitir el puerto de destino.
3. Editar = eliminar la regla antigua + crear una nueva: las reglas del cortafuegos del sistema no admiten modificación in situ; al editar se elimina primero la regla antigua y se añade la nueva.
4. El panel se adapta automáticamente a los tres backends iptables-legacy / iptables / nftables, sin necesidad de elegir manualmente.