Проброс порта через VPN: схемы, настройка и типичные ошибки

Зачем нужен проброс порта через VPN

Проброс порта через VPN — это способ сделать сервис, находящийся за NAT или межсетевым экраном, доступным извне без прямого открытия портов на маршрутизаторе. Такой подход часто применяется, когда у вас нет белого IP-адреса, или когда вы хотите скрыть реальный адрес сервера. В отличие от классического port forwarding на роутере, VPN-туннель добавляет шифрование и позволяет обходить ограничения провайдера.

Основные сценарии использования:

• доступ к рабочему столу (RDP) или файловому серверу из любой точки мира;
• публикация веб-сервера или API, который физически находится в домашней сети;
• подключение к корпоративным ресурсам через зашифрованный канал;
• обход блокировок, когда прямой доступ к порту запрещён файрволом.

Важно понимать: проброс через VPN не заменяет полноценный VPN-сервер для организации всей сети, но он решает точечные задачи. Например, вы можете пробросить только порт 3389 для RDP, оставив все остальные порты закрытыми.

Основные виды туннелей для проброса портов

Существует несколько технологий, которые позволяют пробросить порт через зашифрованный канал. Самые распространённые — SSH-туннели, reverse proxy на базе XRay и IPsec-туннели (например, StrongSwan). У каждого подхода свои особенности.

SSH-туннели — самый простой и доступный способ. Они работают поверх SSH-протокола и поддерживаются практически на всех ОС. SSH позволяет пробрасывать только TCP-порты, что ограничивает использование для UDP-сервисов (например, для игр или VoIP).

XRay reverse proxy — более гибкое решение, которое поддерживает не только TCP, но и UDP. Оно позволяет организовать доступ к нескольким портам одновременно и даже маршрутизировать трафик через промежуточный хост. XRay часто используется для обхода DPI и блокировок.

IPsec VPN — классический вариант для организации site-to-site подключений. Он работает на уровне IP, поэтому проброс портов сводится к настройке NAT-правил на VPN-сервере. Однако IPsec сложнее в настройке и требует аккуратной работы с маршрутизацией.

Выбор технологии зависит от ваших задач: если нужно быстро и просто — выбирайте SSH, если нужна гибкость и поддержка UDP — XRay, если речь о корпоративной сети — IPsec.

SSH-туннели: локальный и удалённый проброс

SSH-туннели бывают двух типов: локальный (local forwarding) и удалённый (remote forwarding). Локальный проброс позволяет перенаправлять трафик с локального порта на удалённый сервер. Например, команда ssh -L 8888:192.168.1.90:3389 user@remote создаст туннель, через который подключение к localhost:8888 будет перенаправлено на RDP-порт удалённого сервера.

Удалённый проброс работает в обратную сторону: он открывает доступ с удалённого сервера к порту на вашем локальном компьютере. Команда ssh -R 8080:internalweb:80 user@remote позволит пользователям удалённого сервера обращаться к вашему внутреннему веб-серверу через localhost:8080.

SSH-туннели удобны тем, что не требуют установки дополнительного ПО на клиенте — достаточно встроенного SSH-клиента (в Windows 10/11 он есть по умолчанию). Однако они работают только с TCP-трафиком, поэтому для UDP-сервисов придётся искать другие решения.

Настройка SSH-туннеля в Windows: пошаговый пример

Рассмотрим практический пример: вам нужно получить доступ к рабочему столу Windows-сервера, который находится за файрволом, открывающим только порт 22 (SSH). Прямой доступ к порту 3389 (RDP) заблокирован.

1. Убедитесь, что на вашем компьютере установлен OpenSSH-клиент. В PowerShell выполните:

Get-WindowsCapability -Online | ? Name -like 'OpenSSH.Client*'

1. Создайте туннель командой:

ssh -L 8888:192.168.1.90:3389 user@192.168.1.90 Здесь 8888 — локальный порт, 192.168.1.90:3389 — целевой адрес и порт.

1. Теперь запустите RDP-клиент (mstsc.exe) и подключитесь к 127.0.0.1:8888.

Трафик между вашим компьютером и сервером будет зашифрован SSH. При этом порт 3389 на сервере останется закрытым для внешних подключений — это защищает от атак перебором паролей.

Для автоматизации можно использовать PuTTY. В настройках PuTTY перейдите в Connection → SSH → Tunnels, укажите Source port (например, 8888) и Destination (192.168.1.90:3389), выберите Local и нажмите Add. Затем сохраните сессию и запускайте её при необходимости.

Проброс портов через XRay reverse proxy

XRay — это современный прокси-инструмент, который поддерживает протоколы VLESS, Shadowsocks и другие. Его механизм reverse proxy позволяет организовать доступ к хостам за NAT или файрволом. Схема состоит из трёх элементов: клиент (тот, кто хочет получить доступ), portal (прокси-сервер на VPS) и bridge (хост за NAT, к которому нужен доступ).

Bridge первым устанавливает соединение с portal и поддерживает его. Когда клиент подключается к portal и запрашивает ресурс, portal перенаправляет запрос через уже установленное соединение на bridge. Bridge, в свою очередь, может выпустить трафик в свою локальную сеть или в интернет.

