Najczęstsze pytania

Portlatch udostępnia w internecie usługę działającą w domu, nawet gdy dostawca nie pozwala otworzyć portu.

Wystarczy zainstalować w sieci małego agenta i wybrać w panelu port lub nazwę, a odwiedzający dotrą do komputera szyfrowanym tunelem.

Jeśli na routerze nie da się otworzyć portu, tak. Tak jest za CGNAT, co jest częste przy Starlinku, routerach 4G/5G, łączach DS-Lite, u wielu operatorów regionalnych i przy wspólnych łączach w budynkach. A także wtedy, gdy router po prostu nie jest własny.

Przy publicznym IPv4 i możliwości przekierowania portów nasza usługa może nie być potrzebna. Nadal jednak domowy adres IP pozostaje ukryty: odwiedzający widzą tylko nasz.

Agent otwiera tunel WireGuard z sieci lokalnej do jednego z naszych serwerów, który ma publiczny adres IPv4. Gdy odwiedzający łączy się z adresem, nasz serwer przesyła połączenie tunelem, a agent przekazuje je do wybranego komputera.

nas.portlatch.com:2222 → nasz serwer → tunel → 192.168.1.42:22

Tunel jest zestawiany od strony użytkownika, więc przechodzi przez CGNAT i wraca sam, gdy połączenie zostanie zerwane lub zmieni się adres IP.

Nie. Agent nawiązuje tylko połączenia wychodzące, na które pozwala każdy domowy router. Nic do otwierania, nic do konfigurowania.

Wszystko, co działa po TCP: stronę WWW, SSH, Home Assistant, NAS (Synology, QNAP, Unraid, TrueNAS…), własną filmotekę w Jellyfin lub Plex, zdjęcia w Immich lub Nextcloud, serwer gier działający po TCP (np. Minecraft Java), pulpit zdalny, rozwijaną właśnie aplikację.

Cel nie musi być komputerem, na którym działa agent. Wystarczy dowolne urządzenie, do którego agent dociera w sieci: NAS, kamera, inny komputer.

Portlatch jest stworzony do pracy bez przerwy. Agent działa jako usługa, tunel wraca sam po restarcie lub zerwaniu połączenia, a adres pozostaje ten sam, dopóki istnieje trasa. Żadnej sesji do podtrzymywania i żadnego losowego URL-a, który zmienia się za każdym razem.

Sprawdza się też przy krótkich potrzebach: można utworzyć trasę na demo lub test webhooka, a potem ją wstrzymać albo usunąć.

Cloudflare Tunnel odszyfrowuje ruch WWW na swoim brzegu sieci, a do wszystkiego poza HTTP odwiedzający muszą zainstalować jego klienta. ngrok jest stworzony do pracy deweloperskiej: podglądania żądań z laptopa, z limitem 1 GB miesięcznie w wersji bezpłatnej.

Portlatch nigdy nie odszyfrowuje ruchu, obsługuje dowolny port TCP bez instalowania czegokolwiek przez odwiedzających i ma siedzibę w UE. Pełne porównanie, z playit.gg i Tailscale Funnel, ma podane źródła i datę.

Nie. Ruch płynie tylko w jedną stronę: z internetu do wybranych usług. Dostępne są tylko opublikowane porty. Reszta sieci pozostaje zamknięta, zarówno dla odwiedzających, jak i dla nas.

Nie to, co jest zaszyfrowane, a to prawie wszystko: HTTPS i SSH pozostają zaszyfrowane od końca do końca, między odwiedzającym a komputerem. Przekazujemy bajty bez odszyfrowywania.

I nie trzeba wierzyć nam na słowo. Wystarczy otworzyć adres w przeglądarce i spojrzeć na certyfikat: to certyfikat własnego serwera, z tym samym odciskiem, bo szyfrowane połączenie kończy się na własnym komputerze. Gdybyśmy odszyfrowywali ruch, odwiedzający dostawaliby nasz certyfikat. SSH działa tak samo, z kluczem hosta serwera.

