Port forwarding: wat het is, hoe werkt het en hoe stel je het veilig in

Wat is port forwarding

Port forwarding is het doorsturen van inkomend verkeer van een poort op je router naar een apparaat en poort binnen je lokale netwerk. Een andere benaming hiervoor is port mapping.

In een gebruikelijk IPv4-thuisnetwerk delen je apparaten één openbaar IP-adres. Network Address Translation (NAT) vertaalt verkeer tussen dit openbare adres en de lokale IP-adressen. De firewall bepaalt welk verkeer wordt toegestaan. Samen voorkomen deze functies doorgaans dat ongevraagde verbindingen je apparaten bereiken.

Een portforwardingregel geeft aan waar bepaald inkomend verkeer naartoe moet. Een poort is een nummer waarmee een netwerkdienst herkenbaar is, geen fysieke aansluiting. Een HTTPS-webserver gebruikt bijvoorbeeld meestal TCP-poort 443.

Je stelt de regel in op je router, thuis meestal ook je standaard gateway. Je openbare IP-adres blijft zichtbaar voor mensen die verbinding maken.

Hoe werkt port forwarding

Stel dat je thuis een Minecraft Java-server draait op 192.168.1.50 en vrienden wilt laten meespelen:

1. 1. Een vriend maakt verbinding met je openbare IP-adres op TCP-poort 25565.
2. 2. Het verzoek komt bij je router binnen.
3. 3. De portforwardingregel stuurt het door naar 192.168.1.50, op poort 25565.
4. 4. De server antwoordt via de router, die de verbinding bijhoudt.
5. 5. Zonder passende regel wordt zo’n ongevraagd verzoek normaal geweigerd of genegeerd.

De externe en interne poort mogen verschillen: je router kan verkeer op externe poort 8443 bijvoorbeeld doorsturen naar interne poort 443. De toepassing op je apparaat moet dan zijn ingesteld om verbindingen via poort 443 te ontvangen, en de firewall op dat apparaat moet deze verbindingen toestaan.

Waar wordt port forwarding voor gebruikt

Port forwarding maakt een apparaat of dienst thuis bereikbaar vanaf een andere locatie. Veelvoorkomende toepassingen zijn:

• Beveiligingscamera’s bekijken. Je bekijkt op afstand beelden of opnames, al is rechtstreekse toegang vanaf internet niet altijd verstandig.
• Een thuisserver of NAS bereiken. Je opent bestanden, mediabibliotheken of toepassingen, bijvoorbeeld op een Synology NAS.
• Een computer op afstand bedienen. Je stuurt verkeer naar een remote-desktopdienst; gebruik hiervoor bij voorkeur een beveiligde toegangsmethode zoals een VPN.
• Een website hosten. Je router stuurt bezoekers door naar je eigen webserver.
• Slimme apparaten beheren. Denk aan onderhoud van een Raspberry Pi of het uitlezen van sensoren.
• Een gameserver hosten. Met Minecraft port forwarding laat je anderen verbinding maken met jouw server.
• VoIP gebruiken. Sommige telefonieoplossingen vereisen specifieke poorten, maar moderne apps regelen de verbinding vaak zelf.

Soorten port forwarding

Port forwarding omvat verschillende technieken: routerregels, SSH-tunnels en automatisch aangemaakte regels. De onderstaande begrippen overlappen daarom deels.

Statische port forwarding (port mapping)

Je maakt handmatig een regel die een externe poort aan een lokaal apparaat koppelt. Die blijft actief totdat je hem verwijdert of uitschakelt, bijvoorbeeld voor een doorlopend bereikbare thuisserver. ‘Statisch’ slaat op de regel; een vast openbaar IP-adres is niet vereist.

Lokale port forwarding

Lokale port forwarding stuurt verbindingen vanaf jouw computer via een SSH-server naar een bestemming die deze server kan bereiken. Zo kun je een interne bedrijfsdatabase benaderen zonder deze rechtstreeks openbaar te maken. De verbinding tussen je computer en de SSH-server is versleuteld.

