Проброс портов: сопоставление назначения и отдельная защита

Документация nftables о NAT) показывает изменение назначения через DNAT и варианты преобразования портов. Здесь используется модель, не готовая последовательность команд для рабочего узла.

Четыре поля учебного сопоставления

Допустим, разрешенный входящий TCP-запрос на внешний порт 8443 направляется внутреннему сервису на 443. Это учебный пример. Он не открывает UDP на том же номере и не гарантирует, что внутри запущено приложение с нужным сертификатом.

Не публикуйте базу, панель управления или иной служебный интерфейс просто потому, что получился ответ. Определите необходимую операцию и минимальную область доступа до изменения правил.

Проброс не отменяет остальные условия

Проверьте, что сервис слушает ожидаемую точку, существует путь ответа и действуют согласованные правила firewall. Если есть CGNAT или другой внешний транслятор, выясните полномочия на каждом уровне.

Не считайте неудачный запрос доказательством ошибки именно в пробросе. Причина может находиться в приложении, адресации или разрешениях. Для отчета нужен путь, время и безопасный текст ошибки, а не только номер порта.

Приемка включает запрещенный сценарий

На согласованном стенде проверяют разрешенную операцию и ожидаемый отказ запрещенному источнику. Внешний и внутренний клиенты - разные точки проверки. Не создавайте нагрузку и не сканируйте чужие назначения без разрешения.

Перед рабочей правкой сохраните сведения о текущей схеме, ответственного и план возврата, особенно если через тот же узел идет единственный административный вход. В этой работе правила, порты и служебные интерфейсы не открывались.

Источник прочитан 7 октября 2026 года. Для общей модели есть NAT, состояния потоков - conntrack, серверного посредника - HTTP Proxy. Определения находятся в словаре.