Los routers MikroTik son muy populares para el Wi-Fi de invitados en hoteles, cafeterías, alojamientos de trabajadores y oficinas porque son asequibles y capaces. El hotspot integrado funciona por sí solo, pero las implantaciones serias suelen conectarlo a un servidor RADIUS externo y a un portal cautivo en la nube, para gestionar usuarios, vouchers y planes de forma centralizada en lugar de router por router. Esta guía explica cómo encajan las piezas, muestra una configuración de ejemplo y enumera los errores que vemos con más frecuencia.
Cómo encajan las piezas
- El dispositivo de un usuario se une a la red de invitados y recibe una dirección IP del servidor DHCP del MikroTik.
- El hotspot intercepta la primera petición web y redirige al usuario a la página de acceso: una página local en el router o, más a menudo, un portal externo en la nube.
- El usuario inicia sesión (voucher, número de habitación, código por correo, etc.). El portal devuelve las credenciales a la URL de login del hotspot del router.
- El router envía un Access-Request al servidor RADIUS.
- RADIUS responde con Access-Accept más las reglas de la sesión (por ejemplo, límite de velocidad, tiempo máximo de sesión y cuota de datos) o con Access-Reject.
- Durante la sesión, el router envía actualizaciones de contabilidad (start, interim, stop) para que la plataforma sepa quién está conectado y cuánto consume.
- Si la plataforma necesita desconectar a un usuario o cambiar su velocidad en mitad de la sesión, envía un mensaje Disconnect o CoA al router.
Antes de empezar
- Se recomienda RouterOS versión 7 para las nuevas implantaciones.
- Decide qué interfaz o bridge transporta el tráfico de invitados y mantenlo separado de las redes del personal (en su propia VLAN).
- Pide a tu proveedor de RADIUS/portal: la dirección del servidor RADIUS, el secreto compartido, los puertos de autenticación y de contabilidad, y los nombres de dominio del portal que deben ser accesibles antes del login.
- Asegúrate de que el router tenga la hora correcta: la contabilidad depende de ello.
Configuración de RouterOS de ejemplo
Los comandos siguientes son un ejemplo simplificado con valores de marcador de posición. RADIUS_SERVER_IP, RADIUS_SECRET y portal.example.com deben sustituirse por los valores de tu proveedor, y el nombre de tu perfil de hotspot puede ser distinto. Prueba siempre primero en un router que no esté en producción.
- /system ntp client set enabled=yes servers=pool.ntp.org
- /radius add service=hotspot address=RADIUS_SERVER_IP secret=RADIUS_SECRET authentication-port=1812 accounting-port=1813 timeout=3s
- /radius incoming set accept=yes port=3799
- /ip hotspot profile set [find name=hsprof1] use-radius=yes radius-accounting=yes radius-interim-update=5m login-by=http-chap,http-pap,mac-cookie
- /ip hotspot walled-garden add dst-host=portal.example.com action=allow
- /ip hotspot walled-garden add dst-host=*.example-cdn.com action=allow
Qué hace cada línea:
- NTP mantiene el reloj exacto para que los tiempos de sesión y los registros sean correctos.
- /radius add registra el servidor RADIUS externo para el servicio hotspot. El secreto debe coincidir exactamente con el configurado en el servidor para este router.
- /radius incoming permite que el router acepte peticiones Disconnect y CoA, para que la plataforma pueda cerrar sesiones o cambiar velocidades sin esperar a que caduquen.
- El perfil de hotspot activa la autenticación y la contabilidad RADIUS, envía actualizaciones intermedias cada cinco minutos y habilita los métodos de login que usa tu portal.
- El walled garden permite que los usuarios no autenticados accedan al portal y a todo lo que este carga (fuentes, scripts, páginas de pago) antes de iniciar sesión.
Para usar un portal externo, la página de login del hotspot en el router se sustituye por una pequeña página que redirige al portal en la nube y le pasa datos como la dirección MAC del usuario, su dirección IP y la URL de login del router. Después, el portal envía las credenciales de vuelta a esa URL de login.
Errores que impiden iniciar sesión
- El secreto compartido no coincide: un solo error tipográfico y todos los inicios de sesión fallan sin ningún error evidente para el usuario. Revisa el log de RADIUS en el router (/log print where topics~"radius").
- IP de origen incorrecta: el servidor RADIUS solo responde a routers conocidos. Si el router sale a internet a través de NAT o cambia de IP pública, las peticiones llegan desde una dirección que el servidor no reconoce. Usa una IP estática o un túnel VPN y registra esa dirección.
- El firewall bloquea UDP 1812/1813 o 3799: de salida en el router, de entrada en el servidor o en cualquier punto intermedio.
- Walled garden incompleto: el portal carga pero se ve roto, o el paso de pago se queda colgado, porque falta un dominio de CDN o de pago. Prueba cada página del flujo de login en un dispositivo limpio.
- Desfase del reloj: una hora incorrecta provoca duraciones de sesión extrañas e informes confusos.
- Sin contabilidad intermedia: sin actualizaciones interim, la plataforma no puede ver el consumo en tiempo real, las cuotas de datos no se aplican correctamente y se acumulan sesiones "fantasma".
- Esperar la redirección de HTTPS: los portales cautivos no pueden interceptar limpiamente los sitios HTTPS. Los teléfonos detectan el portal con sus propias comprobaciones en HTTP plano; asegúrate de que esas comprobaciones no estén bloqueadas ni incluidas por error en una lista blanca.
- Problemas con el nombre DNS del hotspot: si defines un nombre DNS para el hotspot, debe resolverse correctamente, y si usas HTTPS para la página de login local, el certificado debe coincidir con ese nombre.
- Ignorar la aleatorización de MAC: los teléfonos pueden presentar una MAC distinta por red o con el tiempo. Confía en una gestión de sesiones y cookies adecuada en lugar de reglas basadas solo en la MAC.
- Invitados y personal en la misma red: aísla siempre a los invitados en su propia VLAN y activa el aislamiento de clientes en los puntos de acceso.
Checklist de pruebas
- Conecta un teléfono limpio y un portátil; confirma que el portal aparece automáticamente.
- Inicia sesión con un voucher válido y con uno no válido; revisa el log del router y la lista de sesiones de la plataforma.
- Confirma el límite de velocidad con un test de velocidad (supernxt.com/tools/speed-test/).
- Desconecta a un usuario desde la plataforma y confirma que el router lo expulsa de inmediato.
- Deja una sesión abierta más allá de un intervalo interim y confirma que el consumo se actualiza.
Deja que la plataforma genere la configuración
Escribir a mano la configuración del hotspot para cada sitio es lento y propenso a errores. WiFiNexa (wifinexa.com), la plataforma de portal cautivo y RADIUS en la nube de Super Next Technologies, genera automáticamente la configuración de MikroTik para cada router (entradas RADIUS, perfil de hotspot, walled garden y redirección al portal), así que pegas un único script y el sitio queda listo. Después gestiona vouchers, planes, sesiones en tiempo real e informes desde un solo panel. Más información en supernxt.com/products/wifinexa.
Siguiente paso
Si estás configurando un nuevo hotspot o arreglando uno que falla una y otra vez, prueba WiFiNexa en wifinexa.com o llama al equipo de WiFiNexa al +971 55 362 5025. Para el diseño y la instalación completos de la red, consulta nuestros servicios de hotspot inalámbrico en supernxt.com/wireless-hotspot o escríbenos en supernxt.com/contact.