Απομακρυσμένη διαχείριση MikroTik με CGNAT

Σύνοψη Το CGNAT (Carrier-Grade NAT) επιτρέπει σε έναν πάροχο να μοιράζεται μία δημόσια διεύθυνση IPv4 ανάμεσα σε πολλούς συνδρομητές, κάτι που εξοικονομεί τις σπάνιες διευθύνσεις αλλά σπάει τις εισερχόμενες συνδέσεις — οπότε η προώθηση θυρών σε έναν δρομολογητή MikroTik πίσω από αυτό απλώς δεν λειτουργεί. Επειδή ο δρομολογητής δεν έχει προσβάσιμη δημόσια διεύθυνση, η αξιόπιστη λύση είναι να αντιστραφεί η κατεύθυνση: να καλεί ο δρομολογητής προς τα έξω σε ένα σημείο συνάντησης που ελέγχετε. Αυτός ο οδηγός εξηγεί τι είναι το CGNAT, πώς να το εντοπίσετε και πώς να διαχειρίζεστε δρομολογητές MikroTik πίσω από αυτό με εξερχόμενες σήραγγες.

Τι είναι το CGNAT;

Το CGNAT είναι ένα δεύτερο επίπεδο μετάφρασης διευθύνσεων δικτύου που εκτελείται μέσα στο δίκτυο του παρόχου και αντιστοιχίζει πολλούς πελάτες σε μια μικρή ομάδα κοινόχρηστων δημόσιων διευθύνσεων IPv4, δίνοντας συνήθως σε κάθε συνδρομητή μια ιδιωτική διεύθυνση από το εύρος παρόχου 100.64.0.0/10 αντί για μια πραγματική δημόσια IP. Υπάρχει επειδή ο κόσμος εξάντλησε τα ελεύθερα μπλοκ IPv4 εδώ και χρόνια: αντί να αγοράζουν ολοένα και ακριβότερες διευθύνσεις, οι περισσότεροι πάροχοι σταθερού ασύρματου, κινητού, οπτικών ινών και δορυφορικού τοποθετούν πλέον τους συνδρομητές πίσω από μια κοινόχρηστη πύλη. Το MikroTik σας εξακολουθεί να έχει πρόσβαση στο διαδίκτυο και μπορεί να ξεκινά εξερχόμενες συνδέσεις κανονικά — αλλά από την οπτική του δημόσιου διαδικτύου, ο δρομολογητής σας δεν έχει δική του διεύθυνση. (Carrier-grade NAT — Wikipedia)

Πώς σπάει το CGNAT την εισερχόμενη πρόσβαση σε ένα MikroTik;

Η κανονική προώθηση θυρών υποθέτει ότι η διεπαφή WAN σας κατέχει μια δημόσια IP που μπορεί να φτάσει το υπόλοιπο διαδίκτυο. Υπό το CGNAT αυτή η υπόθεση αποτυγχάνει διπλά. Πρώτον, η διεύθυνση WAN σας είναι ιδιωτική (συχνά 100.64.x.x), οπότε μια προωθημένη θύρα στο MikroTik σας δείχνει σε μια διεύθυνση που κανείς εκτός παρόχου δεν μπορεί να δρομολογήσει. Δεύτερον, η πραγματική δημόσια IP βρίσκεται στην κύρια συσκευή NAT του παρόχου, η οποία μοιράζεται με δεκάδες άλλους συνδρομητές και δεν θα προωθήσει μια αυθαίρετη εισερχόμενη θύρα σε εσάς — δεν την ελέγχετε. (Open Port Checkers — Γιατί η προώθηση θυρών αποτυγχάνει με το CGNAT)

Η πρακτική συνέπεια για όποιον διαχειρίζεται έναν στόλο δρομολογητών είναι σοβαρή: δεν μπορείτε να μπείτε μέσω Winbox, WebFig, SSH ή API στο MikroTik ενός πελάτη από το γραφείο, επειδή δεν υπάρχει εισερχόμενη διαδρομή προς αυτό. Ούτε ένα δυναμικό όνομα κεντρικού υπολογιστή DNS βοηθάει — θα αναλυόταν στην κοινόχρηστη IP του παρόχου, όχι στον δρομολογητή σας. Είναι το ίδιο τείχος στο οποίο προσκρούουν οι χρήστες του Starlink, το οποίο καλύπτουμε λεπτομερώς στη μελέτη περίπτωσης για τις αλλαγές IP του Starlink.

