Port forwarding là gì? Mở port trên modem Viettel, VNPT, FPT

Port forwarding là kỹ thuật chuyển tiếp kết nối từ địa chỉ IP công cộng và một cổng trên modem vào đúng máy và cổng trong mạng nhà. Nhờ vậy, máy chủ game Minecraft, camera, máy chủ web hay máy tính ở nhà có thể được truy cập từ bên ngoài. Bài này ProxyVN giải thích cách hoạt động, hướng dẫn mở port trên modem Viettel, VNPT, FPT theo giao diện chung, cách kiểm tra cổng đã mở, lý do mở rồi vẫn không vào được, và phương án thay thế khi bị CGNAT. Tham khảo dịch vụ tại ProxyVN.

Tổng quan về port forwarding

Muốn mở port đúng, anh em cần nắm cách modem nhà mình chia sẻ một IP công cộng cho nhiều thiết bị. Phần này giải thích ngắn gọn cơ chế đó và vì sao cần chuyển tiếp cổng.

Mạng nhà dùng NAT như thế nào

Nhà mạng cấp cho modem một địa chỉ IP công cộng, còn các thiết bị trong nhà như điện thoại, laptop, TV nhận IP riêng dạng 192.168.1.x. Khái niệm IP công cộng và IP riêng được giải thích kỹ trong bài địa chỉ IP là gì. Khi thiết bị trong nhà truy cập Internet, modem thay IP riêng bằng IP công cộng của nó, ghi nhớ kết nối, và chuyển phản hồi về đúng thiết bị. Cơ chế này gọi là NAT.

NAT hoạt động tốt cho kết nối đi ra. Nhưng khi một máy bên ngoài chủ động kết nối vào IP công cộng của modem, modem không biết chuyển kết nối đó cho thiết bị nào trong nhà, nên bỏ qua. Đây là lý do máy chủ chạy trong nhà mặc định không ai bên ngoài truy cập được.

Port forwarding giải quyết thế nào

Theo định nghĩa trên trang port forwarding của Wikipedia, đây là một ứng dụng của NAT, chuyển hướng kết nối từ một cặp địa chỉ và cổng sang cặp khác khi đi qua cổng mạng như router hay tường lửa. Anh em tạo một quy tắc trên modem: "mọi kết nối tới cổng 25565 của IP công cộng thì chuyển tới máy 192.168.1.50 cổng 25565". Từ đó, người chơi bên ngoài kết nối vào IP công cộng ở cổng 25565 sẽ tới đúng máy chủ Minecraft trong nhà.

Điểm cần nhớ: port forwarding chỉ có tác dụng khi modem thật sự giữ IP công cộng. Nếu nhà mạng đặt modem sau một lớp NAT nữa, quy tắc trên modem không đủ.

Cổng là gì

Cổng là con số từ 0 tới 65535 giúp phân biệt các dịch vụ trên cùng một địa chỉ IP. Bài giải thích cổng mạng là gì của Cloudflare ví cổng như số phòng trong một toà nhà. Một số cổng quen thuộc:

Ý nghĩa các cổng hay gặp trong proxy như 8080, 3128, 1080 có trong bài port proxy là gì. Lưu ý bài đó còn nói về lệnh portproxy của Windows, là chuyển tiếp cổng ngay trong một máy, khác với port forwarding trên modem.

Chuẩn bị trước khi mở port forwarding

Từ IP công cộng vào đúng máy trong mạng nhà

Mở port không khó, nhưng làm sai bước chuẩn bị thì quy tắc sẽ hỏng sau vài ngày. Anh em nên làm đủ ba việc dưới đây trước khi vào modem.

Cố định IP nội bộ cho máy chủ

Modem cấp IP nội bộ tự động qua DHCP, và IP có thể đổi sau khi khởi động lại. Nếu máy chủ đổi từ 192.168.1.50 sang 192.168.1.53, quy tắc chuyển tiếp sẽ trỏ vào sai máy. Có hai cách cố định:

• Đặt giữ chỗ DHCP trên modem: trong mục LAN hoặc DHCP, gắn địa chỉ MAC của máy chủ với một IP cố định. Đây là cách nên dùng.
• Đặt IP tĩnh trên máy chủ: chọn IP ngoài dải DHCP của modem để không trùng.

