Как получить/настроить белый статический IP для домашнего сервера?

Question

[None]

Всем привет, собрал себе домашний сервер. Настроил статический локальный IP. Теперь стоит задача в том, чтобы к этому серверу можно было достучаться из интернета. Узнал несколько способов

1) Пробросить порты на своем роутере к локале. Способ от части хороший. Но после всей настройки внешний IP моего роутера никак не отвечает. Пробовал пробрасывать и ответа нет. Не пингуется, абсолютно ничего. На домашнем сервере настроил nginx на прослушивание порта. Пробовал 80 и 85 порт. Роутер - Keenetic AIR

2) Использовать VPN + VPS. Я этот способ рассматриваю как костыль. Тк соединение будет не самое быстрое. Но как запасной вариант пойдет

3) Купить белый IP у домашнего провайдера и дело в шляпе. Мой провайдер предоставляет только IP для сети этого провайдера, т.е. для камер и т.п (это мне так объяснили, поправьте, если я не прав.). Если покупать нормальный, белый, статический IP, то только будучи юр лицом. Хотя в частном порядке решить можно. На текущий момент еще выясняется покупка белого статичного ip.

Вот у меня к вам вопрос: как открыть доступ моему домашнему серверу в интернет, чтобы я мог ввести его IP и попасть на него из любой сети?

p.s. я не являюсь сетевым инженером, так что могут быть неточности

UPDT1: Вижу многих людей заинтересовал момент про выдачу белого статик IP для физика. Поясняю: поговорил с провайдером. Он готов предоставить фиксированный IP адрес, но гибрид (это что-то новое). Как мне объяснили он работает как статика, но все же является динамикой. Т.е. у меня будет всегда один адрес, но под капотом я так полагаю будут изменения. Упомянули протокол PPPoe (может кому-то от этого яснее станет). Так же сказали, что IP будет доступен с любой сети только в России. НЕ претендую на правду, просто передаю то, что мне сказали.

Comments

[Артём]

1) Пробросить порты на своем роутере к локале

Сработает только в том случае, когда уже настроен белый IP на роутере

[None]

Удивительно, что во многих ресурсах данное условие просто пропускается

[Ziptar]

Если покупать нормальный, белый, статический IP, то только будучи юр лицом.

Или сменив провайдера на адекватного. Впрочем, любой адекватный домашний провайдер почуяв нагрузку околокоммерческого характера скажет вам убираться восвояси вместе со своим домашним сервером.

[Valentin Barbolin]

Просто VPN поднять типа zerotier, tailscale которые не требует белыйх IP не вариант?

[aleks-th]

Ну нормальный провайдер без проблем выделит белый ip за небольшую денежку

Answer 1

[suspect47]

Почитайте про роутеры keenetic и их службу keendns. Возможно, вам подойдет?

Comments

[None]

Почитал доку, звучит как то что нужно. Попробую, если все ок, то отпишусь

[suspect47]

None, ну, наверное, это самое простое решение. А какие задачи у вас?

[None]

suspect47, есть сервер на зеончике. Надо до него ходить из всемирной паутины

[None]

suspect47, Дружище спасибо! По документации сделал специальный домен в разделе keenetic все работает. Даже из других стран! Мужик, ты красавец

ссылки для тех, кому надо
https://support.keenetic.ru/eaeu/ultra/kn-1811/ru/...
https://support.keenetic.ru/eaeu/ultra/kn-1811/ru/...
https://help.keenetic.com/hc/ru/articles/360000400...

Answer 2

[None]

Ребят, нашел способ, может кому интересно будет. Подсказал вот этот человек suspect47.
Начнем с самого начала: мой провайдер "Космос" не выдает физ лицам белые IP. Для частников дают гибриды. Т.е. этот аля белый IP будет работать только в сети самого провайдера.

Следующий шаг: у меня роутер keenetic и у него есть раздел KeenDNS. На других роутерах можете погуглить сами.
В общем пройдясь по трем ссылкам их доки получилось настроить.
1) создаем домен KeenDns

2) пробрасываем порты до локали (позаботьтесь чтобы на стороне вашего сервера был настроен веб-сервер для определенного порта.)