Πώς καταλαβαίνετε αν ένα MikroTik είναι πίσω από CGNAT;

Ελέγξτε τη διεύθυνση στη διεπαφή WAN και συγκρίνετέ την με τη δημόσια IP που η σύνδεση πραγματικά εμφανίζει στο διαδίκτυο. Σε ένα τερματικό Winbox ή WebFig:

/ip address print

Αν η διεπαφή WAN κατέχει μια διεύθυνση εντός του 100.64.0.0 – 100.127.255.255 (το κοινόχρηστο εύρος 100.64.0.0/10), του 10.0.0.0/8 ή άλλου ιδιωτικού εύρους RFC1918, είστε σχεδόν σίγουρα πίσω από CGNAT. Επιβεβαιώστε το συγκρίνοντας αυτή τη διεύθυνση με ό,τι αναφέρει μια εξωτερική υπηρεσία “what is my IP”: αν διαφέρουν, υπάρχει ένα NAT παρόχου ανάμεσα σε εσάς και το διαδίκτυο. Ένα traceroute που δείχνει ένα ή περισσότερα ιδιωτικά άλματα πριν από το πρώτο δημόσιο άλμα είναι ένα ακόμη ισχυρό σημάδι. (oneuptime — Πώς να εντοπίσετε αν είστε πίσω από CGNAT)

Πώς διαχειρίζεστε δρομολογητές MikroTik πίσω από CGNAT;

Η ανθεκτική λύση είναι να σταματήσετε να προσπαθείτε να συνδεθείτε προς τα μέσα και αντ’ αυτού να αφήσετε τον δρομολογητή να συνδεθεί προς τα έξω σε ένα σημείο συνάντησης με σταθερή δημόσια διεύθυνση. Επειδή η εξερχόμενη σύνδεση ξεκινά πίσω από το CGNAT, το NAT του παρόχου την επιτρέπει ευχαρίστως — όπως ακριβώς ο περιηγητής σας φτάνει σε οποιονδήποτε ιστότοπο. Μόλις δημιουργηθεί αυτή η σήραγγα, φτάνετε πίσω στον δρομολογητή μέσα από αυτήν. Υπάρχουν τέσσερις κοινοί τρόποι να το χτίσετε, καθένας τεκμηριωμένος στον δικό του οδηγό:

Ένα αυτοφιλοξενούμενο VPN σε ένα VPS είναι η κλασική προσέγγιση: ένα φθηνό VPS Linux με δημόσια IP λειτουργεί ως σημείο συνάντησης και κάθε MikroTik καλεί σε αυτό. Το WireGuard είναι η σύγχρονη προεπιλογή — γρήγορο, χαμηλής CPU και ανεκτικό στις αλλαγές διευθύνσεων που έρχονται με το CGNAT και τις δυναμικές IP. Ο ευρύτερος οδηγός διαχείρισης μέσω VPS καλύπτει την ίδια ιδέα με άλλους τύπους σηράγγων.

Ένα διαχειριζόμενο mesh VPN αφαιρεί το μεγαλύτερο μέρος της χειροκίνητης δουλειάς. Το Tailscale και το ZeroTier παρέχουν και τα δύο ένα επίπεδο ελέγχου που χειρίζεται τη διέλευση NAT και τη διανομή κλειδιών για εσάς, ώστε ένας δρομολογητής πίσω από CGNAT να εντάσσεται στο δίκτυο με σχεδόν μηδενική διαμόρφωση ανά συσκευή.

Μια πλατφόρμα TR-069 / ACS είναι η τυπική επιλογή των τηλεπικοινωνιών όταν λειτουργείτε σε κλίμακα: ο εξοπλισμός CPE ανοίγει μια εξερχόμενη συνεδρία προς έναν διακομιστή αυτόματης διαμόρφωσης, ο οποίος στη συνέχεια προωθεί διαμόρφωση και υλικολογισμικό. Είναι ειδικά σχεδιασμένη για τη διαχείριση συσκευών συνδρομητών που ζουν πίσω από NAT παρόχου.

