Tutorial
Vouchers HotSpot MikroTik con User Manager
Cómo configurar un HotSpot MikroTik con vouchers de User Manager: portal cautivo, RADIUS, planes y limitaciones, impresión en lote y control multisitio.
Resumen Un HotSpot MikroTik con User Manager convierte cualquier equipo RouterOS en un sistema de WiFi por vouchers: el invitado llega a un portal cautivo, introduce un código impreso y recibe exactamente la velocidad, los datos y el tiempo que permite el plan. Todo corre en el router — sin servidor externo. La configuración es una cadena corta: asistente de HotSpot, User Manager como RADIUS, planes y vouchers imprimibles. El trabajo de verdad empieza cuando lo operas en más de una sede; esta guía cubre ambos escenarios.
¿Qué Es un Voucher de HotSpot MikroTik?
Un voucher de HotSpot MikroTik es una credencial de acceso de un solo uso — normalmente una tarjeta impresa con un código — que el invitado introduce en el portal cautivo del router para conectarse con una velocidad, un tope de datos y una caducidad predefinidos. El lado del portal es el HotSpot de RouterOS; el lado de la credencial es User Manager, el servidor RADIUS integrado de MikroTik, que autentica cada código y aplica el plan que hay detrás (Documentación MikroTik — User Manager). Juntos son la forma estándar en que hoteles, cafeterías, condominios y WISPs venden o racionan el WiFi sin ningún sistema de facturación externo (Emmanuel Corels — User Manager for HotSpot voucher systems).
El atractivo es la trazabilidad sin configurar nada en el cliente: cada voucher es una credencial individual, así que un invitado no puede compartir un código entre diez dispositivos, un plan prepago caduca a tiempo y nadie toca los ajustes del teléfono del invitado. Vende el código, y el router hace el resto.
Paso 1 — Ejecuta el asistente de configuración del HotSpot
Empieza por la interfaz que atenderá a los invitados — idealmente un bridge o una VLAN dedicados, nunca el mismo segmento que tu red de administración. En WinBox, ve a IP → Hotspot → Hotspot Setup, elige la interfaz de invitados y acepta o ajusta las opciones de pool de direcciones, DNS y SSL; el asistente construye el servidor DHCP, la regla de NAT y el portal cautivo en una sola pasada, normalmente en pocos minutos (madankc — MikroTik Hotspot Setup Step by Step).
El resultado del asistente es un servidor HotSpot ligado a la interfaz más un perfil de servidor que controla cómo se autentican los invitados. Pruébalo de inmediato: conecta un teléfono a la red de invitados y confirma que aparece la página de inicio de sesión. Si el portal no carga, repasa nuestra lista de soluciones para la puerta de enlace HotSpot 10.5.50.1 antes de montar los vouchers encima.
Paso 2 — Activa User Manager como backend RADIUS
Los usuarios locales del HotSpot sirven para un puñado de cuentas, pero los vouchers necesitan User Manager. Instala el paquete user-manager para tu versión de RouterOS v7, reinicia y actívalo con /user-manager set enabled=yes. Registra el propio router como cliente RADIUS — /user-manager router add name=local address=127.0.0.1 shared-secret=<secret> — y refléjalo en el lado RADIUS con /radius add service=hotspot address=127.0.0.1 secret=<secret> (Documentación MikroTik — User Manager).
Por último, edita el perfil del servidor HotSpot y habilita use-radius=yes para que el portal reenvíe los inicios de sesión a User Manager en lugar de a la lista local de usuarios. A partir de ahí, cada código que teclea un invitado lo verifica RADIUS — la misma arquitectura que los ISP usan para la autenticación de abonados PPPoE, solo que orientada a los invitados del WiFi.
Paso 3 — Crea planes: limitaciones y perfiles
Un plan de venta en User Manager son dos objetos. Una limitation define lo que recibe el invitado — rate-limit para la velocidad, download-limit y upload-limit para los topes de datos, uptime-limit para el tiempo de conexión. Un profile agrupa una o más limitations y añade la validez — cuánto vive el voucher desde el primer uso. Crea un perfil por producto: “1 Hora Gratis”, “24h — 10 Mbps”, “Semanal — 5 GB” (Documentación MikroTik — User Manager).