Trên Windows, xem IP và địa chỉ MAC bằng lệnh ipconfig /all. Dòng IPv4 Address là IP nội bộ, dòng Physical Address là MAC.

Biết dịch vụ dùng cổng nào và giao thức nào

Mỗi dịch vụ dùng cổng và giao thức riêng. Minecraft Java dùng TCP 25565, Minecraft Bedrock dùng UDP 19132. Máy chủ web dùng TCP 80 và 443. Chọn sai giao thức TCP hay UDP là lỗi rất hay gặp. Xem tài liệu của phần mềm để biết chính xác.

Kiểm tra dịch vụ đã chạy trong mạng nhà

Trước khi mở ra Internet, hãy kiểm tra dịch vụ chạy được trong mạng nhà. Từ một máy khác cùng Wi-Fi, thử kết nối vào IP nội bộ và cổng của máy chủ. Nếu trong nhà còn không vào được, mở port trên modem cũng vô ích.

# Trên Windows, thử từ máy khác cùng mạng
Test-NetConnection -ComputerName 192.168.1.50 -Port 25565
 
# Trên máy chủ, xem dịch vụ có đang lắng nghe không
netstat -ano | findstr :25565

Nếu netstat không có dòng LISTENING, dịch vụ chưa chạy. Nếu có nhưng chỉ ở 127.0.0.1, dịch vụ chỉ nhận kết nối từ chính máy, cần đổi sang 0.0.0.0.

Cách mở port forwarding trên modem Viettel, VNPT, FPT

Tạo quy tắc chuyển tiếp trên modem

Ba nhà mạng dùng nhiều đời modem của các hãng khác nhau, nên tên menu không giống hệt nhau. Tuy vậy, các bước và trường thông tin gần như giống nhau. Phần này hướng dẫn theo giao diện chung, anh em đối chiếu với modem nhà mình.

Đăng nhập trang quản trị modem

• Kết nối máy tính vào Wi-Fi hoặc cắm dây vào modem.
• Mở trình duyệt, gõ địa chỉ cổng mặc định của modem, thường là 192.168.1.1. Nếu không vào được, chạy ipconfig, xem dòng Default Gateway để biết đúng địa chỉ.
• Nhập tên đăng nhập và mật khẩu quản trị. Thông tin thường in trên tem dán dưới đáy modem.
• Một số modem đời mới của nhà mạng chỉ cho quản lý qua ứng dụng trên điện thoại, hoặc khoá tài khoản quản trị đầy đủ. Khi đó cần gọi tổng đài để được hỗ trợ.

Đổi mật khẩu quản trị mặc định ngay sau lần đăng nhập đầu tiên, vì mật khẩu in trên tem rất dễ bị đoán.

Tìm mục chuyển tiếp cổng

Tên mục khác nhau tuỳ đời modem. Anh em tìm trong các menu Nâng cao, Advanced, Ứng dụng, Application, Bảo mật hoặc NAT, với một trong các tên sau:

• Port Forwarding hoặc Chuyển tiếp cổng.
• Virtual Server hoặc Máy chủ ảo.
• Port Mapping hoặc NAT Mapping.
• Port Triggering là tính năng khác, không phải chuyển tiếp cố định, không dùng cho máy chủ.

Với modem Viettel, VNPT và FPT, mục này thường nằm trong nhóm NAT hoặc Nâng cao. Nếu modem có chế độ cầu nối (bridge) và nhà anh em dùng thêm router riêng, cần mở port trên router riêng chứ không phải modem.

