NAT là cơ chế router đổi địa chỉ IP riêng thành địa chỉ công cộng để nhiều thiết bị dùng chung một đường Internet. Port forward là quy tắc chuyển lưu lượng đến một cổng của router vào một thiết bị cụ thể bên trong, cho phép truy cập dịch vụ từ ngoài.
NAT và port forward: hai việc khác nhau
Thiết bị trong mạng dùng địa chỉ riêng, không định tuyến được trên Internet. Khi một máy gửi dữ liệu ra ngoài, router thay địa chỉ nguồn riêng bằng địa chỉ công cộng của mình, ghi nhớ cặp địa chỉ và cổng để biết gói trả về thuộc máy nào. Dạng phổ biến này dịch cả số cổng, nên hàng trăm thiết bị có thể dùng chung một địa chỉ công cộng (RFC 3022 mô tả cơ chế này).
Hệ quả phụ là kết nối từ bên ngoài vào không được router chuyển tiếp nếu chưa có quy tắc, nên NAT vô tình tạo một lớp chắn cơ bản. Nhưng NAT không phải tường lửa đầy đủ.
Muốn truy cập từ ngoài vào một máy trong mạng, như camera, máy chủ web nhỏ hay NAS, bạn tạo quy tắc port forward trên router: lưu lượng đến cổng công cộng nào thì chuyển vào địa chỉ IP và cổng nào bên trong.
| Thông số | Ý nghĩa | Ví dụ minh họa |
|---|---|---|
| Cổng ngoài (external port) | Cổng người ngoài truy cập trên IP công cộng | 8443 |
| IP nội bộ | Thiết bị nhận lưu lượng | 192.168.1.50 (nên cố định) |
| Cổng trong (internal port) | Cổng dịch vụ đang chạy | 443 |
| Giao thức | TCP, UDP hoặc cả hai | TCP |
Cấu hình đúng, từng bước
- Đặt IP cố định (hoặc DHCP reservation) cho thiết bị nhận, để quy tắc không trỏ sai khi IP đổi.
- Đăng nhập trang quản trị router, tìm mục Port Forwarding hoặc Virtual Server.
- Nhập cổng ngoài, IP nội bộ, cổng trong và giao thức.
- Lưu rồi kiểm tra từ mạng bên ngoài (dùng dữ liệu di động, không phải Wi-Fi nội bộ).
- Nếu không thông, kiểm tra tường lửa trên thiết bị, địa chỉ công cộng của router và việc nhà mạng có chặn cổng.
Vì sao đôi khi port forward không hoạt động
- Nhà mạng dùng CGNAT: bạn không có địa chỉ công cộng riêng mà chia sẻ với người khác. Dải 100.64.0.0/10 (RFC 6598) trên cổng WAN của router thường là dấu hiệu này; port forward không đi qua được, cần xin IP công cộng hoặc dùng VPN, đường hầm.
- Router phía sau router: mạng có hai lớp NAT thì phải mở cổng ở cả hai.
- Sai IP đích hoặc dịch vụ không chạy: kiểm tra thiết bị thực sự lắng nghe cổng đó.
- Thử từ trong mạng nội bộ: một số router không hỗ trợ truy cập vòng bằng địa chỉ công cộng.
Rủi ro và lựa chọn an toàn hơn
Mỗi cổng mở ra Internet là một mục tiêu bị quét liên tục. Dịch vụ quản trị từ xa như Remote Desktop không nên mở thẳng ra ngoài. Cách an toàn hơn là đặt VPN và truy cập dịch vụ qua VPN, hoặc giới hạn theo địa chỉ nguồn, đổi mật khẩu mạnh, bật xác thực nhiều lớp và cập nhật firmware thường xuyên. Nếu mạng doanh nghiệp cần công bố dịch vụ ra ngoài, hãy dùng vùng DMZ có tường lửa và nhật ký, thay vì mở cổng tràn lan trên router.
Trước khi mở cổng, tự hỏi: có thể dùng VPN thay không? Phần lớn nhu cầu xem camera hay truy cập tệp từ xa đều làm được qua VPN mà không phải phơi dịch vụ ra Internet.
Cần thiết kế hoặc xử lý mạng cho văn phòng? Kỹ thuật viên PCTech hỗ trợ tại TP.HCM.
Câu hỏi thường gặp
NAT có thay thế được tường lửa không?
Không. NAT chỉ dịch địa chỉ và vô tình chặn kết nối vào chưa được yêu cầu. Nó không kiểm tra nội dung, không chặn mã độc, nên vẫn cần tường lửa và các biện pháp bảo mật khác.
Mở port có nguy hiểm không?
Có rủi ro nếu dịch vụ phía sau yếu, dùng mật khẩu mặc định hoặc chưa được cập nhật. Chỉ mở những cổng thật sự cần, giới hạn nguồn truy cập khi có thể và ưu tiên truy cập qua VPN.
Làm sao biết nhà mạng có dùng CGNAT?
So sánh địa chỉ WAN hiển thị trên router với địa chỉ IP công cộng bạn thấy ở trang kiểm tra IP. Nếu khác nhau, hoặc địa chỉ WAN nằm trong dải 100.64.0.0/10, nhiều khả năng nhà mạng đang dùng CGNAT.
Port forward và DMZ khác nhau thế nào?
Port forward chỉ chuyển các cổng bạn chọn tới một thiết bị. DMZ trên router gia đình thường chuyển gần như mọi lưu lượng tới một máy, nên rủi ro cao hơn. Vùng DMZ chuẩn doanh nghiệp là mạng riêng được tường lửa kiểm soát.
Bài viết liên quan
- Router là gì? Phân biệt với modem và switch
- Firewall là gì? Vì sao doanh nghiệp cần
- VPN là gì? Dùng trong doanh nghiệp thế nào
- Địa chỉ IP, DHCP và DNS là gì
- Camera IP và NVR là gì