Remote port forwarding

Bij remote port forwarding wordt een poort op een externe SSH-server doorgestuurd naar een dienst die vanaf jouw computer bereikbaar is. Daarmee kun je bijvoorbeeld een lokale testapplicatie aan een klant tonen, mits de instellingen en firewall van de externe server dit toelaten.

Dynamische port forwarding

Dynamische port forwarding gebruikt een SSH-verbinding als SOCKS-proxy. Ingestelde toepassingen kunnen via de SSH-server verschillende bestemmingen bereiken, bijvoorbeeld interne werktools. Alleen het verkeer van die toepassingen loopt door de tunnel; niet automatisch al je internetverkeer.

UPnP-portforwarding

Met Universal Plug and Play (UPnP) vragen apps en apparaten automatisch portforwardingregels aan. Dat is handig voor spelcomputers, maar geeft software op je netwerk ook invloed op welke poorten bereikbaar worden. Schakel UPnP uit als je deze functie niet nodig hebt.

NAT-portforwarding

NAT-portforwarding vertaalt verkeer voor een openbaar IP-adres en poort naar een intern adres en poort. Zowel statische regels als UPnP-regels gebruiken doorgaans deze techniek. Bij sommige games helpt dit tegen verbindingsproblemen door een streng NAT-type, maar moderne games regelen verbindingen door NAT vaak automatisch. Lees hier hoe je het NAT-type kunt veranderen.

Port forwarding instellen

Je hebt toegang tot het routerbeheer, het lokale IP-adres van het ontvangende apparaat en de juiste poortnummers nodig. Controleer eerst of de dienst binnen je thuisnetwerk werkt.

1. 1. Log in op je router. Open het lokale routeradres in je browser. In Windows vind je dit bij ‘Standaardgateway’ door ipconfig uit te voeren in de opdrachtprompt. Met een online IP-check vind je alleen je openbare IP-adres, niet het lokale adres waarmee je de routerinstellingen opent.
2. 2. Reserveer een lokaal IP-adres. Maak een DHCP-reservering voor het ontvangende apparaat, zodat de regel naar hetzelfde apparaat blijft verwijzen.
3. 3. Open de portforwardinginstellingen. Zoek naar ‘Port forwarding’, ‘Port mapping’, ‘NAT’ of ‘Virtual server’.
4. 4. Maak de regel aan. Vul een naam, het lokale IP-adres, de interne en externe poort en het protocol in. Beperk toegestane externe IP-adressen als dat mogelijk en praktisch is.
5. 5. Sla de regel op en test. Zorg dat de toepassing draait en de firewall van het apparaat het benodigde verkeer toestaat.

Port forwarding bij Ziggo, KPN, Odido en andere routers

Port forwarding bij Ziggo, KPN, Odido en andere providers is handig als je bijvoorbeeld een eigen gameserver wilt hosten of je NAS op afstand wilt bereiken. De instellingen verschillen per router en softwareversie. Dit zijn de belangrijkste aandachtspunten:

De exacte menu’s verschillen per routermodel en softwareversie. De optie ‘Dynamisch IP’ is een benaming van DELTA: port forwarding vereist in het algemeen een bereikbaar openbaar IPv4-adres, dat zowel dynamisch als vast kan zijn.

TCP of UDP kiezen

Heb je TCP of UDP nodig? Gebruik het protocol dat je toepassing voorschrijft. TCP controleert of gegevens aankomen en in de juiste volgorde worden afgeleverd. UDP heeft deze ingebouwde controle niet en wordt vaak gebruikt voor realtimeverkeer.

Open alleen benodigde poorten. Andere game-edities, uitbreidingen en aangepaste servers kunnen afwijkende instellingen gebruiken. Eenzelfde externe poort kun je voor hetzelfde protocol en openbare IP-adres doorgaans maar naar één intern apparaat doorsturen. Voor meerdere servers heb je bijvoorbeeld verschillende externe poorten nodig.