Tạo quy tắc chuyển tiếp

Khi đã vào đúng mục, bấm Thêm hoặc Add rồi điền các trường:

Bấm Lưu hoặc Apply. Một số modem cần khởi động lại để quy tắc có hiệu lực. Cổng ngoài và cổng trong có thể khác nhau, ví dụ mở cổng ngoài 2222 trỏ vào cổng trong 22 của SSH để giảm bị quét tự động.

Mở cổng trên tường lửa Windows

Modem chuyển kết nối vào rồi, nhưng tường lửa Windows trên máy chủ vẫn có thể chặn. Microsoft mô tả cách quản lý quy tắc trong tài liệu tường lửa Windows. Cách nhanh nhất là dùng PowerShell với quyền quản trị:

# Cho phép kết nối đến cổng TCP 25565
New-NetFirewallRule -DisplayName "Minecraft 25565" -Direction Inbound -Protocol TCP -LocalPort 25565 -Action Allow
 
# Xem quy tắc vừa tạo
Get-NetFirewallRule -DisplayName "Minecraft 25565"
 
# Gỡ quy tắc khi không dùng nữa
Remove-NetFirewallRule -DisplayName "Minecraft 25565"

Trên Linux dùng ufw allow 25565/tcp hoặc lệnh tương ứng của firewalld. Quên bước này là lý do thứ hai khiến mở port xong vẫn không vào được.

Kiểm tra port forwarding đã hoạt động chưa

Sau khi tạo quy tắc, anh em cần kiểm tra từ bên ngoài mạng nhà. Kiểm tra từ trong nhà bằng IP công cộng có thể cho kết quả sai.

Lấy IP công cộng của mạng nhà

Mở một trang kiểm tra IP trên máy trong nhà, ghi lại địa chỉ hiển thị. Đó là IP mà bên ngoài sẽ dùng để kết nối. Lưu ý IP công cộng của gói cước gia đình thường thay đổi mỗi khi modem khởi động lại, trừ khi anh em thuê IP tĩnh.

# Lấy IP công cộng bằng dòng lệnh
curl https://api.ipify.org

Kiểm tra từ mạng khác

Cách đáng tin nhất là dùng mạng khác hẳn, ví dụ điện thoại dùng 4G phát Wi-Fi cho laptop, rồi kiểm tra:

# Từ máy ở mạng khác
Test-NetConnection -ComputerName 203.0.113.25 -Port 25565
 
# Hoặc dùng curl với dịch vụ web
curl -v http://203.0.113.25:8080/

TcpTestSucceeded bằng True nghĩa là cổng đã mở và có dịch vụ trả lời. Ngoài ra có các công cụ kiểm tra cổng trực tuyến, nhập IP và cổng để công cụ thử kết nối từ máy chủ của họ.

Vì sao không nên thử từ trong nhà

Nhiều modem không hỗ trợ NAT loopback, tức không cho máy trong nhà kết nối vào chính IP công cộng của modem. Khi đó thử từ trong nhà sẽ thất bại dù quy tắc đúng. Ngược lại, có modem hỗ trợ, khiến anh em tưởng mở thành công trong khi bên ngoài vẫn chưa vào được vì lý do khác. Luôn kiểm tra từ một mạng khác.

Lý do port forwarding đã mở mà vẫn không vào được

Mở port rồi vẫn không vào được

Đây là phần nhiều anh em vướng nhất. Quy tắc đúng, tường lửa đã mở, nhưng bên ngoài vẫn không kết nối được. Các nguyên nhân dưới đây xếp theo mức độ phổ biến ở Việt Nam.

Modem đang ở sau CGNAT

Nhiều nhà mạng không cấp IP công cộng riêng cho từng modem, mà cho nhiều thuê bao dùng chung một IP qua một lớp NAT lớn của nhà mạng, gọi là CGNAT. Khi đó, IP mà modem nhận ở cổng WAN là IP nội bộ của nhà mạng. Mở port trên modem chỉ chuyển tiếp ở lớp NAT trong nhà, còn lớp NAT của nhà mạng vẫn chặn. Khái niệm CGNAT được giải thích kỹ trong bài CGNAT là gì.

