Белый и серый IP: как достучаться до устройства за NAT провайдера

Дома стоит камера, NAS или домашний сервер, а подключиться к ним снаружи не получается. Чаще всего причина одна: провайдер выдал серый адрес, а серый адрес входящие подключения не принимает. Ниже — чем он отличается от белого, как определить свой тип адреса и что делать, если белого нет: от заявки провайдеру до доступа в обход белого IP.

В чём разница между белым и серым адресом

Адресов IPv4 на всех давно не хватает: старый формат исчерпан, а держать по персональному адресу на каждого абонента провайдеру дорого. Дешевле спрятать несколько сотен клиентов за одним общим адресом. Так и появилось деление на белые и серые.

У белого IP адрес уникален во всём интернете и закреплён за вашим подключением. К нему можно обратиться снаружи и попасть именно к вам — ограничений на входящие подключения нет.

Серый IP — это адрес из внутренней сети провайдера; в «большом» интернете его нет, и такой же адрес в эту минуту есть у сотен соседей. Когда вы открываете сайт, исходящему запросу провайдер подставляет свой общий белый адрес и запоминает, кому вернуть ответ, — это и есть NAT. А вот входящий запрос вернуть некому: он приходит на общий адрес провайдера, и там неизвестно, кому из сотен абонентов он предназначен. Поэтому камера, к которой вы стучитесь с работы, снаружи не отвечает.

Как узнать, какой адрес у вас

Проверка занимает пару минут и не требует специальных программ.

• Откройте на телефоне или компьютере любой сервис, показывающий ваш внешний адрес, — в поиске это «мой ip». Запомните число: под ним вас видит интернет.
• Зайдите в веб-интерфейс роутера и найдите адрес на WAN-интерфейсе. Обычно он на главной странице статуса.
• Сравните два числа. Совпали — адрес белый, и дальше всё сводится к настройке. Если на роутере адрес другой и начинается на 100.64–100.127, 10., 192.168. или 172.16–172.31 — вы за провайдерским NAT, адрес серый.

Диапазон 100.64.0.0/10 стоит запомнить отдельно: он зарезервирован под провайдерскую трансляцию, которую называют CGNAT. На домашнем роутере он появляется, только если провайдер посадил вас за общий адрес. Как устроены типы адресов и почему они меняются, подробно разобрано в материале про динамический DNS.

Динамический адрес — не то же самое, что серый

На этом месте многие путаются. Провайдер может выдавать белый адрес, но не закреплять его: при переподключении или раз в сутки число меняется. Адрес от этого белым быть не перестаёт — снаружи к нему обращаются, проброс портов работает, — он просто непостоянный. С серым его роднит только то, что оба «неудобные», но серый недостижим вообще, а меняющийся белый достижим по актуальному числу.

Отличить их помогает та же проверка. WAN роутера совпадает с внешним адресом, но раз за разом меняется — адрес белый динамический, и меняющееся число прячет за постоянным именем динамический DNS, менять тариф не нужно. WAN всегда отличается от внешнего — адрес серый, и DDNS здесь бессилен при любом TTL. Разница в одном наблюдении, а решения у неё противоположные.

Откуда берётся серый адрес

Причина арифметическая. Свободные адреса IPv4 в мире закончились: за новым блоком оператор встаёт в многолетнюю очередь и потом ежегодно платит за каждый адрес. Абонентов при этом больше, чем адресов, особенно у мобильных операторов, где на один белый адрес приходятся тысячи подключений. CGNAT сводит концы с концами: клиентов обслуживается много, а публичных адресов расходуется мало.

Большинство этого даже не замечает — для сайтов и видео белый адрес не нужен. Упираются в проблему те, кому нужно входящее подключение: владельцы камер, домашних серверов, умного дома, любители удалённого доступа к рабочему компьютеру. Дальше — что с этим делать.

Мобильный интернет

Если вы выходите в сеть через SIM-карту — телефон как точка доступа, USB-модем, роутер с симкой, — серый адрес почти гарантирован. К одному белому адресу оператора привязаны тысячи абонентов, и раздать каждому персональный публичный адрес технически негде. Попросить белый IP на обычной симке обычно нельзя: у большинства операторов такой услуги для физлиц просто нет, а где есть — это отдельная платная опция или корпоративный тариф.

