Глава 3: Шлюзы роутера — Port Forwarding (Проброс портов)

На данный момент наш сервер имеет фиксированный адрес внутри дома, а роутер — фиксированный статический адрес в интернете. Однако, если сейчас кто-то попытается постучаться на ваш внешний IP-адрес из интернета, роутер просто заблокирует этот запрос. Из соображений безопасности любой домашний роутер по умолчанию работает как глухая стена. Чтобы пропустить пользователей к нашей будущей вики-системе, нужно прорубить в этой стене "окна" — настроить проброс портов.

<hr />

<h2>1. Что такое порты и зачем нужен их проброс?</h2>

Представьте, что ваш внешний статический IP-адрес — это адрес огромного многоквартирного дома. Порты — это номера конкретных квартир в этом доме. В сетевом мире разные типы трафика ходят по строго определенным портам (квартирам):

<ul>

<li>Порт 80 (HTTP) — стандартный порт для обычного, незашифрованного веб-трафика. Через него веб-серверы начинают общение с браузерами.</li>

<li>Порт 443 (HTTPS) — стандартный порт для защищенного, зашифрованного веб-трафика. Именно через него в итоге будет работать наш безопасный BookStack.</li>

</ul>

Port Forwarding (Проброс портов) — это правило межсетевого экрана на роутере, которое гласит: «Если кто-то из интернета стучится в квартиру №80 или №443, перенаправь этот трафик прямо на мой внутренний сервер Debian (192.168.1.100) в его внутренние квартиры №80 и №443 соответственно».

<hr />

<h2>2. Пошаговая настройка на роутере</h2>

Вам необходимо пробросить два основных порта: 80 и 443. Направление трафика должно быть сквозным: внешний порт должен соответствовать внутреннему.

<ol>

<li>Откройте браузер на компьютере и зайдите в панель управления вашего роутера (<code>192.168.1.1</code> или <code>192.168.0.1</code>).</li>

<li>Перейдите в раздел, отвечающий за перенаправление трафика и правила маршрутизации. В зависимости от производителя он называется:

<ul>

<li>Переадресация -> Виртуальные серверы / Virtual Servers (TP-Link)</li>

<li>Сетевые правила -> Переадресация портов / Port Forwarding (Keenetic)</li>

<li>Интернет -> WAN -> Переадресация портов (ASUS)</li>

</ul>

</li>

<li>Создайте первое правило (для незашифрованного HTTP):

<ul>

<li>Имя правила: Любое понятное, например <code>Web HTTP</code></li>

<li>Протокол: Укажите <code>TCP</code> (или TCP/UDP, если нет разделения)</li>

<li>Внешний порт: <code>80</code></li>

<li>Внутренний IP-адрес: Постоянный локальный IP вашего сервера (который мы зафиксировали в Главе 2, например <code>192.168.1.100</code>)</li>

<li>Внутренний порт: <code>80</code></li>

</ul>

</li>

<li>Создайте второе правило (для зашифрованного веб-трафика HTTPS):

<ul>

<li>Имя правила: Например, <code>Web HTTPS</code></li>

<li>Протокол: Строго <code>TCP</code></li>

<li>Внешний порт: <code>443</code></li>

<li>Внутренний IP-адрес: IP вашего сервера (<code>192.168.1.100</code>)</li>

<li>Внутренний порт: <code>443</code></li>

</ul>

</li>

<li>Сохраните и примените настройки роутера.</li>

</ol>

<hr />

<h2>3. Важное предупреждение о безопасности</h2>

ВНИМАНИЕ: Никогда ради удобства не пробрасывайте наружу порт 22 (SSH), порты систем управления базами данных (вроде 3306 для MySQL или 5432 для PostgreSQL) или порт Samba/NFS шары. Боты-сканеры в интернете найдут их за считанные минуты и начнут подбирать пароли.

Если вам нужен полноценный доступ к консоли сервера извне дома — используйте VPN (поднимите WireGuard или Tailscale) или, в крайнем случае, меняйте внешний порт SSH на нестандартный (например, открывайте снаружи порт 2222 и перенаправляйте его роутером на внутренний порт 22 сервера).

Итог главы: Магистраль из глобального интернета до вашего сервера Debian теперь полностью открыта. Роутер знает, куда отправлять веб-трафик, когда к нему стучатся. Осталось сделать так, чтобы вместо безликих цифр внешнего IP-адреса п

ользователи вводили красивое имя вашего личного домена.