Cách nhận biết: vào trang quản trị modem, mục Trạng thái hoặc WAN, xem IP mà modem nhận. So sánh với IP công cộng lấy từ trang kiểm tra IP. Nếu hai địa chỉ khác nhau, modem đang ở sau một lớp NAT nữa.

Nhận biết dải IP của CGNAT

RFC 6598, ban hành tháng 4/2012, dành riêng dải 100.64.0.0/10 làm không gian địa chỉ dùng chung cho nhà mạng triển khai CGNAT. Nếu IP WAN của modem nằm trong khoảng 100.64.0.0 tới 100.127.255.255, nhiều khả năng anh em đang ở sau CGNAT. Một số nhà mạng còn dùng các dải riêng khác như 10.x.x.x cho cổng WAN.

Với CGNAT, anh em có thể gọi tổng đài nhà mạng hỏi về việc cấp IP công cộng cho thuê bao. Một số nhà mạng có dịch vụ IP tĩnh trả phí cho gói doanh nghiệp. Nếu không được, xem phần phương án thay thế bên dưới.

Hai lớp NAT trong nhà

Nhà dùng modem nhà mạng và thêm router Wi-Fi riêng ở chế độ router, không phải chế độ cầu nối, sẽ có hai lớp NAT. Cần mở port ở cả hai lớp: modem chuyển tới IP WAN của router, router chuyển tới máy chủ. Cách gọn hơn là chuyển modem sang chế độ cầu nối hoặc chuyển router sang chế độ access point.

Nhà mạng chặn một số cổng

Một số nhà mạng chặn các cổng hay bị lạm dụng như 25 (gửi email) hay một số cổng chia sẻ tệp trên thuê bao gia đình. Nếu cổng mặc định không vào được, thử đổi cổng ngoài sang một số khác, ví dụ 8443 thay cho 443, rồi kiểm tra lại.

Dịch vụ chỉ lắng nghe 127.0.0.1

Phần mềm máy chủ bind vào 127.0.0.1 chỉ nhận kết nối từ chính máy đó. Trong tệp cấu hình, đổi địa chỉ lắng nghe sang 0.0.0.0 hoặc IP nội bộ. Với Minecraft, trong tệp server.properties, để trống dòng server-ip.

Port forwarding cho Minecraft và máy chủ game

Máy chủ Minecraft là lý do phổ biến nhất khiến anh em tìm cách mở port. Phần này gom các bước riêng cho game, cùng cách xử lý chuyện IP nhà thay đổi liên tục.

Cấu hình máy chủ Minecraft Java

Máy chủ Minecraft Java đọc cấu hình từ tệp server.properties trong thư mục máy chủ. Ba dòng liên quan tới kết nối từ bên ngoài:

# Cổng máy chủ lắng nghe, mặc định 25565
server-port=25565
 
# Để trống để lắng nghe trên mọi địa chỉ của máy
server-ip=
 
# Bật xác thực tài khoản chính thức, giảm rủi ro người lạ giả mạo
online-mode=true

Sau khi sửa, khởi động lại máy chủ. Trong cửa sổ máy chủ phải thấy dòng báo đang khởi động trên cổng 25565. Người chơi bên ngoài nhập IP công cộng của nhà anh em, kèm cổng nếu không dùng cổng mặc định, ví dụ 203.0.113.25:25566.

Minecraft Bedrock và các game dùng UDP

Bản Bedrock trên điện thoại, máy chơi game và Windows dùng giao thức UDP ở cổng 19132 cho IPv4. Khi tạo quy tắc trên modem, phải chọn UDP hoặc cả hai, chọn TCP sẽ không có tác dụng. Nhiều game khác cũng dùng UDP cho dữ liệu trò chơi và TCP cho đăng nhập, nên đọc kỹ tài liệu của từng game để mở đủ cổng.