3) далее настраиваем финальный доступ по этой ссылке

так же имейте в виду, что keendns работает не на всех портах. Читайте доку для уточнения деталей

Вауаля. Все работает. Необходимо позаботиться о безопасности, тк буквально открыли порты наружу.

p.s. если считаете, что этот способ не очень или осведомлены о подводных камнях, то будет интересно почитать в комментариях

Comments

[suspect47]

Ну, порты открывать в любом случае, если не использовать впн. Можете на этом же рутере сервер впн поднять, он там тоже в пакетах лежит.

[suspect47]

Из подводных камней - один раз служба отваливалась и было не достучаться на днс имя. Но, это один раз за 5 лет.

[None]

suspect47, есть минус один, а именно доступ к панеле роутера. Т.е чтобы создать домен и иметь удаленный доступ к серверу, необходимо указать тут галочку

Так вот, если я имею домен вида prefix.domain.keenetic.link, то убирая префикс, можно попасть на админку роутера. Я сменил пользователя, убрал доступ от админа, но как по мне все еще не особо безопасно. Как можно этого избежать? Что вы сделали?

[suspect47]

None, поставить галку "Только https" и пароль посерьезнее. Или отключите доступ к админке извне. Точно нужен вам доступ извне?

[None]

suspect47, а как вы настроили доступ по ssh к серверу? т.е. у меня сейчас есть локальный IP и я в своей сети могу войти на сервер, но как используя текущую настройку keendns обеспечить вход на сервер с любой сети?

[suspect47]

None, вешаете ssh на неочевидный порт, прокидываете его наружу, доступ только по ключу без пароля и fail2ban настраиваете, чтоб банил мамкиных хацкеров.

[None]

suspect47, это то понятно. я настроил. Но как теперь подключиться к серверу?
В качестве хоста я ввожу prefix.domain.keenetic.link, в качестве юзера - пользователя на сервере и ни привета, ни ответа)

[suspect47]

None, может, вы забыли разрешить ходить по ssh на роутер?

[None]

suspect47, зайти получилось. Но я зашел на роутер, а мне нужно на свой домашний сервер, используя домен. как это сделать?

[suspect47]

None, на какой внешний порт вы прокинули ваш внутренний ssh-server?

[None]

suspect47,

вот пример моей конфигурации, где я пытаюсь пробросить порт на сервер. Указал локальный IP моей машины. При попытке зайти перекидывает на роутер. Примечание: я указываю в качестве хоста днс, который я ранее создал в keenetic (keendns), в качестве пользователя я указываю пользователя на роутере. иначе не пускает

[suspect47]

None,

допустим, что 192.168.0.50 это ваш внутренний ip-адрес сервера
$USER - ваш пользователь на внутреннем сервере
$KEENDNS_ADDRESS - ваше днс-имя keendns
-p 6000 - долбиться на 6000 порт роутера, который этим правилом перенаправит пакеты на 22 порт внутреннего сервера

далее:

ssh $USER@$KEENDNS_ADDRESS -p 6000

[None]

suspect47, скрин выше (порт абстрактный на фото). Мне кажется ошибка в данных входа. Я просто не особо понимаю, почему не происходит переадресации по ssh на мой сервер.

Т.е. условно на своем сервере я указал порт 55555 (в ssh conf), далее в настройках роутера как показано выше я прописываю этот порт и указываю адрес хоста, но опаньки, вводя юзера от домашнего сервера и домен keends я не могу зайти

[suspect47]

None, на внутреннем сервере не было особого смысла менять порт.
Напишите правило по моему примеру и все будет работать.

[None]

suspect47, У вас лично получалось? Просто вот в этой ветке habr говорится, что можно только через vpn

[suspect47]

None, ну, естесственно, получалось. Через vpn, просто, безопаснее.
Но, лучше, конечно, поднять vpn сервер на этом же роутере, подключаться к нему через vpn и ходить куда вам удобно без переадресации портов.

[suspect47]

None, я поэтому и спрашивал, какие у вас задачи, но вы мне не ответили.
Собственно, достучаться - мы достучались, как вы и просили, а дальше как вам удобно и исходя из ваших задач.

