MikroTik nuotolinė prieiga su CGNAT

Santrauka CGNAT (Carrier-Grade NAT) leidžia interneto tiekėjui dalytis vienu viešu IPv4 adresu tarp daugelio abonentų, taip taupant ribotus adresus, tačiau jis nutraukia įeinančius ryšius — todėl prievadų peradresavimas į už jo esantį MikroTik maršrutizatorių paprasčiausiai neveikia. Kadangi maršrutizatorius neturi pasiekiamo viešo adreso, patikimas sprendimas yra apversti kryptį: priversti maršrutizatorių pačiam skambinti į jūsų valdomą susitikimo tašką. Šiame vadove paaiškinama, kas yra CGNAT, kaip jį aptikti ir kaip valdyti už jo esančius MikroTik maršrutizatorius naudojant išeinančius tunelius.

Kas yra CGNAT?

CGNAT yra antrasis tinklo adresų vertimo sluoksnis, veikiantis interneto tiekėjo tinklo viduje, kuris susieja daugelį klientų su nedideliu bendrų viešų IPv4 adresų telkiniu, paprastai kiekvienam abonentui suteikdamas privatų adresą iš 100.64.0.0/10 operatoriaus diapazono vietoj tikro viešo IP. Jis egzistuoja todėl, kad pasaulyje prieš daugelį metų baigėsi laisvi IPv4 blokai: užuot pirkę vis brangesnius adresus, dauguma fiksuoto bevielio, mobiliojo, optinio ir palydovinio ryšio tiekėjų dabar abonentus talpina už bendro tinklų sietuvo. Jūsų MikroTik vis tiek turi interneto prieigą ir gali įprastai inicijuoti išeinančius ryšius, tačiau viešojo interneto požiūriu jūsų maršrutizatorius neturi savo paties adreso. (Carrier-grade NAT — Wikipedia)

Kaip CGNAT nutraukia įeinančią prieigą prie MikroTik?

Įprastas prievadų peradresavimas daro prielaidą, kad jūsų WAN sąsaja turi viešą IP, kurį gali pasiekti likęs internetas. Su CGNAT ši prielaida žlunga dvigubai. Pirma, jūsų WAN adresas yra privatus (dažnai 100.64.x.x), todėl peradresuotas prievadas jūsų MikroTik nukreipia į adresą, kurio niekas už operatoriaus ribų negali maršrutizuoti. Antra, tikrasis viešas IP yra interneto tiekėjo pagrindiniame NAT įrenginyje, kuris yra dalijamas su dešimtimis kitų abonentų ir nepersiųs jums savavališko įeinančio prievado — jūs jo nevaldote. (Open Port Checkers — Why port forwarding fails with CGNAT)

Praktinė pasekmė kiekvienam, valdančiam maršrutizatorių parką, yra rimta: jūs negalite per Winbox, WebFig, SSH ar API prisijungti prie kliento MikroTik iš biuro, nes į jį nėra įeinančio kelio. Dinaminio DNS pagrindinio kompiuterio vardas taip pat nepadeda — jis būtų išverstas į bendrą operatoriaus IP, o ne į jūsų maršrutizatorių. Tai ta pati siena, į kurią atsitrenkia Starlink naudotojai, ką išsamiai aprašome savo Starlink IP keitimų atvejo analizėje.

Kaip nustatyti, ar MikroTik yra už CGNAT?

Patikrinkite WAN sąsajos adresą ir palyginkite jį su viešu IP, kurį ryšys iš tikrųjų rodo internetui. Winbox arba WebFig terminale:

/ip address print

Jei WAN sąsaja turi adresą 100.64.0.0 – 100.127.255.255 diapazone (bendras diapazonas 100.64.0.0/10), 10.0.0.0/8 ar kitame RFC1918 privačiame diapazone, beveik tikrai esate už CGNAT. Patvirtinkite palygindami tą adresą su tuo, ką praneša išorinė „koks mano IP” paslauga: jei jie skiriasi, tarp jūsų ir interneto yra operatoriaus NAT. Traceroute, rodantis vieną ar daugiau privačių šuolių prieš pirmą viešą šuolį, yra dar vienas stiprus signalas. (oneuptime — How to detect if you are behind CGNAT)

Kaip valdyti MikroTik maršrutizatorius už CGNAT?

