MikroTik CAPsMAN zentrales WiFi-Setup

Zusammenfassung MikroTik CAPsMAN macht aus einem RouterOS-Gerät einen WLAN-Controller, der jeden Access Point von einer einzigen Stelle aus konfiguriert. Statt sich in jeden AP einzuloggen, um eine SSID oder ein Passwort zu ändern, bearbeiten Sie ein Profil, und CAPsMAN spielt es an die gesamte Flotte aus. In RouterOS 7 ist der Controller in das wifi-Paket integriert — kein Add-on nötig. Dieser Leitfaden geht die komplette Kette durch: den Manager aktivieren, Ihre APs als CAPs einbinden, Provisioning-Regeln bauen, den Steuerkanal absichern und das Muster über mehrere Standorte skalieren.

Was ist MikroTik CAPsMAN?

MikroTik CAPsMAN ist der in RouterOS eingebaute WLAN-Controller: ein Controlled Access Point system Manager, der die Konfiguration für eine Gruppe von Access Points vorhält und jeden davon automatisch provisioniert, sobald er sich verbindet (MikroTik-Dokumentation — AP Controller (CAPsMAN)). Das Netzwerk teilt sich in zwei Rollen — den Manager (CAPsMAN), der SSIDs, Sicherheits- und Kanaleinstellungen speichert, und beliebig viele CAPs, die Access Points, die die eigentliche Funkabdeckung liefern und ihre Konfiguration an den Manager abgeben.

Der Gewinn ist eine einzige verlässliche Quelle für WiFi: Ändern Sie das Gastpasswort einmal, und jeder CAP übernimmt es; fügen Sie einen AP hinzu, und er konfiguriert sich selbst anhand der Regeln, die Sie bereits geschrieben haben. Jedes Gerät mit einer Lizenz der Stufe 4 oder höher kann als CAP dienen (MikroTik-Dokumentation — WiFi).

Schritt 1 — Den CAPsMAN-Manager aktivieren

Wählen Sie das Gerät, das als Controller dienen soll — oft der Hauptrouter, wobei jedes RouterOS-7-Gerät mit dem wifi-Paket ihn beherbergen kann. Prüfen Sie, dass das Paket unter /system/package vorhanden ist, und aktivieren Sie dann den Manager mit /interface/wifi/capsman/set enabled=yes. Setzen Sie ein package-path und eine upgrade-policy, wenn CAPs passende wifi-Pakete vom Controller ziehen sollen, damit ihre Firmware synchron bleibt (MikroTik-Dokumentation — AP Controller (CAPsMAN)).

Der Controller lauscht nun auf CAPs, verwaltet aber noch nichts — das kommt mit den Regeln in Schritt 3. Merken Sie sich das Interface, auf dem der Manager lauscht: CAPs finden ihn standardmäßig über Layer 2, deshalb sollten Controller und APs während der Einbindung dieselbe Broadcast-Domäne teilen oder auf eine gebrückt sein.

Schritt 2 — Ihre Access Points in CAPs verwandeln

Übergeben Sie auf jedem Access Point seine Funkmodule an den Controller. Aktivieren Sie den CAP-Modus mit /interface/wifi/cap/set enabled=yes, führen Sie mit slaves-datapath und discovery-interfaces die Interfaces auf, die der AP anbieten soll, und setzen Sie caps-man-addresses, wenn Sie den Controller per IP ansprechen, statt sich auf die Layer-2-Erkennung zu verlassen (MikroTik-Dokumentation — WiFi). Sobald der CAP den Manager findet, wird seine lokale Funkkonfiguration durch das ersetzt, was CAPsMAN provisioniert.

Die Hardware zählt hier: Ein CAP ist nur so gut wie sein Funkmodul. Wi-Fi 6- und Wi-Fi 7-APs wie der MikroTik hAP be lite geben hervorragende CAPs ab, weil CAPsMAN ihre neueren Funkmodule zentral steuern kann, und die Band- und Kanalabstimmung, die Sie normalerweise pro Gerät vornehmen würden — die Art, die unser Leitfaden zur Konfiguration von WiFi 6 auf MikroTik-AX-Routern behandelt — wird zu einem Profil, das Sie einmal schreiben.

Schritt 3 — Konfigurationen und Provisioning-Regeln bauen

Hier verdient sich CAPsMAN seinen Platz. Ein configuration-Profil definiert die SSID, die Sicherheit (authentication-types, Passphrase), das Land und den Kanalplan; ein datapath entscheidet, wie CAP-Datenverkehr ins Netz gelangt — lokal am AP gebrückt oder zurück zum Controller getunnelt. Provisioning-Regeln passen dann zu verbindenden CAPs — nach Funk-MAC, Modell oder Identität — und wenden automatisch die richtige Konfiguration an (MikroTik-Dokumentation — AP Controller (CAPsMAN)). Schreiben Sie /interface/wifi/provisioning add action=create-dynamic-enabled ..., damit neue APs sich selbst konfigurieren, statt auf Sie zu warten.

