MikroTik HotSpot vaučeri s User Managerom

Sažetak MikroTik HotSpot s User Managerom pretvara bilo koji RouterOS uređaj u WiFi sustav temeljen na vaučerima: gosti dolaze na captive portal, unose otisnuti kod i dobivaju točno onu brzinu, količinu podataka i vrijeme koje plan dopušta. Sve se odvija na usmjerniku — bez vanjskog poslužitelja. Postavljanje je kratak lanac: čarobnjak za HotSpot, User Manager kao RADIUS, planovi i vaučeri spremni za ispis. Pravi posao počinje kad to pokrenete na više od jedne lokacije; ovaj vodič pokriva oboje.

Što Je MikroTik HotSpot Vaučer?

MikroTik HotSpot vaučer je jednokratna pristupna vjerodajnica — obično otisnuta kartica s kodom — koju gost unosi na captive portalu usmjernika kako bi dobio internet uz unaprijed određenu brzinu, količinu podataka i istek valjanosti. Portalska strana je RouterOS HotSpot; strana vjerodajnice je User Manager, ugrađeni RADIUS poslužitelj MikroTika, koji autentificira svaki kod i provodi plan koji stoji iza njega (Dokumentacija MikroTik — User Manager). Zajedno su standardni način na koji hoteli, kafići, stambeni kompleksi i WISP-ovi prodaju ili raspodjeljuju WiFi bez ikakvog vanjskog sustava naplate (Emmanuel Corels — User Manager za sustave vaučera na hotspotu).

Prednost je odgovornost bez ikakvog podešavanja na strani klijenta: svaki je vaučer pojedinačna vjerodajnica, pa jedan gost ne može dijeliti kod na deset uređaja, prepaid plan istječe po rasporedu, a nitko ne dira postavke gostova telefona. Prodate kod, a usmjernik obavi ostatak posla.

Korak 1 — Pokrenite čarobnjak za postavljanje HotSpota

Počnite na sučelju koje će posluživati goste — idealno namjenski bridge ili VLAN, nikad isti segment kao vaša upravljačka mreža. U WinBoxu idite na IP → Hotspot → Hotspot Setup, odaberite gostinsko sučelje te prihvatite ili prilagodite pool adresa, DNS i SSL upite; čarobnjak u jednom prolazu izgrađuje DHCP poslužitelj, NAT pravilo i captive portal, obično za nekoliko minuta (madankc — MikroTik Hotspot Setup Step by Step).

Rezultat čarobnjaka je HotSpot poslužitelj vezan na sučelje te profil poslužitelja koji kontrolira način na koji se gosti autentificiraju. Odmah to testirajte: spojite telefon na gostinsku mrežu i potvrdite da se pojavljuje stranica za prijavu. Ako se portal ne učitava, prođite kroz naš popis rješenja za pristupnik HotSpota 10.5.50.1 prije nego dodate vaučere.

Korak 2 — Omogućite User Manager kao RADIUS pozadinu

Lokalni HotSpot korisnici rade za nekolicinu računa, ali vaučeri zahtijevaju User Manager. Instalirajte paket user-manager za svoju verziju RouterOS v7, ponovno pokrenite, a zatim ga omogućite s /user-manager set enabled=yes. Registrirajte sam usmjernik kao RADIUS klijenta — /user-manager router add name=local address=127.0.0.1 shared-secret=<secret> — i to zrcalite na RADIUS strani s /radius add service=hotspot address=127.0.0.1 secret=<secret> (Dokumentacija MikroTik — User Manager).

Naposljetku, uredite profil HotSpot poslužitelja i omogućite use-radius=yes kako bi portal prosljeđivao prijave User Manageru umjesto lokalnom popisu korisnika. Od ovog trenutka svaki kod koji gost upiše provjerava RADIUS — ista arhitektura koju ISP-ovi koriste za autentifikaciju pretplatnika PPPoE-a, samo usmjerenu na WiFi goste.

Korak 3 — Stvorite planove: ograničenja i profili

Prodajni plan u User Manageru sastoji se od dva objekta. Ograničenje (limitation) definira što gost dobiva — rate-limit za brzinu, download-limit i upload-limit za količinu podataka, uptime-limit za trajanje veze. Profil umata jedno ili više ograničenja i dodaje valjanost — koliko dugo vaučer vrijedi nakon prve upotrebe. Stvorite po jedan profil za svaki proizvod: “1 sat besplatno”, “24 h — 10 Mbps”, “Tjedni — 5 GB” (Dokumentacija MikroTik — User Manager).

