الوصول عن بُعد لـ MikroTik خلف CGNAT

الملخص يتيح CGNAT (الترجمة على مستوى المشغّل) لمزوّد الخدمة مشاركة عنوان IPv4 عام واحد بين عدد كبير من المشتركين، مما يحافظ على العناوين الشحيحة لكنه يكسر الاتصالات الواردة — لذا فإن إعادة توجيه المنافذ إلى موجّه MikroTik خلفه ببساطة لا تعمل. ولأن الموجّه لا يملك عنوانًا عامًا يمكن الوصول إليه، فإن الحل الموثوق هو عكس الاتجاه: اجعل الموجّه يتصل خارجًا بنقطة التقاء تتحكم بها أنت. يشرح هذا الدليل ما هو CGNAT، وكيفية اكتشافه، وكيفية إدارة موجّهات MikroTik خلفه باستخدام أنفاق صادرة.

ما هو CGNAT؟

CGNAT هو طبقة ثانية من ترجمة عناوين الشبكة تعمل داخل شبكة مزوّد الخدمة وتُسقط عددًا كبيرًا من العملاء على مجموعة صغيرة من عناوين IPv4 العامة المشتركة، وعادةً ما تمنح كل مشترك عنوانًا خاصًا من نطاق المشغّل 100.64.0.0/10 بدلًا من عنوان IP عام حقيقي. وهو موجود لأن العالم استنفد كتل IPv4 المجانية قبل سنوات: فبدلًا من شراء عناوين باهظة الثمن بشكل متزايد، يضع معظم مزوّدي اللاسلكي الثابت والمحمول والألياف والأقمار الصناعية المشتركين الآن خلف بوابة مشتركة. لا يزال جهاز MikroTik الخاص بك يحصل على الوصول إلى الإنترنت ويمكنه بدء الاتصالات الصادرة بشكل طبيعي — لكن من منظور الإنترنت العام، لا يملك موجّهك عنوانًا خاصًا به. (الترجمة على مستوى المشغّل — Wikipedia)

كيف يكسر CGNAT الوصول الوارد إلى MikroTik؟

تفترض إعادة توجيه المنافذ العادية أن واجهة WAN لديك تملك عنوان IP عامًا يمكن لبقية الإنترنت الوصول إليه. وتحت CGNAT يفشل هذا الافتراض مرتين. أولًا، عنوان WAN لديك خاص (غالبًا 100.64.x.x)، لذا فإن منفذًا مُعاد توجيهه على MikroTik يشير إلى عنوان لا يستطيع أحد خارج المشغّل توجيه المسار إليه. ثانيًا، يقع عنوان IP العام الحقيقي على جهاز NAT الرئيسي لمزوّد الخدمة، وهو مشترك مع عشرات المشتركين الآخرين ولن يعيد توجيه منفذ وارد عشوائي إليك — أنت لا تتحكم به. (Open Port Checkers — لماذا تفشل إعادة توجيه المنافذ مع CGNAT)

والنتيجة العملية لأي شخص يدير أسطولًا من الموجّهات خطيرة: لا يمكنك الوصول عبر Winbox أو WebFig أو SSH أو API إلى موجّه MikroTik لعميل من المكتب، لأنه لا يوجد مسار وارد إليه. واسم مضيف DNS الديناميكي لا يساعد أيضًا — فهو سيُحلّ إلى عنوان IP المشترك للمشغّل، لا إلى موجّهك. هذا هو الجدار نفسه الذي يصطدم به مستخدمو Starlink، والذي نتناوله بالتفصيل في دراسة حالة تغييرات IP الخاصة بـ Starlink.

كيف تعرف إن كان MikroTik خلف CGNAT؟

تحقّق من العنوان على واجهة WAN وقارنه بعنوان IP العام الذي يُظهره الاتصال فعليًا للإنترنت. في طرفية Winbox أو WebFig:

/ip address print

إذا كانت واجهة WAN تحمل عنوانًا ضمن 100.64.0.0 – 100.127.255.255 (نطاق 100.64.0.0/10 المشترك)، أو 10.0.0.0/8، أو نطاق خاص آخر من RFC1918، فأنت على الأرجح خلف CGNAT. أكّد ذلك بمقارنة هذا العنوان بما تُبلغ عنه خدمة “what is my IP” خارجية: إن اختلفا، فهناك NAT للمشغّل بينك وبين الإنترنت. وتُعدّ نتيجة traceroute التي تُظهر قفزة خاصة واحدة أو أكثر قبل أول قفزة عامة إشارة قوية أخرى. (oneuptime — كيفية اكتشاف ما إذا كنت خلف CGNAT)

كيف تدير موجّهات MikroTik خلف CGNAT؟

الحل الدائم هو التوقف عن محاولة الاتصال للداخل والسماح بدلًا من ذلك للموجّه بالاتصال للخارج بنقطة التقاء ذات عنوان عام ثابت. ولأن الاتصال الصادر يُبدأ من خلف CGNAT، يسمح به NAT المشغّل بسعادة — تمامًا كما يصل متصفحك إلى أي موقع ويب. وبمجرد إنشاء هذا النفق، تصل إلى الموجّه عائدًا عبره. هناك أربع طرق شائعة لبناء ذلك، كلٌّ موثّقة في دليلها الخاص:

