Accéder à un routeur MikroTik à distance sans IP publique
Par Alaa Ezat · · 4 min de lecture
Derrière un CGNAT, Starlink ou une SIM 4G, impossible de rediriger des ports. Voici pourquoi, et comment un tunnel ouvert par le routeur permet d'atteindre Winbox, Webfig, SSH et l'API depuis n'importe où.
Beaucoup de routeurs MikroTik se trouvent derrière une connexion inaccessible de l'extérieur : une SIM 4G/LTE, un fournisseur qui utilise le CGNAT, ou une offre qui ne donne jamais d'adresse publique. Depuis Internet, il n'y a tout simplement rien à joindre, et Winbox ne trouve pas le routeur quand vous êtes loin du site.
Pourquoi les solutions habituelles échouent
- La redirection de ports exige une IP publique sur l'interface WAN du routeur. Derrière un CGNAT, l'adresse publique appartient au fournisseur et est partagée entre de nombreux clients : il n'y a rien vers quoi rediriger.
- MikroTik IP Cloud et le DNS dynamique donnent un nom au routeur, mais ce nom pointe vers la même adresse inaccessible.
- Demander une IP publique fixe au fournisseur fonctionne quand elle est proposée, mais c'est souvent une option payante, rarement disponible sur les connexions mobiles.
Même quand c'est possible, exposer Winbox sur Internet est risqué, car des robots sondent son port par défaut à toute heure. Notre liste de contrôle de sécurité explique comment durcir un routeur dans ce cas.
Starlink, 4G/LTE et autres connexions en CGNAT
Ce sont les connexions où le problème apparaît le plus souvent. Les réseaux mobiles (SIM 4G/LTE et 5G) partagent normalement une même adresse publique entre de nombreux abonnés, et l'offre résidentielle standard de Starlink place elle aussi les clients derrière un CGNAT. Quel que soit le câble ou l'antenne, le routeur peut ouvrir un tunnel sortant : la méthode de ce guide s'applique donc à toutes ces connexions. Le guide complet : accès à distance à MikroTik derrière Starlink, CGNAT et 4G.
L'idée : laisser le routeur appeler
Les connexions sortantes fonctionnent très bien derrière un CGNAT, puisque c'est le routeur qui les initie. S'il ouvre un tunnel VPN vers un serveur qui, lui, a une adresse publique, ce serveur peut renvoyer le trafic d'administration par le même tunnel. Vous vous connectez au serveur, et le serveur transmet votre session au routeur.
- Le routeur se connecte au serveur en SSTP, L2TP/IPsec ou OpenVPN.
- Le serveur attribue au routeur une adresse privée dans le tunnel.
- Le serveur publie les services Winbox, Webfig, SSH et API du routeur sur des ports qui vous sont réservés.
- Vous vous connectez à l'adresse du serveur et à votre port depuis n'importe où, et le trafic passe par le tunnel.
Rien n'est ouvert de votre côté : pas de redirection de ports, pas d'IP fixe, aucune modification chez le fournisseur.
Mise en place avec Dualbuy
- Créez un compte et choisissez l'un des forfaits d'accès distant MikroTik.
- Dans le tableau de bord, choisissez l'emplacement du serveur et le protocole de votre appareil.
- Copiez la ligne prête à l'emploi fournie par le tableau de bord et collez-la dans le terminal du routeur (dans Winbox : New Terminal). Le routeur se connecte tout seul.
- Utilisez l'adresse et les ports affichés sur la carte de l'appareil dans le tableau de bord pour ouvrir Winbox, Webfig, SSH ou l'API.
Choisir un protocole
Si votre réseau bloque l'UDP, commencez par SSTP : il passe par TCP et traverse la plupart des pare-feu. Les quatre options sont comparées dans les protocoles VPN MikroTik comparés.
Avant de vous y fier
- Définissez des mots de passe robustes et désactivez les services inutilisés (voir la liste de contrôle).
- Testez la connexion pendant que vous êtes encore sur place, pour corriger localement ce qui ne va pas.
- Gardez RouterOS à jour.