Hotspot MikroTik avec serveur RADIUS externe et portail captif cloud : guide de configuration pratique

Les routeurs MikroTik sont très répandus pour le Wi-Fi invités dans les hôtels, cafés, logements ouvriers et bureaux, car ils sont abordables et performants. Le hotspot intégré fonctionne seul, mais les déploiements sérieux le relient généralement à un serveur RADIUS externe et à un portail captif dans le cloud, afin que les utilisateurs, les vouchers et les forfaits soient gérés de façon centralisée plutôt que routeur par routeur. Ce guide explique comment les éléments s'articulent, présente un exemple de configuration et liste les erreurs que nous rencontrons le plus souvent.

Comment les éléments s'articulent

1. L'appareil de l'utilisateur rejoint le réseau invités et reçoit une adresse IP du serveur DHCP du MikroTik.
2. Le hotspot intercepte la première requête web et redirige l'utilisateur vers la page de connexion — soit une page locale sur le routeur, soit, plus couramment, un portail cloud externe.
3. L'utilisateur se connecte (voucher, numéro de chambre, code reçu par e-mail, etc.). Le portail renvoie les identifiants vers l'URL de connexion du hotspot du routeur.
4. Le routeur envoie un Access-Request au serveur RADIUS.
5. RADIUS répond par un Access-Accept accompagné des règles de session — par exemple limite de débit, durée de session et quota de données — ou par un Access-Reject.
6. Pendant la session, le routeur envoie des mises à jour de comptabilité (start, interim, stop), afin que la plateforme sache qui est en ligne et ce qu'il consomme.
7. Si la plateforme doit déconnecter un utilisateur ou modifier son débit en cours de session, elle envoie un message Disconnect ou CoA au routeur.

Avant de commencer

• RouterOS version 7 est recommandé pour les nouveaux déploiements.
• Déterminez l'interface ou le bridge qui transporte le trafic invités et isolez-le des réseaux du personnel (sur son propre VLAN).
• Obtenez auprès de votre fournisseur RADIUS/portail : l'adresse du serveur RADIUS, le secret partagé, les ports d'authentification et de comptabilité, ainsi que les noms de domaine du portail qui doivent être accessibles avant la connexion.
• Vérifiez que le routeur est à l'heure exacte — la comptabilité en dépend.

Exemple de configuration RouterOS

Les commandes ci-dessous sont un exemple simplifié avec des valeurs fictives. RADIUS_SERVER_IP, RADIUS_SECRET et portal.example.com doivent être remplacés par les valeurs de votre fournisseur, et le nom de votre profil hotspot peut être différent. Testez toujours d'abord sur un routeur hors production.

• /system ntp client set enabled=yes servers=pool.ntp.org
• /radius add service=hotspot address=RADIUS_SERVER_IP secret=RADIUS_SECRET authentication-port=1812 accounting-port=1813 timeout=3s
• /radius incoming set accept=yes port=3799
• /ip hotspot profile set [find name=hsprof1] use-radius=yes radius-accounting=yes radius-interim-update=5m login-by=http-chap,http-pap,mac-cookie
• /ip hotspot walled-garden add dst-host=portal.example.com action=allow
• /ip hotspot walled-garden add dst-host=*.example-cdn.com action=allow

Le rôle de chaque ligne :

• NTP maintient l'horloge à l'heure pour que les durées de session et les journaux soient exacts.
• /radius add enregistre le serveur RADIUS externe pour le service hotspot. Le secret doit correspondre exactement à celui configuré sur le serveur pour ce routeur.
• /radius incoming permet au routeur d'accepter les requêtes Disconnect et CoA, afin que la plateforme puisse mettre fin aux sessions ou modifier les débits sans attendre l'expiration des délais.
• Le profil hotspot active l'authentification et la comptabilité RADIUS, envoie des mises à jour intermédiaires toutes les cinq minutes et active les méthodes de connexion utilisées par votre portail.
• Le walled garden permet aux utilisateurs non authentifiés d'accéder au portail et à tout ce qu'il charge (polices, scripts, pages de paiement) avant de se connecter.

