MikroTik-afstandtoegang agter CGNAT

Opsomming CGNAT (Carrier-Grade NAT) laat ‘n ISP toe om een openbare IPv4-adres oor baie intekenare te deel, wat skaars adresse bespaar maar inkomende verbindings breek — so poortaanstuur na ‘n MikroTik-router daaragter werk eenvoudig nie. Omdat die router geen bereikbare openbare adres het nie, is die betroubare oplossing om die rigting om te keer: laat die router uitbel na ‘n ontmoetingspunt wat jy beheer. Hierdie gids verduidelik wat CGNAT is, hoe om dit op te spoor, en hoe om MikroTik-routers daaragter te bestuur met uitgaande tonnels.

Wat is CGNAT?

CGNAT is ‘n tweede laag netwerkadresvertaling wat binne die ISP se netwerk loop en baie kliënte op ‘n klein poel gedeelde openbare IPv4-adresse afbeeld, en gewoonlik vir elke intekenaar ‘n privaat adres uit die 100.64.0.0/10 draer-reeks gee in plaas van ‘n werklike openbare IP. Dit bestaan omdat die wêreld jare gelede vrye IPv4-blokke opgebruik het: in plaas daarvan om al hoe duurder adresse te koop, plaas die meeste vaste-draadlose, mobiele, vesel- en satellietverskaffers nou intekenare agter ‘n gedeelde gateway. Jou MikroTik kry steeds internettoegang en kan uitgaande verbindings normaalweg inisieer — maar uit die openbare internet se oogpunt het jou router nie ‘n eie adres nie. (Carrier-grade NAT — Wikipedia)

Hoe breek CGNAT inkomende toegang tot ‘n MikroTik?

Normale poortaanstuur veronderstel dat jou WAN-koppelvlak ‘n openbare IP hou wat die res van die internet kan bereik. Onder CGNAT misluk daardie veronderstelling twee keer. Eerstens is jou WAN-adres privaat (dikwels 100.64.x.x), so ‘n aangestuurde poort op jou MikroTik wys na ‘n adres wat niemand buite die draer kan roeteer nie. Tweedens sit die werklike openbare IP op die ISP se hoof-NAT-toestel, wat met dosyne ander intekenare gedeel word en nie ‘n arbitrêre inkomende poort na jou sal aanstuur nie — jy beheer dit nie. (Open Port Checkers — Waarom poortaanstuur met CGNAT misluk)

Die praktiese gevolg vir enigiemand wat ‘n vloot routers bestuur is ernstig: jy kan nie Winbox, WebFig, SSH of API in ‘n kliënt se MikroTik vanaf die kantoor nie, want daar is geen inkomende pad daarheen nie. ‘n Dinamiese DNS-gasheernaam help ook nie — dit sal na die gedeelde draer-IP oplos, nie na jou router nie. Dit is dieselfde muur waarteen Starlink-gebruikers vasloop, wat ons in detail dek in ons Starlink IP-veranderinge gevallestudie.

Hoe weet jy of ‘n MikroTik agter CGNAT is?

Kontroleer die adres op die WAN-koppelvlak en vergelyk dit met die openbare IP wat die verbinding werklik aan die internet wys. In ‘n Winbox- of WebFig-terminaal:

/ip address print

As die WAN-koppelvlak ‘n adres binne 100.64.0.0 – 100.127.255.255 hou (die 100.64.0.0/10 gedeelde reeks), 10.0.0.0/8, of ‘n ander RFC1918 privaat reeks, is jy byna seker agter CGNAT. Bevestig dit deur daardie adres te vergelyk met wat ‘n eksterne “what is my IP”-diens rapporteer: as hulle verskil, sit ‘n draer-NAT tussen jou en die internet. ‘n Traceroute wat een of meer privaat spronge voor die eerste openbare sprong toon, is nog ‘n sterk sein. (oneuptime — Hoe om op te spoor of jy agter CGNAT is)

Hoe bestuur jy MikroTik-routers agter CGNAT?

