تحظى أجهزة الراوتر من MikroTik بشعبية واسعة في شبكات Wi-Fi للضيوف في الفنادق والمقاهي ومساكن العمال والمكاتب، لأنها منخفضة التكلفة وعالية الكفاءة. تعمل خدمة Hotspot المدمجة بمفردها، لكن عمليات النشر الجادة تربطها عادةً بخادم RADIUS خارجي وبوابة Captive Portal سحابية، فتُدار المستخدمون والقسائم والباقات مركزياً بدلاً من إدارتها على كل راوتر على حدة. يشرح هذا الدليل كيف تتكامل العناصر، ويعرض مثالاً توضيحياً للإعدادات، ويسرد الأخطاء التي نراها أكثر من غيرها.
كيف تتكامل العناصر معاً
- ينضم جهاز المستخدم إلى شبكة الضيوف ويحصل على عنوان IP من خادم DHCP في MikroTik.
- تعترض خدمة Hotspot أول طلب ويب وتعيد توجيه المستخدم إلى صفحة تسجيل الدخول، إما صفحة محلية على الراوتر أو، وهو الأكثر شيوعاً، بوابة سحابية خارجية.
- يسجّل المستخدم دخوله (بقسيمة أو رقم غرفة أو رمز عبر البريد الإلكتروني وغير ذلك). وترسل البوابة بيانات الاعتماد إلى رابط تسجيل الدخول الخاص بخدمة Hotspot على الراوتر.
- يرسل الراوتر طلب Access-Request إلى خادم RADIUS.
- يرد RADIUS برسالة Access-Accept مع قواعد الجلسة، مثل حد السرعة ومهلة الجلسة وحصة البيانات، أو برسالة Access-Reject.
- خلال الجلسة، يرسل الراوتر تحديثات المحاسبة (بداية ومرحلية ونهاية)، لتعرف المنصة من المتصل وكم يستخدم.
- إذا احتاجت المنصة إلى فصل مستخدم أو تغيير سرعته أثناء الجلسة، فإنها ترسل رسالة Disconnect أو CoA إلى الراوتر.
قبل أن تبدأ
- يُوصى باستخدام الإصدار 7 من RouterOS في عمليات النشر الجديدة.
- حدّد الواجهة أو الجسر (Bridge) الذي يحمل حركة الضيوف، وأبقِه منفصلاً عن شبكات الموظفين (على VLAN خاصة به).
- احصل من مزوّد RADIUS/البوابة على: عنوان خادم RADIUS، والسر المشترك، ومنافذ المصادقة والمحاسبة، وأسماء نطاقات البوابة التي يجب الوصول إليها قبل تسجيل الدخول.
- تأكد من ضبط الوقت على الراوتر بشكل صحيح، فالمحاسبة تعتمد عليه.
مثال توضيحي لإعدادات RouterOS
الأوامر التالية مثال مبسّط بقيم مؤقتة. يجب استبدال RADIUS_SERVER_IP وRADIUS_SECRET وportal.example.com بالقيم التي يقدمها مزوّدك، وقد يختلف اسم ملف تعريف Hotspot لديك. اختبر دائماً على راوتر غير إنتاجي أولاً.
- /system ntp client set enabled=yes servers=pool.ntp.org
- /radius add service=hotspot address=RADIUS_SERVER_IP secret=RADIUS_SECRET authentication-port=1812 accounting-port=1813 timeout=3s
- /radius incoming set accept=yes port=3799
- /ip hotspot profile set [find name=hsprof1] use-radius=yes radius-accounting=yes radius-interim-update=5m login-by=http-chap,http-pap,mac-cookie
- /ip hotspot walled-garden add dst-host=portal.example.com action=allow
- /ip hotspot walled-garden add dst-host=*.example-cdn.com action=allow
وظيفة كل سطر:
- NTP يحافظ على دقة الساعة لتكون أوقات الجلسات والسجلات صحيحة.
- /radius add يسجّل خادم RADIUS الخارجي لخدمة Hotspot. ويجب أن يطابق السر تماماً ما هو مضبوط على الخادم لهذا الراوتر.
- /radius incoming يسمح للراوتر بقبول طلبات Disconnect وCoA، لتتمكن المنصة من إنهاء الجلسات أو تغيير السرعات دون انتظار انتهاء المهلات.
- ملف تعريف Hotspot يفعّل مصادقة RADIUS والمحاسبة، ويرسل تحديثات مرحلية كل خمس دقائق، ويفعّل طرق تسجيل الدخول التي تستخدمها بوابتك.
- الحديقة المسوّرة (Walled Garden) تسمح للمستخدمين غير المصادق عليهم بالوصول إلى البوابة وكل ما تحمّله (الخطوط والبرمجيات النصية وصفحات الدفع) قبل تسجيل الدخول.