Tvarus sprendimas yra nustoti bandyti jungtis vidun ir vietoj to leisti maršrutizatoriui jungtis išorėn prie susitikimo taško su stabiliu viešu adresu. Kadangi išeinantis ryšys inicijuojamas iš už CGNAT, operatoriaus NAT jį mielai leidžia — taip pat, kaip jūsų naršyklė pasiekia bet kurią svetainę. Kai tas tunelis sukuriamas, pro jį atgal pasiekiate maršrutizatorių. Yra keturi įprasti būdai tai sukurti, kiekvienas aprašytas savo vadove:

Savo pačių talpinamas VPN į VPS yra klasikinis būdas: pigus Linux VPS su viešu IP veikia kaip susitikimo vieta, o kiekvienas MikroTik prie jo prisijungia. WireGuard yra modernus numatytasis pasirinkimas — greitas, mažai apkraunantis procesorių ir atsparus adresų pokyčiams, kuriuos lemia CGNAT ir dinaminiai IP. Platesnis VPS pagrindu veikiančio valdymo vadovas aptaria tą pačią idėją su kitais tunelių tipais.

Valdomas tinklelio VPN pašalina didžiąją dalį rankinio darbo. Tailscale ir ZeroTier abu suteikia valdymo plokštumą, kuri už jus tvarko NAT perėjimą ir raktų paskirstymą, todėl už CGNAT esantis maršrutizatorius prisijungia prie tinklo beveik be jokios atskiro įrenginio konfigūracijos.

TR-069 / ACS platforma yra telekomunikacijų standartinis pasirinkimas, kai veikiate dideliu mastu: CPE atveria išeinančią sesiją į automatinio konfigūravimo serverį, kuris tada perduoda konfigūraciją ir programinę-aparatinę įrangą. Tai sukurta specialiai už operatoriaus NAT gyvenantiems abonentų įrenginiams valdyti.

Specialiai sukurtas valdymo debesis sujungia išeinančio tunelio idėją su stebėjimu ir prieigos kontrole vienoje vietoje, ir tai yra modelis, kurį naudoja MKController NATCloud.

Patarimai

• IPv6 dažnai visiškai apeina CGNAT. Jei jūsų interneto tiekėjas priskiria maršrutizuojamą IPv6 prefiksą, galbūt galėsite pasiekti maršrutizatorių per IPv6, net kai IPv4 yra įstrigęs už operatoriaus NAT — bet tik jei kiekvienas jūsų valdymo kelio šuolis taip pat turi IPv6.
• Visada nustatykite keepalive išeinantiems tuneliams (pavyzdžiui, persistent-keepalive=25 su WireGuard), kad operatorius tyliai neatmestų neaktyvaus NAT susiejimo.
• Kai kurie interneto tiekėjai parduoda statinį ar viešą IPv4 adresą kaip mokamą papildymą. Vienai svarbiai vietai tai gali būti paprasčiau nei tunelis; parkui tai neapsimoka pagal kainą.
• Niekada neatverkite Winbox, WebFig ar SSH tiesiogiai internetui kaip „apėjimo”. Už CGNAT tai vis tiek neveiktų, o tikrame viešame IP tai nuolatinis kvietimas užpuolikams.

DUK

Ar dinaminio DNS paslauga išsprendžia CGNAT? Ne. Dinaminis DNS tik atnaujina pagrindinio kompiuterio vardą, kad jis nukreiptų į bet kokį turimą viešą IP. Už CGNAT tas viešas IP priklauso operatoriui ir yra dalijamas, todėl pagrindinio kompiuterio vardas negali pasiekti jūsų maršrutizatoriaus.

Ar CGNAT yra tas pats, kas NAT mano paties maršrutizatoriuje? Ne. Jūsų maršrutizatoriaus NAT verčia jūsų privatų LAN į jūsų WAN adresą, ir jūs valdote jo prievadų peradresavimo taisykles. CGNAT prideda antrą NAT interneto tiekėjo viduje, kurio jūs nevaldote, todėl įeinantis peradresavimas neveikia.

Ar galiu tiesiog paprašyti interneto tiekėjo jį išjungti? Kartais. Daugelis tiekėjų siūlo viešą ar statinį IPv4 adresą už mokestį arba pagal pageidavimą. Prieinamumas ir kaina labai skiriasi priklausomai nuo operatoriaus ir regiono.

Ženkite kitą žingsnį

Sukurti savo tunelį vienam maršrutizatoriui yra paprasta. Daryti tai dešimtims ar šimtams MikroTik — kiekvienas už skirtingo CGNAT operatoriaus, su raktais, kuriuos reikia rotuoti, ir VPS konfigūracijomis, kurias reikia prižiūrėti — štai kur kaupiasi eksploatacinės sąnaudos.

MKController NATCloud sukurtas būtent tam. Kiekvienas MikroTik prisijungia per išeinantį tunelį prie valdymo plokštumos, nereikalaujant viešo IP, prievadų peradresavimo ar atskiro įrenginio VPS redagavimų. Gaunate centralizuotą stebėjimą ir saugią nuotolinę prieigą prie kiekvieno maršrutizatoriaus, net ir tų, kurie giliai paslėpti už operatoriaus NAT.

Pradėkite nemokamą MKController bandymą