Что выдаёт CGNAT оператора:

• адрес на устройстве или роутере из диапазона 100.64.x.x–100.127.x.x;
• внешний адрес не совпадает с адресом на интерфейсе и вдобавок меняется от вышки к вышке;
• проброс портов и «открытие портов» в приложениях камер и торрент-клиентов не даёт результата снаружи.

Отсюда следствие: на мобильном интернете из трёх вариантов ниже реально работает только проксированный доступ — ему белый адрес не нужен, и за каким NAT вы сидите, ему безразлично. Белый IP на симке почти не добыть, а держать постоянный VPN-туннель с мобильного канала неудобно.

Как получить доступ: три варианта

Способов достучаться до устройства за серым IP три. Они не исключают друг друга и подходят под разный бюджет и задачи; где-то наш сервис не понадобится, и об этом сказано прямо.

Белый IP у провайдера

Самый прямой вариант — позвонить провайдеру и попросить внешний адрес (его же называют белым или статическим). У проводных операторов это обычно платная услуга, от 100 до 300 рублей в месяц, иногда с разовой активацией. После подключения всё встаёт на свои места: проброс портов на роутере снова имеет смысл, камера и NAS открываются напрямую.

Вариант хорош, когда провайдер услугу даёт, цена подходит и вам нужен минимум посредников между собой и устройством. Наш сервис в этом случае, скорее всего, не понадобится: хватит белого адреса и динамического DNS, если адрес меняется.

Загвоздка в том, что дают его не всегда. У многих мобильных операторов белого адреса нет как услуги, а часть домашних провайдеров выдаёт его только юрлицам или на старших тарифах. Услышали «такой услуги нет» — остаются туннель и проксирование.

Как заказать белый IP и что уточнить

Услуга у операторов называется по-разному: «внешний IP», «публичный адрес», «статический IP», «выделенный адрес». В разговоре с поддержкой достаточно описать задачу словами — «нужно подключаться к домашней камере из интернета», — и вам подберут тариф. Уточнить стоит три вещи.

• Статический или динамический. Статический закреплён за вами и не меняется — удобнее, но дороже. Динамический белый дешевле и для доступа к устройству годится не хуже: меняющееся число прячет динамический DNS. Переплачивать за статику ради одной камеры незачем.
• Разовая активация или помесячно. Одни операторы берут фиксированную плату каждый месяц, другие — разовую за подключение. На длинной дистанции разовая выходит выгоднее.
• Тип линии. На оптике GPON и у мобильных операторов белый адрес выдают реже — там сильнее экономят адреса. Ответ «нет технической возможности» обычно про политику оператора, а не про физику, и он окончательный: уговорами адрес не добыть.

Когда белый адрес не дают или он дорог, задачу закрывают туннель и проксирование — им сторона провайдера уже безразлична.

VPN или свой туннель

Здесь устройство не открывают наружу, а сами пробивают канал изнутри. Соединение всегда идёт из вашей сети во внешний мир, а исходящим подключениям провайдерский NAT не мешает, так что серый адрес перестаёт быть преградой.

Выглядит это так: где-то есть узел с белым адресом — арендованный VPS, рабочий офис, второй дом с нормальным интернетом, — ваш роутер или отдельное устройство постоянно держит с ним связь, и через этот узел вы попадаете домой. VPN уместен, когда нужно оказаться в домашней сети целиком, будто подключились к своему Wi-Fi, а не публиковать один сервис.

Плата за это — тот самый узел-посредник с белым адресом и возня с настройкой: сервер, клиенты на устройствах, ключи. Ради одной камеры перебор, ради доступа ко всей домашней сети — разумно. Когда своего сервера нет и настраивать не хочется, роль посредника берёт на себя проксирование.

Проксированный доступ без белого IP

Принцип «соединение изнутри наружу» тот же, что у туннеля, только посредником выступает наша сеть, а свой сервер поднимать не нужно. Устройство или роутер держит связь с Alviy, а вы обращаетесь к сервису по постоянному имени вида home.example.com. Белый адрес при этом не требуется — работает и за CGNAT, и на мобильном интернете.

