Port forwarding: srozumitelný návod (hry, kamery, NAS)

Máte doma NAS s rodinnými fotkami a chcete se k němu dostat z dovolené. Nebo jste postavili Minecraft server pro kamarády, jenže se k němu nikdo nepřipojí. Nebo jste na chatě pověsili kameru a z mobilu vidíte jen „connection timeout“. Ve všech třech případech narážíte na stejnou zeď: router, který z principu nepouští nic zvenčí dovnitř. Port forwarding je způsob, jak v té zdi udělat přesně vymezené dveře.

Návody na internetu tuhle věc často zbytečně komplikují, nebo naopak přeskakují krok, na kterém to v české praxi padá nejčastěji – jestli vůbec máte veřejnou IP adresu. Bez ní si můžete nastavit pravidla v routeru jak chcete a nic se nestane. Tenhle článek vás provede celým procesem od kontroly adresy přes nastavení pravidla až po test zvenčí a bezpečnostní opatření, která nemá smysl vynechat.

Co port forwarding dělá a proč ho router blokuje

Domácí router provozuje NAT (Network Address Translation). Poskytovatel vám přidělí jednu adresu směrem do internetu a router za ní schová všechna zařízení v domácnosti – notebook, telefony, televizi, NAS. Když z notebooku otevřete web, router si zapamatuje, že odpověď patří notebooku, a doručí ji zpět. Funguje to spolehlivě, ale jen jedním směrem: spojení musí začít zevnitř.

Jakmile se někdo pokusí připojit zvenčí – kamarád na váš herní server nebo vy sami z mobilu na kameru – router dostane paket na svou veřejnou adresu, ale nemá tušení, kterému zařízení ho má předat. Tak ho zahodí. Port forwarding je ručně zapsané pravidlo: „Co přijde na port 25565, pošli na adresu 192.168.1.50, port 25565.“ Nic víc, nic míň.

Port, protokol, IP – tři pojmy, které stačí

Port je číslo 0–65535, které říká, které aplikaci na cílovém počítači data patří. Web běží na 80 a 443, Minecraft na 25565, SSH na 22. Protokol je TCP nebo UDP: TCP pro spolehlivé přenosy (web, NAS, vzdálená plocha), UDP pro hry a video, kde je důležitější rychlost než záruka doručení. Když nevíte, nastavte pravidlo pro oba. Vnitřní IP je adresa zařízení v domácí síti, typicky 192.168.x.x nebo 10.x.x.x.

Kdy otevření portů řeší váš problém – a kdy ne

Ne každá služba port forwarding potřebuje. Většina moderních aplikací – online hraní na Xboxu a PlayStationu, Steam, Discord, cloudové kamery typu Tapo nebo Ring – komunikuje přes servery výrobce a spojení navazuje zevnitř. Otevření portů potřebujete tam, kde chcete být sami serverem: hostujete hru, provozujete NAS bez cloudového relay, chcete přímý stream z kamery nebo NVR, nebo si stavíte vlastní VPN server.

Krok nula: máte veřejnou IP adresu, nebo jste za CGNAT?

Tohle je krok, který polovina návodů vynechá a na kterém to v Česku padá nejčastěji. Veřejných IPv4 adres je nedostatek, takže řada poskytovatelů – hlavně mobilní operátoři s LTE/5G internetem a menší bezdrátoví provideři – posadí za jednu veřejnou adresu desítky až stovky zákazníků. Říká se tomu CGNAT (Carrier-Grade NAT). Vy jste za NATem svého routeru a router je za dalším NATem u operátora. Pravidlo, které nastavíte doma, se k vám prostě nedostane.

Jak to poznat za minutu: v administraci routeru najděte IP adresu na WAN rozhraní. Pokud začíná 100.64 až 100.127, 10., 172.16–31. nebo 192.168., jste za CGNAT. Pro jistotu ji porovnejte s adresou, kterou vám ukáže libovolný web typu „jaká je moje IP“ – pokud se liší, máte jasno.

Dobrá zpráva: u pevných přípojek veřejnou IP většinou dostanete nebo dokoupíte za pár desítek korun měsíčně. Pokud plánujete NAS, kamery nebo herní server, ptejte se na ni už při výběru tarifu – optika a kabel jsou v tomhle ohledu nejspolehlivější a přes ověření dostupnosti zjistíte, kdo je na vaší adrese vůbec k dispozici.

Dynamická, nebo statická? Dynamická veřejná IP se občas změní – po restartu routeru nebo po pár dnech. Pro port forwarding to nevadí, když použijete DDNS: služby jako DuckDNS, No-IP nebo DDNS vestavěné v routeru přiřadí vaší měnící se adrese stálé jméno, třeba mujnas.duckdns.org. Statickou IP potřebujete opravdu jen výjimečně.