Die blywende oplossing is om op te hou probeer om in te verbind en eerder die router uit te laat verbind na ‘n ontmoetingspunt met ‘n stabiele openbare adres. Omdat die uitgaande verbinding van agter die CGNAT geïnisieer word, laat die draer se NAT dit gelukkig toe — net soos jou blaaier enige webwerf bereik. Sodra daardie tonnel gevestig is, bereik jy die router daardeur terug. Daar is vier algemene maniere om dit te bou, elk in sy eie gids gedokumenteer:

‘n Self-gehuisveste VPN na ‘n VPS is die klassieke benadering: ‘n goedkoop Linux VPS met ‘n openbare IP dien as die ontmoetingspunt, en elke MikroTik bel in. WireGuard is die moderne standaard — vinnig, lae-SVE, en verdraagsaam teenoor die adresveranderinge wat met CGNAT en dinamiese IP’s kom. Die breër VPS-gebaseerde bestuur gids dek dieselfde idee met ander tonneltipes.

‘n Bestuurde mesh-VPN verwyder die meeste van die handmatige loodgieterswerk. Tailscale en ZeroTier bied albei ‘n beheervlak wat NAT-deurkruising en sleutelverspreiding vir jou hanteer, sodat ‘n router agter CGNAT by die netwerk aansluit met byna geen per-toestel-konfigurasie nie.

‘n TR-069 / ACS-platform is die telko-standaard opsie wanneer jy op skaal werk: die CPE open ‘n uitgaande sessie na ‘n outo-konfigurasiebediener, wat dan konfigurasie en fermware afdwing. Dit is doelgebou om intekenaartoestelle te bestuur wat agter draer-NAT leef.

‘n Doelgeboude bestuurswolk kombineer die uitgaande-tonnel-idee met monitering en toegangsbeheer op een plek, wat die model is wat MKController se NATCloud gebruik.

Wenke

• IPv6 omseil dikwels CGNAT heeltemal. As jou ISP ‘n roeteerbare IPv6-voorvoegsel toeken, kan jy dalk die router oor IPv6 bereik selfs terwyl IPv4 agter draer-NAT vasgevang is — maar slegs as elke sprong in jou bestuurspad ook IPv6 het.
• Stel altyd ‘n keepalive op uitgaande tonnels (byvoorbeeld persistent-keepalive=25 op WireGuard) sodat die draer nie die ledige NAT-afbeelding stilweg laat val nie.
• Sommige ISP’s verkoop ‘n statiese of openbare IPv4-adres as ‘n betaalde byvoeging. Vir ‘n enkele kritieke perseel kan dit eenvoudiger as ‘n tonnel wees; vir ‘n vloot skaal dit nie op koste nie.
• Stel nooit Winbox, WebFig of SSH direk aan die internet bloot as ‘n “omweg” nie. Agter CGNAT sal dit in elk geval nie werk nie, en op ‘n werklike openbare IP is dit ‘n staande uitnodiging aan aanvallers.

Gereelde vrae

Los ‘n dinamiese DNS-diens CGNAT op? Nee. Dinamiese DNS werk slegs ‘n gasheernaam by om na watter openbare IP jy ook al het te wys. Agter CGNAT behoort daardie openbare IP aan die draer en is dit gedeeld, so die gasheernaam kan nie jou router bereik nie.

Is CGNAT dieselfde as die NAT op my eie router? Nee. Jou router se NAT vertaal jou privaat LAN na jou WAN-adres, en jy beheer sy poortaanstuur-reëls. CGNAT voeg ‘n tweede NAT binne die ISP by wat jy nie beheer nie, en daarom breek inkomende aanstuur.

Kan ek my ISP net vra om dit af te skakel? Soms. Baie verskaffers bied ‘n openbare of statiese IPv4-adres teen ‘n fooi of op versoek aan. Beskikbaarheid en prys wissel wyd volgens draer en streek.

Neem die volgende stap

Om jou eie tonnel vir een router te bou is reguit. Om dit oor dosyne of honderde MikroTiks te doen — elk agter ‘n ander CGNAT-draer, met sleutels om te roteer en VPS-konfigurasies om op te pas — is waar die operasionele koste opstapel.

MKController se NATCloud is presies hiervoor gebou. Elke MikroTik kom aanlyn oor ‘n uitgaande tonnel na die beheervlak, met geen openbare IP, geen poortaanstuur en geen per-toestel-VPS-wysigings nodig nie. Jy kry gesentraliseerde monitering en veilige afstandtoegang tot elke router, selfs dié wat diep agter draer-NAT begrawe is.

Begin jou gratis MKController-proeftydperk