Daljinski pristup MikroTiku iza CGNAT-a

Sažetak CGNAT (Carrier-Grade NAT) omogućuje davatelju internetskih usluga da dijeli jednu javnu IPv4 adresu među mnogim pretplatnicima, čime se čuvaju oskudne adrese, ali prekidaju dolazne veze — pa preusmjeravanje portova na MikroTik usmjerivač iza njega jednostavno ne radi. Budući da usmjerivač nema dostupnu javnu adresu, pouzdano rješenje je preokrenuti smjer: neka usmjerivač sam pozove izlaznu točku susreta koju kontrolirate. Ovaj vodič objašnjava što je CGNAT, kako ga otkriti i kako upravljati MikroTik usmjerivačima iza njega pomoću odlaznih tunela.

Što je CGNAT?

CGNAT je drugi sloj prevođenja mrežnih adresa koji se pokreće unutar mreže davatelja usluga i preslikava mnogo korisnika na mali skup dijeljenih javnih IPv4 adresa, obično dodjeljujući svakom pretplatniku privatnu adresu iz operaterskog raspona 100.64.0.0/10 umjesto stvarne javne IP adrese. Postoji zato što su slobodni IPv4 blokovi u svijetu ponestali prije više godina: umjesto kupovine sve skupljih adresa, većina davatelja fiksnog bežičnog, mobilnog, optičkog i satelitskog pristupa sada smješta pretplatnike iza dijeljenog pristupnika. Vaš MikroTik i dalje ima pristup internetu i može normalno pokretati odlazne veze — ali s gledišta javnog interneta, vaš usmjerivač nema vlastitu adresu. (Carrier-grade NAT — Wikipedia)

Kako CGNAT prekida dolazni pristup MikroTiku?

Uobičajeno preusmjeravanje portova pretpostavlja da vaše WAN sučelje drži javnu IP adresu koju ostatak interneta može dosegnuti. Pod CGNAT-om ta pretpostavka dvostruko ne uspijeva. Prvo, vaša WAN adresa je privatna (često 100.64.x.x), pa preusmjereni port na vašem MikroTiku pokazuje na adresu koju nitko izvan operatera ne može usmjeriti. Drugo, stvarna javna IP adresa nalazi se na glavnom NAT uređaju davatelja usluga, koji se dijeli s desecima drugih pretplatnika i neće vam proslijediti proizvoljan dolazni port — vi ga ne kontrolirate. (Open Port Checkers — Zašto preusmjeravanje portova ne uspijeva uz CGNAT)

Praktična posljedica za svakoga tko upravlja flotom usmjerivača je ozbiljna: ne možete pristupiti klijentovom MikroTiku iz ureda putem Winboxa, WebFiga, SSH-a ili API-ja, jer do njega nema dolaznog puta. Dinamičko DNS ime također ne pomaže — ono bi se preslikalo na dijeljenu operatersku IP adresu, a ne na vaš usmjerivač. To je isti zid na koji nailaze korisnici Starlinka, što detaljno obrađujemo u našoj studiji slučaja o promjenama Starlink IP adrese.

Kako prepoznati je li MikroTik iza CGNAT-a?

Provjerite adresu na WAN sučelju i usporedite je s javnom IP adresom koju veza zapravo pokazuje internetu. U Winbox ili WebFig terminalu:

/ip address print

Ako WAN sučelje drži adresu unutar 100.64.0.0 – 100.127.255.255 (dijeljeni raspon 100.64.0.0/10), 10.0.0.0/8 ili nekog drugog RFC1918 privatnog raspona, gotovo sigurno ste iza CGNAT-a. Potvrdite to usporedbom te adrese s onim što prijavljuje vanjska “what is my IP” usluga: ako se razlikuju, operaterski NAT nalazi se između vas i interneta. Traceroute koji prikazuje jedan ili više privatnih skokova prije prvog javnog skoka još je jedan snažan znak. (oneuptime — Kako otkriti jeste li iza CGNAT-a)

Kako upravljati MikroTik usmjerivačima iza CGNAT-a?