[None]

suspect47, задачи имеют базовый характер. На текущий момент подключение по ssh является более приоритетным, нежели, чем страничка от nginx в браузере)

VPN обязательно настрою, я за безопасность, но на текущий момент хочу просто сделать хотя бы базовый вход. Значит ситуация сейчас такая


Как бы хост найден, но зачем-то просит пароль, хоть я его и отключал, но все равно не пускает. На сервере есть ключи ssh от хоста, который стучится

[suspect47]

None, ну пермишн денай это хорошо, это значит на хост вы, все же, попали. Теперь можно сходить в /var/log/auth.log на сервере и посмотреть, чего ему не хватает. Какой ключ вы туда положили? Их два, публичный и приватный. Права на файл? На крайний случай, включите парольный доступ и сделайте ssh-copy-id, чтобы точно быть уверенным в правильности ключа. Потом парольный доступ отключите.

[suspect47]

None, кстати, vpn сервер на этих роутерах поднимается за 10 минут.

[suspect47]

None, кстати, vpn сервер на этих роутерах поднимается за 10 минут.

[None]

suspect47, suspect47,

CRON[2307]: pam_unix(cron:session): session opened for user root(uid=0) by root(uid=0)
 CRON[2307]: pam_unix(cron:session): session closed for user root
 sudo: pam_unix(sudo:session): session closed for user root
 sudo: sysadmin : TTY=tty1 ; PWD=/home/sysadmin ; USER=root ; COMMAND=/usr/bin/vim /var/log/auth.log
 sudo: pam_unix(sudo:session): session opened for user root(uid=0) by sysadmin(uid=1000)
 sudo: pam_unix(sudo:session): session closed for user root

все еще не входит(
Если просто поменять хост с keendns на 192.168.0.205 (локальный адрес моей машины), то все окей (порт, юзер тот же. Пароль не просит). Может нужен ssh от роутера? Это моя гипотеза, так что не кидайтесь, если она не верная

[None]

suspect47,

кстати, vpn сервер на этих роутерах поднимается за 10 минут.

не спорю, что это сложно. Обязательно займусь этим на днях, но пока что надо хотя бы по колхозному сделать))

Кст, как в текущих реалиях vpn фурычит?

[suspect47]

None, вы по этому же роутеру интернет в данный момент получаете на ту машину, с которой пытаетесь попасть по ssh на этот сервер?

[None]

suspect47, да, конечно. он у меня в квартире один)

[suspect47]

None, на свой личный впн-сервер текущие реалии не распространяются. Вы чуть-чуть путаете теплое с мягким)

[suspect47]

None, так раздайте с мобилы сотовую сеть на ваш пк и вот тогда снова попробуйте. Вайфай на телефоне выключите только, чтоб он именно соту раздавал. Конечно, вы будете подключаться по внутреннему ip, вы же сами находитесь внутри этой же сети.

[None]

suspect47, окей, спасибо.

Вы чуть-чуть путаете теплое с мягким)

Да, только начинаю познавать удивительный и необъятный мир сетей.

[None]

suspect47,

так раздайте с мобилы сотовую сеть на ваш пк и вот тогда снова попробуйте.

Как это влияет на ssh подключение? мне всегда так придется делать?

Конечно, вы будете подключаться по внутреннему ip, вы же сами находитесь внутри этой же сети.

Это я понимаю, просто хотел подчеркнуть, что ssh ключи и пароль заведомо верны, но меняя хост на keendns я не могу войти(
опять же ssh [e-mail] -p 2459

[e-mail]'s password:
Permission denied, please try again.

[suspect47]

None, нормально, главное, что есть интерес. Все так начинали.

[suspect47]

None, покажите ваше правило на роутере.

[None]

suspect47, что именно ? Перебрасывание портов?

[None]

suspect47,

[suspect47]

None, вы же кликнули на галку "включить правило", да?