По сравнению с первыми двумя вариантами это снимает сразу три ограничения:

• белый IP не нужен — нет ни доплаты провайдеру, ни ожидания заявки, доступ появляется там, где белого адреса не добиться;
• VPN не приходится настраивать на каждом устройстве — к сервису подключаются по обычному имени из браузера или приложения, без клиента и ключей на стороне того, кто заходит;
• адрес устройства не виден снаружи: наружу смотрит узел сети, а не ваш домашний канал, — его не сканируют и по нему не выйдут на вашу линию. На том же приёме построены проксирование сайтов и обратный прокси для SaaS.

Минус у способа один: трафик идёт через посредника, то есть через нашу сеть. Для доступа к камере, NAS или панели управления это некритично, а нередко и на руку — домашний канал не светится наружу. Но если вам принципиально прямое соединение без промежуточных узлов, а белый адрес доступен, разумнее взять его.

Сколько это стоит

Обычно выбор упирается в деньги. Порядок сумм такой:

• Белый IP у провайдера — регулярный платёж, чаще всего 100–300 рублей в месяц, иногда с разовой активацией. Больше платить не за что, но и доплатой делу не поможешь: если провайдер услугу не оказывает, деньги вопрос не решают.
• Свой VPS под туннель или VPN — аренда сервера с белым адресом обходится примерно в те же деньги в месяц, плюс ваше время на настройку и поддержание. Имеет смысл, когда сервер уже есть или нужен для других дел.
• Проксированный доступ — подписка того же порядка, что и плата за белый IP, но работает там, где белого адреса не добиться, и без собственного сервера. Актуальные тарифы — на странице цен.

Если провайдер даёт белый адрес по устраивающей цене — берите, короче пути нет. Если белого адреса нет или он неоправданно дорог, выбор между своим VPS и проксированием сводится к одному: готовы ли вы администрировать сервер.

IPv6: когда серый IPv4 — не приговор

У серого IPv4 есть обходной путь, о котором часто забывают. Некоторые провайдеры вместе с серым IPv4 выдают полноценный IPv6, и тогда у каждого домашнего устройства появляется собственный глобальный IPv6-адрес — уникальный и доступный снаружи напрямую, без всякого NAT. Адресов IPv6 хватает с запасом, прятать клиентов за общим адресом незачем.

Проверить легко: посмотрите, выдаёт ли роутер устройствам адреса вида 2a0… вдобавок к привычным 192.168.x.x. Если выдаёт, к камере или серверу можно обращаться по IPv6-адресу либо по имени с AAAA-записью в зоне.

Есть две оговорки, из-за которых IPv6 выручает не всегда. Входящие по IPv6 обычно закрыты файрволом роутера — нужное устройство и порт разрешают вручную. И подключиться сможет только тот, у кого IPv6 есть у самого: на мобильном интернете он почти всегда, а в офисных и корпоративных сетях — далеко не везде. Поэтому IPv6 хорош как дополнение, а надёжный доступ откуда угодно по-прежнему дают белый IPv4 или проксирование.

Проброс портов на сером IP: почему не работает

На этом спотыкаются чаще всего. Человек читает инструкцию к камере, заходит в роутер, аккуратно прописывает проброс портов — и ничего. Настройка тут ни при чём: на сером IP проброс портов бесполезен по определению.

Проброс портов — правило на вашем роутере: «всё, что пришло снаружи на порт 8080, отдай камере на 192.168.1.50». Оно срабатывает, когда внешний запрос до вашего роутера доходит. При сером адресе граница проходит выше, на роутере провайдера, куда доступа у вас нет. Запрос упирается в общий адрес провайдера и до вашего роутера не добирается — пробрасывать нечего. Вы настраиваете последнюю дверь в цепочке, а застревает всё на первой.

Проверяется это быстро: настройте проброс и подключитесь не из дома, а с мобильного интернета. Изнутри домашней сети многие роутеры отвечают сами себе и создают ложное ощущение, что всё работает. Снаружи доступа по-прежнему нет, а адрес серый — значит, проброс здесь бессилен.

Выход зависит от того, есть ли белый адрес. Нужен именно проброс — сначала получите белый IP у провайдера, тогда правило заработает. Белого адреса нет — «снаружи внутрь» пускает не проброс, а соединение изнутри наружу: туннель или проксированный доступ. Порт устройства в этом случае выставляет наружу посредник, а не ваш роутер, и серый адрес уже не мешает.