Pour utiliser un portail externe, la page de connexion du hotspot sur le routeur est remplacée par une petite page qui redirige vers le portail cloud, en transmettant des informations comme l'adresse MAC et l'adresse IP de l'utilisateur ainsi que l'URL de connexion du routeur. Le portail renvoie ensuite les identifiants vers cette URL de connexion.

Les erreurs qui empêchent les connexions

1. Secret partagé différent : une seule faute de frappe et toutes les connexions échouent, sans message d'erreur explicite pour l'utilisateur. Consultez le journal RADIUS sur le routeur (/log print where topics~"radius").
2. Mauvaise IP source : le serveur RADIUS ne répond qu'aux routeurs connus. Si le routeur accède à Internet via du NAT ou si son IP publique change, les requêtes arrivent depuis une adresse que le serveur ne reconnaît pas. Utilisez une IP fixe ou un tunnel VPN et enregistrez cette adresse.
3. Pare-feu bloquant l'UDP 1812/1813 ou 3799 : en sortie sur le routeur, en entrée sur le serveur, ou n'importe où entre les deux.
4. Walled garden incomplet : le portail se charge mais s'affiche mal, ou l'étape de paiement se bloque, parce qu'un domaine CDN ou de paiement manque. Testez chaque page du parcours de connexion sur un appareil neuf.
5. Dérive de l'horloge : une heure erronée entraîne des durées de session étranges et des rapports incohérents.
6. Absence de comptabilité intermédiaire : sans mises à jour interim, la plateforme ne voit pas la consommation en temps réel, les quotas de données ne sont pas correctement appliqués et des sessions « fantômes » s'accumulent.
7. Attendre une redirection HTTPS : les portails captifs ne peuvent pas intercepter proprement les sites HTTPS. Les téléphones détectent le portail grâce à leurs propres vérifications en HTTP simple ; assurez-vous que ces vérifications ne sont ni bloquées ni autorisées par erreur.
8. Problèmes de nom DNS du hotspot : si vous définissez un nom DNS pour le hotspot, il doit se résoudre correctement, et si vous utilisez HTTPS pour la page de connexion locale, le certificat doit lui correspondre.
9. Ignorer la randomisation des adresses MAC : les téléphones peuvent présenter une adresse MAC différente par réseau ou au fil du temps. Appuyez-vous sur une gestion de session et des cookies adaptés plutôt que sur des règles basées uniquement sur la MAC.
10. Invités et personnel sur le même réseau : isolez toujours les invités sur leur propre VLAN et activez l'isolation des clients sur les points d'accès.

Check-list de test

• Connectez un téléphone neuf et un ordinateur portable ; vérifiez que le portail s'affiche automatiquement.
• Connectez-vous avec un voucher valide puis un voucher invalide ; vérifiez le journal du routeur et la liste des sessions de la plateforme.
• Confirmez la limite de débit avec un test de vitesse (supernxt.com/tools/speed-test/).
• Déconnectez un utilisateur depuis la plateforme et vérifiez que le routeur le coupe immédiatement.
• Laissez une session tourner au-delà d'un intervalle interim et vérifiez que la consommation se met à jour.

Laissez la plateforme générer la configuration

Écrire à la main la configuration hotspot de chaque site est long et source d'erreurs. WiFiNexa (wifinexa.com), la plateforme cloud de portail captif et RADIUS de Super Next Technologies, génère automatiquement la configuration MikroTik de chaque routeur — entrées RADIUS, profil hotspot, walled garden et redirection vers le portail —, si bien qu'il suffit de coller un seul script pour que le site soit prêt. Elle gère ensuite les vouchers, les forfaits, les sessions en temps réel et les rapports depuis un tableau de bord unique. Pour en savoir plus : supernxt.com/products/wifinexa.

Prochaine étape

Si vous installez un nouveau hotspot ou cherchez à réparer un hotspot qui échoue sans cesse, essayez WiFiNexa sur wifinexa.com ou appelez l'équipe WiFiNexa au +971 55 362 5025. Pour la conception et l'installation complètes de votre réseau, découvrez nos services de hotspot sans fil sur supernxt.com/wireless-hotspot ou contactez-nous sur supernxt.com/contact.