Как се прави port forwarding в рутера

Port forwarding (пренасочване на портове) казва на рутера: „Когато някой отвън почука на порт X, прати го към това устройство в домашната мрежа“. Така отваряте достъп от интернет до камера, NAS, домашен сървър, игров сървър или система за умен дом. Без това рутерът по подразбиране отхвърля всяка входяща връзка – което е добре за сигурността.

В статията ще видите как се настройва, какво трябва да е изпълнено предварително (постоянен IP на устройството, публичен IP адрес от доставчика), защо DDNS е нужен, кога CGNAT блокира всичко и защо за повечето домашни нужди VPN е по-сигурната алтернатива.

Какво ще ви трябва

• Достъп до администрацията на рутера
• Постоянен (резервиран) локален IP адрес на устройството, към което пренасочвате
• Номер на порта и протокол (TCP/UDP), които ползва услугата – например 443 за HTTPS, 32400 за Plex, 25565 за Minecraft, 5000/5001 за Synology
• Проверка дали имате публичен IP (виж стъпка 2)
• Акаунт за DDNS (DuckDNS, No-IP, DynDNS или вградената услуга на рутера – TP-Link, ASUS, Synology имат собствена)

Стъпка по стъпка

1. Дайте на устройството постоянен IP. Направете DHCP резервация в рутера (вижте статията за постоянен IP). Ако адресът на камерата се смени, пренасочването ще сочи в нищото.
2. Проверете дали имате публичен IP адрес. Отворете страницата за статус на рутера и погледнете „WAN IP“. Сравнете го с това, което показва сайт от типа „what is my IP“. Ако двата адреса съвпадат – имате публичен IP. Ако WAN IP е 10.x.x.x, 172.16–31.x.x, 192.168.x.x или 100.64–127.x.x, сте зад CGNAT (споделен адрес на доставчика) и port forwarding няма да работи, каквото и да настроите.
3. При CGNAT – поискайте публичен IP или сменете подхода. Повечето български доставчици дават публичен (динамичен) IP при поискване, често безплатно или за 1–3 € на месец; някои – само статичен. Алтернативата без публичен IP: Tailscale/ZeroTier, Cloudflare Tunnel или облачната услуга на самото устройство (Synology QuickConnect, облак на камерата).
4. Намерете менюто в рутера. Казва се „Port Forwarding“, „Virtual Server“ (TP-Link, Huawei), „NAT → Port Mapping“ (ZTE), „Applications & Gaming“ (Linksys). Добавете правило: външен порт, вътрешен IP, вътрешен порт, протокол.
5. Създайте правилото. Пример за NAS с уеб интерфейс на порт 5001 TCP: External port 5001 → Internal IP 192.168.1.10 → Internal port 5001 → TCP. За по-малко сканиране от ботове можете да сложите външен порт нестандартен (напр. 45001 → 5001), но това не е защита, само по-тихо.
6. Настройте DDNS. Домашният публичен IP се сменя при рестарт или на няколко дни. DDNS свързва име (например mojdom.duckdns.org) с текущия ви IP и го обновява автоматично – рутерът (меню „DDNS“/„Dynamic DNS“) или малка програма на NAS-а изпраща новия адрес. След това се свързвате по име, не по число.
7. Тествайте отвън. От телефон с изключен Wi-Fi (през мобилни данни) отворете адреса и порта. Онлайн проверка на отворени портове (напр. „canyouseeme“) също показва дали портът се вижда. Ако не работи: проверете защитната стена на самото устройство, дали услугата слуша на този порт и дали нямате втори рутер по пътя (двоен NAT – тогава правило трябва и в двата).
8. Подсигурете услугата. Сменете паролата по подразбиране, включете двуфакторна автентикация, ако има, обновете фърмуера и включете автоматично блокиране след няколко грешни опита (fail2ban/Auto Block). Отворете само портовете, които реално ползвате.

Съвети и чести грешки

• Никога не излагайте камери, NVR-и и NAS с фабрична парола – сканират се от ботове в рамките на часове и стават част от ботнет. Повечето „хакнати камери“ са точно това.
• Не ползвайте DMZ (всички портове към едно устройство) – то е „port forwarding за всичко“ и напълно лишава устройството от защита.
• Изключете UPnP в рутера, ако не играете на конзола: той позволява на всяко приложение в мрежата само да си отваря портове без вашето знание.
• За отдалечен достъп до цялата домашна мрежа отворете само един UDP порт за WireGuard VPN и влизайте през него – по-сигурно е от десет отворени порта.
• RDP (3389) към Windows компютър никога не се пренасочва директно – един от най-масовите входове за рансъмуер. Само през VPN.
• При смяна на рутер правилата не се прехвърлят – запишете ги.
• Ако доставчикът ви е дал рутер в режим „bridge“ и зад него е вашият – правилата са само във вашия. Ако и двата са рутери – трябват в двата или сменете режима на първия в bridge.

Често задавани въпроси

Статичен или динамичен публичен IP ми трябва?

За домашен достъп – динамичен плюс DDNS е напълно достатъчен и често безплатен. Статичен има смисъл за бизнес – мейл сървър, VPN за служители, допълнителни сертификати.

Опасно ли е port forwarding?

Само толкова, колкото е уязвима услугата зад порта. Актуален NAS с добра парола и 2FA е приемлив риск; камера от 2018 г. без обновявания – не. При съмнение – VPN.