Agent, czyli część działająca w sieci lokalnej, też jest open source: można dokładnie przeczytać, co robi z ruchem.

Protokoły bez szyfrowania (HTTP bez TLS, FTP) przechodzą tak, jak są, jak wszędzie w internecie. Należy używać ich szyfrowanych wersji.

Tak. 1 trasa, 10 GB ruchu co 30 dni, bez karty i bez limitu czasu. To wystarczy, by dotrzeć do NAS-a, Home Assistanta czy SSH z dowolnego miejsca.

Oglądanie własnych filmów z Jellyfin lub Plex czy synchronizacja zdjęć z Immich lub Nextcloud wymaga więcej: do tego służy Turbo, z 1 TB i prędkością do 100 Mbit/s.

Zależy to od jednego: czy otwiera się w przeglądarce?

• Tak → trasa WWW. Adres ma postać https://nas.portlatch.com, bez numeru portu. Przenosi HTTP i HTTPS.
• Nie → przekierowanie portu. Adres ma postać nas.portlatch.com:2222 i przenosi dowolny protokół TCP: SSH, gry, pulpit zdalny, bazy danych…

Obie wliczają się do tego samego limitu tras w planie.

Każda trasa ma nazwę w domenie portlatch.com. W planie Free jest generowana, np. a1b2c3.node-x-1.portlatch.com. W planach płatnych wybiera się ją samodzielnie, np. nas.portlatch.com.

Trasa WWW jest dostępna pod samą nazwą. Przekierowanie portu — pod nazwą i portem.

• Free: nie, port jest przydzielany automatycznie, z zakresu 10000–65535.
• Pro i Turbo: tak, dowolny port, który jest jeszcze wolny na co najmniej jednym z naszych współdzielonych adresów.
• Dedicated: tak, dowolny port, gwarantowany, na adresie IP wyłącznie dla tego konta.

Port po własnej stronie zawsze wybiera się samodzielnie: odwiedzający na porcie 2222 może trafić na port 22 komputera.

Na współdzielonym adresie port może należeć tylko do jednego klienta, a 22 chce każdy. SSH nie podaje nazwy, zanim zacznie rozmowę, więc nie możemy współdzielić portu tak jak przy trasach WWW.

Można wybrać inny port (SSH działa na każdym) albo plan Dedicated: wszystkie porty własnego adresu IP należą do konta.

Na naszych współdzielonych adresach porty 80 i 443 należą do tras WWW. Wszyscy je współdzielą, a odwiedzających rozróżniamy po nazwie, o którą prosi przeglądarka. Dzięki temu każdy plan, łącznie z Free, ma https:// bez numeru portu.

Na dedykowanym adresie IP porty 80 i 443 należą do konta jak każdy inny port.

25, 465, 587, we wszystkich planach. Służą do poczty e-mail, a otwarty przekaźnik pocztowy sprawiłby, że nasze adresy trafiłyby na czarne listy, ze szkodą dla wszystkich.

W planach płatnych tak: nazwa.portlatch.com, od 3 do 32 znaków, małe litery, cyfry i łączniki. Kilka nazw jest zarezerwowanych (www, mail, admin, wszystko, co zaczyna się od node-…).

W planie Free nazwa jest generowana automatycznie.

Tak: dowolnie wiele przekierowań portów i jedną trasę WWW. nas.portlatch.com może obsługiwać stronę WWW, nas.portlatch.com:2222 SSH, a nas.portlatch.com:8123 Home Assistanta.

Tak, od planu Pro, na trasach WWW. Należy kliknąć Domeny przy trasie w panelu, dodać nas.example.com, a potem utworzyć u dostawcy DNS rekord CNAME z tej nazwy na nazwę trasy w portlatch.com. Sprawdzamy go co minutę: gdy tylko go zobaczymy, domena zaczyna odpowiadać. Do 5 domen na trasę WWW.

