¿Para los túneles en MikroTik siempre es necesario que un extremo tenga IP pública fija?

En general, para configurar túneles en MikroTik (como VPNs, túneles GRE, o cualquier otro tipo de túnel punto a punto), es muy útil que al menos uno de los extremos tenga una dirección IP pública fija.

Sin embargo, no siempre es absolutamente necesario, y existen maneras de manejar situaciones donde los extremos tienen IPs dinámicas o privadas.

Te explicamos cómo:

Cuando uno o ambos extremos tienen IP pública fija #

• Situación ideal: Cuando uno de los extremos tiene una IP pública fija, se facilita la configuración y el mantenimiento del túnel, ya que este extremo puede actuar como un ancla estable para el túnel, al cual el otro extremo (con IP dinámica o privada) puede conectarse.

Cuando ambos extremos tienen IPs dinámicas #

• Uso de servicios DDNS: Si ambos extremos tienen direcciones IP dinámicas, puedes utilizar servicios de DNS Dinámico (DDNS) para mantener una dirección consistente a pesar de los cambios en las IPs. MikroTik soporta varios servicios DDNS, lo que permite que cada extremo actualice automáticamente su registro DNS cuando su IP cambie, manteniendo así la accesibilidad del túnel.
• Peering VPN con iniciación dinámica: Algunos protocolos de VPN, como OpenVPN o IPsec, permiten que el túnel se inicie desde cualquier extremo y pueden manejar cambios en las direcciones IP sin necesidad de una dirección fija. Esto se hace generalmente configurando los routers para que intenten establecer o reestablecer el túnel periódicamente o al detectar que la conexión se ha perdido.

Cuando ambos extremos están detrás de NAT #

• Uso de NAT Traversal: Para situaciones donde uno o ambos extremos están detrás de un NAT, tecnologías como NAT Traversal (NAT-T) para IPsec o la configuración de port forwarding pueden ayudar a establecer y mantener el túnel. NAT-T permite que IPsec trafique a través de dispositivos NAT al encapsular los paquetes IPSec dentro de paquetes UDP.
• Configuración de port forwarding: Si usas túneles que no soportan NAT-T de forma nativa, como algunos tipos de túneles GRE, necesitarás configurar port forwarding en el NAT para permitir el tráfico entrante hacia el dispositivo MikroTik interno.

Consideraciones #

• Seguridad y estabilidad: Tener al menos un extremo con IP fija mejora la seguridad y estabilidad del túnel, ya que reduce la complejidad de la configuración y el riesgo de interrupciones debido a cambios en la dirección IP.
• Monitorización y mantenimiento: Las configuraciones con IP dinámica requieren un mayor monitoreo y posiblemente más mantenimiento para asegurar que el túnel permanezca operativo y seguro.

En resumen, aunque es beneficioso y menos complicado tener una IP pública fija en uno de los extremos del túnel en MikroTik, existen diversas soluciones técnicas para configurar y mantener túneles cuando esto no es posible.