Kako prevazići CGNAT: Vodič za samostalno hostovanje (Self-Hosting)

Šta je zapravo problem?

Kada pređete na novog internet provajdera (ISP), možete se susresti sa terminom CGNAT (Carrier-Grade NAT). Za prosečnog korisnika koji samo gleda Netflix ili pretražuje društvene mreže, ovo je nevidljivo. Međutim, za entuzijaste koji kod kuće drže sopstvene servere (za igre, kućnu automatizaciju ili skladištenje podataka), CGNAT je ogromna prepreka.

Zašto provajderi koriste CGNAT?

Glavni razlog je nedostatak IPv4 adresa. Na svetu postoji samo oko 4,3 milijarde ovih adresa, što je danas premalo. Da bi uštedeli novac i resurse, provajderi koriste CGNAT kako bi stotine korisnika “sakrili” iza jedne jedine javne IP adrese. To znači da vaš ruter više nema sopstveni “identitet” na internetu, već deli zajednički sa komšijama.

Rešenja koja autor predlaže:

1. Cloudflare Tunnels: Softver koji instalirate na svom serveru. On pravi “izlazni tunel” ka Cloudflare-u. Pošto vaš server inicira vezu, CGNAT ga ne blokira. Idealno je za veb-sajtove.
2. VPS (Virtual Private Server): Iznajmljujete mali server u klaudu koji ima svoju javnu IP adresu. Povežete svoj kućni server sa tim VPS-om (obično preko WireGuard VPN-a) i sav saobraćaj koji stigne na VPS prosleđujete kući.

Moj novi provajder koristi CGNAT – evo kako planiram da ga zaobiđem

Verovatno sam u manjini po ovom pitanju, ali obožavam svog trenutnog internet provajdera. Nakon što sam isprobao najveće kompanije u Kanadi, odlučio sam se za manju firmu koja radi isključivo sa stambenim zgradama. Bili su fantastični – veza nikada nije pucala, brzine su bile onakve kakve su reklamirane, a opcije poput prosleđivanja portova (port forwarding) bile su lako podesive, uprkos tome što se sve kontrolisalo preko njihovog portala. Što je najvažnije, za potrebe samostalnog hostovanja, dali su mi javnu IPv4 adresu, što u mom kraju nije uobičajena praksa.

Iako mi je drago što se selim u veći prostor, moj trenutni provajder ne pokriva novu adresu. Primoran sam da biram između telekomunikacionih giganata čije su usluge skupe i (iz mog iskustva) ispodprosečne, ili da ponovo okušam sreću sa manjim provajderom. Odlučio sam se za drugu opciju, ali sam nažalost saznao da koriste CGNAT (Carrier-Grade NAT). Umesto da dobijem javnu IP adresu direktno na svom ruteru, provajder mi sada dodeljuje adresu koju deli veliki broj korisnika. Ovo je obično nepremostiva prepreka za mnoge koji hostuju sopstvene servise, ali imam par rešenja koja će mi omogućiti da nastavim kao i do sada, a ona uključuju korišćenje VPS-a i Cloudflare tunela.

CGNAT je rak-rana samostalnog hostovanja

A to je zbog inherentnog ograničenja IPv4 protokola. Razlog zašto entuzijasti koji vole “home lab” i samostalno hostovanje toliko mrze CGNAT je taj što on blokira dolazne veze. Inače, ako želite da izložite nešto poput servera za igre ili veb-sajta internetu, konfigurišete prosleđivanje portova na ruteru, što omogućava saobraćaju koji stigne na vašu javnu IP adresu da bude poslat na pravo mesto – do vašeg servera. Sa CGNAT-om to više nije moguće zbog tabela stanja koje implementira provajder. CGNAT dozvoljava dolazne pakete samo ako odgovaraju postojećoj odlaznoj vezi. To ne sprečava igranje igara ili striming, ali će svaki novi pokušaj pristupa vašoj mašini spolja verovatno biti blokiran u mreži CGNAT-a.

Glavni razlog zašto provajderi ovo uopšte uvode svodi se na IPv4 i njegov ograničen adresni prostor. IPv4 podržava oko 4,3 milijarde adresa, što zvuči mnogo, ali kada se oduzmu rezervisani prostori, jednostavno nema dovoljno za sve. Sam NAT je izmišljen da uštedi ovaj prostor omogućavajući većem broju uređaja da budu iza jedne javne IP adrese. Pošto je IPv4 prostor skup (i do 40 dolara po adresi u nekim slučajevima), CGNAT ide korak dalje postavljajući više korisnika iza jedne adrese.

Cloudflare tuneli su najlakše rešenje

Verovatno i najpraktičnije za servise kojima samo vama treba pristup. Najjednostavniji način za zaobilaženje CGNAT-a su Cloudflare tuneli. Cloudflare nudi mali klijent pod nazivom „cloudflared“ koji radi na vašem serveru. Umesto otvaranja porta na ruteru, softver kreira trajnu odlaznu vezu ka Cloudflare mreži. Kada se ta veza uspostavi, Cloudflare može da rutira saobraćaj sa vašeg domena nazad kroz tunel do vaše mašine, zaobilazeći sve smetnje CGNAT-a.

Spolja gledano, deluje kao da je vaš servis hostovan na javnom internetu, ali u stvarnosti vaš server održava sigurnu odlaznu vezu ka Cloudflare-u, koji obrađuje dolazni saobraćaj u vaše ime. Ovaj pristup zahteva nula prosleđivanja portova, čisto se integriše sa Cloudflare TLS i DNS funkcijama, a proces podešavanja je lak. Nažalost, koristan je uglavnom za HTTP i veb saobraćaj. Postoje izuzeci, ali u suštini, sve što koristi UDP protokol nije opcija. To je u redu za moje veb stvari, ali za ostale servise mi treba drugo rešenje.

Korišćenje VPS-a je još jedan način

Košta samo par dolara mesečno. Za servise kojima je potrebna veća fleksibilnost, moćnija opcija je rutiranje saobraćaja kroz VPS (Virtual Private Server) sa javnom IP adresom. U ovoj postavci, VPS postaje kapija između interneta i vaše kućne mreže. Umesto direktnog izlaganja vaše kućne IP adrese, vaš server uspostavlja siguran tunel do VPS-a. VPS zatim prosleđuje dolazni saobraćaj kroz taj tunel, što je suštinski isto kao da imate javnu IP adresu. To samo pomera pristupnu tačku za klijente izvan vaše mreže u klaud.

Ovo se može izvesti pomoću WireGuard postavke, koja funkcioniše slično kao Cloudflare tunel, ali vam omogućava da izložite bilo koji servis, a ne samo HTTP. Ovo ću koristiti za hostovanje svog TeamSpeak servera, kao i bilo kojih drugih UDP servisa koji mi budu potrebni.

Dodaje kompleksnost, ali izbora je malo

Zaista se ne radujem promeni provajdera, naročito jer CGNAT sada diktira kako ću hostovati servise. Ipak, nije smak sveta. Cloudflare tuneli i VPS rutiranje mogu pomoći da moji servisi ostanu aktivni i nakon selidbe. I dalje bih radije koristio tradicionalno prosleđivanje portova, ali nemam mnogo opcija.