[None]

suspect47, слушайте, ну было бы странно, если бы я не включил)) это уже конечная тогда

[suspect47]

None, ну, мне отсюда не видно, честно)

а что вот эти команды выдают?

cat /etc/ssh/sshd_config | grep Port
cat /etc/ssh/sshd_config | grep Publ
cat /etc/ssh/sshd_config | grep Pass
systemctl status ssh

[None]

suspect47,

cat /etc/ssh/sshd_config | grep Port
Port 2459
#GatewayPorts no

cat /etc/ssh/sshd_config | grep Pubk
PubkeyAuthentication yes

cat /etc/ssh/sshd_config | grep Pass
PasswordAuthentication yes
#PasswordAuthentication yes
#PermitEmptyPasswords no
#KerberosOrLocalPasswd yes
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication, then enable this but set PasswordAuthentication

systemctl status ssh
● ssh.service - OpenBSD Secure Shell server
     Loaded: loaded (/usr/lib/systemd/system/ssh.service; enabled; preset: enabled)
     Active: active (running) since Thu 2024-10-31 10:52:22 UTC; 15min ago
TriggeredBy: ● ssh.socket
       Docs: man:sshd(8)
             man:sshd_config(5)
    Process: 2306 ExecStartPre=/usr/sbin/sshd -t (code=exited, status=0/SUCCESS)
   Main PID: 2308 (sshd)
      Tasks: 1 (limit: 18911)
     Memory: 1.2M (peak: 1.5M)
        CPU: 27ms
     CGroup: /system.slice/ssh.service
             └─2308 "sshd: /usr/sbin/sshd -D [listener] 0 of 10-100 startups"

Oct 31 10:52:22 bagrs1 systemd[1]: Starting ssh.service - OpenBSD Secure Shell server...
Oct 31 10:52:22 bagrs1 sshd[2308]: Server listening on :: port 2459.
Oct 31 10:52:22 bagrs1 systemd[1]: Started ssh.service - OpenBSD Secure Shell server.

У вас есть гипотезы, по причине которых такое может происходить?

Еще раз: Хост находит, но не пускает. SSH ключи есть на сервере в authorized_key. Специально включил вход по паролю. Если вместо хоста keendns указать локальный адрес сервера, то все окей, значит ssh указан верный.

Следовательно может надо указать ssh роутера? или что-то в этом духе?

[suspect47]

None, нет, я сдаюсь. Должно работать, где-то косяк.

[suspect47]

None, фаерволл, может, проверьте.

[None]

suspect47, хорошо, в любом случае спасибо вам за уделенное время. попробую сейчас настроить openvpn и думаю все сработает.
Фаерволл отключил, не помогло

Answer 3

[CityCat4]

Если покупать нормальный, белый, статический IP, то только будучи юр лицом

Сменить такого прова нафиг, если есть возможность - потому что 100% это местечковое чудище (я в таком работал).

Использовать VPN + VPS. Я этот способ рассматриваю как костыль.

Большинство использует именно такой способ, даже когда у них статика на халяву. Домашний сервер хорош когда там сайт с полутора посетителями в день и не особьо нагруженная почта. Когда там идет активная работа - тебя пров может запросто забанить за перегруз сети.

Comments

[None]

Я обновил вопрос, внес детали по поводу IP для физика, если интересно, то можете глянуть

[CityCat4]

None,

Упомянули протокол PPPoe (может кому-то от этого яснее станет).

Это нормально, я сейчас подключен по PPPoE, статика. Там вообще статика изначально, даже если не хочешь.

[Серёга]

Есть ещё один подвох, о котором провайдеры молчат. У меня в доме Онлайм, Акадо, МГСТ. Старик IP дал только Онлайм. А потом выяснилось, что порт 80, 443 и 25 они все равно не откроют физические лицу. Вот так. А у меня Synology, свой почтовый сервер, свой сайт-портал...

[CityCat4]

Серёга, Sorry, russian isn't natural language? Что за "Старик IP"? What language is your natural?

[JustasZT]

CityCat4, очевидно, он имел в виду "статик", но автозамена решила внести свои правки.

[JustasZT]

Серёга, чуть чаем не подавился, прочитав про Онлайм. Точно такая же связка у меня случилась ещё до их поглощения РТК. Оплатил IP, домен, на Syno поднял сайт, настроил почту, а письма не ходят. Был крайне расстроен, когда узнал, что и не будут из-за ограничений провайдера. Если не секрет, удалось найти какой-нибудь другой путь для почты?

[Серёга]

JustasZT, поднял VPN до тёщи, в соседнем городе, там провайдер адекватный. И пришлось домен и прочее на тёщин ip прикручивать.

[MaxxDamage]

Серёга, Ппц дичь, впервые слышу чтобы провайдер не открывал какие-то порты. Слать такого провайдера лесом.