• Nadal oczekuje? Rekord musi być typu CNAME i wskazywać dokładną nazwę trasy. Adres (rekord A) się nie liczy, podobnie jak proxy ukrywające CNAME: w Cloudflare należy wyłączyć proxy (szara chmurka). Domena, która po dobie nadal oczekuje, jest usuwana; można ją dodać ponownie, gdy rekord będzie gotowy.
• Tylko subdomeny, np. nas.example.com: domena główna, taka jak example.com, nie może mieć rekordu CNAME.
• Domena prowadzi tylko do jednej trasy WWW. Jeśli jest przypisana do cudzej trasy, a zostanie skierowana na własną, przejdzie na własną.

Następnie komputer uzyskuje certyfikat dla domeny, tak samo jak dla nazwy w Portlatch.

Tak. Można ją wstrzymać w panelu: przestaje odpowiadać, ale zachowuje nazwę i port. Wznowić ją można w dowolnym momencie, o ile plan ma na nią miejsce.

Trasa od razu przestaje działać. Jej port jest natychmiast zwalniany i może trafić do kogoś innego.

Nazwa trasy pozostaje zarezerwowana dla konta przez 90 dni, chyba że nadal używa jej inna trasa: nikt inny nie może jej zająć, a można ją odzyskać, wpisując ją ponownie przy nowej trasie. Później może ją zająć każdy. Jeśli wskazywała na nią któraś z własnych domen, należy teraz usunąć ten CNAME.

Agent zawsze zna prawdziwy adres IP odwiedzającego. Usługa widzi jednak adres agenta, bo to agent otwiera do niej połączenie.

Aby przekazać prawdziwe IP, należy włączyć na trasie protokół PROXY (plany płatne). Agent dodaje wtedy mały nagłówek na początku każdego połączenia. Należy go włączać tylko wtedy, gdy usługa go odczytuje: potrafią to nginx, HAProxy, Traefik i Caddy. SSH, większość NAS-ów i serwery gier tego nie potrafią i odrzucą połączenie.

• Oczekuje: trasa jest konfigurowana na naszym serwerze i w agencie. Trwa to kilka sekund, maksymalnie minutę. Nowo wybrana nazwa może potrzebować kilku minut więcej, aż DNS się zaktualizuje.
• Offline: agent nie odezwał się od dwóch minut. Należy sprawdzić, czy działa i czy komputer jest w sieci.

Nie: nigdy nie widzimy danych. Niczego nie odszyfrowujemy. Szyfrowanie trwa od przeglądarki odwiedzającego aż do komputera, a my nie mamy żadnego klucza. Nasz serwer odczytuje nazwę podaną przez przeglądarkę, wybiera właściwy tunel i przekazuje bajty, nie mogąc ich odczytać.

To więc komputer przedstawia certyfikat dla nazwy w Portlatch. Uzyskanie go jest bezpłatne i działa jak na każdym serwerze: szczegóły niżej.

Z Let’s Encrypt, jak na każdym serwerze WWW, przez wyzwanie HTTP lub TLS-ALPN. Kolejność ma znaczenie:

• Najpierw należy utworzyć trasę WWW i skierować ją na swój komputer.
• Dopiero potem należy poprosić o certyfikat (certbot, Caddy, Traefik, Nginx Proxy Manager…).

Bez trasy Let’s Encrypt nie dotrze do komputera, aby sprawdzić nazwę. Dlatego port 80 trasy WWW zawsze pozostaje otwarty: przez niego przechodzą odnowienia.

Komputer nie przedstawia ważnego certyfikatu dla nazwy, o którą poprosiła przeglądarka: nie ma żadnego, jest samopodpisany albo dotyczy innej nazwy, np. nas.local. Połączenie mimo to działa, przeglądarka tylko ostrzega. Po uzyskaniu certyfikatu dla dokładnej nazwy trasy lub domeny ostrzeżenie zniknie.

Panel pokazuje, jaki certyfikat przedstawia każda nazwa: szczegóły niżej.

