MikroTik HotSpot vouchery s User Manager

Souhrn MikroTik HotSpot s User Managerem promění jakékoli zařízení RouterOS ve WiFi systém na vouchery: hosté narazí na captive portal, zadají vytištěný kód a dostanou přesně tu rychlost, objem dat a čas, které plán povoluje. Vše běží na routeru — bez externího serveru. Nastavení je krátký řetězec kroků: průvodce HotSpotem, User Manager jako RADIUS, plány a tisknutelné vouchery. Skutečná práce začíná, když to provozujete na více než jedné lokalitě; tento návod pokrývá obojí.

Co je MikroTik HotSpot voucher?

MikroTik HotSpot voucher je jednorázová přístupová pověřenka — obvykle vytištěná kartička s kódem —, kterou host zadá na captive portálu routeru, aby se připojil s předem danou rychlostí, datovým limitem a expirací. Stranu portálu obstarává RouterOS HotSpot; stranu pověřenky User Manager, vestavěný RADIUS server MikroTiku, který ověřuje každý kód a vynucuje plán za ním (MikroTik Documentation — User Manager). Společně tvoří standardní způsob, jakým hotely, kavárny, bytové domy a WISP poskytovatelé prodávají nebo přidělují WiFi bez jakéhokoli externího fakturačního systému (Emmanuel Corels — User Manager for HotSpot voucher systems).

Výhodou je kontrola bez jakéhokoli nastavování na straně klienta: každý voucher je individuální pověřenka, takže jeden host nemůže sdílet kód na deseti zařízeních, předplacený plán skončí přesně podle plánu a nikdo se nedotýká nastavení hostova telefonu. Prodáte kód a router udělá zbytek.

Krok 1 — Spusťte průvodce nastavením HotSpotu

Začněte na rozhraní, které bude obsluhovat hosty — ideálně na vyhrazeném mostu nebo VLAN, nikdy ve stejném segmentu jako vaše management síť. Ve WinBoxu přejděte na IP → Hotspot → Hotspot Setup, vyberte hostovské rozhraní a přijměte nebo upravte výzvy k adresnímu poolu, DNS a SSL; průvodce jedním průchodem vytvoří DHCP server, NAT pravidlo a captive portal, typicky během několika minut (madankc — MikroTik Hotspot Setup Step by Step).

Výstupem průvodce je server HotSpot navázaný na rozhraní plus profil serveru, který řídí způsob autentizace hostů. Ihned to otestujte: připojte telefon k hostovské síti a ověřte, že se zobrazí přihlašovací stránka. Pokud se portál nenačítá, projděte si náš seznam oprav pro bránu HotSpotu 10.5.50.1, než přidáte vouchery navrch.

Krok 2 — Povolte User Manager jako RADIUS backend

Lokální uživatelé HotSpotu fungují pro hrstku účtů, ale vouchery potřebují User Manager. Nainstalujte balíček user-manager pro vaši verzi RouterOS v7, restartujte a poté ho povolte příkazem /user-manager set enabled=yes. Zaregistrujte samotný router jako RADIUS klienta — /user-manager router add name=local address=127.0.0.1 shared-secret=<secret> — a totéž zrcadlete na straně RADIUS příkazem /radius add service=hotspot address=127.0.0.1 secret=<secret> (MikroTik Documentation — User Manager).

Nakonec upravte profil serveru HotSpot a povolte use-radius=yes, aby portál přeposílal přihlášení do User Manageru místo do lokálního seznamu uživatelů. Od této chvíle je každý kód, který host zadá, ověřen přes RADIUS — stejnou architekturu používají ISP pro autentizaci PPPoE předplatitelů, jen zaměřenou na WiFi hosty.

Krok 3 — Vytvořte plány: limity a profily

Prodejní plán v User Manageru tvoří dva objekty. Limitace definuje, co host dostane — rate-limit pro rychlost, download-limit a upload-limit pro datové stropy, uptime-limit pro dobu připojení. Profil zabalí jednu nebo více limitací a přidává platnost — jak dlouho voucher žije od prvního použití. Vytvořte jeden profil na produkt: „1 hodina zdarma”, „24h — 10 Mbps”, „Týdenní — 5 GB” (MikroTik Documentation — User Manager).

