Удалённый доступ к MikroTik за CGNAT

Кратко CGNAT (Carrier-Grade NAT) позволяет провайдеру делить один публичный адрес IPv4 между множеством абонентов, что экономит дефицитные адреса, но ломает входящие соединения — поэтому проброс портов на роутер MikroTik за ним попросту не работает. Поскольку у роутера нет достижимого публичного адреса, надёжное решение — поменять направление: пусть роутер сам дозванивается до точки встречи, которую контролируете вы. В этом руководстве объясняется, что такое CGNAT, как его обнаружить и как управлять роутерами MikroTik за ним с помощью исходящих туннелей.

Что такое CGNAT?

CGNAT — это второй уровень трансляции сетевых адресов, работающий внутри сети провайдера, который сопоставляет множество клиентов с небольшим пулом общих публичных адресов IPv4, обычно выдавая каждому абоненту приватный адрес из операторского диапазона 100.64.0.0/10 вместо настоящего публичного IP. Он существует потому, что свободные блоки IPv4 в мире закончились ещё годы назад: вместо покупки всё более дорогих адресов большинство провайдеров фиксированного беспроводного, мобильного, оптоволоконного и спутникового доступа теперь размещают абонентов за общим шлюзом. Ваш MikroTik по-прежнему получает доступ в интернет и может нормально инициировать исходящие соединения — но с точки зрения публичного интернета у вашего роутера нет собственного адреса. (Carrier-grade NAT — Wikipedia)

Как CGNAT ломает входящий доступ к MikroTik?

Обычный проброс портов предполагает, что на вашем WAN-интерфейсе есть публичный IP, до которого может достучаться остальной интернет. При CGNAT это предположение нарушается дважды. Во-первых, ваш WAN-адрес приватный (часто 100.64.x.x), поэтому проброшенный порт на вашем MikroTik указывает на адрес, который никто за пределами оператора не может маршрутизировать. Во-вторых, настоящий публичный IP находится на главном NAT-устройстве провайдера, которое разделяется с десятками других абонентов и не будет пробрасывать к вам произвольный входящий порт — вы им не управляете. (Open Port Checkers — Why port forwarding fails with CGNAT)

Практическое последствие для тех, кто обслуживает парк роутеров, тяжёлое: вы не можете зайти на MikroTik клиента через Winbox, WebFig, SSH или API из офиса, потому что входящего пути к нему нет. Динамический DNS-хост тоже не помогает — он разрешится в общий IP оператора, а не в ваш роутер. Это та же стена, в которую упираются пользователи Starlink, что мы подробно разбираем в нашем кейсе об изменениях IP у Starlink.

Как понять, что MikroTik находится за CGNAT?

Проверьте адрес на WAN-интерфейсе и сравните его с публичным IP, который соединение на самом деле показывает интернету. В терминале Winbox или WebFig:

/ip address print

Если на WAN-интерфейсе адрес из диапазона 100.64.0.0 – 100.127.255.255 (общий диапазон 100.64.0.0/10), 10.0.0.0/8 или другого приватного диапазона RFC1918, вы почти наверняка находитесь за CGNAT. Подтвердите это, сравнив этот адрес с тем, что показывает внешний сервис «what is my IP»: если они различаются, между вами и интернетом стоит операторский NAT. Traceroute, показывающий один или несколько приватных хопов перед первым публичным, — ещё один сильный признак. (oneuptime — How to detect if you are behind CGNAT)

Как управлять роутерами MikroTik за CGNAT?

Долговременное решение — перестать пытаться подключаться внутрь и вместо этого позволить роутеру подключаться наружу к точке встречи со стабильным публичным адресом. Поскольку исходящее соединение инициируется из-за CGNAT, операторский NAT охотно его пропускает — так же, как ваш браузер достигает любого сайта. Как только туннель установлен, вы достаёте роутер обратно через него. Есть четыре распространённых способа это построить, каждый описан в собственном руководстве:

Самостоятельно развёрнутая VPN на VPS — классический подход: дешёвый Linux-VPS с публичным IP выступает точкой встречи, а каждый MikroTik дозванивается до него. WireGuard — современный стандарт: быстрый, малозатратный по CPU и устойчивый к смене адресов, которая приходит вместе с CGNAT и динамическими IP. Более общее руководство по управлению на базе VPS разбирает ту же идею с другими типами туннелей.

Управляемая mesh-VPN убирает большую часть ручной возни. Tailscale и ZeroTier предоставляют плоскость управления, которая берёт на себя обход NAT и распространение ключей, так что роутер за CGNAT присоединяется к сети почти без настройки на каждое устройство.

Платформа TR-069 / ACS — стандартный для операторов вариант, когда вы работаете в масштабе: CPE открывает исходящую сессию к серверу автоконфигурации, который затем рассылает конфигурацию и прошивку. Это специально создано для управления абонентскими устройствами, живущими за операторским NAT.

Специализированное облако управления объединяет идею исходящего туннеля с мониторингом и контролем доступа в одном месте — именно эту модель использует NATCloud от MKController.

Советы

• IPv6 часто полностью обходит CGNAT. Если ваш провайдер выдаёт маршрутизируемый префикс IPv6, вы можете достать роутер по IPv6 даже тогда, когда IPv4 заперт за операторским NAT — но только если на каждом хопе вашего пути управления тоже есть IPv6.
• Всегда задавайте keepalive на исходящих туннелях (например, persistent-keepalive=25 в WireGuard), чтобы оператор молча не сбросил простаивающую NAT-привязку.
• Некоторые провайдеры продают статический или публичный адрес IPv4 как платную опцию. Для одной критичной площадки это может быть проще туннеля; для парка по цене это не масштабируется.
• Никогда не выставляйте Winbox, WebFig или SSH прямо в интернет в качестве «обходного пути». За CGNAT это всё равно не сработает, а на настоящем публичном IP это постоянное приглашение для злоумышленников.

FAQ

Решает ли проблему CGNAT сервис динамического DNS? Нет. Динамический DNS лишь обновляет имя хоста, чтобы оно указывало на тот публичный IP, что у вас есть. За CGNAT этот публичный IP принадлежит оператору и является общим, поэтому имя хоста не может достучаться до вашего роутера.

CGNAT — это то же самое, что NAT на моём собственном роутере? Нет. NAT вашего роутера транслирует вашу приватную LAN в ваш WAN-адрес, и вы управляете его правилами проброса портов. CGNAT добавляет второй NAT внутри провайдера, которым вы не управляете, — именно поэтому входящий проброс ломается.

Можно ли просто попросить провайдера его отключить? Иногда. Многие провайдеры предлагают публичный или статический адрес IPv4 за плату или по запросу. Доступность и цена сильно различаются в зависимости от оператора и региона.

Сделайте следующий шаг

Построить собственный туннель для одного роутера несложно. Сделать это на десятках или сотнях MikroTik — каждый за своим оператором CGNAT, с ключами, которые надо ротировать, и конфигами VPS, за которыми надо присматривать, — вот где накапливаются операционные издержки.

NATCloud от MKController создан именно для этого. Каждый MikroTik выходит на связь через исходящий туннель к плоскости управления — без публичного IP, без проброса портов и без правок VPS на каждое устройство. Вы получаете централизованный мониторинг и безопасный удалённый доступ к каждому роутеру, даже к тем, что зарыты глубоко за операторским NAT.

Начните бесплатный пробный период MKController