Port forwarding krok za krokem

1. Přidělte zařízení pevnou vnitřní adresu

Router rozdává vnitřní adresy dynamicky přes DHCP. Kdyby NAS po výpadku proudu dostal jinou, pravidlo ukazuje do prázdna a vy budete hodiny hledat chybu jinde. Buď nastavte statickou IP přímo v zařízení, nebo – lépe – použijte v routeru „DHCP rezervaci“ (address reservation, static lease): MAC adresa zařízení dostane vždy stejnou IP. Poznamenejte si ji, třeba 192.168.1.50.

2. Vytvořte pravidlo v routeru

Přihlaste se do administrace routeru (obvykle 192.168.0.1 nebo 192.168.1.1, přihlašovací údaje bývají na štítku zespodu). Sekce se jmenuje Port Forwarding, Virtual Server, NAT Forwarding nebo Applications & Gaming. Zadáte název pravidla, externí port, interní port (obvykle stejný), protokol a vnitřní IP. Uložte; některé routery vyžadují restart.

3. Otestujte zvenčí, ne z domácí wifi

Nejčastější chyba na světě: testovat z počítače, který sedí ve stejné síti. Spousta routerů neumí takzvaný NAT loopback (hairpin), takže zevnitř to nepůjde, i když zvenčí funguje perfektně. Vypněte na mobilu wifi a zkuste to přes mobilní data, nebo použijte online port checker (canyouseeme.org, portchecker.co). Pozor na jeden detail: checker ukáže port jako otevřený jen tehdy, když na něm služba skutečně běží. Spusťte server dřív, než testujete.

Kolik uploadu potřebujete, když otevíráte porty

Port forwarding znamená, že data tečou z vaší domácnosti ven. Rozhoduje tedy upload, ne download, kterým se tarify chlubí v reklamách. Asymetrická přípojka s 10 Mb/s nahoru uveze jednu kameru a pár hráčů, ale 4K stream z Plexu pro sestru na druhém konci republiky už ne.

Změřte si reálný upload v měření rychlosti, ne ten inzerovaný, a nechte si rezervu – provoz domácnosti běží souběžně. Pokud upload nestačí, řešením bývá spíš změna technologie než ladění routeru. Optika a kabel nabízejí symetrii nebo alespoň slušný upload, zatímco bezdrátové wifi připojení a LTE bývají výrazně asymetrické. Přehled možností najdete v článku o typech připojení k internetu.

Bezpečnost: každý otevřený port jsou dveře do domácnosti

Otevřený port vidí celý internet. Automatické skenery ho najdou během hodin a začnou zkoušet výchozí hesla a známé chyby ve firmwaru. Není to paranoia, je to běžný provoz internetu v roce 2026. Pár pravidel, která vás ochrání před většinou problémů:

• Nikdy neotevírejte RDP (3389), SMB (445), Telnet (23) ani webové rozhraní routeru. Tyhle porty jsou první, co skenery zkoušejí.
• Kamery jen přes VPN. Firmware levných IP kamer je notoricky děravý a výrobci ho přestávají aktualizovat po roce dvou. Přímý forward na kameru je nejrychlejší cesta, jak si někoho cizího pustit do obýváku.
• Silná hesla a dvoufázové ověření na NAS. Synology i QNAP to umí, zapněte to hned po instalaci.
• Změňte externí port. Místo 5001 použijte třeba 45123 a v routeru přesměrujte na vnitřní 5001. Není to bezpečnost, ale zbavíte se drtivé většiny automatického šumu v logu.
• UPnP vypněte, pokud ho nepotřebujete pro konzoli. UPnP dovolí každé aplikaci – včetně malwaru – otevřít si libovolný port bez vašeho vědomí.
• Aktualizujte firmware routeru i NAS. Chyba, kterou výrobce opravil před půl rokem, je pro útočníka veřejný návod.

Chytřejší varianta: jeden port pro VPN místo deseti pro služby

Otevřete jediný UDP port pro WireGuard (běží na většině NAS, na lepších routerech i na Raspberry Pi), připojíte se z mobilu do domácí sítě a všechno ostatní – kamery, NAS, vzdálená plocha – používáte, jako byste seděli doma. WireGuard navíc neodpovídá na pakety bez správného klíče, takže skenery port ani nevidí. Typické použití: internet na chatě s kamerou a čidly, kam se podíváte dvakrát denně a jinak má být síť zvenčí neviditelná.

