Віддалений доступ до MikroTik за CGNAT

Стисло CGNAT (Carrier-Grade NAT) дозволяє провайдеру ділити одну публічну адресу IPv4 між багатьма абонентами, що економить дефіцитні адреси, але руйнує вхідні з’єднання — тож проброс портів на роутер MikroTik за ним просто не працює. Оскільки роутер не має досяжної публічної адреси, надійне рішення — змінити напрямок: нехай роутер сам дзвонить до точки зустрічі, яку контролюєте ви. Цей посібник пояснює, що таке CGNAT, як його виявити та як керувати роутерами MikroTik за ним за допомогою вихідних тунелів.

Що таке CGNAT?

CGNAT — це другий рівень трансляції мережевих адрес, що працює всередині мережі провайдера й відображає багатьох клієнтів на невеликий пул спільних публічних адрес IPv4, зазвичай видаючи кожному абоненту приватну адресу з операторського діапазону 100.64.0.0/10 замість справжнього публічного IP. Він існує тому, що вільні блоки IPv4 у світі закінчилися ще роки тому: замість купувати дедалі дорожчі адреси більшість провайдерів фіксованого бездротового, мобільного, оптоволоконного та супутникового доступу тепер розміщують абонентів за спільним шлюзом. Ваш MikroTik усе ще має доступ до інтернету й може нормально ініціювати вихідні з’єднання — але з погляду публічного інтернету ваш роутер не має власної адреси. (Carrier-grade NAT — Wikipedia)

Як CGNAT руйнує вхідний доступ до MikroTik?

Звичайний проброс портів припускає, що ваш WAN-інтерфейс має публічний IP, до якого може достукатися решта інтернету. За CGNAT це припущення хибне одразу двічі. По-перше, ваша WAN-адреса приватна (часто 100.64.x.x), тож проброшений порт на вашому MikroTik указує на адресу, яку ніхто за межами оператора не може маршрутизувати. По-друге, справжній публічний IP розташований на головному NAT-пристрої провайдера, що ділиться з десятками інших абонентів і не пробросить до вас довільний вхідний порт — ви ним не керуєте. (Open Port Checkers — Why port forwarding fails with CGNAT)

Практичний наслідок для кожного, хто обслуговує парк роутерів, серйозний: ви не можете зайти на MikroTik клієнта через Winbox, WebFig, SSH чи API з офісу, бо вхідного шляху до нього немає. Динамічний DNS-хост теж не допомагає — він розв’яжеться у спільний IP оператора, а не у ваш роутер. Це та сама стіна, в яку впираються користувачі Starlink, що ми докладно розглядаємо в нашому кейсі про зміни IP у Starlink.

Як визначити, що MikroTik перебуває за CGNAT?

Перевірте адресу на WAN-інтерфейсі та порівняйте її з публічним IP, який з’єднання насправді показує інтернету. У терміналі Winbox або WebFig:

/ip address print

Якщо WAN-інтерфейс має адресу в межах 100.64.0.0 – 100.127.255.255 (спільний діапазон 100.64.0.0/10), 10.0.0.0/8 або іншого приватного діапазону RFC1918, ви майже напевно перебуваєте за CGNAT. Підтвердьте це, порівнявши цю адресу з тим, що повідомляє зовнішній сервіс «what is my IP»: якщо вони різні, між вами та інтернетом стоїть операторський NAT. Traceroute, що показує один чи кілька приватних хопів перед першим публічним, — ще один сильний сигнал. (oneuptime — How to detect if you are behind CGNAT)

Як керувати роутерами MikroTik за CGNAT?

Тривке рішення — припинити намагатися підключатися всередину і натомість дозволити роутеру підключатися назовні до точки зустрічі зі стабільною публічною адресою. Оскільки вихідне з’єднання ініціюється з-за CGNAT, NAT оператора охоче його пропускає — так само, як ваш браузер досягає будь-якого сайту. Щойно цей тунель встановлено, ви досягаєте роутера назад через нього. Є чотири поширені способи це побудувати, кожен описаний у власному посібнику:

Самостійно розгорнута VPN до VPS — класичний підхід: дешевий Linux-VPS із публічним IP виступає точкою зустрічі, і кожен MikroTik дзвонить до нього. WireGuard — сучасний стандарт: швидкий, малозатратний за CPU та стійкий до змін адрес, що приходять разом із CGNAT і динамічними IP. Ширший посібник із керування на базі VPS розглядає ту саму ідею з іншими типами тунелів.

Керована mesh-VPN прибирає більшу частину ручної роботи. Tailscale і ZeroTier обидва надають площину керування, яка бере на себе обхід NAT і розподіл ключів, тож роутер за CGNAT приєднується до мережі майже без налаштування на кожен пристрій.

Платформа TR-069 / ACS — стандартний для телекомів варіант, коли ви працюєте в масштабі: CPE відкриває вихідну сесію до сервера автоконфігурації, який потім надсилає конфігурацію та прошивку. Це спеціально створено для керування абонентськими пристроями, що живуть за операторським NAT.

Спеціалізована хмара керування поєднує ідею вихідного тунелю з моніторингом і контролем доступу в одному місці — саме цю модель використовує NATCloud від MKController.

Поради

• IPv6 часто повністю обходить CGNAT. Якщо ваш провайдер видає маршрутизований префікс IPv6, ви можете досягти роутера через IPv6 навіть тоді, коли IPv4 замкнений за операторським NAT — але лише якщо кожен хоп на вашому шляху керування також має IPv6.
• Завжди задавайте keepalive на вихідних тунелях (наприклад, persistent-keepalive=25 у WireGuard), щоб оператор тихо не скинув простоюючу NAT-прив’язку.
• Деякі провайдери продають статичну або публічну адресу IPv4 як платну опцію. Для одного критичного майданчика це може бути простіше за тунель; для парку за вартістю це не масштабується.
• Ніколи не виставляйте Winbox, WebFig чи SSH прямо в інтернет як «обхідний шлях». За CGNAT це все одно не спрацює, а на справжньому публічному IP це постійне запрошення для зловмисників.

FAQ

Чи вирішує проблему CGNAT сервіс динамічного DNS? Ні. Динамічний DNS лише оновлює ім’я хоста, щоб воно вказувало на той публічний IP, що у вас є. За CGNAT цей публічний IP належить оператору й є спільним, тож ім’я хоста не може досягти вашого роутера.

CGNAT — це те саме, що NAT на моєму власному роутері? Ні. NAT вашого роутера транслює вашу приватну LAN у вашу WAN-адресу, і ви керуєте його правилами проброса портів. CGNAT додає другий NAT усередині провайдера, яким ви не керуєте, — саме тому вхідний проброс ламається.

Чи можу я просто попросити провайдера його вимкнути? Інколи. Багато провайдерів пропонують публічну або статичну адресу IPv4 за плату чи на запит. Доступність і ціна сильно різняться залежно від оператора та регіону.

Зробіть наступний крок

Побудувати власний тунель для одного роутера нескладно. Зробити це на десятках чи сотнях MikroTik — кожен за іншим оператором CGNAT, із ключами, які треба ротувати, і конфігами VPS, за якими треба наглядати, — ось де накопичуються операційні витрати.

NATCloud від MKController створений саме для цього. Кожен MikroTik виходить на зв’язок через вихідний тунель до площини керування — без публічного IP, без проброса портів і без правок VPS на кожен пристрій. Ви отримуєте централізований моніторинг і безпечний віддалений доступ до кожного роутера, навіть до тих, що заховані глибоко за операторським NAT.

Почніть безкоштовний пробний період MKController