Definirajte planove jednom i odupirite se improvizaciji po lokaciji. Kad operater svake lokacije ručno uređuje ograničenja, isti vaučer “24 h” u različitim objektima tiho znači nešto drugo — vrsta odstupanja koja se pokaže tek kao recenzija s jednom zvjezdicom. Održavanje identičnih profila na svim usmjernicima upravo je onaj problem flote koji rješavaju revizija konfiguracije i povijest promjena MKControllera: vidite što se promijenilo, gdje, i odjednom gurnete ispravljen profil posvuda.

Korak 4 — Skupno generirajte korisnike i ispišite vaučere

Sada iskujte proizvod. Stvorite korisnike u skupinama i pridružite profil plana — svaki je korisnik jedan vaučerski kod. Zatim izradite kartice za ispis naredbom generate-voucher, usmjerivši je na ID korisnika ili upit find; User Manager popunjava predložak vaučera kodom, planom i valjanošću, spreman za ispis i prodaju na šalteru (Dokumentacija MikroTik — User Manager).

Na jednom usmjerniku to je ugodan petkom poslijepodne zadatak. Na desetak lokacija postaje rotacija Winbox sesija — generiranje zaliha, provjera što se prodalo, onemogućavanje procurjelih kodova — zbog čega operateri pribjegavaju lokalnim alatima poput Mikhmona ili odlaze u oblak s upravljanjem vaučerima i HotSpotom u MKControlleru kako bi generirali, pratili i opozivali vaučere za svaku lokaciju iz jedne ploče. Naša usporedba Mikhmon i MKController detaljno prolazi kroz taj kompromis.

Korak 5 — Zaključajte gostinsku mrežu

Captive portal je javna vrata na vašem usmjerniku, pa ga tako i tretirajte. Dodajte pravila vatrozida koja blokiraju HotSpot podmrežu od pristupa vašem LAN-u i, iznad svega, vlastitim upravljačkim uslugama usmjernika — Winbox, API, WebFig, SSH — sa strane gosta. Neka ograđeni vrt (walled garden) bude minimalan: svaki host koji stavite na bijelu listu dostupan je bez vaučera.

Gosti su po definiciji stranci, a kompromitiran gostinski uređaj udaljen je jedan skok od vašeg usmjernika. Vaučerska mreža koja može dosegnuti konfiguraciju koja ju je stvorila stalna je pozivnica na problem.

Korak 6 — Vodite vaučere na svim lokacijama

Evo onoga što vodiči za jedan usmjernik preskaču: lokacija na LTE-u ili Starlinku iza Carrier-Grade NAT-a nema javni IP, pa kad se njezin portal počne ponašati čudno, ne možete se jednostavno spojiti izravno. MKController drži svaki usmjernik dostupnim preko sigurnog izlaznog tunela — bez prosljeđivanja portova, bez potrebe za javnom adresom, kako je opisano u našem vodiču o daljinskom upravljanju MikroTikom iza CGNAT-a — uz automatske sigurnosne kopije i telemetriju koja označi mrtav portal prije nego što recepcija počne primati pritužbe.

Provjerite svaku lokaciju na isti način: spojite se kao gost, potrošite testni vaučer, potvrdite da brzina i istek odgovaraju planu.

Savjeti

• Vaučerska korisnička imena držite kratkima i nedvosmislenima — izbjegavajte 0/O i 1/l/I — jer ih gosti utipkavaju na tipkovnicama telefona.
• Postavite valjanost profila od prve prijave, ne od stvaranja, kako otisnuta zaliha ne bi istekla u ladici.
• Nikad ne prodajte iz posljednje serije: generirajte zalihu unaprijed potražnje i onemogućite neprodane kodove iz svake serije koja procuri.
• Pratite memoriju usmjernika kod velikih baza korisnika; User Manager pohranjuje računovodstvene podatke na uređaju.

Prodajte WiFi, ne korisničku podršku

Vaučerski HotSpot na jednom MikroTiku je poslijepodnevni projekt. Voditi ga kao posao na mnogim lokacijama — identični planovi na svakom usmjerniku, zaliha vaučera generirana i opozvana centralizirano, portali dostupni čak i iza CGNAT-a, sigurnosne kopije napravljene prije svake promjene — mjesto je gdje operateri ili gube svoje večeri ili centraliziraju. MKController vam daje upravo tu upravljačku ravninu: HotSpot i upravljanje vaučerima na razini cijele flote, siguran izlazni daljinski pristup bez javnog IP-a, povijest konfiguracije i vraćanje jednim klikom te nadzor koji otvori tiket prije nego što gost primijeti da WiFi ne radi. Operateri koji pokreću plaćeni WiFi na MikroTiku koriste ga kako bi deset lokacija bilo jednako jednostavno kao jedna.

Započnite svoju besplatnu probnu verziju MKControllera