Vzdialený prístup k MikroTik za CGNAT

Zhrnutie CGNAT (Carrier-Grade NAT) umožňuje poskytovateľovi internetu zdieľať jednu verejnú adresu IPv4 medzi mnohými účastníkmi, čo šetrí vzácne adresy, ale narúša prichádzajúce spojenia — takže presmerovanie portov na router MikroTik za ním jednoducho nefunguje. Keďže router nemá dosiahnuteľnú verejnú adresu, spoľahlivým riešením je obrátiť smer: nechať router, aby sám vytočil spojenie k stretávaciemu bodu, ktorý ovládate. Táto príručka vysvetľuje, čo je CGNAT, ako ho zistiť a ako spravovať routery MikroTik za ním pomocou odchádzajúcich tunelov.

Čo je CGNAT?

CGNAT je druhá vrstva prekladu sieťových adries spustená vnútri siete poskytovateľa internetu, ktorá mapuje mnoho zákazníkov do malej množiny zdieľaných verejných adries IPv4, pričom typicky každému účastníkovi priradí privátnu adresu z operátorského rozsahu 100.64.0.0/10 namiesto skutočnej verejnej IP. Existuje preto, že svetu pred rokmi došli voľné bloky IPv4: namiesto nákupu čoraz drahších adries väčšina poskytovateľov bezdrôtového, mobilného, optického a satelitného pripojenia dnes umiestňuje účastníkov za zdieľanú bránu. Váš MikroTik stále získava prístup k internetu a dokáže bežne iniciovať odchádzajúce spojenia — ale z pohľadu verejného internetu váš router nemá vlastnú adresu. (Carrier-grade NAT — Wikipedia)

Ako CGNAT narúša prichádzajúci prístup k MikroTik?

Bežné presmerovanie portov predpokladá, že vaše rozhranie WAN má verejnú IP, ku ktorej sa dostane zvyšok internetu. Pri CGNAT tento predpoklad zlyhá hneď dvakrát. Po prvé, vaša adresa WAN je privátna (často 100.64.x.x), takže presmerovaný port na vašom MikroTiku smeruje na adresu, ku ktorej nikto mimo operátora nemôže smerovať. Po druhé, skutočná verejná IP sídli na hlavnom NAT zariadení poskytovateľa, ktoré je zdieľané s desiatkami ďalších účastníkov a nepresmeruje vám ľubovoľný prichádzajúci port — vy ho neovládate. (Open Port Checkers — Why port forwarding fails with CGNAT)

Praktický dôsledok pre každého, kto prevádzkuje flotilu routerov, je závažný: nemôžete sa z kancelárie pripojiť cez Winbox, WebFig, SSH ani API k zákazníckemu MikroTiku, pretože k nemu neexistuje prichádzajúca cesta. Nepomôže ani názov hostiteľa dynamického DNS — preložil by sa na zdieľanú IP operátora, nie na váš router. Je to tá istá stena, na ktorú narážajú používatelia Starlinku, čomu sa podrobne venujeme v našej prípadovej štúdii o zmenách IP pri Starlinku.

Ako zistíte, či je MikroTik za CGNAT?

Skontrolujte adresu na rozhraní WAN a porovnajte ju s verejnou IP, ktorú spojenie skutočne ukazuje internetu. V termináli Winbox alebo WebFig:

/ip address print

Ak rozhranie WAN drží adresu v rozsahu 100.64.0.0 – 100.127.255.255 (zdieľaný rozsah 100.64.0.0/10), 10.0.0.0/8 alebo iný privátny rozsah RFC1918, takmer určite ste za CGNAT. Potvrďte to porovnaním tejto adresy s tým, čo hlási externá služba „what is my IP”: ak sa líšia, medzi vami a internetom sedí operátorský NAT. Ďalším silným signálom je traceroute, ktorý ukazuje jeden alebo viac privátnych skokov pred prvým verejným skokom. (oneuptime — How to detect if you are behind CGNAT)

Ako spravujete routery MikroTik za CGNAT?