IP nhà thay đổi và DDNS

IP công cộng của gói gia đình thường đổi sau mỗi lần modem khởi động lại hoặc sau một khoảng thời gian. Mỗi lần đổi, bạn bè phải hỏi lại IP mới. Giải pháp là DNS động, viết tắt DDNS: anh em đăng ký một tên miền con miễn phí hoặc dùng tên miền riêng, rồi cài phần mềm hoặc bật tính năng DDNS trên modem để tự cập nhật IP mới cho tên đó.

• Nhiều modem có mục DDNS hoặc Dynamic DNS trong phần Nâng cao, hỗ trợ sẵn một số nhà cung cấp.
• Nếu modem không hỗ trợ, cài phần mềm cập nhật DDNS trên máy chủ, chạy ngầm và kiểm tra IP vài phút một lần.
• Người chơi kết nối bằng tên miền thay vì IP, ví dụ mc.ten-cua-anh-em.vn, không cần quan tâm IP đã đổi.

DDNS chỉ giải quyết chuyện IP đổi, không giải quyết CGNAT. Nếu modem đang ở sau CGNAT, tên miền sẽ trỏ về IP chung của nhà mạng và vẫn không vào được.

Giới hạn băng thông chiều lên

Gói cước gia đình thường có tốc độ tải lên thấp hơn tải xuống. Máy chủ game, máy chủ web hay camera phục vụ người bên ngoài chủ yếu dùng chiều tải lên. Với vài người chơi Minecraft thì đủ, nhưng phát video camera độ phân giải cao cho nhiều người xem cùng lúc có thể làm chậm cả mạng nhà. Kiểm tra tốc độ tải lên trước khi mở dịch vụ cho nhiều người.

Phương án thay thế khi không mở được port forwarding

Phương án thay thế khi bị CGNAT

Khi bị CGNAT hoặc không có quyền vào modem, anh em vẫn có cách cho bên ngoài truy cập dịch vụ trong nhà. Ý tưởng chung là để máy trong nhà chủ động kết nối ra ngoài, vì kết nối đi ra luôn được phép.

SSH reverse tunnel qua VPS

Nếu có một VPS có IP công cộng, máy trong nhà mở kết nối SSH tới VPS và yêu cầu VPS chuyển một cổng về máy nhà. Wikipedia gọi đây là chuyển tiếp từ xa hay đường hầm SSH ngược. Ví dụ triển khai chung:

# Trên máy trong nhà: mở cổng 25565 trên VPS, chuyển về cổng 25565 của máy nhà
ssh -N -R 0.0.0.0:25565:127.0.0.1:25565 user@ip-vps
 
# Trên VPS, trong /etc/ssh/sshd_config cần bật để cổng mở ra mọi địa chỉ
# GatewayPorts clientspecified
# Sau khi sửa, khởi động lại dịch vụ ssh

Người chơi kết nối vào IP của VPS ở cổng 25565, lưu lượng đi qua đường hầm về máy nhà. Để đường hầm tự nối lại khi rớt mạng, có thể dùng autossh hoặc chạy lệnh dưới dạng dịch vụ hệ thống. Việc đi qua máy trung gian bằng SSH còn có cách dùng khác, được giải thích trong bài SSH ProxyJump là gì.

VPN riêng giữa máy nhà và VPS

Thay vì SSH, có thể dựng WireGuard giữa máy nhà và VPS, rồi dùng iptables trên VPS chuyển cổng vào địa chỉ VPN của máy nhà. Cách này hợp với nhiều dịch vụ, nhiều cổng, cả UDP. Đổi lại, cấu hình phức tạp hơn SSH.

Dịch vụ đường hầm và mạng riêng ảo

Có các dịch vụ dựng đường hầm từ máy nhà ra hạ tầng của họ, cho phép truy cập dịch vụ web qua một tên miền mà không cần mở cổng nào. Ngoài ra, các công cụ mạng riêng ảo dạng mesh cho phép các thiết bị của anh em kết nối với nhau như cùng mạng LAN, phù hợp khi chỉ chính anh em cần truy cập máy nhà. Với nhu cầu cá nhân như vào camera hay máy tính ở nhà, đây thường là cách an toàn nhất vì không lộ dịch vụ ra Internet.

