هل يمكن لشبكة NAT من الدرجة الحاملة أن تمنع الوصول المستضاف ذاتيًا حتى مع إعادة توجيه المنافذ؟

إيفا وونغ

IceWhale author

إيفا وونغ هي كاتبة تقنية و ومهندسة هاوية في ZimaSpace. مهووسة بالتكنولوجيا مدى الحياة ولديها شغف بالمختبرات المنزلية والبرمجيات مفتوحة المصدر، تتخصص في تبسيط المفاهيم التقنية المعقدة إلى أدلة عملية وسهلة الفهم. تؤمن إيفا بأن الاستضافة الذاتية يجب أن تكون ممتعة وليست مخيفة. من خلال دروسها، تمكّن المجتمع من تبسيط إعدادات الأجهزة، بدءًا من بناء أول نظام تخزين شبكي NAS وحتى إتقان حاويات Docker.

Can Carrier-Grade NAT Block Self-Hosted Access Even With Port Forwarding?

نعم، يمكن أن يمنع CGNAT الوصول الداخلي المستضاف ذاتيًا لأن جهاز التوجيه الخاص بك لا يتحكم في عنوان IPv4 العام الذي يستقبل الاتصال.

قاعدة إعادة توجيه المنفذ تترجم فقط حركة المرور التي تصل إلى واجهة WAN لجهاز التوجيه حيث توجد القاعدة. تحت NAT بمستوى الناقل (carrier-grade NAT)، يضع مزود الخدمة طبقة ترجمة أخرى في الأعلى ويشارك عنوان IPv4 عام واحد بين عدة عملاء، لذا تتوقف الحزم الواردة غير المرغوب فيها قبل أن تصل إلى جهاز التوجيه المنزلي. القرار الصحيح هو إثبات ما إذا كان جهاز التوجيه يمتلك نقطة نهاية عامة، ثم اختيار عنوان عام حقيقي، أو IPv6 أصلي، أو نفق صادر، أو ترحيل، أو VPN تراكبي بدلاً من تعديل إعادة التوجيه مرارًا وتكرارًا التي لا يمكنها استقبال الحركة.

قارن عنوان WAN لجهاز التوجيه مع عنوان IPv4 العام

افتح صفحة حالة جهاز التوجيه المنزلي وسجل عنوان IPv4 الخاص بواجهة WAN. من جهاز على نفس الاتصال، قارن تلك القيمة مع العنوان الذي يبلغ عنه خدمة IP عامة خارجية.

يوضح شرح CGNAT للمستضيفين الذاتي أن جهاز التوجيه قد يستلم عنوانًا من النطاق المشترك 100.64.0.0/10 بينما يرى الإنترنت الخارجي عنوانًا عامًا مشتركًا مختلفًا. تشير النطاقات الخاصة مثل 10.0.0.0/8، 172.16.0.0/12، و192.168.0.0/16 أيضًا إلى وجود طبقة NAT أخرى.

إذا تطابقت عناوين WAN والعامة، فمن غير المرجح وجود CGNAT عادي والاختبار التالي يكون في إعادة التوجيه، الجدار الناري، الخدمة، أو مسار العودة. إذا اختلفت، حدد ما إذا كانت الطبقة العليا هي المودم/جهاز التوجيه الخاص بك أو شبكة يتحكم بها مزود الخدمة.

افهم لماذا لا يمكن لجهاز التوجيه المنزلي رؤية الحزمة في إعادة التوجيه

إعادة التوجيه على جهاز التوجيه المنزلي تربط منفذًا خارجيًا واحدًا على عنوان WAN الخاص به بخادم داخلي. لا يمكنها إنشاء تعيين على جهاز توجيه الناقل الأعلى الذي لا يمكن للعميل تكوينه.

تُظهر حالة استضافة ذاتية في Super User جهاز توجيه بعنوان WAN 100.70.x.x وعنوان عام مختلف، مما يجعل خادم الويب غير قابل للوصول رغم إعادة التوجيه المحلية. المشكلة الأساسية هي أن مزود الخدمة يمتلك الترجمة الخارجية.

لا ترد بوضع NAS في DMZ، أو تمكين كل تعيينات UPnP، أو تعطيل جدار الحماية الخاص بالمضيف. هذه التغييرات تزيد من التعرض داخل حدود المنزل لكنها لا تخلق تعيينًا واردًا على جانب الناقل.