[CityCat4]

MaxxDamage, Это действительно дичь, но некоторые особо умные провы таким балуются, типо повышают безопасность, правда неизвестно чью. На это моска даже у РТК не хватает :) Лесом такого прова, если есть возможность конечно (потому что обычно таким балуются местечковые, которым альтернативы не особо).
Хотя например в Штатах - там каждый второй пров ведет себя именно так (коллега там бывает до сих пор периодически, сейчас конечно намного сложнее стало)

Answer 4

[karacurt]

В моём случае с таким же кейсом вышел покупкой белого IP у провайдера.
150руб/мес;
Билайн (вся сеть за CGNAT).

Никаких ограничений для физ.лиц, по сравнению с юр.лицами, платишь деньги, получаешь IP*

* Чудовищный геморрой на старте, через оф.сайт не купить, говорящие головы в первой линии тех. поддержки вообще не отдупляют что тебе нужно, пришлось продираться до компетентного специалиста через много редиректов.
После того как попал на спеца, весь разговор и результат уложились в 10 минут.

#Не на правах рекламы.

Comments

[None]

Я обновил вопрос, внес детали по поводу IP для физика, если интересно, то можете глянуть

[Oleg]

в Казахстане аналогично, порой не знают что такое IP адрес. И стоимость IP эквивалента 1000р. Видимо это их болезнь.

[Sergey В.]

подтверждаю наличие у билайна белого IP за 150 руб/мес

Answer 5

[Rasters]

Для дома мне достаточно через Cloudflare Tunnel.
Установить демон cloudflared или WARP.

Comments

[None]

Можете подробнее рассказать? или ссылки покидать пожалуйста?

[Rasters]

Документация https://developers.cloudflare.com/cloudflare-one/c...
Единственное нужен домен

Answer 6

[Петровский]

Не пингуется потому, что роутер за CGNAT.

Вариант VPN+VPS вполне норм.

Comments

[None]

Вариант VPN+VPS вполне норм.

Какие есть узкие места данного способа?

[Петровский]

Вроде никаких.

Может быть дешевле IP купить, а может vps.

[None]

Может быть дешевле IP купить,

Тогда вопрос: если я не являюсь клиентом билайна допустим, то смогу ли я арендовать белый IP у них? Или это напрямую зависит от домашнего wifi провайдера?

[Петровский]

Арендовать вы можете у своего провайдера и только у него.

Какая связь с wifi -- не понял. Однако с таким уровнем знаний поднять VPN и правильно настроить вы не сможете.

[None]

Петровский,

Какая связь с wifi -- не понял.

возможно не ясно выразился. я имел в виду домашнего провайдера

Answer 7

[Drno]

3. вариант наиболее верный. пусть выдает тебе любой внешний IP дальше уже разрулишь у себя
ну либо вариант с VPS

Comments

[None]

Как я смогу разрулить, если IP, который мне выдадут окажется действенным только в сети самого провайдера?

[Valentin Barbolin]

None, Сам термин "белый IP" подразумевает что он должен быть доступен из мира, если он доступен только из сети провайдера, то он не белый)

[Drno]

None, Валентин верно сказал - "белый IP" подразумевает внешную доступность из любой точки мира

[None]

Drno Valentin Barbolin, да, это безусловно ясно. Изначально, когда я запросил услугу белого IP, то мне дали IP вида 91.xxx.xxx.xx, потом позвонили и сказали, что они ошиблись и этот IP доступен только в зоне провайдера или что-то в этом духе. Собственно говоря могу ли я этим IP-шником пользоваться? По сути он является белым, тк начинается с 91, но я до конца не понял эту систему

Answer 8

[ky0]

Использовать VPN + VPS. Я этот способ рассматриваю как костыль.

Костыль - это ваш сервер на домашнем интернете. А VPS - это как раз стандартный способ.

Comments

[None]

Костыль - это ваш сервер на домашнем интернете

Делается это не для большого продакшена, так что отчасти я с вами согласен. Но не будет ли сильной потери в скорости и стабильности соединения, используя VPN + VPS?

[the_d_kid]

Костыль это ваш комментарий, а домашние сервера для некоторых задач это единственный вариант нормы

Answer 9

[1dntfkngcare]

В Москве и Иркутске Ростелеком белый iP предоставляет за 300р/мес для обычный физиков.

