Acceso remoto a MikroTik tras Starlink, CGNAT y 4G
Por Alaa Ezat · · 5 min de lectura
Por qué Winbox falla de forma remota tras Starlink y una SIM 4G, cómo saber si tu router está tras un CGNAT y una comparación de las cuatro formas de llegar a un MikroTik sin IP pública.
Si tu MikroTik sale a Internet por Starlink o por una SIM 4G o 5G, lo más probable es que falle la forma habitual de acceder a él de forma remota: abrir el puerto de Winbox o usar DDNS. En la mayoría de los casos la causa es el CGNAT: tu proveedor coloca el router tras un NAT propio, de modo que ninguna conexión que venga de Internet llega hasta él. Esta guía te muestra cómo comprobarlo, por qué fallan las soluciones habituales y qué opciones funcionan de verdad.
¿Por qué no puedo acceder a mi MikroTik de forma remota por Starlink o una SIM 4G?
Porque el proveedor no le da a tu router una dirección IP pública propia, sino que lo coloca tras un NAT a nivel de red llamado CGNAT. Las conexiones que tu router inicia hacia Internet funcionan con normalidad, pero las que llegan desde Internet hacia él se detienen en el equipo del proveedor y no te alcanzan.
Por eso la navegación y las aplicaciones funcionan, pero Winbox, SSH y Webfig no responden desde fuera de la red. Es habitual en redes móviles, y fuentes especializadas indican que Starlink suele usar CGNAT para el IPv4 residencial, aunque las opciones de dirección pública varían según el plan y la región.
¿Cómo sé si mi MikroTik está tras un CGNAT?
Compara la dirección de la interfaz WAN del router con la dirección pública que ven los sitios web: si son distintas, estás tras otro NAT, muy probablemente el CGNAT de tu proveedor. Si la dirección WAN está dentro de 100.64.0.0/10, es una prueba directa de CGNAT, porque ese rango está reservado oficialmente para Carrier-Grade NAT en la RFC 6598.
Pasos para comprobarlo:
- En Winbox abre IP → Addresses y mira la dirección de la interfaz WAN (por ejemplo
lte1oether1). - Desde un dispositivo de la misma red, abre cualquier sitio que muestre tu dirección pública.
- Si las dos direcciones son distintas, o la dirección WAN empieza entre 100.64 y 100.127, el acceso directo desde fuera no funcionará.
O lista las direcciones desde el terminal:
/ip address print¿Por qué no sirve abrir el puerto de Winbox ni usar DDNS tras un CGNAT?
Porque abrir un puerto (dst-nat) se hace dentro de tu propio router, mientras que la conexión entrante se rechaza antes, en el equipo del proveedor. Y el DDNS actualiza un nombre con tu dirección pública compartida, pero esa dirección pertenece al equipo del proveedor y la comparten otros clientes, así que no te lleva a tu router.
Incluso si consigues una dirección pública, exponer Winbox a Internet atrae escaneos constantes. Lo explicamos en detalle en la lista de seguridad para la administración remota de MikroTik.
¿Qué opciones hay para acceder a un MikroTik tras un CGNAT?
Toda solución que funciona tras un CGNAT se basa en una misma idea: el router inicia la conexión hacia un punto de Internet y tú entras por ese punto. Lo que cambia es quién gestiona ese punto y qué puedes hacer a través de él.
| Opción | ¿Funciona tras CGNAT? | Acceso al router (Winbox, SSH) | Qué exige |
|---|---|---|---|
| Pedir una IP pública al proveedor | Elimina el CGNAT si la ofrece | Sí, pero el puerto queda expuesto a Internet | Depende del proveedor y del plan, a menudo con coste extra |
| Back To Home de MikroTik | Sí, directo o a través de servidores de relevo | Sí, mediante un túnel VPN hacia el router y su red | RouterOS 7.12 o posterior, y hardware ARM, ARM64 o TILE |
| Tu propio VPS con un túnel VPN | Sí | Sí | Configurar, mantener y proteger tú mismo el servidor y el túnel |
| Un servicio de acceso listo para usar como Dualbuy | Sí | Sí, mediante Winbox, Webfig, SSH y API | Pegar un solo comando en el terminal del router |
Back To Home: una función de MikroTik que configura un acceso VPN a tu router y a tu red desde cualquier lugar, incluso si el router no tiene dirección pública. Según la documentación de MikroTik sobre Back To Home, si el router no es accesible directamente desde Internet, la conexión pasa por servidores de relevo de MikroTik, y la velocidad podría verse limitada. Exige RouterOS 7.12 o posterior y hardware ARM, ARM64 o TILE, por lo que no está disponible en routers que no cumplan eso.
Tu propio VPS: control total, pero te haces responsable de otro servidor: actualizarlo, protegerlo y vigilar que siga en línea.
Un servicio listo para usar: traslada la carga del servidor a otro, que es lo que ofrece Dualbuy: tu router se conecta a nuestro servidor y nosotros publicamos los puertos de Winbox, Webfig, SSH y API de tu dispositivo.
¿Qué protocolo VPN funciona mejor por Starlink y redes móviles?
Empieza por SSTP si la red bloquea UDP, porque funciona sobre TCP y atraviesa la mayoría de firewalls. Si tu objetivo es administrar el router con Winbox, elige SSTP, L2TP/IPsec u OpenVPN, porque el acceso administrativo por puertos en Dualbuy no funciona por WireGuard.
Comparamos los cuatro protocolos con detalle en protocolos VPN de MikroTik comparados.
¿Cómo configuro el acceso remoto tras un CGNAT con Dualbuy?
Crea una cuenta y elige un plan, y pega el comando listo del panel en el terminal de MikroTik (Winbox → New Terminal). Después el router se conecta solo a nuestro servidor y accedes a él con Winbox desde cualquier lugar, incluso tras Starlink o una SIM 4G.
- Crea tu cuenta en el panel de Dualbuy.
- Elige el plan de acceso remoto adecuado para tu número de dispositivos.
- Copia el comando del panel y pégalo en New Terminal.
- Usa la dirección y el puerto que muestra el panel para conectarte con Winbox.
Para una explicación más amplia de la misma idea sin centrarse en el CGNAT, lee cómo acceder a un router MikroTik de forma remota sin IP pública.