مودم شما همه دستگاه‌های خانه را پشت یک آدرس عمومی پنهان نگه می‌دارد. این برای امنیت خوب است، اما یک مشکل می‌سازد: وقتی کسی از اینترنت می‌خواهد به دوربین مداربسته، سرور بازی یا ریموت دسکتاپ شما وصل شود، مودم نمی‌داند منظورش کدام دستگاه است و اتصال را رد می‌کند. پورت فورواردینگ (Port Forwarding) راهی است که این را به مودم می‌گویید. در این مقاله ایده کار، مراحل تنظیم و نکات امنیتی و رفع اشکالی را می‌بینید که بیشتر آموزش‌ها جا می‌اندازند.
NAT و پورت‌ها چطور کار می‌کنند؟
آدرس IP یک دستگاه را مشخص می‌کند و پورت (عددی از ۱ تا ۶۵۵۳۵) سرویس مشخصی روی آن دستگاه را. وب‌سرور روی پورت ۸۰ یا ۴۴۳ گوش می‌دهد، SSH روی ۲۲ و الی آخر. پس یک اتصال با آدرس و پورت توصیف می‌شود؛ مثل 203.0.113.5:8080.
مودم شما از NAT استفاده می‌کند: همه دستگاه‌ها از یک آدرس عمومی مشترک استفاده می‌کنند (آی‌پی خصوصی و عمومی). اتصال‌های خروجی خودکار ردیابی می‌شوند تا پاسخ به مقصد برسد، اما یک اتصال ورودی ناخواسته جایی برای رفتن ندارد. قانون فورواردینگ همین جا را می‌سازد:
Internet -> 203.0.113.5:8080 (router's public IP, external port)
Router rule: 8080 -> 192.168.1.50:80
Device 192.168.1.50 receives it on port 80قبل از شروع به چه چیزهایی نیاز دارید؟
- آی‌پی عمومی واقعی روی مودم. اگر پشت NAT اپراتور (Carrier-Grade) باشید، فورواردینگ روی مودم خودتان کار نمی‌کند — CGNAT چیست؟ را بخوانید و آی‌پی WAN مودم را با آی‌پی Show-IP.ir مقایسه کنید. آی‌پی ثابت آدرس را قابل‌پیش‌بینی می‌کند.
- آی‌پی محلی ثابت برای دستگاه مقصد. اگر آدرس دستگاه عوض شود، قانون به جای اشتباه اشاره می‌کند. از رزرو DHCP در مودم یا آدرس استاتیک روی خود دستگاه استفاده کنید (آی‌پی ثابت و متغیر).
- شماره پورت و پروتکل (TCP، UDP یا هر دو) که برنامه استفاده می‌کند — در مستندات برنامه پیدا می‌کنید.
مراحل تنظیم
- وارد مودم شوید — راهنمای ورود به مودم را ببینید.
- بخش مربوطه را پیدا کنید؛ با نام‌هایی مثل Port Forwarding، Virtual Server، NAT یا Applications & Gaming (بسته به برند فرق دارد).
- یک قانون بسازید شامل: نام، پروتکل، پورت خارجی، آی‌پی داخلی دستگاه و پورت داخلی. پورت خارجی و داخلی می‌توانند یکی یا متفاوت باشند.
- ذخیره کنید (بعضی مودم‌ها ری‌استارت لازم دارند).
- در فایروال خود دستگاه هم اجازه بدهید، وگرنه خود دستگاه اتصال را رد می‌کند.
- از بیرون تست کنید — با دیتای موبایل، نه وای‌فای خانه، به آی‌پی عمومی و پورت خارجی وصل شوید.