Co godzinę łączymy się z internetu z każdą nazwą tras WWW, tak jak zrobiłby to odwiedzający, i odczytujemy certyfikat przedstawiany przez komputer. Tylko go odczytujemy: po stronie użytkownika nic się nie zmienia. Sprawdź teraz uruchamia sprawdzenie od razu. Nigdy nie zmienia działania trasy ani domen: pokazuje jedynie, co zobaczą odwiedzający.

• Ważny: wszystko w porządku.
• Wkrótce wygaśnie: wygaśnie za mniej niż 14 dni. Należy sprawdzić, czy odnawianie działa; odbywa się przez port 80 trasy.
• Błędna nazwa: certyfikat dotyczy innej nazwy, np. nas.local. Należy uzyskać certyfikat dla dokładnej nazwy.
• Tylko domena, na szaro, przy nazwie Portlatch: certyfikat obejmuje własną domenę, a nie tę nazwę. To w porządku, jeśli używana jest tylko domena; w przeciwnym razie jeden certyfikat może obejmować obie nazwy.
• Samopodpisany lub Niezaufany: przeglądarki nie ufają podmiotowi, który go podpisał. Należy użyć Let’s Encrypt.
• Wygasł: należy go odnowić.
• Brak HTTPS: usługa odpowiada przez zwykły HTTP albo trasa ma tylko port HTTP.
• Nieosiągalny: nic nie odpowiedziało przez HTTPS. Należy sprawdzić, czy usługa działa i nasłuchuje na porcie docelowym.

Wymagałoby to zapisu w naszej strefie DNS, która pozostaje zamknięta dla klientów. Zamiast tego działają wyzwania HTTP i TLS-ALPN, przez trasę WWW.

Wszędzie tam, gdzie działa Docker, na amd64, arm64 i armv7: na NAS-ie, serwerze, Raspberry Pi. Bez Dockera jako pojedynczy program dla Linuksa z usługą systemd albo w Windows 10 i 11 jako usługa. Nie wymaga żadnych zależności systemowych, a na pozostałe platformy można go skompilować ze źródeł za pomocą Go.

Wszystko jest na stronie pobierania.

Wystarczy uruchomić agenta, bez żadnych ustawień. Wyświetli kod. Po wpisaniu go w panelu i nadaniu nazwy komputerowi tunel zostanie zestawiony kilka sekund później. Strona pobierania zawiera polecenia dla Dockera, Linuksa i Windows.

Należy zachować folder danych agenta: zawiera jego tożsamość. Bez niego każdy restart wymaga nowego kodu. W Dockerze to wolumen z polecenia; usługa w Linuksie i Windows przechowują go automatycznie.

W logach agenta: docker logs w Dockerze, journalctl -u portlatch-agent dla usługi w Linuksie, okno PowerShella w Windows. Na NAS-ie, gdzie trudno dostać się do logów, kod trafia też do pliku enrolment.txt w folderze danych agenta. Plik znika po zatwierdzeniu agenta. Kod jest ważny 15 minut.

Nie. Tunel działa wewnątrz samego agenta: bez roota, bez modułu jądra, bez dodatkowego interfejsu sieciowego na komputerze. Działa w zwykłym, nieuprzywilejowanym kontenerze. W Windows instalacja usługi wymaga uprawnień administratora.

Nigdy. Agent tworzy klucz WireGuard na komputerze i wysyła nam tylko jego publiczną część. Można to sprawdzić w kodzie źródłowym.

Agent przechowuje w folderze danych dwa sekrety: ten klucz prywatny, do tunelu, i token API, do komunikacji z nami. W Linuksie i Dockerze może je odczytać tylko ich właściciel; w Windows mają uprawnienia folderu C:\ProgramData\Portlatch. Ten folder należy traktować jak hasło. Każdy, kto go skopiuje, może zająć miejsce agenta i odbierać ruch jego tras. W razie wycieku, utraty lub sprzedaży komputera należy usunąć agenta w panelu: oba sekrety od razu przestaną działać.