So sánh các phương án

Rủi ro bảo mật khi mở port forwarding

Mở cổng ra Internet nghĩa là bất kỳ ai cũng có thể thử kết nối. Các công cụ quét tự động quét toàn bộ dải IP liên tục, nên cổng vừa mở có thể bị dò trong vài phút. Phần này nêu các rủi ro chính.

Không mở Remote Desktop và camera trực tiếp

Cổng RDP 3389 là một trong những cổng bị tấn công dò mật khẩu nhiều nhất. Camera giá rẻ thường dùng mật khẩu mặc định và phần mềm ít được cập nhật. Mở trực tiếp hai loại này ra Internet là rủi ro lớn. Nên truy cập qua VPN hoặc mạng riêng ảo thay vì mở cổng.

Các nguyên tắc khi buộc phải mở

• Chỉ mở đúng cổng cần, đóng ngay khi không dùng.
• Đổi mật khẩu mặc định của mọi thiết bị, dùng mật khẩu dài.
• Cập nhật phần mềm máy chủ thường xuyên.
• Với SSH, tắt đăng nhập bằng mật khẩu, chỉ dùng khoá.
• Tắt UPnP trên modem nếu không cần, để phần mềm không tự mở cổng mà anh em không biết.
• Theo dõi nhật ký truy cập, chặn IP có dấu hiệu dò mật khẩu.

UPnP tự mở cổng

UPnP cho phép phần mềm trong nhà tự yêu cầu modem mở cổng. Tiện cho game và ứng dụng gọi video, nhưng phần mềm độc hại cũng có thể dùng UPnP để mở cổng cho kẻ tấn công. Nếu không cần, nên tắt UPnP trong trang quản trị modem, và mở cổng thủ công khi cần.

Port forwarding và proxy

Anh em làm việc với proxy đôi khi muốn dựng proxy trên máy nhà để dùng từ bên ngoài, hoặc hỏi mở port có giúp gì cho việc dùng proxy không. Phần này làm rõ.

Dựng proxy trên máy nhà cần mở port

Nếu muốn dùng IP nhà làm proxy từ nơi khác, anh em phải chạy phần mềm proxy trên máy nhà và mở cổng của nó qua port forwarding. Điều kiện là modem phải có IP công cộng, không bị CGNAT. Ngoài ra cần đặt mật khẩu cho proxy, vì proxy mở ra Internet không có xác thực sẽ bị người lạ dùng để làm việc xấu dưới IP của anh em. Định tuyến cả mạng nhà qua proxy lại là chủ đề khác, có trong bài cài proxy trên router.

Khi cần IP ổn định mà không muốn mở cổng

IP gia đình thường đổi khi khởi động lại modem, và mở cổng mang theo rủi ro bảo mật. Nếu mục tiêu chỉ là có một IP Việt Nam ổn định để làm việc, anh em có thể mua proxy Việt Nam tại ProxyVN với IP dân cư Viettel, VNPT, FPT hoặc datacenter, cấp sẵn tên đăng nhập và mật khẩu, không cần đụng tới modem.

Port forwarding mở một cánh cửa vào nhà. Trước khi mở, hãy biết rõ ai sẽ đi qua và cửa có khoá chưa.

ProxyVN đảm bảo mạng kết nối luôn ổn định, proxy chất lượng không bị mất kết nối, và hỗ trợ 24/24 khi anh em cần tư vấn chọn giải pháp phù hợp.

Kết luận

Port forwarding chuyển tiếp kết nối từ IP công cộng và một cổng trên modem vào đúng máy trong mạng nhà. Muốn thành công cần cố định IP nội bộ, tạo đúng quy tắc, mở tường lửa và kiểm tra từ mạng khác. Bị CGNAT thì dùng đường hầm qua VPS. Cần IP ổn định không phải mở cổng, hãy liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam thay cho port forwarding.