Trajno rješenje je prestati pokušavati spojiti se unutra i umjesto toga pustiti usmjerivač da se spoji prema van na točku susreta sa stabilnom javnom adresom. Budući da se odlazna veza pokreće iza CGNAT-a, operaterski NAT je rado dopušta — na isti način na koji vaš preglednik dosegne bilo koju web stranicu. Nakon što je taj tunel uspostavljen, do usmjerivača dolazite natrag kroz njega. Postoje četiri uobičajena načina za izgradnju ovoga, svaki dokumentiran u vlastitom vodiču:

Samostalno hostani VPN prema VPS-u klasičan je pristup: jeftin Linux VPS s javnom IP adresom služi kao mjesto susreta, a svaki MikroTik se poziva unutra. WireGuard je moderan zadani izbor — brz, niske potrošnje CPU-a i tolerantan na promjene adresa koje dolaze uz CGNAT i dinamičke IP adrese. Širi vodič o upravljanju temeljenom na VPS-u obrađuje istu ideju s drugim vrstama tunela.

Upravljani mesh VPN uklanja većinu ručnog povezivanja. Tailscale i ZeroTier oba pružaju upravljačku ravninu koja umjesto vas rješava prolaz kroz NAT i distribuciju ključeva, pa se usmjerivač iza CGNAT-a pridružuje mreži gotovo bez konfiguracije po uređaju.

TR-069 / ACS platforma je telekomski standardna opcija kada radite na velikoj skali: CPE otvara odlaznu sesiju prema poslužitelju za automatsku konfiguraciju, koji zatim šalje konfiguraciju i firmware. Ovo je posebno izrađeno za upravljanje pretplatničkim uređajima koji žive iza operaterskog NAT-a.

Namjenski upravljački oblak kombinira ideju odlaznog tunela s nadzorom i kontrolom pristupa na jednom mjestu, što je model koji koristi MKController-ov NATCloud.

Savjeti

• IPv6 često u potpunosti zaobilazi CGNAT. Ako vam davatelj usluga dodijeli usmjerivi IPv6 prefiks, možda ćete moći dosegnuti usmjerivač putem IPv6 čak i dok je IPv4 zarobljen iza operaterskog NAT-a — ali samo ako svaki skok na vašem upravljačkom putu također ima IPv6.
• Uvijek postavite keepalive na odlazne tunele (na primjer persistent-keepalive=25 u WireGuardu) kako operater ne bi tiho odbacio neaktivno NAT preslikavanje.
• Neki davatelji usluga prodaju statičku ili javnu IPv4 adresu kao plaćeni dodatak. Za jednu kritičnu lokaciju to može biti jednostavnije od tunela; za flotu to nije isplativo skalabilno.
• Nikada ne izlažite Winbox, WebFig ili SSH izravno internetu kao “zaobilazno rješenje”. Iza CGNAT-a to ionako ne bi radilo, a na stvarnoj javnoj IP adresi to je stalni poziv napadačima.

Česta pitanja

Rješava li dinamička DNS usluga CGNAT? Ne. Dinamički DNS samo ažurira ime hosta da pokazuje na koju god javnu IP adresu imate. Iza CGNAT-a ta javna IP adresa pripada operateru i dijeljena je, pa ime hosta ne može dosegnuti vaš usmjerivač.

Je li CGNAT isto što i NAT na mom vlastitom usmjerivaču? Ne. NAT vašeg usmjerivača prevodi vaš privatni LAN u vašu WAN adresu, a vi kontrolirate njegova pravila preusmjeravanja portova. CGNAT dodaje drugi NAT unutar davatelja usluga koji vi ne kontrolirate, zbog čega dolazno preusmjeravanje prestaje raditi.

Mogu li jednostavno zamoliti svog davatelja usluga da ga isključi? Ponekad. Mnogi davatelji nude javnu ili statičku IPv4 adresu uz naknadu ili na zahtjev. Dostupnost i cijena uvelike variraju ovisno o operateru i regiji.

Napravite sljedeći korak

Izgradnja vlastitog tunela za jedan usmjerivač je jednostavna. Učiniti to na desecima ili stotinama MikroTik uređaja — svaki iza drugog CGNAT operatera, s ključevima za rotaciju i VPS konfiguracijama za nadgledanje — mjesto je gdje se operativni trošak gomila.

MKController-ov NATCloud izgrađen je upravo za ovo. Svaki MikroTik dolazi na mrežu putem odlaznog tunela prema upravljačkoj ravnini, bez javne IP adrese, bez preusmjeravanja portova i bez potrebe za uređivanjem VPS-a po uređaju. Dobivate centralizirani nadzor i siguran daljinski pristup svakom usmjerivaču, čak i onima duboko zakopanima iza operaterskog NAT-a.

Započnite svoju besplatnu MKController probu