Tak, na licencji Apache 2.0, na GitHubie. To część działająca w sieci lokalnej, więc powinna być czytelna. Jest celowo mała, więc łatwo ją sprawdzić.

Tak, dowolnie wielu: jednego na sieć, jednego na komputer, jak wygodnie. Prędkość i ruch z planu są między nich dzielone.

Agent musi móc wysyłać wychodzący UDP do naszego serwera i wychodzący HTTPS do panelu. Łącza domowe pozwalają na oba. Niektóre sieci firmowe i kilka taryf komórkowych blokuje wychodzący UDP i wtedy tunel nie może zostać zestawiony.

Warto też sprawdzić logi agenta: agent usunięty w panelu zatrzymuje się z czytelnym komunikatem.

Nic nie trzeba robić. Tunel wraca sam, po awarii zasilania, restarcie routera, zmianie adresu IP czy przejściu na 4G.

W panelu należy najpierw usunąć trasy agenta, a potem samego agenta. Tunel zostaje przerwany, a dostęp agenta od razu unieważniony: nawet jego kopia nie połączy się ponownie.

Nigdy nie aktualizujemy agenta za użytkownika: działa na jego komputerze i to on decyduje. Starsze wersje dalej działają, a panel pokazuje Dostępna aktualizacja przy agencie, gdy tylko pojawi się nowsza wersja.

Tryb bridge, domyślny w Dockerze, wystarczy, aby dotrzeć do pozostałych urządzeń w sieci: agent korzysta z hosta.

Aby dotrzeć do usługi na tym samym komputerze, na którym działa agent, przez 127.0.0.1, należy uruchomić kontener z --network host: w trybie bridge 127.0.0.1 to sam kontener. Sieć host działa natywnie w Linuksie; w Docker Desktop trzeba ją najpierw włączyć w ustawieniach.

Charakterystyczny objaw: trasa działa, ale połączenia od razu się zrywają, a docker logs pokazuje target unreachable … connection refused dla 127.0.0.1.

10 GB w planie Free, 200 GB w Pro, 1 TB w Turbo i Dedicated. Liczy się ruch w obu kierunkach, dla całego konta, z ostatnich 30 dni: nie ma zerowania pierwszego dnia miesiąca, stary ruch po prostu wypada z okna.

Nic nie zostaje odcięte. Przy 80% ostrzega baner i e-mail. Przy 100% konto zwalnia do 2 KB/s: agent pozostaje połączony, a trasy działają, tylko bardzo wolno. Pełna prędkość wraca, gdy zużycie spadnie poniżej 90%, a panel pokazuje przewidywaną datę. Przejście na wyższy plan od razu znosi ograniczenie.

Do 10 Mbit/s w planie Free, 50 Mbit/s w Pro, 100 Mbit/s w Turbo i Dedicated, dla całego konta.

W panelu: wykresy na żywo dla każdego agenta i każdej trasy, a suma z 30 dni na stronie Płatności.

W Unii Europejskiej. Wszystko działa w Europie: nasze serwery, dane i firma. W przyszłości mogą dojść inne regiony.

Pro, 3 € miesięcznie: 10 tras, własne nazwy, własne domeny, wybór portu, protokół PROXY, 200 GB ruchu.

Turbo, 5 € miesięcznie: wszystko z Pro, a do tego 25 tras, 1 TB ruchu i do 100 Mbit/s. Stworzony z myślą o multimediach i kopiach zapasowych.

Dedicated, 9 € miesięcznie: 100 tras, ruch i prędkość jak w Turbo oraz adres IPv4 tylko dla tego konta, ze wszystkimi portami, łącznie z 22.

Panel i jego wykresy są takie same w każdym planie. Wszystko jest zestawione na stronie planów.

Tak, w obie strony, na stronie Płatności, w dowolnym momencie. Przejście w górę jest płatne od razu, pomniejszone o niewykorzystaną część bieżącego okresu, i działa od razu. Przejście w dół też działa od razu: niewykorzystana część okresu zostaje zaliczona na kolejne faktury, a trasy są wstrzymywane, aby można było wznowić te, na które pozwala nowy plan.

