Hotspot MikroTik com RADIUS externo e portal cativo em nuvem: guia prático de configuração

Os roteadores MikroTik são populares para Wi-Fi de visitantes em hotéis, cafés, alojamentos de trabalhadores e escritórios porque são acessíveis e capazes. O hotspot integrado funciona sozinho, mas implantações sérias geralmente o conectam a um servidor RADIUS externo e a um portal cativo em nuvem, para que usuários, vouchers e planos sejam gerenciados de forma centralizada, e não roteador por roteador. Este guia explica como as peças se encaixam, mostra um exemplo de configuração e lista os erros que mais vemos.

Como as peças se encaixam

1. O dispositivo de um usuário entra na rede de visitantes e recebe um endereço IP do servidor DHCP do MikroTik.
2. O hotspot intercepta a primeira requisição web e redireciona o usuário para a página de login: uma página local no roteador ou, mais comumente, um portal externo em nuvem.
3. O usuário faz login (voucher, número do quarto, código por e-mail etc.). O portal envia as credenciais de volta para a URL de login do hotspot no roteador.
4. O roteador envia um Access-Request ao servidor RADIUS.
5. O RADIUS responde com Access-Accept mais as regras da sessão (por exemplo, limite de velocidade, tempo máximo de sessão e cota de dados) ou com Access-Reject.
6. Durante a sessão, o roteador envia atualizações de contabilização (start, interim, stop), para que a plataforma saiba quem está online e quanto consome.
7. Se a plataforma precisar desconectar um usuário ou alterar a velocidade dele no meio da sessão, ela envia uma mensagem Disconnect ou CoA ao roteador.

Antes de começar

• O RouterOS versão 7 é recomendado para novas implantações.
• Defina qual interface ou bridge transporta o tráfego de visitantes e mantenha-a separada das redes da equipe (em uma VLAN própria).
• Obtenha com o seu provedor de RADIUS/portal: o endereço do servidor RADIUS, o segredo compartilhado, as portas de autenticação e de contabilização e os nomes de domínio do portal que precisam estar acessíveis antes do login.
• Garanta que o roteador esteja com o horário correto: a contabilização depende disso.

Exemplo de configuração do RouterOS

Os comandos abaixo são um exemplo simplificado com valores de espaço reservado. RADIUS_SERVER_IP, RADIUS_SECRET e portal.example.com devem ser substituídos pelos valores do seu provedor, e o nome do seu perfil de hotspot pode ser diferente. Sempre teste primeiro em um roteador fora de produção.

• /system ntp client set enabled=yes servers=pool.ntp.org
• /radius add service=hotspot address=RADIUS_SERVER_IP secret=RADIUS_SECRET authentication-port=1812 accounting-port=1813 timeout=3s
• /radius incoming set accept=yes port=3799
• /ip hotspot profile set [find name=hsprof1] use-radius=yes radius-accounting=yes radius-interim-update=5m login-by=http-chap,http-pap,mac-cookie
• /ip hotspot walled-garden add dst-host=portal.example.com action=allow
• /ip hotspot walled-garden add dst-host=*.example-cdn.com action=allow

O que cada linha faz:

• NTP mantém o relógio preciso para que os tempos de sessão e os logs estejam corretos.
• /radius add registra o servidor RADIUS externo para o serviço de hotspot. O segredo deve ser exatamente igual ao configurado no servidor para este roteador.
• /radius incoming permite que o roteador aceite requisições Disconnect e CoA, para que a plataforma possa encerrar sessões ou alterar velocidades sem esperar os tempos limite.
• O perfil de hotspot ativa a autenticação e a contabilização RADIUS, envia atualizações intermediárias a cada cinco minutos e habilita os métodos de login que o seu portal usa.
• O walled garden permite que usuários não autenticados acessem o portal e tudo o que ele carrega (fontes, scripts, páginas de pagamento) antes do login.

Para usar um portal externo, a página de login do hotspot no roteador é substituída por uma pequena página que redireciona para o portal em nuvem, repassando dados como o endereço MAC do usuário, o endereço IP e a URL de login do roteador. Em seguida, o portal envia as credenciais de volta para essa URL de login.

Erros que impedem o login

1. Segredo compartilhado diferente: um único erro de digitação e todos os logins falham sem nenhum erro aparente para o usuário. Verifique o log de RADIUS no roteador (/log print where topics~"radius").
2. IP de origem errado: o servidor RADIUS só responde a roteadores conhecidos. Se o roteador acessa a internet por NAT ou muda de IP público, as requisições chegam de um endereço que o servidor não reconhece. Use um IP fixo ou um túnel VPN e cadastre esse endereço.
3. Firewall bloqueando UDP 1812/1813 ou 3799: na saída do roteador, na entrada do servidor ou em qualquer ponto entre eles.
4. Walled garden incompleto: o portal carrega mas aparece quebrado, ou a etapa de pagamento trava, porque falta um domínio de CDN ou de pagamento. Teste todas as páginas do fluxo de login em um dispositivo limpo.
5. Relógio desajustado: o horário errado gera durações de sessão estranhas e relatórios confusos.
6. Sem contabilização intermediária: sem atualizações interim, a plataforma não vê o consumo em tempo real, as cotas de dados não são aplicadas corretamente e sessões "fantasmas" se acumulam.
7. Esperar redirecionamento de HTTPS: portais cativos não conseguem interceptar sites HTTPS de forma limpa. Os celulares detectam o portal com suas próprias verificações em HTTP simples; garanta que essas verificações não estejam bloqueadas nem liberadas por engano na lista de permissões.
8. Problemas com o nome DNS do hotspot: se você definir um nome DNS para o hotspot, ele precisa resolver corretamente, e se você usar HTTPS na página de login local, o certificado deve corresponder a esse nome.
9. Ignorar a randomização de MAC: os celulares podem apresentar um MAC diferente por rede ou ao longo do tempo. Conte com um bom gerenciamento de sessões e cookies em vez de regras baseadas apenas no MAC.
10. Visitantes e equipe na mesma rede: sempre isole os visitantes em uma VLAN própria e ative o isolamento de clientes nos pontos de acesso.

Checklist de testes

• Conecte um celular limpo e um notebook; confirme que o portal aparece automaticamente.
• Faça login com um voucher válido e com um inválido; verifique o log do roteador e a lista de sessões da plataforma.
• Confirme o limite de velocidade com um teste de velocidade (supernxt.com/tools/speed-test/).
• Desconecte um usuário pela plataforma e confirme que o roteador o derruba imediatamente.
• Deixe uma sessão aberta por mais tempo que um intervalo interim e confirme que o consumo é atualizado.

Deixe a plataforma gerar a configuração

Escrever à mão a configuração do hotspot para cada local é lento e sujeito a erros. O WiFiNexa (wifinexa.com), a plataforma de portal cativo e RADIUS em nuvem da Super Next Technologies, gera automaticamente a configuração do MikroTik para cada roteador (entradas RADIUS, perfil de hotspot, walled garden e redirecionamento para o portal), então você cola um único script e o local fica pronto. Depois, ele gerencia vouchers, planos, sessões ao vivo e relatórios em um único painel. Saiba mais em supernxt.com/products/wifinexa.

Próximo passo

Se você está configurando um novo hotspot ou corrigindo um que vive falhando, experimente o WiFiNexa em wifinexa.com ou ligue para a equipe do WiFiNexa no +971 55 362 5025. Para o projeto e a instalação completos da rede, conheça nossos serviços de hotspot sem fio em supernxt.com/wireless-hotspot ou fale conosco em supernxt.com/contact.