Cómo acceder a un router MikroTik de forma remota sin IP pública
Por Alaa Ezat · · 4 min de lectura
Tras un CGNAT, Starlink o una SIM 4G no puedes redirigir puertos. Te explicamos por qué y cómo un túnel iniciado por el router permite llegar a Winbox, Webfig, SSH y la API desde cualquier lugar.
Muchos routers MikroTik están detrás de una conexión a la que no se puede llegar desde fuera: una SIM 4G/LTE, un proveedor que usa CGNAT o un plan que nunca te da una dirección pública. Desde Internet no hay nada a lo que conectarse, así que Winbox no encuentra el router cuando estás lejos del sitio.
Por qué no funcionan las soluciones habituales
- La redirección de puertos necesita una IP pública en la interfaz WAN del router. Tras un CGNAT la dirección pública es del proveedor y la comparten muchos clientes, así que no hay a dónde redirigir.
- MikroTik IP Cloud y el DNS dinámico le ponen un nombre al router, pero ese nombre apunta a la misma dirección inaccesible.
- Pedir al proveedor una IP pública fija funciona cuando la ofrece, pero suele ser un extra de pago y casi nunca está disponible en conexiones móviles.
Incluso cuando es posible, exponer Winbox a Internet es arriesgado, porque hay bots que sondean su puerto por defecto a todas horas. Nuestra lista de seguridad para la administración remota explica cómo reforzar el router si lo haces.
Starlink, 4G/LTE y otras conexiones con CGNAT
Son las conexiones donde más aparece este problema. Las redes móviles (SIM 4G/LTE y 5G) suelen compartir una misma dirección pública entre muchos abonados, y el servicio residencial estándar de Starlink también sitúa a los clientes tras un CGNAT. Sea cual sea el cable o la antena, el router puede abrir un túnel saliente, así que el método de esta guía se aplica a todas ellas. La guía completa: acceso remoto a MikroTik tras Starlink, CGNAT y 4G.
La idea: que el router llame hacia fuera
Las conexiones salientes funcionan sin problema tras un CGNAT, porque es el router quien las inicia. Si abre un túnel VPN hacia un servidor que sí tiene dirección pública, ese servidor puede devolver el tráfico de administración por el mismo túnel. Tú te conectas al servidor y el servidor pasa tu sesión al router.
- El router se conecta al servidor por SSTP, L2TP/IPsec u OpenVPN.
- El servidor le asigna al router una dirección privada dentro del túnel.
- El servidor publica los servicios Winbox, Webfig, SSH y API del router en puertos reservados para ti.
- Te conectas a la dirección del servidor y a tu puerto desde cualquier lugar, y el tráfico viaja por el túnel.
No se abre nada de tu lado: ni redirección de puertos, ni IP fija, ni cambios en los equipos del proveedor.
Cómo configurarlo con Dualbuy
- Crea una cuenta y elige uno de los planes de acceso remoto a MikroTik.
- En el panel, elige la ubicación del servidor y el protocolo de tu dispositivo.
- Copia la línea lista que te da el panel y pégala en el terminal del router (en Winbox: New Terminal). El router se conecta solo.
- Usa la dirección y los puertos que aparecen en la tarjeta del dispositivo en el panel para abrir Winbox, Webfig, SSH o la API.
Elegir un protocolo
Si tu red bloquea UDP, empieza por SSTP: funciona sobre TCP y atraviesa la mayoría de firewalls. Las cuatro opciones se comparan en protocolos VPN de MikroTik comparados.
Antes de confiar en ello
- Define contraseñas robustas y desactiva los servicios que no uses (consulta la lista de comprobación).
- Prueba la conexión mientras sigues en el sitio, para corregir en local cualquier fallo.
- Mantén RouterOS actualizado.