Guest WiFi - $(identity)

## Hotspot на MikroTik — гостевой доступ с авторизацией Hotspot — это встроенная система captive portal на MikroTik, которая перехватывает HTTP-запросы неавторизованных пользователей и перенаправляет их на страницу входа. Hotspot широко используется в гостиницах, кафе, офисных гостевых сетях и общественных пространствах. В этом руководстве настроим Hotspot с нуля, кастомизируем страницу входа, настроим различные методы аутентификации и ограничения для пользователей. ### Описание #### Что такое Hotspot Hotspot на MikroTik — это не просто captive portal, а комплексная система управления доступом, включающая: | Компонент | Описание | |---|---| | Captive portal | Перехват HTTP и перенаправление на страницу логина | | Аутентификация | Логин/пароль, MAC-адрес, HTTP cookie, RADIUS | | Авторизация | Контроль доступа: скорость, трафик, время | | Accounting | Учёт трафика и времени каждого пользователя | | Walled Garden | Ресурсы, доступные без авторизации | Hotspot работает на уровне IP: он создаёт правила в файрволе, NAT и mangle, которые перенаправляют трафик неавторизованных пользователей. После успешной аутентификации пользователь получает доступ в интернет согласно назначенному профилю. #### Требования - Интерфейс (bridge, VLAN или физический), на котором будет работать Hotspot - DHCP-сервер на этом интерфейсе (Hotspot создаст его автоматически при настройке через wizard) - DNS-сервер (можно использовать встроенный DNS MikroTik) - Сертификат SSL (опционально, для HTTPS login page) ### Настройка #### Шаг 1: Подготовка интерфейса Предположим, гостевая сеть работает на отдельном bridge или VLAN. Если используется VLAN, создадим его: ```routeros # Создание VLAN для гостевой сети /interface/vlan add name=vlan-guest vlan-id=100 interface=bridge-lan # Назначение IP-адреса /ip/address add address=10.10.10.1/24 interface=vlan-guest ``` Если вы используете отдельный bridge: ```routeros /interface/bridge add name=bridge-guest /interface/bridge/port add bridge=bridge-guest interface=ether4 /ip/address add address=10.10.10.1/24 interface=bridge-guest ``` #### Шаг 2: Настройка через Hotspot Wizard Самый быстрый способ — использовать встроенный wizard. Он автоматически создаёт DHCP-сервер, правила файрвола, DNS и профиль Hotspot. ```routeros /ip/hotspot/setup ``` Wizard задаст серию вопросов: | Параметр | Значение | Описание | |---|---|---| | hotspot interface | vlan-guest | Интерфейс для Hotspot | | local address of network | 10.10.10.1/24 | IP-адрес маршрутизатора в гостевой сети | | masquerade network | yes | NAT для выхода в интернет | | address pool | 10.10.10.2-10.10.10.254 | Пул адресов DHCP | | SSL certificate | none | Без SSL (или выберите сертификат) | | SMTP server | 0.0.0.0 | Не используем | | DNS servers | 10.10.10.1 | DNS для клиентов | | DNS name | guest.local | Имя для страницы логина | | name of local hotspot user | admin | Логин первого пользователя | | password | ******** | Пароль первого пользователя | После завершения wizard создаст все необходимые объекты. #### Шаг 3: Ручная настройка (альтернатива wizard) Если вы предпочитаете полный контроль, настройте всё вручную: **DHCP-сервер:** ```routeros /ip/pool add name=pool-guest ranges=10.10.10.2-10.10.10.254 /ip/dhcp-server/network add address=10.10.10.0/24 \ gateway=10.10.10.1 dns-server=10.10.10.1 /ip/dhcp-server add name=dhcp-guest interface=vlan-guest \ address-pool=pool-guest lease-time=1h disabled=no ``` **DNS:** ```routeros /ip/dns set allow-remote-requests=yes ``` **Hotspot-профиль сервера:** ```routeros /ip/hotspot/profile add name=guest-profile \ hotspot-address=10.10.10.1 \ dns-name=guest.local \ html-directory=hotspot \ login-by=http-chap,cookie \ http-cookie-lifetime=1d \ rate-limit="2M/2M" \ smtp-server=0.0.0.0 \ split-user-domain=no \ use-radius=no ``` **Hotspot-сервер:** ```routeros /ip/hotspot add name=hotspot-guest \ interface=vlan-guest \ address-pool=pool-guest \ profile=guest-profile \ idle-timeout=15m \ keepalive-timeout=5m \ disabled=no ``` **NAT для гостевой сети:** ```routeros /ip/firewall/nat