Define los planes una vez y resiste la improvisación por sede. Cuando el operador de cada local edita las limitations a mano, el mismo voucher de “24h” acaba significando cosas distintas en sitios distintos — el tipo de desviación que solo aflora como una reseña de una estrella. Mantener perfiles idénticos en todos los routers es exactamente el problema de flota que resuelven la auditoría y el historial de configuración de MKController: ve qué cambió, dónde, y aplica el perfil corregido en todas partes a la vez.
Paso 4 — Genera usuarios en lote e imprime vouchers
Ahora fabrica el producto. Crea usuarios de forma masiva y asígnales el perfil del plan — cada usuario es un código de voucher. Después produce las tarjetas imprimibles con el comando generate-voucher, apuntándolo a un ID de usuario o a una consulta find; User Manager rellena una plantilla de voucher con el código, el plan y la validez, lista para imprimir y vender en el mostrador (Documentación MikroTik — User Manager).
En un router esto es una tarea agradable de viernes. En una docena de locales se convierte en una rotación de sesiones de Winbox — generar stock, revisar qué se vendió, desactivar códigos filtrados — y por eso los operadores acoplan herramientas locales como Mikhmon, o se van a la nube con el control de vouchers y HotSpot de MKController para generar, seguir y revocar vouchers de todos los sitios desde un solo panel. Nuestra comparativa Mikhmon vs MKController analiza ese dilema en detalle.
Paso 5 — Blinda la red de invitados
Un portal cautivo es una puerta pública en tu router, así que trátalo como tal. Agrega reglas de firewall que impidan que la subred del HotSpot alcance tu LAN y, sobre todo, los servicios de administración del propio router — Winbox, API, WebFig, SSH — desde el lado de los invitados. Mantén el walled garden al mínimo: cada host que pones en la lista blanca es alcanzable sin voucher.
Los invitados son desconocidos por definición, y un dispositivo de invitado comprometido está a un salto de tu router. Una red de vouchers que puede alcanzar la configuración que la creó es una invitación permanente.
Paso 6 — Opera vouchers en todas las sedes
Aquí está lo que los tutoriales de un solo router se saltan: el local con LTE o Starlink detrás de Carrier-Grade NAT no tiene IP pública, así que cuando su portal falla no puedes simplemente conectarte desde fuera. MKController mantiene cada router alcanzable mediante un túnel saliente seguro — sin redirección de puertos, sin dirección pública, como explicamos en nuestra guía de gestión remota de MikroTik detrás de CGNAT — con backups automáticos y telemetría que avisa de un portal caído antes de que la recepción empiece a recibir quejas.
Verifica cada sitio de la misma manera: conéctate como invitado, quema un voucher de prueba y confirma que la velocidad y la caducidad coinciden con el plan.
Consejos
- Mantén los usuarios de los vouchers cortos y sin ambigüedades — evita
0/Oy1/l/I— porque los invitados los teclean en teclados de móvil. - Configura la validez del perfil desde el primer inicio de sesión, no desde la creación, para que el stock impreso no caduque en el cajón.
- Nunca vendas de tu último lote: genera stock por delante de la demanda y desactiva los códigos sin vender de cualquier lote que se filtre.
- Vigila la memoria del router con bases de usuarios grandes; User Manager guarda los datos de accounting en el propio equipo.
Vende WiFi, no tickets de soporte
Un HotSpot de vouchers en un MikroTik es un proyecto de una tarde. Operarlo como negocio en muchas sedes — planes idénticos en cada router, stock de vouchers generado y revocado de forma centralizada, portales alcanzables incluso detrás de CGNAT, backups antes de cada cambio — es donde los operadores o pierden las noches o centralizan. MKController te da ese plano de control: gestión de HotSpot y vouchers para toda la flota, acceso remoto seguro por túnel saliente sin IP pública, historial de configuración con restauración en un clic y monitorización que abre un ticket antes de que un invitado note que el WiFi se cayó. Los operadores que venden WiFi de pago sobre MikroTik lo usan para que diez sedes sean tan fáciles como una.