Проброс портів через VPN і проксі

Усе, що зазвичай робить VPN чи проксі, — це вихідні з'єднання: ви ініціюєте підключення, і його переправляють назовні. Прокидання портів — навпаки: ви хочете, щоб хтось із інтернету сам ініціював з'єднання до сервісу на вашій машині — ігрового хоста, сідбокса BitTorrent, самохостингового застосунку, вузла peer-to-peer. Для цього потрібна публічна IP-адреса з відкритим і досяжним портом, що веде до вас, а за VPN, за проксі чи за CGNAT провайдера її зазвичай немає. Вхідні з'єднання впираються у спільний вихід і нікуди далі не йдуть, бо вихід не знає, кому саме з багатьох користувачів адресований пакет.

Саме тому «торент-клієнт не показує вхідних з'єднань» і «друзі не можуть зайти на мій сервер» — така типова скарга, щойно в схемі з'являється VPN.

Прокидання портів на VPN зі спільною IP означає, що провайдер мапить вхідний порт спільного виходу на одного конкретного користувача. Для сідбоксів і самохостингу це справді корисно, але воно стало магнітом для зловживань: прокинуті порти на спільних IP використовували, щоб піднімати шкідливі сервіси, і хвиля скарг та юридичного тиску змусила багато великих VPN — зокрема тих, хто колись цю функцію рекламував, — прибрати її зовсім. Тож чесна картина така: вхідне прокидання портів на комерційних VPN трапляється дедалі рідше, а там, де воно є, це часто спільні IP з усіма репутаційними ризиками.

Звичайні проксі теж цього не розв'язують: прямий проксі — це вихідний ретранслятор, а не вхідний слухач. Для надійного вхідного трафіку вам насправді потрібна адреса, яка належить вам, і порт, яким керуєте ви.

Надійна відповідь — публічна IP, якою керуєте ви, і сюди ведуть два чисті шляхи. Перший: підняти сервіс на VPS (або протягнути до нього тунель WireGuard), де файрвол ваш і будь-який порт відкривається напряму — так і роблять більшість самохостингу, і це повністю обходить CGNAT. Другий: узяти виділену / персональну IP — одну адресу, зарезервовану за вами, яку, на відміну від спільного виходу, можна осмислено зіставити з вашим сервісом і додати в білий список без двозначності пулу, який ділять тисячі.

Скажемо прямо: VPN від s4m побудований для приватного вихідного доступу на архітектурі no-logs і RAM-first, а не як хостинг для вхідних з'єднань, тож для публічно досяжного порту правильний інструмент — власний VPS із виділеною IP, а не спільний вихід VPN. Ця пара дає вам стабільну адресу й повний контроль над тим, які порти відкриті, — тобто саме те, чого насправді хочуть усі, хто питає про прокидання портів.