In generale, per configurare i tunnel in MikroTik (come VPN, tunnel GRE o qualsiasi altro tipo di tunnel punto-punto), è molto utile che almeno uno degli endpoint abbia un indirizzo IP pubblico fisso.

Tuttavia, non è sempre assolutamente necessario ed esistono modi per gestire le situazioni in cui gli endpoint hanno IP dinamici o privati.

Spieghiamo come:

Quando una o entrambe le estremità hanno un IP pubblico fisso

• Situazione ideale: Quando una delle estremità ha un IP pubblico fisso, la configurazione e la manutenzione del tunnel sono più semplici, poiché questa estremità può fungere da ancoraggio stabile per il tunnel, al quale l'altra estremità (con IP dinamico o privato) può connettersi.

Quando entrambe le estremità hanno IP dinamici

• Utilizzo dei servizi DDNS: se entrambi gli endpoint dispongono di indirizzi IP dinamici, è possibile utilizzare i servizi Dynamic DNS (DDNS) per mantenere un indirizzo coerente nonostante le modifiche negli IP. MikroTik supporta diversi servizi DDNS, consentendo a ciascun endpoint di aggiornare automaticamente il proprio record DNS quando cambia il suo IP, mantenendo così l'accessibilità del tunnel.
• Peering VPN con avvio dinamico: alcuni protocolli VPN, come OpenVPN o IPsec, consentono l'avvio del tunnel da entrambe le estremità e possono gestire le modifiche agli indirizzi IP senza richiedere un indirizzo fisso. Questo di solito viene fatto configurando i router per tentare periodicamente di stabilire o ristabilire il tunnel o dopo aver rilevato che la connessione è stata persa.

Quando entrambe le estremità sono dietro NAT

• Utilizzo del NAT trasversale: Per le situazioni in cui una o entrambe le estremità si trovano dietro un NAT, tecnologie come NAT Traversal (NAT-T) per IPsec o la configurazione del port forwarding possono aiutare a stabilire e mantenere il tunnel. NAT-T consente a IPsec di effettuare il traffico attraverso i dispositivi NAT incapsulando i pacchetti IPSec all'interno dei pacchetti UDP.
• Configurazione del port forwarding: Se utilizzi tunnel che non supportano nativamente NAT-T, come alcuni tipi di tunnel GRE, dovrai configurare il port forwarding in NAT per consentire il traffico in entrata al dispositivo MikroTik interno.

Considerazioni

• sicurezza e stabilità: Avere almeno un endpoint con IP fisso migliora la sicurezza e la stabilità del tunnel, poiché riduce la complessità della configurazione e il rischio di interruzioni dovute a modifiche dell'indirizzo IP.
• Monitoraggio e manutenzione: Le configurazioni con IP dinamico richiedono un maggiore monitoraggio e possibilmente una maggiore manutenzione per garantire che il tunnel rimanga operativo e sicuro.

In sintesi, sebbene sia vantaggioso e meno complicato avere un IP pubblico fisso ad un'estremità del tunnel in MikroTik, esistono varie soluzioni tecniche per configurare e mantenere i tunnel quando ciò non è possibile.