لاستخدام بوابة خارجية، تُستبدل صفحة تسجيل الدخول الخاصة بخدمة Hotspot على الراوتر بصفحة صغيرة تعيد التوجيه إلى البوابة السحابية، مع تمرير بيانات مثل عنوان MAC الخاص بالمستخدم وعنوان IP ورابط تسجيل الدخول على الراوتر. ثم ترسل البوابة بيانات الاعتماد إلى رابط تسجيل الدخول ذلك.
أخطاء تعطّل تسجيل الدخول
- عدم تطابق السر المشترك: خطأ إملائي واحد يُفشل كل عمليات تسجيل الدخول دون رسالة خطأ واضحة للمستخدم. افحص سجل RADIUS على الراوتر (/log print where topics~"radius").
- عنوان IP المصدر الخاطئ: لا يجيب خادم RADIUS إلا على أجهزة الراوتر المعروفة. فإذا كان الراوتر يصل إلى الإنترنت عبر NAT أو يتغير عنوان IP العام الخاص به، تصل الطلبات من عنوان لا يعرفه الخادم. استخدم عنوان IP ثابتاً أو نفق VPN وسجّل ذلك العنوان.
- جدار الحماية يحظر منافذ UDP 1812/1813 أو 3799: سواء في الاتجاه الصادر على الراوتر، أو الوارد على الخادم، أو في أي مكان بينهما.
- حديقة مسوّرة غير مكتملة: تُحمَّل البوابة لكنها تبدو معطوبة، أو تتوقف خطوة الدفع، بسبب نقص نطاق CDN أو نطاق الدفع. اختبر كل صفحة في مسار تسجيل الدخول على جهاز جديد.
- انحراف الساعة: يؤدي الوقت الخاطئ إلى مدد جلسات غريبة وتقارير مربكة.
- غياب المحاسبة المرحلية: دون التحديثات المرحلية لا ترى المنصة الاستخدام المباشر، ولا تُفرض حصص البيانات بشكل صحيح، وتتراكم جلسات "وهمية".
- توقّع إعادة توجيه HTTPS: لا تستطيع بوابات Captive Portal اعتراض مواقع HTTPS بشكل سليم. تكتشف الهواتف البوابة عبر فحوصاتها الخاصة بـHTTP العادي، فتأكد من أن هذه الفحوصات غير محظورة وغير مُدرجة في القائمة البيضاء عن طريق الخطأ.
- مشكلات اسم DNS الخاص بخدمة Hotspot: إذا ضبطت اسم DNS لخدمة Hotspot، فيجب أن يُحلّ بشكل صحيح، وإذا استخدمت HTTPS لصفحة تسجيل الدخول المحلية، فيجب أن تطابقه الشهادة.
- تجاهل عشوائية عناوين MAC: قد تُظهر الهواتف عنوان MAC مختلفاً لكل شبكة أو مع مرور الوقت. اعتمد على إدارة سليمة للجلسات وملفات تعريف الارتباط بدلاً من القواعد المعتمدة على MAC وحده.
- الضيوف والموظفون على شبكة واحدة: اعزل الضيوف دائماً على VLAN خاصة بهم، وفعّل عزل العملاء على نقاط الوصول.
قائمة الاختبار
- صِل هاتفاً جديداً وحاسوباً محمولاً، وتأكد من ظهور البوابة تلقائياً.
- سجّل الدخول بقسيمة صالحة وأخرى غير صالحة، وافحص سجل الراوتر وقائمة الجلسات على المنصة.
- تأكد من حد السرعة عبر اختبار سرعة (supernxt.com/tools/speed-test/).
- افصل مستخدماً من المنصة وتأكد من أن الراوتر يقطع اتصاله فوراً.
- اترك جلسة تعمل لما بعد فترة تحديث مرحلي واحدة، وتأكد من تحديث بيانات الاستخدام.
دع المنصة تُنشئ الإعدادات
كتابة إعدادات Hotspot يدوياً لكل موقع بطيئة وعرضة للأخطاء. تُنشئ WiFiNexa (wifinexa.com)، منصة Captive Portal وRADIUS السحابية من Super Next Technologies، إعدادات MikroTik لكل راوتر تلقائياً، بما في ذلك إدخالات RADIUS وملف تعريف Hotspot والحديقة المسوّرة وإعادة التوجيه إلى البوابة، فتلصق سكربتاً واحداً ويصبح الموقع جاهزاً. ثم تتولى إدارة القسائم والباقات والجلسات المباشرة والتقارير من لوحة تحكم واحدة. اقرأ المزيد على supernxt.com/products/wifinexa.
الخطوة التالية
إذا كنت تُعدّ Hotspot جديداً أو تعالج آخر يتعطل باستمرار، فجرّب WiFiNexa على wifinexa.com أو اتصل بفريق WiFiNexa على +971 55 362 5025. وللتصميم والتركيب الكامل للشبكة، اطّلع على خدمات الهوتسبوت اللاسلكي لدينا على supernxt.com/wireless-hotspot أو تواصل معنا عبر supernxt.com/contact.