Zdalny dostęp do MikroTik za CGNAT

Podsumowanie CGNAT (Carrier-Grade NAT) pozwala dostawcy internetu współdzielić jeden publiczny adres IPv4 między wielu abonentów, co oszczędza ograniczone adresy, ale przerywa połączenia przychodzące — więc przekierowanie portów do routera MikroTik za nim po prostu nie działa. Ponieważ router nie ma osiągalnego adresu publicznego, niezawodnym rozwiązaniem jest odwrócenie kierunku: niech router sam dzwoni na zewnątrz do punktu spotkania, który kontrolujesz. Ten przewodnik wyjaśnia, czym jest CGNAT, jak go wykryć i jak zarządzać routerami MikroTik za nim za pomocą tuneli wychodzących.

Czym jest CGNAT?

CGNAT to druga warstwa translacji adresów sieciowych działająca wewnątrz sieci dostawcy internetu, która mapuje wielu klientów na małą pulę współdzielonych publicznych adresów IPv4, zazwyczaj przydzielając każdemu abonentowi adres prywatny z zakresu operatorskiego 100.64.0.0/10 zamiast prawdziwego publicznego IP. Istnieje, ponieważ świat wyczerpał wolne bloki IPv4 wiele lat temu: zamiast kupować coraz droższe adresy, większość dostawców stałego dostępu bezprzewodowego, mobilnego, światłowodowego i satelitarnego umieszcza teraz abonentów za współdzieloną bramą. Twój MikroTik nadal ma dostęp do internetu i może normalnie inicjować połączenia wychodzące — ale z punktu widzenia publicznego internetu Twój router nie ma własnego adresu. (Carrier-grade NAT — Wikipedia)

Jak CGNAT przerywa dostęp przychodzący do MikroTik?

Normalne przekierowanie portów zakłada, że Twój interfejs WAN ma publiczny adres IP, do którego może dotrzeć reszta internetu. Pod CGNAT to założenie zawodzi podwójnie. Po pierwsze, Twój adres WAN jest prywatny (często 100.64.x.x), więc przekierowany port na Twoim MikroTiku wskazuje na adres, do którego nikt poza operatorem nie może wytrasować trasy. Po drugie, prawdziwy publiczny adres IP znajduje się na głównym urządzeniu NAT dostawcy internetu, które jest współdzielone z dziesiątkami innych abonentów i nie przekieruje do Ciebie dowolnego portu przychodzącego — nie kontrolujesz go. (Open Port Checkers — Why port forwarding fails with CGNAT)

Praktyczna konsekwencja dla każdego, kto zarządza flotą routerów, jest poważna: nie możesz połączyć się przez Winbox, WebFig, SSH ani API z MikroTikiem klienta z biura, ponieważ nie ma do niego ścieżki przychodzącej. Dynamiczna nazwa hosta DNS też nie pomaga — rozwiązałaby się do współdzielonego IP operatora, a nie do Twojego routera. To ta sama ściana, o którą uderzają użytkownicy Starlink, co szczegółowo omawiamy w naszym studium przypadku zmian IP w Starlink.

Jak rozpoznać, czy MikroTik jest za CGNAT?

Sprawdź adres na interfejsie WAN i porównaj go z publicznym IP, który połączenie faktycznie pokazuje internetowi. W terminalu Winbox lub WebFig:

/ip address print

Jeśli interfejs WAN ma adres w zakresie 100.64.0.0 – 100.127.255.255 (współdzielony zakres 100.64.0.0/10), 10.0.0.0/8 lub innym prywatnym zakresie RFC1918, prawie na pewno jesteś za CGNAT. Potwierdź to, porównując ten adres z tym, co zgłasza zewnętrzna usługa „jakie jest moje IP”: jeśli się różnią, między Tobą a internetem znajduje się NAT operatora. Traceroute pokazujący jeden lub więcej prywatnych przeskoków przed pierwszym przeskokiem publicznym to kolejny silny sygnał. (oneuptime — How to detect if you are behind CGNAT)

Jak zarządzać routerami MikroTik za CGNAT?