add chain=srcnat \ src-address=10.10.10.0/24 \ out-interface-list=WAN \ action=masquerade \ comment="NAT for guest hotspot" ``` #### Шаг 4: Создание пользователей **Простые пользователи с логином и паролем:** ```routeros # Один пользователь /ip/hotspot/user add name=guest1 password="Welcome2024" \ profile=default server=hotspot-guest # Несколько пользователей /ip/hotspot/user add name=guest2 password="Hotel2024" profile=default /ip/hotspot/user add name=guest3 password="Cafe2024" profile=default ``` **Пользовательские профили с ограничениями:** ```routeros # Профиль для обычных гостей — 2 Мбит/с, лимит 500 МБ /ip/hotspot/user/profile add name=guest-basic \ rate-limit="2M/2M" \ shared-users=1 \ session-timeout=8h \ idle-timeout=15m \ keepalive-timeout=5m \ transfer-limit=524288000 \ advertise=no # Профиль для VIP — 10 Мбит/с, без лимита трафика /ip/hotspot/user/profile add name=guest-vip \ rate-limit="10M/10M" \ shared-users=3 \ session-timeout=24h \ idle-timeout=30m \ advertise=no # Назначение профиля пользователю /ip/hotspot/user add name=vip-user password="VIPpass" \ profile=guest-vip ``` Параметры профиля: | Параметр | Описание | |---|---| | rate-limit | Ограничение скорости (upload/download). Формат: rx/tx | | shared-users | Сколько устройств могут одновременно использовать один логин | | session-timeout | Максимальная длительность сессии | | idle-timeout | Отключение при отсутствии активности | | transfer-limit | Лимит общего трафика в байтах (upload + download) | | advertise | Показ рекламных страниц между сессиями | #### Шаг 5: Генерация ваучеров (voucher/ticket) Ваучеры — одноразовые коды доступа, которые можно распечатать и раздать гостям. ```routeros # Создание пользователей-ваучеров /ip/hotspot/user add name=V-00001 password=V-00001 \ profile=guest-basic limit-uptime=4h server=hotspot-guest comment="Voucher 4h" /ip/hotspot/user add name=V-00002 password=V-00002 \ profile=guest-basic limit-uptime=4h server=hotspot-guest comment="Voucher 4h" ``` Для массовой генерации используйте скрипт: ```routeros /system/script add name=generate-vouchers policy=read,write source={ :local count 20 :local prefix "V" :local profile "guest-basic" :local uptime "4h" :for i from=1 to=$count do={ :local code "" :for j from=1 to=8 do={ :local chars "ABCDEFGHJKLMNPQRSTUVWXYZ23456789" :local rand [:pick $chars ([:randi] % [:len $chars]) \ (([:randi] % [:len $chars]) + 1)] :set code "$code$rand" } :local voucherName "$prefix-$code" /ip/hotspot/user add name=$voucherName password=$voucherName \ profile=$profile limit-uptime=$uptime \ comment="Voucher $uptime generated" :log info "Created voucher: $voucherName" } :log info "Generated $count vouchers" } ``` #### Шаг 6: Walled Garden — доступ без авторизации Walled Garden позволяет разрешить доступ к определённым ресурсам без прохождения аутентификации. Это полезно для: - Страница с информацией о заведении - Платёжные системы (для покупки доступа) - Корпоративный сайт - Капча-сервисы (reCAPTCHA) **Walled Garden по IP (Layer 3):** ```routeros # Разрешить доступ к платёжной системе /ip/hotspot/walled-garden/ip add \ dst-host=0.0.0.0/0 \ dst-port=443 \ protocol=tcp \ action=accept \ dst-address=185.71.76.0/22 \ comment="Payment system" # Разрешить DNS /ip/hotspot/walled-garden/ip add \ protocol=udp \ dst-port=53 \ action=accept \ comment="Allow DNS" ``` **Walled Garden по DNS-имени (Layer 7):** ```routeros # Разрешить корпоративный сайт /ip/hotspot/walled-garden add \ dst-host="company.com" \ action=allow \ comment="Corporate website" /ip/hotspot/walled-garden add \ dst-host="*.company.com" \ action=allow \ comment="Corporate subdomains" # Разрешить Google reCAPTCHA (если используется на login page) /ip/hotspot/walled-garden add \ dst-host="*.google.com" action=allow /ip/hotspot/walled-garden add \ dst-host="*.gstatic.com" action=allow /ip/hotspot/walled-garden add \ dst-host="*.googleapis.com" action=allow ``` #### Шаг 7: Кастомизация страницы входа Файлы страницы входа хранятся в директории `/hotspot` на файловой системе маршрутизатора. Основные файлы: | Файл | Описание | |---|---| | login.html | Главная страница логина | | alogin.html | Страница после успешного входа | | status.html | Страница статуса (показывает трафик, время) | | logout.html | Страница выхода | | error.html | Страница ошибки | | redirect.html | Страница перенаправления | | rlogin.html | Страница для автологина по cookie | | md5.js | JavaScript для CHAP-аутентификации | **Скачивание стандартных файлов для редактирования:** Подключитесь к MikroTik через FTP или Winbox (Files) и скачайте папку `/hotspot`. Отредактируйте `login.html` в текстовом редакторе. Основные переменные, доступные в шаблонах: | Переменная | Описание | |---|---| | `$(hostname)` | Имя маршрутизатора | | `$(identity)` | System identity | | `$(login-by)` | Метод аутентификации | | `$(username)` | Имя пользователя | | `$(ip)` | IP-адрес клиента | | `$(mac)` | MAC-адрес клиента | | `$(uptime)` | Время сессии | | `$(session-time-left)` | Оставшееся время | | `$(bytes-in)` | Принятый трафик | | `$(bytes-out)` | Отправленный трафик | | `$(link-redirect)` | URL, на который перенаправить после логина | | `$(error)` | Текст ошибки | Пример минимального `login.html`: ```html Guest WiFi - $(identity) $(if chap-id) $(endif) $(if chap-id) $(endif) ``` Загрузите отредактированные файлы обратно в `/hotspot` через FTP или Winbox. #### Шаг 8: IP Binding — обход Hotspot для доверенных устройств IP Binding позволяет определённым устройствам обходить Hotspot-аутентификацию. ```routeros # Обход по MAC-адресу (устройство всегда имеет доступ) /ip/hotspot/ip-binding add \ mac-address=AA:BB:CC:DD:EE:FF \ type=bypassed \ comment="Admin laptop" # Обход по IP-адресу /ip/hotspot/ip-binding add \ address=10.10.10.200 \ type=bypassed \ comment="IP camera" # Блокировка устройства (никогда не получит доступ) /ip/hotspot/ip-binding add \ mac-address=11:22:33:44:55:66 \ type=blocked \ comment="Banned device" ``` Типы binding: | Тип | Описание | |---|---| | bypassed | Устройство обходит Hotspot, не видит страницу логина | | blocked | Устройство полностью заблокировано | | regular | Стандартное поведение (captive portal) | #### Шаг 9: Изоляция гостевой сети Важно изолировать гостевую сеть от корпоративной: ```routeros # Запретить доступ из гостевой сети в корпоративную /ip/firewall/filter add chain=forward \ src-address=10.10.10.0/24 \ dst-address=192.168.1.0/24 \ action=drop \ comment="Block guest to corporate" # Запретить доступ к маршрутизатору (кроме Hotspot-портов) /ip/firewall/filter add chain=input \ in-interface=vlan-guest \ dst-port=!53,67,443 \ protocol=tcp \ action=drop \ comment="Block guest access to router" /ip/firewall/filter add chain=input \ in-interface=vlan-guest \ dst-port=!53,67 \ protocol=udp \ action=drop \ comment="Block guest UDP to router" ``` ### Проверка #### Проверка статуса Hotspot ```routeros /ip/hotspot print ``` Поле `invalid` должно быть пустым. Если Hotspot показывает `invalid`, проверьте, существует ли указанный интерфейс и address-pool. #### Просмотр активных пользователей ```routeros /ip/hotspot/active print ``` Вывод показывает подключённых пользователей с их IP, MAC, временем сессии и трафиком. #### Просмотр всех пользователей и их статистики ```routeros /ip/hotspot/user print /ip/hotspot/user print detail where name=guest1 ``` #### Тестирование подключения 1. Подключите устройство к гостевой сети 2. Откройте браузер и перейдите на любой HTTP-сайт 3. Должна появиться страница логина 4. Введите учётные данные 5. После успешного входа проверьте доступ к интернету #### Проверка Walled Garden ```routeros /ip/hotspot/walled-garden print /ip/hotspot/walled-garden/ip print ``` Тестирование: с неавторизованного устройства попробуйте открыть ресурс из Walled Garden — он должен быть доступен. #### Просмотр логов Hotspot ```routeros /log print where topics~"hotspot" ``` #### Мониторинг трафика гостевой сети ```routeros /interface/monitor-traffic vlan-guest once ``` ### Типичные ошибки #### 1. Страница логина не появляется **Причина**: клиент использует HTTPS (большинство современных браузеров). Hotspot не может перехватить