Документация

Быстрый старт + описание функций по разделам и устройствам (постоянно дополняется)

Перенаправление портов

В этой статье описана функция панели «Перенаправление портов» — классическое перенаправление портов (DNAT в iptables/nftables) на сервере с отдельным публичным IP.

В двух словах

У вас есть сервер с публичным IP, и вы хотите, чтобы трафик, приходящий на «некоторый публичный порт», автоматически перенаправлялся на «другую машину (или другой порт этой же машины)». Именно этим и занимается перенаправление портов.

Что делает эта функция

Для сервера с отдельным публичным IP можно через системный брандмауэр (iptables/nftables) перенаправлять входящий трафик «некоторого публичного порта» на «целевой IP:порт». Это классическое, системное перенаправление портов.

Отличие от проброса портов (сначала разберитесь, что использовать)

Перенаправление портов (эта статья)Проброс портов
Подходящий серверС отдельным публичным IPБез публичного IP (туннелируемый сервер)
РеализацияDNAT системного брандмауэраОбратный туннель
Место перенаправленияНа самом целевом сервереНа сервере панели
Нужен AgentНетДа

Когда пригодится

  • Перенаправить порт публичного IP сервера на сервис другого сервера
  • Замапить нестандартный порт (например, 8888) на стандартный порт сервиса
  • Открыть сервис внутренней машины через машину с публичным IP

Пример

У вас есть публичный сервер 1.2.3.4 и внутренняя машина 192.168.1.100, на которой работает веб-сервис (порт 80). Вы хотите, чтобы для внешних пользователей обращение к 1.2.3.4:8888 было равнозначно обращению к порту 80 во внутренней сети:

  • Протокол: TCP
  • Порт прослушивания: 8888
  • Целевой IP: 192.168.1.100
  • Целевой порт: 80

Как пользоваться

Зайдите на целевой сервер с публичным IP в «Панель управления системой → Брандмауэр → Перенаправление портов» и откройте «Управление перенаправлением портов»:

1. Нажмите «Добавить перенаправление» и заполните:

  • Протокол: TCP / UDP
  • Порт прослушивания: публичный входящий порт
  • Целевой IP: реальный адрес цели перенаправления (публичный IP или маршрутизируемый внутренний IP)
  • Целевой порт: порт целевого сервиса

2. После создания трафик сразу перенаправляется

3. Созданные перенаправления отображаются списком, их можно изменять или удалять

Технические подробности (правила перенаправления)

Панель автоматически настраивает на сервере три правила (на примере TCP, прослушивания 8888 и цели 192.168.1.100:80):

1. DNAT: трафик, идущий на :8888, переписывается на 192.168.1.100:80

2. Разрешение FORWARD: разрешает прямой и обратный трафик перенаправления

3. MASQUERADE: подмена адреса источника, чтобы ответные пакеты корректно возвращались

> Проще говоря: DNAT — это «смена пункта назначения», MASQUERADE — «смена обратного адреса»; только совместная работа трёх правил делает перенаправление полностью рабочим.

Важные замечания

1. Нужен отдельный публичный IP: перенаправление портов делается на самом целевом сервере, поэтому требуется, чтобы у этого сервера был отдельный публичный IP (трафик реально идёт на него).

2. Разрешение в брандмауэре: при перенаправлении на другой сервер целевой сервер / промежуточный брандмауэр должны разрешить целевой порт.

3. Редактирование = удаление старого правила + создание нового: правила системного брандмауэра не поддерживают изменение на месте, поэтому при редактировании сначала удаляется старое правило, затем добавляется новое.

4. Панель автоматически адаптируется к трём бэкендам — iptables-legacy / iptables / nftables, выбирать вручную не нужно.