Comments

[None]

Я обновил вопрос, внес детали по поводу IP для физика, если интересно, то можете глянуть

[CityCat4]

Мне бесплатно дали :) Я собственно даже и не просил :) Ростелеком.

[None]

CityCat4, интересный момент, с учетом того, что IPv4 еще в 2019 году закончились. Может вам что-то не то дали ? Не будут же дефицитным товаром разбрасываться

[shurshur]

None, нет, закончились свободные адреса, которые могут получить RIR (региональные реестры, такие как европейский RIPE). Им выдавали сетки /8. Сами RIR потенциально могут выдать из свободных остатков или из того, что вернулось от каких-то операторов. Там выдают сетки от /24. Но сейчас сеток всё равно так мало, что для получения новой приходится как-то доказать, что ты имеющиеся уже используешь на 90% минимум. Также есть практика целенаправленной передачи сеток от одного владельца другому по договорённости.

Однако дальше есть практика уже конкретного оператора. У некоторых сетка достаточно большая, чтобы выдать внешний любому клиенту, а клиентов не так много, чтобы сетка закончилась. А у некоторых наоборот, адресов хронически мало при большой абонентной базе.

И надо понимать, то "оператор Ростелеком" - это некоторый миф. На самом деле Ростелеком купил по всей стране многие десятки операторов с самой разной тезнологией подключения, особенностями итд итп. И это по-прежнему не единый оператор, в конкретном месте могут быть особенностями того, каким оператор был 15 лет назад.

То же самое, например, оператор Билайн - который фактически купил операторов Корбина и Голден Телеком когда-то давно и потом ещё не один год после этого фактически клиенты продолжали быть клиентами одного из этих операторов - включая поддержку, выдаваемые IP и всё такое.

[CityCat4]

None, Неверно. Закончились свободные блоки, которые можно раздавать. Но:
- у многих провайдеров закуплено достаточно много блоков, которые они запросто в аренду сдают (прям блоками по /24)
- Один крупный провайдер вполне может скупить десяток мелких - вместе с их блоками. Например тот же Ростелеком, который скупал все, что можно, как не в себя, поэтому у него огого какие запасы.

Может вам что-то не то дали ?

Вполне себе то - IP 90.ххх.yyy.zzz

[None]

CityCat4,

Вполне себе то - IP 90.ххх.yyy.zzz

Спасибо за историческую справку. Мне вот тоже выдали IP и как я писал ранее он ограничен территориально - Россия. У вас есть какие ограничения?

Answer 10

[Coolphaifer]

Странно что провайдер не выдаёт статику, обычное дело))
Проблема в том что если настраивать адрес через keenDNSc то если у них что либо упадёт то сервис будет недоступен, плюс зависит от расположения их NS серверов, задержка и все дела
Если роутер кинетик то статика или динамика там по боку(ОС максимально упрощенная), обычный маскарадинг стоит и всё(вычисление внешнего адреса), но если настраивать NAT на статику например на микротике(то там нужен именно ПОСТОЯННЫЙ адрес), если внешний адрес поменяется то интернета просто не будет, т.к вручную прописывается адрес, не понял что за "гибридный" ip, первый раз такое слышу, на сколько я знаю бывает два типа адреса: статика(постоянный, белый) и динамический(изменяющийся, серый)))
Если кто понимает что за гибридный IP, буду признателен за информацию)

Answer 11

[Antiskim]

У такого решения есть еще одна проблема, если потом делаешь подключение к этому роутеру vpn ipsec , и у тебя не белый ip, то vpn не заведется. Столкнулся с этим у провайдера, который может присвоить, как белый ip(и все работает) так и серый, начинаются проблемы.
А для доступа в веб морду подойдет. Т.к. там может быть доступ, как через облако keenetic в случае серого ip, так и прямой.

Comments

[suspect47]

у меня норм работает. один раз не смог подключиться, но, думаю, это служба keendns лежала.

Answer 12

[omonraa]

можно поступить намного проще.
ставишь анидеск, заходишь на сервак и смотришь ip, потом по этому ip заходишь на сервак. динамический
ip меняется раз в неделю или две.
Ну а вообще провайдер (ростелеком, омикрон) свободно даёт статику за пару бакинских рублей.