Da CAP-Datenverkehr üblicherweise auf einer Bridge landet, setzt dieser Schritt ein sauberes Layer 2 voraus; falls Ihnen Bridging neu ist, deckt unser MikroTik-Bridge-Konfigurationsleitfaden die Grundlagen ab. Und hier ist die ehrliche Grenze von CAPsMAN: Es zentralisiert WiFi in Reichweite eines Controllers. Die Controller selbst — einer pro Gebäude, pro Filiale, pro Funkstandort — sind weiterhin separate Router, die Sie synchron halten müssen. Genau diese zweite Ebene übernimmt das Flotten-Konfigurationsmanagement von MKController: ein identisches CAPsMAN-Profil ausrollen auf alle Controller gleichzeitig, und mit der Aktionshistorie sehen, wer was wann geändert hat und welcher Standort abgedriftet ist.

Schritt 4 — Ein Management-VLAN abtrennen und den Zugang absichern

Behandeln Sie den CAPsMAN-Steuerkanal als Infrastruktur, nicht als Nachgedanken. Führen Sie den Verkehr zwischen CAP und Manager über ein dediziertes Management-VLAN, halten Sie ihn vollständig von den Gast- und Client-SSIDs fern und schränken Sie ein, auf welchen Interfaces der Manager CAPs annimmt. Ein Management-VLAN verhindert außerdem, dass ein geschwätziges Client-Netz je die Ebene berührt, die Ihre Funkmodule steuert (MikroTik-Community — CAPsMAN mit Management-VLAN).

Zentrale Kontrolle schneidet in beide Richtungen: Eine falsche Provisioning-Regel bricht nicht einen AP, sie bricht alle auf einmal. Bevor Sie eine Kanal- oder Sicherheitsänderung flottenweit ausrollen, wollen Sie ein Backup, zu dem Sie zurückkehren können — und einen Weg hinein, falls die Änderung Sie aussperrt. MKController hält tägliche automatische Binär-Backups jedes Geräts vor — die letzten fünf Versionen, in der Cloud — und lässt Sie direkt vor einer riskanten Änderung ein manuelles anlegen, sodass eine fehlerhafte CAPsMAN-Änderung zu einer Ein-Klick-Wiederherstellung auf den letzten funktionierenden Stand wird, statt zu einer Fahrt zum Standort mit dem Konsolenkabel.

Schritt 5 — CAPsMAN über alle Standorte ausrollen

Ein Controller und eine Handvoll CAPs sind ein Nachmittag. Die eigentliche Arbeit ist der zehnte Standort — ein Hotelanbau, ein zweiter Funkturm, ein Kundencampus — jeder mit eigenem Controller hinter LTE oder Starlink und Carrier-Grade NAT, ohne öffentliche IP, in die man sich einwählen kann, wenn ein AP verstummt. Das ist die Wand, die Einzelstandort-Tutorials nie erwähnen.

Das ist die eigentliche Aufgabe des Lesers und der Punkt, an dem die Steuerungsebene am meisten zählt. MKController hält jeden Controller über einen sicheren ausgehenden Tunnel erreichbar — kein Port-Forwarding, keine öffentliche Adresse, wie in unserem Leitfaden zur MikroTik-Fernverwaltung hinter CGNAT (NATCloud) beschrieben —, rollt identische CAPsMAN-Profile über die Flotte aus und verfolgt die Geräteverfügbarkeit jedes Standorts, sodass ein ausgefallener CAP auftaucht — und Sie mit Telegram-Benachrichtigungen erreicht —, bevor die Rezeption anruft. WISPs und Multi-Site-Betreiber mit MikroTik WiFi nutzen es, damit sich zwanzig Standorte wie ein Dashboard anfühlen.

Tipps

• Halten Sie Controller und CAPs auf derselben RouterOS-7-wifi-Paketversion; Abweichungen führen dazu, dass CAPs abbrechen und in Schleifen neu provisionieren.
• Beginnen Sie mit create-dynamic-enabled-Provisioning, damit neue APs konfiguriert online kommen, und verschärfen Sie dann zu Regeln pro Modell, wenn die Flotte wächst.
• Nutzen Sie lokal brückende Datapaths für Standorte mit hohem Verkehr, damit Client-Daten nicht über den Controller im Haarnadelbogen laufen.
• Benennen Sie SSID- und Sicherheitsprofile nach Zweck („guest“, „staff“) statt nach Standort, damit ein Profil jeden Standort identisch bedient.

Verwalten Sie WiFi, nicht ein Rack voller Router

CAPsMAN löst eine AP-Flotte von einem Controller aus. Ein Unternehmen löst jeden Controller von einer Stelle aus. MKController ist diese Steuerungsebene: flottenweiter Konfigurations-Push, Konfigurationsaudit und -historie, automatische Backups und sicherer ausgehender Zugriff auf Standorte hinter CGNAT ohne öffentliche IP oder Port-Forwarding, dazu Verfügbarkeitsüberwachung und Telegram-Benachrichtigungen, die einen ausgefallenen CAP sichtbar machen, bevor ein Gast merkt, dass das WiFi weg ist. Betreiber, die MikroTik über viele Standorte hinweg einsetzen, nutzen es, um jeden Standort ohne die Fahrt auf demselben Stand zu halten.

Kostenlose MKController-Testversion starten