Trvalým riešením je prestať sa snažiť pripojiť dovnútra a namiesto toho nechať router pripojiť sa von k stretávaciemu bodu so stabilnou verejnou adresou. Keďže odchádzajúce spojenie je iniciované spoza CGNAT, operátorský NAT ho ochotne povolí — rovnako, ako keď váš prehliadač dosiahne ľubovoľnú webovú stránku. Keď je tunel raz vytvorený, dostanete sa k routeru späť cezeň. Existujú štyri bežné spôsoby, ako to vybudovať, každý zdokumentovaný vo vlastnej príručke:

Vlastná VPN k VPS je klasický prístup: lacný linuxový VPS s verejnou IP slúži ako stretávací bod a každý MikroTik sa k nemu pripája. WireGuard je moderný štandard — rýchly, nenáročný na CPU a tolerantný voči zmenám adries, ktoré prináša CGNAT a dynamické IP. Širšia príručka o správe založenej na VPS pokrýva tú istú myšlienku s inými typmi tunelov.

Spravovaná mesh VPN odstraňuje väčšinu ručnej práce. Tailscale aj ZeroTier poskytujú riadiacu rovinu, ktorá za vás rieši prechod cez NAT a distribúciu kľúčov, takže router za CGNAT sa pripojí do siete takmer bez konfigurácie na jednotlivé zariadenie.

Platforma TR-069 / ACS je telekomunikačne štandardná možnosť, keď pôsobíte vo veľkom: CPE otvorí odchádzajúcu reláciu k automatickému konfiguračnému serveru, ktorý potom posiela konfiguráciu a firmvér. Je účelovo navrhnutá na správu účastníckych zariadení, ktoré žijú za operátorským NAT.

Účelovo navrhnutý správcovský cloud kombinuje myšlienku odchádzajúceho tunela s monitorovaním a riadením prístupu na jednom mieste, čo je model, ktorý používa NATCloud od MKController.

Tipy

• IPv6 často obchádza CGNAT úplne. Ak vám poskytovateľ priradí smerovateľný prefix IPv6, môžete byť schopní dosiahnuť router cez IPv6, aj keď je IPv4 uväznené za operátorským NAT — ale len ak má každý skok vo vašej správcovskej ceste tiež IPv6.
• Na odchádzajúcich tuneloch vždy nastavte keepalive (napríklad persistent-keepalive=25 pri WireGuard), aby operátor potichu nezahodil nečinné NAT mapovanie.
• Niektorí poskytovatelia predávajú statickú alebo verejnú adresu IPv4 ako platený doplnok. Pre jedno kritické miesto to môže byť jednoduchšie ako tunel; pre flotilu sa to nákladovo neškáluje.
• Nikdy nevystavujte Winbox, WebFig ani SSH priamo na internet ako „náhradné riešenie”. Za CGNAT by to aj tak nefungovalo a na skutočnej verejnej IP je to trvalá pozvánka pre útočníkov.

FAQ

Vyrieši CGNAT služba dynamického DNS? Nie. Dynamické DNS len aktualizuje názov hostiteľa, aby smeroval na akúkoľvek verejnú IP, ktorú máte. Za CGNAT táto verejná IP patrí operátorovi a je zdieľaná, takže názov hostiteľa nedosiahne váš router.

Je CGNAT to isté ako NAT na mojom vlastnom routeri? Nie. NAT vášho routera prekladá vašu privátnu LAN na vašu adresu WAN a vy ovládate jeho pravidlá presmerovania portov. CGNAT pridáva druhý NAT vnútri poskytovateľa, ktorý neovládate, a preto sa prichádzajúce presmerovanie narúša.

Môžem jednoducho požiadať poskytovateľa, aby ho vypol? Niekedy. Mnohí poskytovatelia ponúkajú verejnú alebo statickú adresu IPv4 za poplatok alebo na požiadanie. Dostupnosť a cena sa výrazne líšia podľa operátora a regiónu.

Urobte ďalší krok

Vybudovať vlastný tunel pre jeden router je jednoduché. Robiť to naprieč desiatkami či stovkami MikroTikov — každý za iným operátorom CGNAT, s kľúčmi na rotovanie a konfiguráciami VPS na opatrovanie — to je miesto, kde sa prevádzkové náklady nakopia.

NATCloud od MKController je postavený presne na toto. Každý MikroTik prejde online cez odchádzajúci tunel k riadiacej rovine, bez verejnej IP, bez presmerovania portov a bez potreby úprav VPS pre jednotlivé zariadenia. Získate centralizované monitorovanie a bezpečný vzdialený prístup ku každému routeru, dokonca aj k tým hlboko zakopaným za operátorským NAT.

Spustite svoju bezplatnú skúšobnú verziu MKController