Trwałym rozwiązaniem jest zaprzestanie prób łączenia się do wewnątrz i zamiast tego pozwolenie routerowi na łączenie się na zewnątrz z punktem spotkania o stabilnym adresie publicznym. Ponieważ połączenie wychodzące jest inicjowane zza CGNAT, NAT operatora chętnie je przepuszcza — tak samo, jak Twoja przeglądarka dociera do dowolnej strony. Gdy tunel jest już ustanowiony, docierasz przez niego z powrotem do routera. Istnieją cztery powszechne sposoby zbudowania tego, każdy udokumentowany we własnym przewodniku:

Samodzielnie hostowany VPN do VPS to klasyczne podejście: tani Linux VPS z publicznym IP działa jako punkt spotkania, a każdy MikroTik się do niego łączy. WireGuard to nowoczesny domyślny wybór — szybki, niskoobciążający procesor i tolerancyjny wobec zmian adresów, które wiążą się z CGNAT i dynamicznymi IP. Szerszy przewodnik zarządzanie oparte na VPS omawia ten sam pomysł z innymi typami tuneli.

Zarządzany VPN typu mesh usuwa większość ręcznej pracy. Tailscale i ZeroTier zapewniają warstwę sterowania, która obsługuje za Ciebie przechodzenie przez NAT i dystrybucję kluczy, więc router za CGNAT dołącza do sieci niemal bez konfiguracji per urządzenie.

Platforma TR-069 / ACS to standardowa opcja telekomunikacyjna, gdy działasz na dużą skalę: CPE otwiera sesję wychodzącą do serwera automatycznej konfiguracji, który następnie wypycha konfigurację i oprogramowanie układowe. Jest to zaprojektowane specjalnie do zarządzania urządzeniami abonenckimi żyjącymi za NAT operatora.

Specjalnie zbudowana chmura zarządzania łączy ideę tunelu wychodzącego z monitorowaniem i kontrolą dostępu w jednym miejscu, i to jest model, którego używa NATCloud firmy MKController.

Wskazówki

• IPv6 często całkowicie omija CGNAT. Jeśli Twój dostawca internetu przydziela routowalny prefiks IPv6, możesz być w stanie dotrzeć do routera przez IPv6, nawet gdy IPv4 jest uwięziony za NAT operatora — ale tylko jeśli każdy przeskok na Twojej ścieżce zarządzania również ma IPv6.
• Zawsze ustawiaj keepalive na tunelach wychodzących (na przykład persistent-keepalive=25 na WireGuard), aby operator po cichu nie porzucił bezczynnego mapowania NAT.
• Niektórzy dostawcy internetu sprzedają statyczny lub publiczny adres IPv4 jako płatny dodatek. Dla jednej krytycznej lokalizacji może to być prostsze niż tunel; dla floty nie skaluje się kosztowo.
• Nigdy nie wystawiaj Winbox, WebFig ani SSH bezpośrednio do internetu jako „obejścia”. Za CGNAT i tak by to nie działało, a na prawdziwym publicznym IP jest to stałe zaproszenie dla atakujących.

FAQ

Czy usługa dynamicznego DNS naprawia CGNAT? Nie. Dynamiczny DNS jedynie aktualizuje nazwę hosta, aby wskazywała na dowolny publiczny adres IP, który posiadasz. Za CGNAT ten publiczny IP należy do operatora i jest współdzielony, więc nazwa hosta nie może dotrzeć do Twojego routera.

Czy CGNAT to to samo, co NAT na moim własnym routerze? Nie. NAT Twojego routera tłumaczy Twoją prywatną sieć LAN na Twój adres WAN, a Ty kontrolujesz jego reguły przekierowania portów. CGNAT dodaje drugi NAT wewnątrz sieci dostawcy internetu, którego nie kontrolujesz, i dlatego przekierowanie przychodzące nie działa.

Czy mogę po prostu poprosić dostawcę internetu o wyłączenie tego? Czasami. Wielu dostawców oferuje publiczny lub statyczny adres IPv4 za opłatą lub na żądanie. Dostępność i cena znacznie różnią się w zależności od operatora i regionu.

Zrób kolejny krok

Zbudowanie własnego tunelu dla jednego routera jest proste. Robienie tego dla dziesiątek lub setek MikroTików — każdy za innym operatorem CGNAT, z kluczami do rotacji i konfiguracjami VPS do pilnowania — to miejsce, gdzie koszty operacyjne się piętrzą.

NATCloud firmy MKController jest zbudowany właśnie do tego. Każdy MikroTik wchodzi online przez tunel wychodzący do warstwy sterowania, bez publicznego IP, bez przekierowania portów i bez edycji VPS per urządzenie. Otrzymujesz scentralizowane monitorowanie i bezpieczny zdalny dostęp do każdego routera, nawet tych głęboko ukrytych za NAT operatora.

Rozpocznij darmowy okres próbny MKController