Oddaljeni dostop do MikroTik za CGNAT

Povzetek CGNAT (Carrier-Grade NAT) ponudniku internetnih storitev omogoča, da en sam javni naslov IPv4 deli med mnogimi naročniki, kar ohranja redke naslove, a prekinja dohodne povezave — zato preusmerjanje vrat na usmerjevalnik MikroTik za njim preprosto ne deluje. Ker usmerjevalnik nima dosegljivega javnega naslova, je zanesljiva rešitev obrniti smer: naj usmerjevalnik sam vzpostavi povezavo do zbirne točke, ki jo nadzirate. Ta vodnik pojasnjuje, kaj je CGNAT, kako ga zaznati in kako upravljati usmerjevalnike MikroTik za njim prek odhodnih tunelov.

Kaj je CGNAT?

CGNAT je druga plast prevajanja omrežnih naslovov, ki teče znotraj omrežja ponudnika in preslika mnogo strank v majhno skupino skupnih javnih naslovov IPv4, pri čemer vsakemu naročniku običajno dodeli zasebni naslov iz operaterskega obsega 100.64.0.0/10 namesto pravega javnega IP. Obstaja, ker je svetu pred leti zmanjkalo prostih blokov IPv4: namesto nakupa vse dražjih naslovov večina ponudnikov fiksnega brezžičnega, mobilnega, optičnega in satelitskega dostopa danes postavlja naročnike za skupni prehod. Vaš MikroTik še vedno dobi dostop do interneta in lahko običajno sproži odhodne povezave — toda z vidika javnega interneta vaš usmerjevalnik nima svojega naslova. (Carrier-grade NAT — Wikipedia)

Kako CGNAT prekine dohodni dostop do MikroTik?

Običajno preusmerjanje vrat predpostavlja, da ima vaš vmesnik WAN javni IP, do katerega lahko doseže preostali del interneta. Pri CGNAT ta predpostavka odpove kar dvakrat. Prvič, vaš naslov WAN je zaseben (pogosto 100.64.x.x), zato preusmerjena vrata na vašem MikroTiku kažejo na naslov, do katerega nihče zunaj operaterja ne more usmerjati. Drugič, pravi javni IP je na glavni napravi NAT ponudnika, ki je deljena z desetinami drugih naročnikov in vam ne bo preusmerila poljubnih dohodnih vrat — vi je ne nadzirate. (Open Port Checkers — Why port forwarding fails with CGNAT)

Praktična posledica za vsakogar, ki upravlja floto usmerjevalnikov, je huda: do strankinega MikroTik iz pisarne ne morete prek Winbox, WebFig, SSH ali API, ker do njega ni dohodne poti. Tudi gostiteljsko ime dinamičnega DNS ne pomaga — razrešilo bi se na skupni IP operaterja, ne na vaš usmerjevalnik. To je ista stena, ob katero zadenejo uporabniki Starlinka, kar podrobno obravnavamo v naši študiji primera o spremembah IP pri Starlinku.

Kako ugotovite, ali je MikroTik za CGNAT?

Preverite naslov na vmesniku WAN in ga primerjajte z javnim IP, ki ga povezava dejansko kaže internetu. V terminalu Winbox ali WebFig:

/ip address print

Če ima vmesnik WAN naslov znotraj 100.64.0.0 – 100.127.255.255 (skupni obseg 100.64.0.0/10), 10.0.0.0/8 ali drug zasebni obseg RFC1918, ste skoraj zagotovo za CGNAT. Potrdite to s primerjavo tega naslova s tem, kar poroča zunanja storitev „what is my IP”: če se razlikujeta, med vami in internetom sedi operaterski NAT. Še en močan znak je traceroute, ki pred prvim javnim skokom prikaže enega ali več zasebnih skokov. (oneuptime — How to detect if you are behind CGNAT)

Kako upravljate usmerjevalnike MikroTik za CGNAT?