پورت‌های رایج
| پورت | پروتکل | کاربرد معمول |
|---|---|---|
22 | TCP | SSH (ترمینال از راه دور) |
80 / 443 | TCP | وب‌سایت‌ها (HTTP / HTTPS) |
554 | TCP/UDP | RTSP؛ بسیاری از دوربین‌های IP |
3389 | TCP | ریموت دسکتاپ ویندوز (RDP) |
8080 | TCP | رابط وب یا مدیریت جایگزین |
25565 | TCP | سرور ماینکرافت نسخه Java |
51820 | UDP | VPN وایرگارد (WireGuard) — پیش‌فرض |
امنیت: فقط آنچه لازم است را باز کنید
هر پورت فوروارد شده دری است که به روی کل اینترنت باز می‌شود و اسکنرها پورت‌های باز را ظرف چند دقیقه پیدا می‌کنند.
- ریموت دسکتاپ (3389) را مستقیم در اینترنت باز نکنید. هدف رایج حملات بروت‌فورس و باج‌افزار است. به‌جایش با VPN وارد شبکه شوید و از آن راه به سیستم برسید.
- از رمزهای قوی و منحصربه‌فرد و در صورت امکان احراز هویت دومرحله‌ای استفاده کنید. رمزهای پیش‌فرض دوربین و NAS را فوراً عوض کنید.
- فریمور دستگاه و مودم را به‌روز نگه دارید.
- استفاده از پورت خارجی غیراستاندارد نویز ربات‌ها را کم می‌کند ولی امنیت واقعی نیست.
- راه‌های بدون پورت باز را در نظر بگیرید: VPN شخصی (WireGuard)، VPN مش (Mesh) یا سرویس تونل.
- قانون‌هایی را که دیگر استفاده نمی‌کنید حذف کنید.
رفع اشکال: قانون هست ولی پورت «بسته» است
- CGNAT. رایج‌ترین دلیل. اگر WAN مودم همان آی‌پی عمومی شما نیست، هیچ قانونی روی مودم شما جواب نمی‌دهد.
- Double NAT. یک مودم و یک روتر که هر دو NAT می‌کنند. روی هر دو فوروارد کنید یا دستگاه اول را در حالت Bridge بگذارید.
- آی‌پی داخلی اشتباه. دستگاه آدرس جدید گرفته است. از رزرو استفاده کنید.
- سرویس گوش نمی‌دهد. روی دستگاه بررسی کنید:
netstat -ano(ویندوز) یاss -tlnp(لینوکس) باید پورت را در حالت LISTEN نشان دهد. - فایروال. فایروال ویندوز/لینوکس یا آنتی‌ویروس آن را بسته است.
- تست از داخل شبکه. خیلی از مودم‌ها دسترسی «Hairpin» به آی‌پی عمومی خودتان از داخل LAN را پشتیبانی نمی‌کنند. از دیتای موبایل تست کنید.
- مسدودسازی توسط ISP. بعضی اپراتورها پورت‌های ورودی مثل ۸۰ یا ۲۵ را روی خط‌های خانگی می‌بندند. پورت خارجی دیگری امتحان کنید.
پورت فورواردینگ، پورت تریگرینگ و UPnP
پورت فورواردینگ یک قانون دائمی است که دستی تنظیم می‌کنید. پورت تریگرینگ پورت را فقط موقتاً و بعد از اینکه دستگاه روی یک پورت محرک اتصال خروجی برقرار کرد باز می‌کند. UPnP به برنامه‌ها اجازه می‌دهد پورت‌ها را خودکار روی مودم باز کنند — برای بازی راحت است، اما هر برنامه‌ای در شبکه می‌تواند از آن استفاده کند؛ برای همین بسیاری از راهنماهای امنیتی توصیه می‌کنند اگر لازم ندارید خاموشش کنید.
نکات کلیدی
- پورت فورواردینگ یک پورت خارجی روی آی‌پی عمومی مودم را به یک آی‌پی و پورت داخلی روی یک دستگاه نگاشت می‌کند.
- به آی‌پی عمومی واقعی (نه CGNAT) و آدرس محلی ثابت برای دستگاه نیاز دارد.
- از بیرون شبکه تست کنید و تا جای ممکن کمترین پورت را باز کنید.
- به‌جای باز کردن مستقیم سرویس‌هایی مثل ریموت دسکتاپ در اینترنت، VPN را ترجیح دهید.