استبعد وجود NAT مزدوج يمكنك التحكم فيه

تتبع المسار الفيزيائي من مودم أو بوابة مزود الخدمة إلى جهاز التوجيه حيث تم تكوين قاعدة إعادة التوجيه. يمكن لبوابة المزود في وضع جهاز التوجيه أن تخلق نفس عدم تطابق WAN/العنوان العام مثل CGNAT، لكن قد تتمكن من جعله جسرًا أو إعادة التوجيه عبر كلا الجهازين.

تشرح دليل الاستضافة الذاتية أن إعادة توجيه المنفذ تعمل فقط عندما يمتلك جهاز التوجيه الخاص بك العنوان العام. هذا هو الحد المعماري الذي يفصل إصلاح NAT المزدوج المحلي عن قيود مزود الخدمة.

إذا كان الجهاز الأعلى ملكك، ضعه في وضع الجسر أو التمرير، وأعد توجيه نفس المنفذ الضيق عبر الطبقتين، أو انقل الخدمة المواجهة للعامة إلى جهاز التوجيه الأول. إذا كانت الشبكة العليا تحت سيطرة الناقل، توقف عن التعامل معها كبوابة منزلية قابلة للتكوين.

Featured

ZimaCube 2 سحابة شخصية منزلية NAS

ZimaCube2

اختبر ما إذا كان IPv6 الأصلي يوفر بديلاً قابلاً للوصول

تحقق مما إذا كان مزود الخدمة يفوض بادئة IPv6 عالمية وما إذا كان الخادم المنزلي يستلم عنوانًا عالميًا مستقرًا. يمكن لـ IPv6 جعل الخادم قابلًا للعناوين مباشرة دون ترجمة منفذ IPv4، لكن يجب أن يسمح الجدار الناري صراحةً بالخدمة المقصودة فقط.

اختبر اسم المضيف والمنفذ الدقيق من شبكة IPv6 خارجية. وجود سجل AAAA منشور لا يكفي إذا كان جهاز التوجيه يحظر IPv6 الوارد، أو تتغير البادئة، أو التطبيق يستمع فقط على IPv4.

استخدم IPv6 فقط عندما تكون تحديثات DNS، سياسة الجدار الناري، TLS، ربط التطبيق، وتغييرات البادئة تحت السيطرة. لا تفترض أن "لا NAT" تعني "لا حدود أمان"؛ الخدمات القابلة للتوجيه عالميًا لا تزال تتطلب تصفية بأقل امتيازات ومصادقة.

اختر نفقًا صادرًا، ترحيلًا، أو VPN تراكبي عند الحاجة

عندما لا يتوفر عنوان عام، أنشئ اتصالًا يبدأ صادرًا من الشبكة المنزلية. يمكن لمزود نفق، ترحيل VPS، أو VPN تراكبي الحفاظ على الحالة عبر CGNAT وتوفير نقطة نهاية قابلة للوصول في مكان آخر.

تصف مناقشة مجتمع GL.iNet استخدام نفق عميل جهاز التوجيه المنزلي الذي يتصل بـ VPS بحيث يمكن للخادم الخارجي الوصول إلى الشبكة المنزلية عبر نفق صادر بدلاً من الاعتماد على إعادة توجيه على جانب الناقل.

اختر الطريقة حسب عبء العمل: الوصول الخاص إلى الملفات عادةً يناسب VPN تراكبي مصادق عليه، تطبيقات الويب العامة قد تناسب نفق HTTPS محكم أو وكيل عكسي، والبروتوكولات التي تتطلب منافذ واردة عشوائية قد تحتاج إلى VPS مع إعادة توجيه صريحة.

تحقق من مسار الاستبدال من خارج المنزل

اختبر من بيانات الهاتف المحمول أو شبكة خارجية أخرى بعد تكوين المسار البديل. أكد DNS، المصادقة، TLS، وصول التطبيق، وسير العمل الفعلي للملف أو التطبيق بدلاً من التحقق فقط مما إذا كانت صفحة حالة النفق تقول متصل.

يساعد مقارنة ZimaSpace بين VPN، الأنفاق، وإعادة توجيه المنفذ في مطابقة الحل البديل مع الوصول الخاص، تسليم التطبيقات العامة، ومخاطر الصيانة.

تكتمل القرار عندما يمكنك شرح من يملك نقطة النهاية العامة، أين تنتهي حركة المرور الواردة، وكيف يقوم الخادم المنزلي بالمصادقة عليها. إذا وفر مزود الخدمة لاحقًا عنوانًا عامًا، قم بإزالة قواعد الترحيل أو النفق القديمة قبل إعادة تقديم إعادة التوجيه المباشر.