Двойной NAT: белый адрес есть, а доступа всё равно нет

Отдельная ловушка, которую легко принять за серый IP. Адрес у провайдера белый, проброс настроен по инструкции, а снаружи тишина. Причина — два роутера подряд: оборудование провайдера (оптический терминал или его роутер) работает в режиме маршрутизатора, а за ним стоит ваш собственный роутер. Белый адрес оказывается на первом устройстве, ваш проброс — на втором, и между ними прячется ещё один NAT.

Выдаёт это та же проверка адреса: на WAN вашего роутера не белый адрес, а что-то из 192.168.x.x — то есть адрес из сети первого устройства, а не из интернета. Формально адрес выглядит серым, но виноват не провайдер, а лишнее звено внутри квартиры.

Лечится одним из двух способов. Первое устройство переводят в режим моста (bridge) — тогда белый адрес приходит прямо на ваш роутер и проброс оживает. Либо проброс настраивают на обоих устройствах по цепочке, но это хрупко и сбивается при каждой смене адреса. Мост надёжнее; как его включить, подскажет поддержка провайдера или инструкция к его оборудованию.

Стоит ли открывать устройство прямо в интернет

Даже когда белый IP есть и проброс работает, выставлять устройство прямо в интернет рискованно, и знать об этом лучше заранее. Любой открытый наружу порт круглосуточно перебирают автоматические сканеры: боты обходят адреса подряд в поисках камер, роутеров и NAS с заводскими паролями и известными дырами. Камера со стандартным admin/admin попадает в чужой ботнет очень быстро.

Поэтому при прямом доступе минимум такой:

• сменить заводские пароли и, где можно, включить второй фактор;
• не оставлять снаружи стандартные порты управления;
• ограничить доступ по списку адресов, если подключаетесь из одних и тех же мест;
• обновлять прошивку — старые версии автосканеры и ловят.

Это ещё один довод за проксированный доступ даже при белом адресе: реальный адрес и порт устройства снаружи не видны, сканировать нечего. За «дверью» стоит узел сети, а не камера напрямую.

Что выбрать под свою задачу

Способ зависит не только от типа адреса, но и от того, что именно вы подключаете.

С чего начать

Alviy закрывает третий вариант: доступ к устройству за серым IP по постоянному имени, без белого адреса и без настройки VPN на каждом клиенте. Когда адрес белый и просто меняется, задача проще — её решает динамический DNS, а именами и зоной удобно управлять в DNS-хостинге.

Со стороны устройства настройка сводится к обновлению адреса, и проще всего сделать это на роутере. По популярным моделям есть готовые разборы — Keenetic и Padavan, общий порядок для любого роутера собран в инструкции по настройке. Когда прошивка роутера с нужным сервисом не дружит, тот же клиент ставится на компьютер, сервер или NAS — варианты перечислены в документации по клиентам.

Частые вопросы

Дадут ли белый IP бесплатно? Обычно нет: у проводных операторов это платная услуга, у мобильных её чаще всего не бывает. Бесплатно обойтись без белого адреса помогают проксирование или, если повезло с провайдером, IPv6.

Серый IP — это опасно? Скорее наоборот: за провайдерским NAT вы менее уязвимы, снаружи к вам не достучаться и сканеры портов проходят мимо. Единственное неудобство серого адреса — недоступность извне.

«Мой IP» показывает нормальный адрес, а доступа нет. Почему? Такой сервис показывает адрес, с которого запрос вышел в интернет, — то есть общий адрес провайдера, а не ваш. Сравнивать нужно с адресом на WAN роутера; разные — значит адрес серый.

Поможет ли смена роутера или прошивки? Нет. Тип адреса назначает провайдер на своей стороне, оборудование в квартире на это не влияет. Другой роутер меняет удобство настройки, но серый адрес белым не сделает.

Почему на мобильном интернете ничего не пробрасывается? Мобильный адрес почти всегда серый, за CGNAT. Проброс портов там бесполезен по той же причине, что и на любом сером IP, а выручает проксированный доступ.

Итог короткий. Сначала определите тип адреса — совпадает ли WAN роутера с внешним. Белый адрес означает, что хватит проброса портов и, если он меняется, динамического DNS. Серый адрес закрывает проброс наглухо: остаётся либо выпросить белый IP у провайдера, либо обойтись без него — своим туннелем или проксированием через нашу сеть. На мобильном интернете из этого списка реально работает только последнее.