HTTPS-трафик без SSL-сертификата. **Решение**: ```routeros # Создайте самоподписанный сертификат /certificate add name=hotspot-cert common-name=guest.local \ key-size=2048 days-valid=3650 key-usage=tls-server /certificate sign hotspot-cert # Назначьте сертификат профилю Hotspot /ip/hotspot/profile set guest-profile \ ssl-certificate=hotspot-cert \ login-by=http-chap,https,cookie ``` Также помогает настройка DNS name — клиент будет перенаправлен на `https://guest.local/login`: ```routeros /ip/hotspot/profile set guest-profile dns-name=guest.local ``` Обратите внимание: браузер покажет предупреждение о самоподписанном сертификате. Для production-среды рекомендуется использовать сертификат от Let's Encrypt. #### 2. Пользователь авторизовался, но нет интернета **Причина**: отсутствует NAT-правило или DNS не работает. **Решение**: ```routeros # Проверьте NAT /ip/firewall/nat print where chain=srcnat # Убедитесь, что есть masquerade для гостевой подсети /ip/firewall/nat add chain=srcnat \ src-address=10.10.10.0/24 \ out-interface-list=WAN \ action=masquerade # Проверьте DNS /ip/dns print # Убедитесь, что allow-remote-requests=yes /ip/dns set allow-remote-requests=yes ``` #### 3. Hotspot конфликтует с файрволом **Причина**: Hotspot создаёт динамические правила файрвола. Если у вас есть правило `drop all` в chain=forward, оно может блокировать Hotspot-трафик до того, как динамические правила обработаются. **Решение**: убедитесь, что правила Hotspot расположены выше (имеют меньший номер) правил drop: ```routeros # Посмотрите порядок правил /ip/firewall/filter print where chain=forward # Hotspot-правила обычно имеют комментарий "hotspot" # Убедитесь, что ваши drop-правила расположены ПОСЛЕ них ``` #### 4. Cookie-авторизация не работает **Причина**: dns-name не настроен или отличается от того, что видит клиент. **Решение**: ```routeros # Установите dns-name /ip/hotspot/profile set guest-profile dns-name=guest.local # Увеличьте время жизни cookie /ip/hotspot/profile set guest-profile http-cookie-lifetime=3d ``` #### 5. Слишком много одновременных пользователей на одном логине **Причина**: параметр `shared-users` позволяет использовать один логин на нескольких устройствах. **Решение**: ```routeros # Ограничить одно устройство на логин /ip/hotspot/user/profile set guest-basic shared-users=1 # Или разрешить 3 устройства /ip/hotspot/user/profile set guest-basic shared-users=3 ``` #### 6. Медленная работа после авторизации **Причина**: rate-limit настроен слишком строго или некорректно. **Решение**: ```routeros # Проверьте текущий rate-limit /ip/hotspot/user/profile print detail where name=guest-basic # Формат rate-limit: rx-rate/tx-rate [burst-rx/burst-tx] [burst-threshold-rx/burst-threshold-tx] [burst-time] # Пример с burst для комфортной загрузки страниц: /ip/hotspot/user/profile set guest-basic \ rate-limit="2M/2M 4M/4M 1500k/1500k 8/8" ``` Это даёт базовую скорость 2 Мбит/с с кратковременным burst до 4 Мбит/с, что обеспечивает быструю загрузку веб-страниц при стабильном ограничении для потокового видео. ### User Manager (опционально) Начиная с RouterOS 7, User Manager встроен в систему и доступен через веб-интерфейс. Он предоставляет графический интерфейс для управления пользователями, профилями и просмотра статистики. ```routeros # Включение User Manager /user-manager set enabled=yes # Добавление маршрутизатора как NAS /user-manager/router add name=local address=127.0.0.1 shared-secret="secret123" # Настройка Hotspot для использования RADIUS (User Manager) /ip/hotspot/profile set guest-profile use-radius=yes /radius add service=hotspot address=127.0.0.1 secret="secret123" ``` После этого управление пользователями доступно через веб-интерфейс маршрутизатора на порту 443 в разделе User Manager. Hotspot на MikroTik — зрелое и гибкое решение для организации гостевого доступа. Комбинация captive portal, ограничений по скорости и трафику, Walled Garden и кастомизируемой страницы входа покрывает потребности большинства сценариев — от небольшого кафе до крупной гостиницы.

Практические руководства MikroTik RouterOS