Trajna rešitev je, da se nehate poskušati povezati noter in namesto tega pustite usmerjevalniku, da se poveže ven do zbirne točke s stabilnim javnim naslovom. Ker je odhodna povezava sprožena izza CGNAT, jo operaterski NAT z veseljem dovoli — enako kot vaš brskalnik doseže katero koli spletno mesto. Ko je ta tunel vzpostavljen, dosežete usmerjevalnik nazaj skozenj. Obstajajo štirje pogosti načini za izgradnjo tega, vsak dokumentiran v lastnem vodniku:

Lastno gostovana VPN do VPS je klasični pristop: poceni linuxni VPS z javnim IP deluje kot zbirna točka, vsak MikroTik pa se vanj poveže. WireGuard je sodobni privzeti izbor — hiter, nizko obremenjuje CPE in toleranten do sprememb naslovov, ki jih prinašata CGNAT in dinamični IP. Širši vodnik o upravljanju prek VPS obravnava isto zamisel z drugimi vrstami tunelov.

Upravljana mesh VPN odstrani večino ročnega dela. Tailscale in ZeroTier oba ponujata nadzorno ravnino, ki za vas ureja prehajanje skozi NAT in razdeljevanje ključev, tako da se usmerjevalnik za CGNAT pridruži omrežju skoraj brez nastavitev za posamezno napravo.

Platforma TR-069 / ACS je telekomunikacijsko standardna možnost, ko delujete v velikem obsegu: CPE odpre odhodno sejo do strežnika za samodejno konfiguracijo, ki nato potisne konfiguracijo in vdelano programsko opremo. Namensko je zasnovana za upravljanje naročniških naprav, ki živijo za operaterskim NAT.

Namensko zasnovan oblak za upravljanje združuje zamisel o odhodnem tunelu z nadzorom in upravljanjem dostopa na enem mestu, kar je model, ki ga uporablja NATCloud podjetja MKController.

Nasveti

• IPv6 pogosto v celoti obide CGNAT. Če vam ponudnik dodeli usmerljiv predpono IPv6, boste morda lahko dosegli usmerjevalnik prek IPv6, tudi medtem ko je IPv4 ujet za operaterskim NAT — a le, če ima tudi vsak skok na vaši poti upravljanja IPv6.
• Na odhodnih tunelih vedno nastavite keepalive (na primer persistent-keepalive=25 pri WireGuard), da operater tiho ne zavrže nedejavne preslikave NAT.
• Nekateri ponudniki prodajajo statični ali javni naslov IPv4 kot plačljiv dodatek. Za eno kritično lokacijo je to lahko preprostejše od tunela; za floto se stroškovno ne razteza.
• Nikoli ne izpostavljajte Winbox, WebFig ali SSH neposredno na internet kot „obvod”. Za CGNAT to tako ali tako ne bi delovalo, na pravem javnem IP pa je stalno vabilo za napadalce.

FAQ

Ali storitev dinamičnega DNS odpravi CGNAT? Ne. Dinamični DNS le posodablja gostiteljsko ime, da kaže na kateri koli javni IP, ki ga imate. Za CGNAT ta javni IP pripada operaterju in je deljen, zato gostiteljsko ime ne more doseči vašega usmerjevalnika.

Ali je CGNAT enak NAT na mojem lastnem usmerjevalniku? Ne. NAT vašega usmerjevalnika prevaja vaš zasebni LAN v vaš naslov WAN, vi pa nadzirate njegova pravila za preusmerjanje vrat. CGNAT doda drug NAT znotraj ponudnika, ki ga ne nadzirate, zato se dohodno preusmerjanje prekine.

Ali lahko ponudnika preprosto prosim, naj ga izklopi? Včasih. Mnogi ponudniki ponujajo javni ali statični naslov IPv4 za plačilo ali na zahtevo. Razpoložljivost in cena se zelo razlikujeta glede na operaterja in regijo.

Naredite naslednji korak

Izgradnja lastnega tunela za en usmerjevalnik je preprosta. Početje tega na desetinah ali stotinah MikroTikov — vsak za drugim operaterjem CGNAT, s ključi za rotacijo in konfiguracijami VPS za pestovanje — je tam, kjer se operativni stroški kopičijo.

NATCloud podjetja MKController je zgrajen prav za to. Vsak MikroTik se poveže prek odhodnega tunela do nadzorne ravnine, brez javnega IP, brez preusmerjanja vrat in brez potrebnih urejanj VPS za posamezno napravo. Dobite centraliziran nadzor in varen oddaljeni dostop do vsakega usmerjevalnika, tudi do tistih globoko zakopanih za operaterskim NAT.

Začnite svojo brezplačno preskusno različico MKController