Ένα ειδικά σχεδιασμένο σύννεφο διαχείρισης συνδυάζει την ιδέα της εξερχόμενης σήραγγας με την παρακολούθηση και τον έλεγχο πρόσβασης σε ένα μέρος, που είναι το μοντέλο που χρησιμοποιεί το NATCloud της MKController.

Συμβουλές

• Το IPv6 συχνά παρακάμπτει εντελώς το CGNAT. Αν ο πάροχός σας εκχωρεί ένα δρομολογήσιμο πρόθεμα IPv6, ίσως μπορείτε να φτάσετε τον δρομολογητή μέσω IPv6 ακόμη και ενώ το IPv4 είναι παγιδευμένο πίσω από NAT παρόχου — αλλά μόνο αν κάθε άλμα στη διαδρομή διαχείρισής σας έχει επίσης IPv6.
• Ορίζετε πάντα ένα keepalive στις εξερχόμενες σήραγγες (για παράδειγμα persistent-keepalive=25 στο WireGuard) ώστε ο πάροχος να μην απορρίψει σιωπηλά την αδρανή αντιστοίχιση NAT.
• Ορισμένοι πάροχοι πωλούν μια στατική ή δημόσια διεύθυνση IPv4 ως πληρωμένη προσθήκη. Για ένα μεμονωμένο κρίσιμο σημείο αυτό μπορεί να είναι απλούστερο από μια σήραγγα· για έναν στόλο δεν κλιμακώνεται ως προς το κόστος.
• Μην εκθέτετε ποτέ το Winbox, το WebFig ή το SSH απευθείας στο διαδίκτυο ως «λύση». Πίσω από CGNAT δεν θα λειτουργούσε ούτως ή άλλως, και σε μια πραγματική δημόσια IP αποτελεί μόνιμη πρόσκληση για επιτιθέμενους.

Συχνές ερωτήσεις

Λύνει το CGNAT μια υπηρεσία δυναμικού DNS; Όχι. Το δυναμικό DNS απλώς ενημερώνει ένα όνομα κεντρικού υπολογιστή ώστε να δείχνει σε όποια δημόσια IP έχετε. Πίσω από CGNAT αυτή η δημόσια IP ανήκει στον πάροχο και είναι κοινόχρηστη, οπότε το όνομα κεντρικού υπολογιστή δεν μπορεί να φτάσει τον δρομολογητή σας.

Είναι το CGNAT το ίδιο με το NAT στον δικό μου δρομολογητή; Όχι. Το NAT του δρομολογητή σας μεταφράζει το ιδιωτικό σας LAN στη διεύθυνση WAN σας και ελέγχετε τους κανόνες προώθησης θυρών του. Το CGNAT προσθέτει ένα δεύτερο NAT μέσα στον πάροχο που δεν ελέγχετε, γι’ αυτό σπάει η εισερχόμενη προώθηση.

Μπορώ απλώς να ζητήσω από τον πάροχό μου να το απενεργοποιήσει; Μερικές φορές. Πολλοί πάροχοι προσφέρουν μια δημόσια ή στατική διεύθυνση IPv4 έναντι χρέωσης ή κατόπιν αιτήματος. Η διαθεσιμότητα και η τιμή ποικίλλουν σημαντικά ανά πάροχο και περιοχή.

Κάντε το επόμενο βήμα

Το να χτίσετε τη δική σας σήραγγα για έναν δρομολογητή είναι απλό. Το να το κάνετε σε δεκάδες ή εκατοντάδες MikroTik — καθένα πίσω από διαφορετικό πάροχο CGNAT, με κλειδιά προς εναλλαγή και διαμορφώσεις VPS προς επιτήρηση — είναι εκεί που συσσωρεύεται το λειτουργικό κόστος.

Το NATCloud της MKController είναι φτιαγμένο ακριβώς για αυτό. Κάθε MikroTik συνδέεται online μέσω μιας εξερχόμενης σήραγγας προς το επίπεδο ελέγχου, χωρίς δημόσια IP, χωρίς προώθηση θυρών και χωρίς να απαιτούνται επεξεργασίες VPS ανά συσκευή. Αποκτάτε κεντρική παρακολούθηση και ασφαλή απομακρυσμένη πρόσβαση σε κάθε δρομολογητή, ακόμη και σε εκείνους που είναι θαμμένοι βαθιά πίσω από NAT παρόχου.

Ξεκινήστε τη δωρεάν δοκιμή σας του MKController