CGNAT и белый IP: удалённый доступ через роутер с SIM-картой

Почему сайты открываются, а подключение к камере — нет

Когда камера или компьютер сами обращаются к серверу, они начинают исходящее соединение. При попытке зайти извне по IP-адресу направление другое: удалённый клиент должен найти конкретное устройство внутри вашей сети. Помимо домашнего роутера на этом пути может находиться NAT оператора — CGNAT. Один внешний IPv4 тогда используется несколькими абонентами.

Типичная цепочка выглядит так: камера → локальная сеть DNXT → мобильная сеть с CGNAT → интернет. Домашние настройки не дают владельцу контроля над дополнительным преобразованием адресов у оператора. Такая топология и её ограничения описаны в RFC 6888. Обычное перенаправление порта только на домашнем роутере не создаёт необходимое правило на стороне оператора.

Покупка более мощной антенны не меняет эту схему. Антенна помогает работать с радиосигналом, а доступ извне зависит от адресации, тарифа, маршрутизации и защиты устройств. Поэтому сначала выясняют способ доступа, затем проверяют устойчивость канала.

Не перепутайте три разных адреса

На телефоне таблицу можно прокрутить вбок.

Диапазон 100.64.0.0–100.127.255.255 выделен для общего адресного пространства операторских сетей: это 100.64.0.0/10 из RFC 6598. Это не публичный адрес для прямого входящего доступа. Встречаются и другие внутренние адреса, поэтому отсутствие именно такого диапазона ещё не исключает NAT.

Слово «статический» означает постоянство адреса, а «публичный» — его область использования. Не считайте эти свойства взаимозаменяемыми: при заказе услуги уточняйте оба. Меняющийся публичный адрес и постоянный внутренний адрес решают разные задачи.

Как проверить своё подключение

1. Убедитесь, что интернет действительно идёт через SIM, а не через проводной WAN. На компьютере не должно быть другого активного выхода, который подменяет проверяемый маршрут.
2. Откройте сведения о подключении в приложении или веб-интерфейсе. Запишите адрес активного мобильного соединения, не адрес LAN. Названия полей зависят от прошивки.
3. В тот же момент посмотрите внешний IPv4 через выбранный сервис определения IP. Сравнивайте IPv4 с IPv4; IPv6 — отдельная схема.
4. Если адреса различаются или виден внутренний диапазон, запросите у оператора условия входящего доступа. VPN и прокси на компьютере могут менять видимый снаружи адрес, поэтому отмечайте их наличие.

Совпадение адресов тоже не доказывает, что конкретный порт доступен. У оператора или устройства могут действовать фильтры. Финальный тест проводят из другой сети, например с телефона вне домашнего Wi-Fi, и только для сервиса, который намеренно настроен для удалённого доступа.

Три варианта организации доступа

Облачный сервис производителя камеры. Если он предусмотрен моделью, начните с официальной инструкции камеры. Проверьте учётную запись, обновления, права доступа, тариф сервиса и сохранение записи при обрыве LTE. Наличие SIM-роутера само по себе не гарантирует работу конкретного облака.

Исходящий защищённый туннель. Соединение устанавливает устройство внутри сети, например отдельный постоянно включённый компьютер или шлюз. Общий принцип исходящего туннеля описан в документации Cloudflare. Здесь это пример архитектуры, а не рекомендация конкретного сервиса: доступность, условия, поддерживаемые протоколы и ограничения проверяют отдельно. Поддержку нужного клиента непосредственно в CPE906 или ED126 эта статья не обещает.

Публичный адрес от оператора. Перед оплатой уточните доступность для вашего тарифа, необходимый APN, разрешённые входящие соединения и стоимость. Дальше понадобится настройка сервиса, правил доступа и оборудования по проверенной инструкции. Одной покупки адреса недостаточно.

Что решить до покупки дополнительной услуги

Составьте короткое описание: «Нужен удалённый просмотр двух камер через их приложение» или «Нужен доступ сотрудников к конкретному серверу». Укажите модель камеры либо сервера, допустим ли облачный посредник, нужен ли постоянный адрес и кто будет поддерживать настройки. С таким запросом оператор и специалист смогут предложить подходящую схему, не сводя любой случай к покупке белого IP.

Панель управления роутером не стоит открывать всем из интернета ради проверки. Для выбранного решения используйте обновляемое ПО, отдельные учётные записи и ограничение доступа. После настройки проверьте работу из внешней сети, повторное подключение после обычного перезапуска и поведение при кратком обрыве связи. Эти практические проверки относятся к готовой системе; опубликованный материал не утверждает, что такая конфигурация уже испытана на вашем DNXT.

Читайте дальше