Accès à distance à MikroTik derrière Starlink, CGNAT et 4G

Si votre MikroTik accède à Internet via Starlink ou une SIM 4G ou 5G, la méthode habituelle pour l'atteindre à distance, ouvrir le port Winbox ou utiliser le DDNS, échouera très probablement. Dans la plupart des cas, la cause est le CGNAT : votre fournisseur place votre routeur derrière un NAT à lui, si bien qu'aucune connexion venant d'Internet ne l'atteint. Ce guide montre comment le confirmer, pourquoi les solutions habituelles échouent et quelles options fonctionnent réellement.

Pourquoi ne puis-je pas joindre mon MikroTik à distance via Starlink ou une SIM 4G ?

Parce que le fournisseur ne donne pas à votre routeur une adresse IP publique à lui ; il le place derrière un NAT au niveau du réseau, appelé CGNAT. Les connexions que votre routeur initie vers Internet fonctionnent normalement, mais celles qui viennent d'Internet vers lui s'arrêtent chez l'équipement du fournisseur et ne vous parviennent pas.

C'est pourquoi la navigation et les applications fonctionnent, alors que Winbox, SSH et Webfig ne répondent pas depuis l'extérieur du réseau. C'est courant sur les réseaux mobiles, et des sources spécialisées indiquent que Starlink utilise couramment le CGNAT pour l'IPv4 résidentielle, les options d'adresse publique variant selon l'offre et la région.

Comment savoir si mon MikroTik est derrière un CGNAT ?

Comparez l'adresse de l'interface WAN du routeur avec l'adresse publique que les sites voient pour vous : si elles diffèrent, vous êtes derrière un autre NAT, très probablement le CGNAT de votre fournisseur. Si l'adresse WAN est dans 100.64.0.0/10, c'est une preuve directe de CGNAT, car cette plage est officiellement réservée au Carrier-Grade NAT par la RFC 6598.

Pour vérifier :

1. Dans Winbox, ouvrez IP → Addresses et regardez l'adresse de l'interface WAN (par exemple lte1 ou ether1).
2. Depuis un appareil du même réseau, ouvrez un site qui affiche votre adresse publique.
3. Si les deux adresses diffèrent, ou si l'adresse WAN commence entre 100.64 et 100.127, l'accès direct depuis l'extérieur ne fonctionnera pas.

Ou listez les adresses depuis le terminal :

/ip address print

Pourquoi ouvrir le port Winbox ou utiliser le DDNS ne marche pas derrière un CGNAT ?

Parce que l'ouverture d'un port (dst-nat) se fait dans votre propre routeur, alors que la connexion entrante est rejetée avant, chez l'équipement du fournisseur. Et le DDNS met à jour un nom avec votre adresse publique partagée, mais cette adresse appartient à l'équipement du fournisseur et est partagée avec d'autres clients : elle ne mène pas à votre routeur.

Même si vous obtenez une adresse publique, exposer Winbox sur Internet attire des scans permanents. Nous l'expliquons en détail dans la liste de contrôle de sécurité de l'administration MikroTik à distance.

Quelles solutions pour joindre un MikroTik derrière un CGNAT ?

Toute solution qui fonctionne derrière un CGNAT repose sur une même idée : le routeur initie la connexion vers un point sur Internet, et vous entrez par ce point. Ce qui change, c'est qui gère ce point et ce que vous pouvez faire à travers lui.

Back To Home : une fonction de MikroTik qui configure un accès VPN à votre routeur et à votre réseau depuis n'importe où, même si le routeur n'a pas d'adresse publique. Selon la documentation MikroTik de Back To Home, si le routeur n'est pas directement joignable depuis Internet, la connexion passe par des serveurs relais de MikroTik, et la vitesse peut alors être limitée. Elle exige RouterOS 7.12 ou plus récent et du matériel ARM, ARM64 ou TILE ; elle n'est donc pas disponible sur les routeurs qui ne répondent pas à ces critères.

Votre propre VPS : un contrôle total, mais vous devenez responsable d'un autre serveur : le mettre à jour, le sécuriser et vérifier qu'il reste en ligne.

Un service prêt à l'emploi : il transfère la charge du serveur à un tiers, ce que propose Dualbuy : votre routeur se connecte à notre serveur, et nous publions les ports Winbox, Webfig, SSH et API de votre appareil.

Quel protocole VPN fonctionne le mieux via Starlink et les réseaux mobiles ?

Commencez par SSTP si le réseau bloque l'UDP, car il passe par TCP et traverse la plupart des pare-feu. Si votre but est d'administrer le routeur via Winbox, choisissez SSTP, L2TP/IPsec ou OpenVPN, car l'accès d'administration par ports chez Dualbuy ne fonctionne pas en WireGuard.

Nous comparons les quatre protocoles en détail dans protocoles VPN MikroTik comparés.

Comment configurer l'accès à distance derrière un CGNAT avec Dualbuy ?

Créez un compte et choisissez un forfait, puis collez la commande prête à l'emploi du tableau de bord dans le terminal MikroTik (Winbox → New Terminal). Le routeur se connecte ensuite tout seul à notre serveur, et vous l'atteignez via Winbox de n'importe où, même derrière Starlink ou une SIM 4G.

1. Créez votre compte dans le tableau de bord Dualbuy.
2. Choisissez le forfait d'accès distant adapté à votre nombre d'appareils.
3. Copiez la commande du tableau de bord et collez-la dans New Terminal.
4. Utilisez l'adresse et le port affichés dans le tableau de bord pour vous connecter via Winbox.

Pour une explication plus large de la même idée, sans l'accent sur le CGNAT, lisez accéder à un routeur MikroTik à distance sans IP publique.