Для проброса конкретного порта, например 80, на portal добавляется inbound с протоколом dokodemo-door, который принимает входящие подключения на порт 80 и направляет их в reverse proxy. На bridge настраивается outbound с redirect на локальный порт 80. Таким образом, все запросы к порту 80 portal будут переадресованы на веб-сервер за NAT.

Настройка reverse proxy в XRay: пример конфигурации

Рассмотрим минимальную конфигурацию для XRay reverse proxy. На сервере (portal) создаётся конфиг с секцией reverse, где указывается виртуальный домен (например, reverse.example.com). Этот домен не должен существовать — он используется только для служебных целей.

Пример конфига portal:

{
  "reverse": {
    "portals": [
      { "tag": "portal", "domain": "reverse.example.com" }
    ]
  },
  "inbounds": [
    { "port": 5555, "tag": "incoming", "protocol": "shadowsocks", "settings": { "method": "2022-blake3-aes-128-gcm", "password": "..." } }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" },
    { "protocol": "blackhole", "tag": "block" }
  ],
  "routing": {
    "rules": [
      { "type": "field", "inboundTag": ["incoming"], "outboundTag": "portal" }
    ]
  }
}

На bridge конфиг будет содержать секцию reverse с тегом bridge и тем же доменом. В routing-правилах указывается, что запросы от bridge к виртуальному домену направляются на outbound для подключения к portal, а остальные запросы — на freedom (прямой выход).

Важно: если вы хотите ограничить доступ только к определённым портам, можно добавить правила маршрутизации, которые будут блокировать или разрешать конкретные адреса.

Проброс портов через IPsec VPN: особенности

IPsec VPN (например, StrongSwan) часто используется для организации защищённых соединений между сетями. Если у вас есть VPS с IPsec-сервером и роутер, который подключается к нему как клиент, вы можете пробросить порт с VPS на устройство за роутером.

Схема выглядит так: на VPS настраивается DNAT-правило, которое перенаправляет входящие пакеты на определённый порт на IP-адрес роутера внутри VPN-туннеля. Например:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 12341 -j DNAT --to-destination 10.10.10.1:12341

Затем на роутере настраивается проброс порта на конкретный компьютер в локальной сети.

Однако здесь часто возникает проблема: роутер получает пакеты, но не пересылает их дальше. Причина обычно в маршрутизации — ответный трафик уходит через основное подключение, а не через VPN. Решение — настроить SNAT на VPS или заставить роутер отправлять весь трафик через VPN. Также важно, чтобы подсети VPN и локальной сети не пересекались.

Типичные ошибки и способы их решения

При настройке проброса портов через VPN часто возникают одни и те же проблемы. Рассмотрим самые распространённые.

Пакеты доходят до роутера, но не доходят до компьютера. Это классическая проблема при использовании IPsec. Причина — неправильная маршрутизация ответного трафика. Решение: добавить SNAT-правило на VPN-сервере или настроить маршрутизацию всего трафика через туннель.

SSH-туннель работает, но не для UDP. SSH поддерживает только TCP, поэтому для UDP-сервисов (например, DNS или игры) он не подходит. В этом случае используйте XRay или WireGuard.

Клиент блокирует локальные адреса. В XRay-клиентах часто по умолчанию блокируются запросы к geoip:private. Если вы пытаетесь достучаться до локальной сети через reverse proxy, убедитесь, что в настройках клиента отключена блокировка приватных IP.

Проблемы с файрволом. Убедитесь, что на сервере и клиенте открыты нужные порты. Например, для SSH — порт 22, для XRay — порт, указанный в inbound.

Конфликт подсетей. Если локальная сеть роутера и VPN-подсеть пересекаются, маршрутизация может работать некорректно. Используйте разные подсети для VPN и локальной сети.

Безопасность при пробросе портов через VPN

Проброс портов через VPN добавляет дополнительный уровень безопасности, но не отменяет базовых правил. Во-первых, всегда используйте сильные пароли или, лучше, SSH-ключи для аутентификации. Во-вторых, ограничьте доступ к проброшенным портам по IP-адресам, если это возможно.

Для SSH-туннелей рекомендуется отключить прямой доступ к порту 22 из интернета, если он не нужен. Вместо этого используйте нестандартный порт или настройте fail2ban. Для XRay используйте протоколы с шифрованием (VLESS с TLS), чтобы избежать блокировок и перехвата трафика.

Также важно помнить, что проброс порта через VPN не защищает от атак на сам сервис. Например, если вы пробрасываете RDP, убедитесь, что на сервере установлены все обновления и включена многофакторная аутентификация.

Сравнение подходов: SSH, XRay, IPsec

Чтобы выбрать подходящий инструмент, сравним их по ключевым параметрам.

SSH-туннели — просты в настройке, не требуют дополнительного ПО, но работают только с TCP. Подходят для разовых задач, например, для доступа к RDP или веб-интерфейсу.

XRay reverse proxy — поддерживает TCP и UDP, позволяет гибко настраивать правила маршрутизации, обходит DPI. Требует установки XRay на всех узлах, но даёт больше возможностей.

IPsec VPN — стандарт для корпоративных сетей, поддерживает все протоколы, но сложен в настройке. Требует аккуратной работы с маршрутизацией и NAT.

Если вам нужно быстро и просто — выбирайте SSH. Если нужна гибкость и поддержка UDP — XRay. Если речь о постоянном соединении между офисами — IPsec.

Вопросы и ответы