شبكة VPN ذاتية الاستضافة على VPS هي النهج الكلاسيكي: يعمل VPS لينكس رخيص بعنوان IP عام كنقطة التقاء، ويتصل كل MikroTik به. WireGuard هو الخيار الافتراضي الحديث — سريع، ومنخفض استهلاك المعالج، ومتسامح مع تغييرات العناوين التي تأتي مع CGNAT وعناوين IP الديناميكية. ويغطي دليل الإدارة المعتمدة على VPS الأوسع الفكرة نفسها مع أنواع أنفاق أخرى.

شبكة VPN شبكية مُدارة تزيل معظم السباكة اليدوية. يوفّر كلٌّ من Tailscale وZeroTier مستوى تحكّم يتولّى اجتياز NAT وتوزيع المفاتيح نيابةً عنك، بحيث ينضم موجّه خلف CGNAT إلى الشبكة بإعدادات شبه معدومة لكل جهاز.

منصة TR-069 / ACS هي الخيار القياسي لشركات الاتصالات عندما تعمل على نطاق واسع: يفتح جهاز CPE جلسة صادرة إلى خادم تهيئة تلقائية، يقوم بعدها بدفع الإعدادات والبرامج الثابتة. وهذا مصمّم خصيصًا لإدارة أجهزة المشتركين التي تعيش خلف NAT المشغّل.

سحابة إدارة مصمّمة لغرض محدد تجمع بين فكرة النفق الصادر والمراقبة والتحكم في الوصول في مكان واحد، وهو النموذج الذي يستخدمه NATCloud من MKController.

نصائح

• غالبًا ما يتجاوز IPv6 تخطّيًا كاملًا لـ CGNAT. إذا خصّص مزوّد الخدمة بادئة IPv6 قابلة للتوجيه، فقد تتمكن من الوصول إلى الموجّه عبر IPv6 حتى وإن كان IPv4 محاصرًا خلف NAT المشغّل — لكن فقط إذا كانت كل قفزة في مسار الإدارة تملك أيضًا IPv6.
• اضبط دائمًا keepalive على الأنفاق الصادرة (مثل persistent-keepalive=25 على WireGuard) كي لا يُسقط المشغّل بصمت تعيين NAT الخامل.
• يبيع بعض مزوّدي الخدمة عنوان IPv4 ثابتًا أو عامًا كإضافة مدفوعة. لموقع حرج واحد قد يكون ذلك أبسط من نفق؛ أما لأسطول فلا يتناسب من حيث التكلفة.
• لا تعرّض أبدًا Winbox أو WebFig أو SSH مباشرةً للإنترنت كـ”حل بديل”. فخلف CGNAT لن يعمل ذلك على أي حال، وعلى عنوان IP عام حقيقي يكون دعوة دائمة للمهاجمين.

الأسئلة الشائعة

هل تحلّ خدمة DNS الديناميكية مشكلة CGNAT؟ لا. تقوم DNS الديناميكية فقط بتحديث اسم مضيف ليشير إلى أي عنوان IP عام تملكه. وخلف CGNAT يخص ذلك العنوان العام المشغّل وهو مشترك، لذا لا يستطيع اسم المضيف الوصول إلى موجّهك.

هل CGNAT هو نفسه NAT على موجّهي الخاص؟ لا. يترجم NAT الخاص بموجّهك شبكتك المحلية الخاصة إلى عنوان WAN لديك، وأنت تتحكم بقواعد إعادة توجيه المنافذ. يضيف CGNAT طبقة NAT ثانية داخل مزوّد الخدمة لا تتحكم بها، ولهذا تنكسر إعادة التوجيه الواردة.

هل يمكنني فقط أن أطلب من مزوّد الخدمة إيقافه؟ أحيانًا. يقدّم كثير من المزوّدين عنوان IPv4 عامًا أو ثابتًا مقابل رسوم أو عند الطلب. وتتفاوت التوافر والسعر بشكل واسع حسب المشغّل والمنطقة.

اتخذ الخطوة التالية

بناء نفقك الخاص لموجّه واحد أمر بسيط. أما القيام بذلك عبر عشرات أو مئات من أجهزة MikroTik — كلٌّ خلف مشغّل CGNAT مختلف، مع مفاتيح للتدوير وإعدادات VPS لرعايتها — فهنا تتراكم التكلفة التشغيلية.

صُمّم NATCloud من MKController لهذا تحديدًا. يتصل كل MikroTik بالإنترنت عبر نفق صادر إلى مستوى التحكم، دون عنوان IP عام، ودون إعادة توجيه منافذ، ودون الحاجة إلى تعديلات VPS لكل جهاز. تحصل على مراقبة مركزية ووصول آمن عن بُعد إلى كل موجّه، حتى تلك المدفونة عميقًا خلف NAT المشغّل.

ابدأ تجربتك المجانية مع MKController