Remote MikroTik di Balik CGNAT Tanpa IP Publik: Pilihan yang Masuk Akal
Salah satu pertanyaan yang paling sering muncul saat teknisi mulai menangani banyak lokasi adalah: “Kenapa Winbox bisa dibuka dari LAN, tetapi tidak bisa dari luar?” Pada banyak koneksi rumahan, seluler, dan sebagian layanan broadband, penyebabnya adalah CGNAT.
CGNAT membuat beberapa pelanggan berbagi alamat IPv4 publik. Router Anda tetap bisa membuka koneksi keluar, tetapi internet tidak punya jalur langsung untuk memulai koneksi masuk ke IP WAN router.
Lihat VPN remote MikroTik RemotAja untuk akses Winbox dan perangkat lokal tanpa harus membeli IP publik.
Kenapa port forwarding tidak bekerja di CGNAT?
Port forwarding hanya mengatur router yang Anda kendalikan. Jika sebelum router Anda masih ada NAT milik ISP, paket dari internet berhenti di jaringan ISP terlebih dahulu. Anda tidak punya rule untuk meneruskannya.
Ciri yang umum: IP pada interface WAN berbeda dengan IP yang terlihat ketika mengecek alamat publik, atau WAN memakai blok privat/CGNAT seperti 100.64.0.0/10.
DDNS juga bukan “obat” CGNAT
DDNS berguna ketika alamat publik berubah-ubah. Ia tidak menciptakan jalur inbound. Jadi mengganti IP menjadi nama seperti routerku.example.net tidak mengubah fakta bahwa koneksi masih berada di balik NAT operator.
Tiga pendekatan yang realistis
| Pendekatan | Kelebihan | Keterbatasan |
|---|---|---|
| Minta IP publik ke ISP | Topologi langsung, mudah untuk beberapa kebutuhan server | Tidak semua ISP menyediakan; bisa ada biaya tambahan dan perlu hardening ketat. |
| VPN tunnel outbound | Bekerja di balik CGNAT, tidak perlu membuka Winbox publik | Perlu endpoint/server yang dapat dijangkau dan routing yang benar. |
| Remote desktop ke PC lokal | Mudah untuk kasus sesekali | Butuh PC selalu hidup dan tidak memberi akses jaringan yang sama fleksibelnya. |
Kenapa tunnel VPN cocok untuk MikroTik?
MikroTik dapat membuat koneksi keluar menuju server VPN. Setelah tunnel aktif, teknisi mengakses alamat privat router melalui tunnel tersebut. Konsep ini juga bisa dipakai untuk CCTV, server kasir, Mikhmon, NAS, atau perangkat lain di LAN—tentu dengan routing dan firewall yang dibatasi sesuai kebutuhan.
Keamanan: jangan hanya mengejar “bisa diakses”
- Buat akun administrasi terpisah dan hak minimum yang diperlukan.
- Batasi sumber yang boleh mengakses service Winbox/SSH/API.
- Jangan gunakan kredensial default atau password yang sama di banyak lokasi.
- Gunakan firewall input yang eksplisit dan audit service yang aktif.
- Untuk akses teknisi sementara, cabut akun/tunnel ketika pekerjaan selesai bila memang tidak dibutuhkan lagi.
Kalau tunnel hidup tetapi Winbox tetap tidak bisa?
Periksa berurutan: alamat tunnel, route menuju subnet lawan, firewall input/forward, allowed-address atau policy, NAT yang terlalu luas, dan apakah service Winbox dibatasi oleh address list. Jangan langsung menambah rule accept-any; itu sering menyembunyikan root cause sekaligus memperlebar akses.
Bagaimana memilih protokol?
WireGuard cocok ketika kedua sisi mendukung RouterOS 7 dan desain routingnya sederhana. L2TP/IPsec masih banyak dipakai untuk kompatibilitas. SSTP berguna pada kondisi tertentu karena berjalan di TLS. Pilihan terbaik mengikuti versi RouterOS, perangkat klien, jaringan ISP, dan kebutuhan operasional—bukan sekadar nama protokol yang sedang populer.
Untuk contoh perbandingan protokol, baca L2TP vs SSTP vs PPTP. Jika ingin akses yang disiapkan dan diuji sampai Winbox bisa dipakai, lihat layanan VPN remote MikroTik.