Voorbeeld: een Minecraft-server of homelab bereikbaar maken

Voor een Minecraft Java-server op 192.168.1.50 vul je dit in:

Start de server en sta TCP-poort 25565 toe in de firewall. Vrienden verbinden via je openbare IP-adres of domeinnaam, niet via het lokale adres.

Maak ook in een homelab of op een Synology NAS alleen noodzakelijke diensten bereikbaar. Houd beheerinterfaces, databases en netwerkshares bij voorkeur achter een VPN of geschikte toegangsdienst.

Zo controleer je of port forwarding werkt

Test vanaf een ander netwerk, bijvoorbeeld via je telefoon met wifi uitgeschakeld. Zonder NAT-loopback kan je router verbindingen via je eigen openbare adres vanuit je thuisnetwerk niet goed afhandelen.

Zo doe je een port forwarding check met een online poortchecker:

1. 1. Start de toepassing op het ontvangende apparaat.
2. 2. Vul je openbare IPv4-adres en de externe poort in.
3. 3. Kies waar mogelijk het juiste protocol en start de controle.

Veel checkers testen alleen TCP. Test UDP bij voorkeur met de bijbehorende toepassing vanaf een ander netwerk.

• Open: de poort is bereikbaar; dit zegt niets over de beveiliging.
• Gesloten: er wordt geen verbinding geaccepteerd, bijvoorbeeld omdat de toepassing niet draait of de poort verkeerd is.
• Gefilterd of time-out: er komt geen bruikbaar antwoord terug, bijvoorbeeld door een firewall of providerfilter.

Als port forwarding niet werkt

Controleer het lokale IP-adres, protocol en poortnummer, de firewall en eventuele conflicterende UPnP-regels. De toepassing moet bovendien verbindingen via het lokale netwerk accepteren; een dienst die alleen op localhost luistert, is zo niet bereikbaar. Werkt de dienst lokaal wel, maar extern niet? Controleer dan:

• CGNAT. Je deelt mogelijk een openbaar IPv4-adres met andere klanten. Vergelijk zonder VPN het WAN-adres van je router met je openbare IPv4-adres. Een WAN-adres tussen 100.64.0.0 en 100.127.255.255 wijst sterk op CGNAT. Je eigen routerregel kan de NAT-laag van je provider niet aanpassen; vraag naar een openbaar IPv4-adres of gebruik een geschikte tunnel- of toegangsdienst.
• Dubbele NAT. Bij twee routers achter elkaar moet je op beide een regel instellen – zie de veelgestelde vragen.
• Een gewijzigd openbaar IP-adres. Een DHCP-reservering houdt alleen je lokale adres gelijk. Dynamic DNS (DDNS) kan een vaste hostnaam naar je actuele openbare adres laten verwijzen, maar lost CGNAT niet op.

De genoemde CGNAT-adresruimte is gereserveerd voor gedeeld gebruik binnen providernetwerken

Is port forwarding veilig: de risico’s

Port forwarding maakt een dienst bereikbaar vanaf internet en vraagt daarom om extra beveiliging. Iedereen die de poort kan bereiken, kan contact proberen te maken, tenzij je de toegang beperkt. De belangrijkste risico’s zijn:

• Onbevoegde toegang door zwakke wachtwoorden of ontbrekende toegangscontrole.
• Misbruik van kwetsbaarheden in verouderde apparaten of software.
• DDoS-aanvallen die de dienst of internetverbinding overbelasten.
• Meer mogelijke ingangen, doordat je extra diensten bereikbaar maakt.
• Onversleuteld verkeer, omdat port forwarding zelf geen encryptie toevoegt.
• Verkeerde instellingen die bijvoorbeeld een interne beheeromgeving blootstellen.