A pokud jste za CGNAT a otevřít nemůžete vůbec nic? Tailscale, ZeroTier nebo Cloudflare Tunnel navazují spojení zevnitř a port forwarding nepotřebují. Pro NAS a kamery na LTE připojení jsou to dnes rozumnější cesty než honit operátora kvůli veřejné IP.

Když port forwarding nefunguje: kontrolní seznam

1. CGNAT. Porovnejte WAN IP v routeru s adresou, kterou vidí internet. Liší se? Nic dalšího neřešte, dokud nemáte veřejnou IP nebo tunel.
2. Dva routery za sebou. Modem od poskytovatele plus váš vlastní router = dvojitý NAT. Přepněte modem do bridge režimu, nebo nastavte pravidlo na obou zařízeních.
3. Služba neběží, nebo poslouchá jen na localhost. Ověřte přímo na zařízení, že server běží a naslouchá na 0.0.0.0, ne na 127.0.0.1.
4. Firewall v zařízení. Windows Defender, ufw na Linuxu nebo firewall v DSM na Synology musí port pustit taky. Router ho pošle správně, ale zařízení ho odmítne.
5. Testujete zevnitř. Hairpin NAT – viz výše. Mobilní data, ne domácí wifi.
6. Poskytovatel blokuje porty. Někteří ISP filtrují příchozí 25, 80 nebo 445. Zkuste jiný externí port.
7. Změnila se vnitřní IP. Bez DHCP rezervace se to stane po každém výpadku proudu.
8. Špatný protokol. Hra chce UDP, vy jste otevřeli jen TCP. Když si nejste jistí, otevřete oba.

Časté otázky k port forwardingu

Je port forwarding nebezpečný?

Sám o sobě ne – nebezpečná je služba, kterou za portem vystavíte. Aktualizovaný WireGuard nebo Plex se silným heslem je v pořádku. Levná kamera s výchozím heslem nebo RDP na Windows bez VPN je průšvih, na který nemusíte dlouho čekat. Otevírejte jen to, co potřebujete, a zbytek schovejte za VPN.

Jaký je rozdíl mezi port forwardingem a UPnP?

Výsledek je stejný – otevřený port. Rozdíl je v tom, kdo ho otevírá. Port forwarding nastavujete ručně vy, UPnP si aplikace otevřou samy bez ptaní. Pro herní konzole je UPnP pohodlné, pro cokoli jiného ho radši vypněte a pravidla si pište sami.

Nemám veřejnou IP. Co s tím?

Tři možnosti. Zeptejte se poskytovatele, jestli veřejnou IP nabízí za příplatek – u pevných přípojek je to obvykle 50–150 Kč/měs. Použijte službu, která port forwarding nepotřebuje (Tailscale, Cloudflare Tunnel, QuickConnect u Synology). Nebo změňte poskytovatele – u optiky a kabelu je veřejná IP běžná, u LTE výjimečná. Mapa pokrytí vám napoví, co je ve vaší lokalitě reálné.

Musím mít statickou IP?

Ne. Stačí veřejná dynamická plus DDNS, který se o změny adresy postará automaticky. Statickou IP kupujte jen tehdy, když ji vyžaduje konkrétní služba nebo firemní VPN protistrana.

Funguje port forwarding, když je zařízení připojené přes wifi?

Ano, routeru je jedno, jestli je NAS na kabelu nebo na wifi. Pro server, kamery nebo NAS ale kabel doporučujeme – stabilnější latence, žádné výpadky při rušení a plný upload.

Jak otevřít porty na routeru od poskytovatele?

Většina routerů od operátorů má sekci Port Forwarding v pokročilém nastavení. U některých modelů je administrace osekaná a pravidlo nastaví až technická podpora na vaši žádost. Pokud vás to omezuje, požádejte o přepnutí do bridge režimu a zapojte za něj vlastní router – získáte plnou kontrolu.

Závěr: dvě minuty kontroly ušetří hodiny hledání

Port forwarding samotný je otázka pěti minut: rezervace vnitřní IP, pravidlo v routeru, test přes mobilní data. Všechno, co lidem zabere hodiny, se odehrává okolo – CGNAT, dvojitý NAT, firewall v zařízení, testování zevnitř. Projděte kontrolní seznam odshora dolů a v drtivé většině případů narazíte na příčinu hned v prvních dvou bodech.

A pokud zjistíte, že vám poskytovatel veřejnou IP nedá nebo že váš upload na kamery a NAS nestačí, nemá smysl bojovat s routerem. Ověřte si zdarma, jaké přípojky jsou na vaší adrese dostupné – často je optika nebo kabel s veřejnou IP o dům vedle a vy o tom jen nevíte.