Plan Dedicated obejmuje własny adres IP, przydzielany w chwili płatności. Gdy żadnego nie zostanie, plan jest oznaczony jako wyprzedany, a konto pozostaje w obecnym planie: nigdy nie płaci się za adres, którego nie mamy.

Na stronie Płatności, kartą. Nowe limity obowiązują od razu.

Obie. Przy płatności rocznej 2 miesiące są gratis w planie Pro, 2 w Turbo i 1 w Dedicated. Między nimi można się przełączać na stronie Płatności.

Nie dolicza się VAT: widoczna cena to cena do zapłaty.

Trasy są wstrzymywane, nie usuwane, a potem można wznowić te, na które pozwala nowy plan. Wybrane nazwy pozostają przy koncie. Po przejściu na Free własne domeny są usuwane.

Po opuszczeniu planu Dedicated adres IP jest od razu zwalniany, a trasy na nim usuwane. Tylko nieudana płatność zachowuje go przez 7 dni: po ponownej płatności w tym czasie wraca ten sam adres.

Plan można anulować w dowolnym momencie na stronie Płatności: działa do końca opłaconego okresu, a potem konto wraca do planu Free. Nic nie jest zwracane, a do tego czasu plan można wznowić. Faktury są na tej samej stronie.

W sekcji Moje konto: wysyłamy e-mailem link do ustawienia nowego hasła. Po wylogowaniu można użyć opcji Zapomniane hasło? na stronie logowania.

Tak i zalecamy to: konto otwiera sieć na internet, więc skradzione hasło mogłoby odsłonić panel administracyjny routera, NAS czy kamery. Przy uwierzytelnianiu dwuskładnikowym samo hasło nie wystarczy.

Można je włączyć w sekcji Moje konto dowolną aplikacją uwierzytelniającą (Aegis, 2FAS, Bitwarden, 1Password…). Dostępne są też kody odzyskiwania na wypadek utraty telefonu.

W sekcji Moje konto, po ponownym wpisaniu adresu e-mail. Agenci, trasy i nazwy zostają od razu usunięte, a adres e-mail zwolniony.

Prawo zobowiązuje nas do przechowywania przez 12 miesięcy informacji, kto miał który adres, na wypadek zgłoszenia nadużycia. Później tożsamość jest trwale usuwana.

Kto co zrobił na koncie (rejestracje, logowania, utworzone lub usunięte trasy) i ile ruchu przeszło. Nigdy treści ruchu: i tak nie możemy jej odczytać.

Nie przechowujemy adresów IP odwiedzających: zostają w logach agenta, na komputerze użytkownika.

Polityka prywatności wymienia wszystko, co przechowujemy, i jak długo.

W Unii Europejskiej, u europejskich dostawców hostingu. Nie sprzedajemy ich ani nie udostępniamy.

Na razie nie: jedno konto to jedna osoba.

Wszystko, co nielegalne, phishing, złośliwe oprogramowanie, spam i atakowanie innych z własnych tras. Trasa łamiąca zasady zostaje wstrzymana, a konto może zostać zamknięte.

Pełna lista znajduje się w regulaminie.

Należy napisać na abuse@portlatch.eu, podając adres, port i godzinę zdarzenia. Reagujemy szybko.

Nie. Portlatch jest stworzony dla homelabów i projektów hobbystycznych, a my robimy wszystko, by działał. Nie należy na nim polegać przy niczym krytycznym.

Na razie nie: TCP po IPv4, z jednego regionu w Europie. IPv4 to właśnie to, co zapewniamy: to, co odbiera CGNAT.

Jeszcze nie. Wszystko robi się w panelu.

E-mailem, pod adresem support@portlatch.eu. Portlatch to mały zespół: odpowiadamy na każdą wiadomość, choć nie zawsze tego samego dnia.