Definujte plány jednou a odolejte improvizaci na jednotlivých lokalitách. Když si každý provozovatel lokality limitace ručně upravuje, stejný voucher „24h” tiše znamená něco jiného v různých provozovnách — přesně ten druh odchylky, který se projeví až jako jednohvězdičková recenze. Udržovat profily identické napříč routery je přesně ten problém flotily, který řeší auditní záznam a historie konfigurace MKController: uvidíte, co se změnilo, kde, a opravený profil nasadíte všude najednou.

Krok 4 — Hromadně vygenerujte uživatele a vytiskněte vouchery

Nyní razíte produkt. Vytvořte uživatele hromadně a přiřaďte profil daného plánu — každý uživatel je jeden voucherový kód. Poté vytvořte tisknutelné kartičky příkazem generate-voucher, který namíříte na ID uživatele nebo dotaz find; User Manager vyplní voucherovou šablonu kódem, plánem a platností, připravenou k tisku a prodeji u přepážky (MikroTik Documentation — User Manager).

Na jednom routeru je to příjemný páteční úkol. Napříč tuctem provozoven se z toho stává kolotoč relací ve Winboxu — generování zásob, kontrola, co se prodalo, deaktivace uniklých kódů —, a proto provozovatelé sahají po lokálních nástrojích jako Mikhmon, nebo přechází do cloudu se správou voucherů a HotSpotu od MKController, kde vouchery pro každou lokalitu generují, sledují a ruší z jednoho panelu. Naše srovnání Mikhmon vs. MKController tento kompromis detailně rozebírá.

Krok 5 — Zabezpečte hostovskou síť

Captive portal je veřejné dveře na vašem routeru, takže s ním tak zacházejte. Přidejte firewallová pravidla, která zablokují podsíti HotSpotu přístup do vaší LAN a především ke správcovským službám samotného routeru — Winbox, API, WebFig, SSH — ze strany hostů. Udržujte walled garden minimální: každý host, který povolíte, je dostupný bez voucheru.

Hosté jsou z definice cizí lidé a kompromitované hostovské zařízení je jeden skok od vašeho routeru. Voucherová síť, která se dostane ke konfiguraci, jež ji vytvořila, je otevřenou pozvánkou.

Krok 6 — Provozujte vouchery na všech lokalitách

Tady je to, co tutoriály pro jeden router přehlížejí: provozovna na LTE nebo Starlinku za Carrier-Grade NAT nemá veřejnou IP, takže když se její portál začne chovat divně, nemůžete se prostě připojit. MKController udržuje každý router dostupný přes zabezpečený odchozí tunel — bez přesměrování portů, bez nutnosti veřejné adresy, jak popisujeme v našem návodu na vzdálenou správu MikroTiku za CGNAT — s automatickými zálohami a telemetrií, která upozorní na nefunkční portál dřív, než recepce začne řešit stížnosti.

Ověřte každou lokalitu stejným způsobem: připojte se jako host, spalte testovací voucher, potvrďte, že rychlost a expirace odpovídají plánu.

Tipy

• Voucherová uživatelská jména držte krátká a jednoznačná — vyhněte se 0/O a 1/l/I —, protože je hosté zadávají na telefonních klávesnicích.
• Nastavte platnost profilu od prvního přihlášení, ne od vytvoření, aby vytištěné zásoby neexpirovaly v šuplíku.
• Nikdy neprodávejte z poslední dávky: generujte zásoby s předstihem před poptávkou a deaktivujte neprodané kódy z jakékoli dávky, která unikne.
• Sledujte paměť routeru u velkých databází uživatelů; User Manager ukládá účtovací data na zařízení.

Prodávejte WiFi, ne tikety podpory

Voucherový HotSpot na jednom MikroTiku je odpolední projekt. Provozovat ho jako byznys napříč mnoha provozovnami — identické plány na každém routeru, zásoby voucherů generované a rušené centrálně, portály dostupné i za CGNAT, zálohy pořízené před každou změnou — je bod, kde provozovatelé buď ztrácí večery, nebo centralizují. MKController vám dává přesně tuto kontrolní vrstvu: správu HotSpotu a voucherů napříč celou flotilou, zabezpečený odchozí vzdálený přístup bez veřejné IP, historii konfigurace s obnovením na jeden klik a monitoring, který otevře tiket dřív, než si host všimne, že WiFi nefunguje. Provozovatelé placené WiFi na MikroTiku ho používají, aby deset provozoven zvládali stejně snadno jako jednu.

Vyzkoušejte MKController zdarma