Пример настройки MikroTik RouterOS для гостевого Wi-Fi с авторизацией по SMS

Техническое дополнение к общей инструкции по настройке роутера: готовые команды для RouterOS 7 с пояснениями, что делает каждая. Подставьте адрес сервера и секретную фразу из кабинета.

Что должно быть до начала

• Гостевая сеть вынесена на отдельный bridge или VLAN, в примере он называется bridge_guest.
• На этом bridge уже работает хотспот: /ip hotspot setup или ручная настройка сервера и профиля. В примере профиль называется hsprof1.
• Роутер зарегистрирован в кабинете в разделе «Роутеры и точки»: вы знаете адрес сервера Oganesson (далее SERVER) и секретную фразу (далее SECRET).

1. RADIUS-клиент для хотспота

/radius add service=hotspot address=SERVER secret=SECRET timeout=3s comment="Oganesson"
/ip hotspot profile set hsprof1 use-radius=yes radius-interim-update=3m

Первая команда говорит роутеру, где проверять гостей. Вторая включает проверку через RADIUS для профиля хотспота и промежуточные отчёты раз в три минуты: по ним кабинет считает трафик и длительность сессий, а сессии без отчётов закрываются как зависшие.

2. Приём запросов на отключение

/radius incoming set accept=yes port=3799
/ip firewall filter add chain=input protocol=udp dst-port=3799 src-address=SERVER action=accept place-before=0 comment="RADIUS CoA from Oganesson"

Без этого кнопки «Отключить» и «Заблокировать» в кабинете сработают только по окончании сессии. Правило фаервола ставится первым в цепочке input, чтобы его не перекрыло общее запрещающее правило. Если роутер стоит за NAT, пробросьте UDP 3799 до него и укажите в кабинете в параметрах роутера «Адрес для отключения сессий».

3. Портал доступен до входа

/ip hotspot walled-garden ip add dst-address=SERVER protocol=tcp dst-port=443 action=accept comment="Oganesson portal HTTPS"
/ip hotspot walled-garden add dst-host=oganesson.eastera.tj action=allow comment="Oganesson portal"

Страница входа, логотип, фон и реклама заведения отдаются с сервера портала, поэтому он должен быть открыт для гостя до авторизации, причём по HTTPS. Если на странице входа есть ссылки на сайт или соцсети заведения, добавьте их домены таким же образом или через кабинет: раздел «Роутеры и точки», карточка роутера, список разрешённых сайтов.

4. Страница входа роутера

Хотспот RouterOS показывает гостю свою страницу из каталога hotspot в файлах роутера. Eastera выдаёт готовый файл login.html, который перенаправляет гостя на портал Oganesson и передаёт параметры сессии: адрес устройства, адрес для возврата после входа и исходную страницу. Загрузите файл через Files, заменив стандартный hotspot/login.html. После входа портал сам отправит роутеру данные для открытия сессии.

5. Экспорт потоков трафика

/ip traffic-flow set enabled=yes interfaces=bridge_guest active-flow-timeout=1m inactive-flow-timeout=15s
/ip traffic-flow target add dst-address=SERVER port=2055 version=ipfix

Роутер начинает отправлять на сервер сведения о потоках: адреса, объёмы, точки доступа. Содержимое трафика не передаётся. В кабинете появляется раздел «Трафик» с категориями и нагрузкой по точкам. Если роутер раздаёт несколько гостевых сетей, перечислите их интерфейсы через запятую.

6. Доступ кабинета по API (по желанию)

/user group add name=oganesson policy=read,api,!local,!telnet,!ssh,!ftp,!reboot,!write,!policy,!test,!winbox,!password,!web,!sniff,!sensitive,!romon
/user add name=oganesson group=oganesson password=ПАРОЛЬ
/ip service set api-ssl disabled=no
/ip firewall filter add chain=input protocol=tcp dst-port=8729 src-address=SERVER action=accept place-before=0 comment="RouterOS API from Oganesson"

С доступом по API кабинет показывает состояние точек CAPsMAN, клиентов Wi-Fi, загрузку и проверяет настройки из этой инструкции автоматически. Пользователь только читает. Если позже вы разрешите в кабинете изменения, добавьте в политику write: тогда доверенные устройства будут пропускаться прямо на роутере, а список разрешённых сайтов можно будет править из кабинета. Пароль вводится только в кабинете и хранится в зашифрованном виде.

7. Проверка

Откройте карточку роутера в кабинете. Проверки должны быть зелёными: сервер RADIUS указан, хотспот его использует, запросы на отключение принимаются, промежуточные отчёты включены, потоки идут, портал доступен до входа. Затем подключите телефон к гостевой сети и пройдите вход по SMS. Сессия появится на обзоре; кнопка «Отключить» вернёт телефон на страницу входа за несколько секунд.

Полезные команды при диагностике

/ip hotspot active print            # кто сейчас в сети
/ip hotspot host print              # устройства в гостевой сети, включая не вошедших
/radius monitor 0                   # счётчики запросов и ответов RADIUS
/log print where topics~"hotspot"   # события входа и ошибки
/ip traffic-flow target print       # куда уходят потоки

Смена секретной фразы

Сначала новая фраза задаётся роутеру в кабинете, затем на роутере: /radius set [find address=SERVER] secret=НОВАЯ_ФРАЗА. Порядок важен: иначе на время между двумя действиями гости не смогут войти.