IP Cloud MikroTik: un nome fisso per il router con l’IP dinamico

Che problema risolve IP Cloud?

Molte linee, soprattutto quelle di casa e dei piccoli uffici, hanno un indirizzo pubblico che cambia: oggi è uno, dopo il prossimo riavvio del modem è un altro. Per raggiungere il router da fuori, per una VPN o per l’assistenza, ti servirebbe sapere ogni volta l’indirizzo nuovo.

IP Cloud è il DNS dinamico gratuito di MikroTik: dà al router un nome fisso, del tipo numero-di-serie.sn.mynetname.net, e lo tiene sempre puntato all’indirizzo pubblico del momento. Tu ricordi il nome, al resto pensa il router. Niente account da creare, niente servizi esterni.

Passo 1: come lo attivo?

Una riga:

/ip cloud set ddns-enabled=yes

Dopo qualche secondo il router si è registrato. Guarda il risultato:

/ip cloud print

Sulla routerboard del mio laboratorio è uscito questo (indirizzo pubblico e numero di serie li ho cambiati io):

          ddns-enabled: yes
       public-address: 203.0.113.25
             dns-name: hx12345abcd.sn.mynetname.net
               status: updated
              warning: Router is behind a NAT. Remote connection might not work.

Il nome è il numero di serie del router, in minuscolo, seguito da .sn.mynetname.net. È fisso: non cambia con l’indirizzo e non si può scegliere.

Passo 2: come verifico che il nome funzioni?

Da un PC qualunque, dentro o fuori dalla rete:

nslookup hx12345abcd.sn.mynetname.net
dig +short hx12345abcd.sn.mynetname.net

Deve rispondere con il public-address del passo 1. Il nome ha un TTL di 60 secondi: quando l’indirizzo cambia, nel giro di un minuto o due lo segue anche il nome. Se vuoi forzare subito un aggiornamento:

/ip cloud force-update

Passo 3: cosa vuol dire “Router is behind a NAT”?

Che il router non ha l’indirizzo pubblico su una sua interfaccia: davanti c’è un modem o un altro router che fa NAT. È il caso del mio laboratorio, e di tantissime installazioni con il modem dell’operatore davanti al MikroTik.

Il nome funziona lo stesso: il router lo aggiorna ogni minuto con l’indirizzo che vede il server MikroTik, cioè quello del modem. Ma una connessione che arriva da internet si ferma al modem, a meno che sul modem tu non abbia inoltrato verso il MikroTik la porta che ti serve (per esempio la porta UDP della VPN WireGuard). Senza quell’inoltro il nome punta al posto giusto, ma la porta è chiusa.

Passo 4: il nome apre il router a internet?

No, e questo è importante. Il nome serve solo a trovare il router: non apre nessuna porta e non cambia il firewall. Se il router è protetto, resta protetto.

⚠️ Attenzione: il nome è il numero di serie. Il numero di serie è stampato sull’etichetta, sulla scatola e compare nelle foto dell’installazione: chi lo conosce sa anche il tuo indirizzo pubblico. Non è un segreto e non deve esserlo. La sicurezza la fa il firewall, quindi prima di usare IP Cloud su un router in produzione segui l’Hardening di base di un router MikroTik.

Passo 5: e adesso che ci faccio?

Il nome fisso è l’ingrediente che mancava per raggiungere il router da fuori nel modo giusto:

• come endpoint di una VPN WireGuard: il telefono o il portatile si collegano al nome, non all’indirizzo, e la VPN funziona anche quando l’indirizzo cambia. È esattamente quello che facciamo nell’howto sulla VPN WireGuard dal telefono;
• come indirizzo per il port knocking verso WinBox, se hai scelto quella strada: c’è l’howto dedicato al port knocking su MikroTik.

Esiste anche Back To Home, la VPN già pronta di MikroTik che si attiva dall’app per il telefono e funziona anche dietro il NAT, passando da un server di MikroTik. È comoda per un router di casa; per un’installazione professionale preferisco una VPN mia, sotto il mio controllo.

Passo 6: come lo spengo?

/ip cloud set ddns-enabled=auto

auto è il valore di fabbrica: il nome resta attivo solo se usi Back To Home, altrimenti il router chiede al server MikroTik di cancellarlo e in pochi minuti smette di rispondere. Tutte le opzioni sono nel manuale MikroTik: Cloud.

Come funziona dentro, nella Knowledge base del Dojo: IP Cloud dentro: da dove prende l’indirizzo, NAT e CGNAT, Back To Home.

Provato in laboratorio su una routerboard con RouterOS 7.24.5 (stable), dietro il NAT del modem di casa: attivazione, registrazione del nome, risoluzione dal PC, force-update.