Een open poort betekent niet automatisch dat je bent gehackt. Het risico hangt af van de dienst erachter, de toegangsrechten en het onderhoud.

Port forwarding veiliger gebruiken

Met deze maatregelen verklein je de risico’s:

• Open alleen noodzakelijke poorten. Vermijd brede poortbereiken en verwijder ongebruikte regels.
• Beveilig accounts. Gebruik unieke, sterke wachtwoorden en multifactorauthenticatie; kies voor SSH bij voorkeur goed beheerde sleutels.
• Installeer updates. Houd je router en toepassingen bij en vervang apparaten zonder beveiligingsondersteuning.
• Gebruik versleutelde protocollen, zoals HTTPS en SSH.
• Beperk toegestane IP-adressen als alleen bekende gebruikers toegang nodig hebben.
• Controleer firewallregels en logboeken op onverwachte wijzigingen en inlogpogingen.
• Schakel overbodige diensten en UPnP uit als je ze niet nodig hebt.

Zet niet je hele firewall uit en plaats je computer niet zomaar in de DMZ om problemen op te lossen. Daarmee kun je veel meer bereikbaar maken dan bedoeld.

Alternatieven voor port forwarding

Voor toegang op afstand hoef je niet altijd poorten op je thuisrouter open te zetten. Kies op basis van je doel: een openbare dienst hosten of alleen zelf toegang krijgen.

Een VPN met port forwarding

Bij sommige VPN-aanbieders kun je inkomende verbindingen via hun VPN-server naar jouw apparaat laten doorsturen. Deze vorm van VPN port forwarding is bruikbaar voor bijvoorbeeld gameservers. Bezoekers gebruiken het VPN-serveradres in plaats van je openbare thuisadres, maar je moet de bereikbare dienst nog steeds beveiligen.

Voor privétoegang kan een VPN naar je eigen netwerk geschikter zijn: je bereikt interne diensten zonder ze afzonderlijk openbaar te maken. Die VPN-server moet zelf wel bereikbaar zijn; CGNAT kan ook hierbij een belemmering vormen.

Ondersteunt NordVPN port forwarding?

De standaardservers van NordVPN en Dedicated IP ondersteunen geen port forwarding. De aparte Dedicated Server-add-on ondersteunt dit wel en biedt eigen virtuele servercapaciteit en een vast IP-adres. Bekijk de dedicated server-instructies voor mogelijkheden en beperkingen. 

Een VPN op je router installeren maakt thuisdiensten niet vanzelf bereikbaar vanaf internet. Voor versleutelde verbindingen tussen vertrouwde apparaten kan Meshnet een alternatief zijn.

SSH-tunneling

Met SSH port forwarding bereik je bijvoorbeeld een interne applicatie of database via een versleutelde verbinding. De lokale, remote en dynamische varianten staan hierboven beschreven. De achterliggende dienst hoeft niet rechtstreeks openbaar te zijn, maar de SSH-server moet bereikbaar en goed beveiligd zijn.

Cloudoplossingen voor toegang op afstand

Veel toegangsdiensten werken met uitgaande verbindingen vanaf je apparaten. Een clouddienst brengt de verbinding tot stand of geeft verkeer door, waardoor handmatige routerregels vaak overbodig zijn.

Synology QuickConnect biedt bijvoorbeeld toegang tot ondersteunde NAS-diensten zonder handmatige portforwardingregels. Controleer bij elke oplossing de toegangsrechten, multifactorauthenticatie en encryptie.

Port triggering vs. port forwarding

Port triggering opent tijdelijk inkomende poorten nadat een apparaat bepaald uitgaand verkeer verstuurt. Na een periode van inactiviteit sluit de router de toegang weer.

Port triggering beperkt de bereikbaarheid in de tijd, maar is niet automatisch veilig. Vaak kan maar één apparaat tegelijk dezelfde getriggerde poort gebruiken. Voor een continu bereikbare server is deze methode meestal ongeschikt.