Симптом узнаваемый: интернет на обеих машинах работает, сайты открываются, а подключиться к домашнему или рабочему компьютеру снаружи не получается — ни по RDP, ни через проброс портов на роутере. Причина чаще всего не в настройках и не в брандмауэре, а в том, как провайдер выдаёт вам адрес. Повлиять на это настройками нельзя, но обойти — можно.
Как понять, что у вас серый IP?
Проверка занимает минуту и не требует специальных инструментов.
- Посмотрите свой внешний адрес на любом сервисе вида «узнать свой IP» и сравните его с адресом в настройках роутера (раздел WAN или «Состояние»). Если они разные — вы за NAT провайдера.
- Адрес в роутере начинается на 10., 172.16–172.31. или 192.168. — это частный диапазон, наружу он не маршрутизируется.
- Особый случай — 100.64.x.x: этот диапазон зарезервирован именно под CGNAT, и его наличие означает провайдерский NAT почти наверняка.
- Косвенный признак: подключение работает, когда обе машины в одной сети или через мобильный интернет другого оператора, но не работает «через интернет» в обычном режиме.
Почему проброс портов не помогает?
Проброс портов настраивается на вашем роутере и говорит ему: «входящее соединение на такой-то порт передай вот этой машине». Но если провайдер не пропускает входящие соединения до вашего роутера, правило просто некому применить — пакет не доходит.
Отсюда типичная ошибка: человек час настраивает проброс, проверяет правила, отключает брандмауэр — и ничего не меняется, потому что проблема на уровень выше. Зачем вообще открывают порты и чем опасен универсальный совет это сделать — в разборе удалённого доступа без белого IP.
Какие есть варианты решения?
- Купить у провайдера статический белый IP. Работает, но стоит денег ежемесячно, требует заявки и не всегда доступен на домашних тарифах. Плюс открытый наружу порт начинают сканировать в тот же день.
- Поднять VPN между машинами. Решает задачу, но требует сервера с белым адресом и настройки на обеих сторонах — для одной домашней машины это тяжеловато.
- Использовать программу удалённого доступа, которая работает по идентификатору устройства. Обе машины сами устанавливают исходящие соединения — а их CGNAT не блокирует. Ни белый IP, ни проброс, ни VPN при этом не нужны.
Как это обходит подключение по ID?
Обе машины подключаются наружу сами и остаются на связи с сервером координации. Когда вы вводите идентификатор, сервер помогает им найти друг друга и пробить NAT с обеих сторон — техника называется hole punching. Если сеть слишком строгая и прямое соединение не поднимается, сеанс идёт через ретранслятор: медленнее, но работает. Подробно про то, что такое relay — в глоссарии, а как это работает в программе удалённого доступа — на странице продукта.
Мобильный интернет — крайний случай той же истории: там CGNAT практически всегда, и именно поэтому «через телефон» старые способы не работают вовсе, а подключение по идентификатору работает.
Когда дело всё-таки не в провайдере?
CGNAT объясняет не любую неудачу. Если подключение не поднимается и внутри локальной сети, причина ближе — в правилах брандмауэра или в том, что сеть отмечена как общедоступная; а как это устроено на уровне сети — как устроен NAT. Если сеанс устанавливается, но картинка рассыпается, дело в качестве канала, а не в адресации.
Как узнать, дал ли провайдер белый IP?
Сравните адрес, который показывает любой сервис «узнать свой IP», с адресом в настройках роутера в разделе WAN. Совпадают — адрес белый. Различаются, или в роутере видно 10.x, 172.16–172.31.x, 192.168.x либо 100.64.x — вы за NAT провайдера.
Сколько стоит белый IP и стоит ли его брать?
Цена зависит от провайдера и тарифа, обычно это ежемесячная доплата и заявка в поддержку. Брать его ради удалённого доступа смысла мало: подключение по идентификатору устройства работает и без него, а открытый наружу адрес начинают сканировать сразу после подключения.
Почему через мобильный интернет старые способы вообще не работают?
У мобильных операторов CGNAT практически всегда, причём часто в более строгом виде, чем у домашних провайдеров. Входящее соединение до абонента дойти не может в принципе, поэтому проброс портов и прямой RDP там бесполезны — а подключение по идентификатору работает, потому что обе стороны соединяются наружу сами.