Utiliser Winbox à distance derrière un CGNAT

Reconnaître un CGNAT

Comparez l'adresse IP affichée sur l'interface WAN de votre routeur avec celle que vous voyez sur un site de test d'adresse IP. Si elles sont différentes, ou si l'adresse WAN est dans une plage privée ou en 100.64.x.x, votre connexion est derrière un CGNAT.

Pourquoi Winbox ne passe pas

Winbox attend une connexion entrante sur le port 8291. Avec un CGNAT, les connexions entrantes sont arrêtées par l'opérateur avant d'atteindre votre routeur. Aucun réglage de votre côté ne peut y changer quelque chose.

Contourner le CGNAT avec un tunnel sortant

Les connexions sortantes, elles, ne sont pas bloquées. Un tunnel VPN lancé depuis votre routeur vers un serveur extérieur passe donc sans problème. C'est ce serveur qui reçoit ensuite vos connexions Winbox, API ou SSH et les transmet à votre routeur à travers le tunnel.

C'est le principe de MikroVPN : un tunnel SSTP sortant, établi depuis le routeur, et des ports de redirection que vous ajoutez depuis votre tableau de bord.

Bonnes pratiques de sécurité

Quel que soit le moyen d'accès, quelques réglages protègent votre routeur :

• utilisez un mot de passe fort pour l'utilisateur d'administration,
• supprimez ou désactivez l'utilisateur « admin » par défaut s'il n'est pas protégé,
• désactivez les services que vous n'utilisez pas (telnet, ftp, www),
• gardez RouterOS à jour.