MikroTik CAPsMAN: WiFi centralizzato

Riepilogo MikroTik CAPsMAN trasforma un solo dispositivo RouterOS in un controller wireless che configura ogni access point da un unico posto. Invece di accedere a ogni AP per cambiare un SSID o una password, modifichi un solo profilo e CAPsMAN lo distribuisce all’intera flotta. In RouterOS 7 il controller è integrato nel pacchetto wifi — nessun componente aggiuntivo necessario. Questa guida percorre l’intera catena: abilita il manager, arruola i tuoi AP come CAP, crea regole di provisioning, proteggi il canale di controllo e scala lo schema su più sedi.

Cos’è MikroTik CAPsMAN?

MikroTik CAPsMAN è il controller wireless integrato di RouterOS: un Controlled Access Point system Manager che conserva la configurazione di un gruppo di access point e provisiona automaticamente ciascuno quando si connette (Documentazione MikroTik — AP Controller (CAPsMAN)). La rete si divide in due ruoli — il manager (CAPsMAN), che memorizza SSID, sicurezza e impostazioni di canale, e un numero qualsiasi di CAP, gli access point che forniscono l’effettiva copertura radio e cedono la propria configurazione al manager.

Il vantaggio è un’unica fonte di verità per il WiFi: cambia la password ospiti una volta e ogni CAP la eredita; aggiungi un AP e si provisiona da solo secondo le regole che hai già scritto. Qualsiasi dispositivo con licenza Level 4 o superiore può funzionare come CAP (Documentazione MikroTik — WiFi).

Passo 1 — Abilita il manager CAPsMAN

Scegli il dispositivo che farà da controller — spesso il router principale, anche se qualsiasi dispositivo RouterOS 7 con il pacchetto wifi può ospitarlo. Verifica che il pacchetto sia presente in /system/package, poi abilita il manager con /interface/wifi/capsman/set enabled=yes. Imposta package-path e upgrade-policy se vuoi che i CAP scarichino dal controller i pacchetti wifi corrispondenti, così il loro firmware resta allineato (Documentazione MikroTik — AP Controller (CAPsMAN)).

Il controller ora è in ascolto dei CAP ma non gestisce ancora nulla — questo arriva dalle regole del Passo 3. Prendi nota dell’interfaccia su cui il manager è in ascolto: i CAP la scoprono via Layer 2 per impostazione predefinita, quindi controller e AP dovrebbero condividere un dominio di broadcast durante l’arruolamento, o essere collegati in bridge verso uno.

Passo 2 — Trasforma i tuoi access point in CAP

Su ogni access point, cedi le sue radio al controller. Abilita la modalità CAP con /interface/wifi/cap/set enabled=yes, elenca le interfacce che l’AP deve offrire con slaves-datapath e discovery-interfaces, e imposta caps-man-addresses se punti al controller tramite IP invece di affidarti al discovery di Layer 2 (Documentazione MikroTik — WiFi). Una volta che il CAP trova il manager, la sua configurazione radio locale viene sostituita da ciò che CAPsMAN provisiona.

Qui l’hardware conta: un CAP vale quanto la sua radio. Gli AP Wi-Fi 6 e Wi-Fi 7 come il MikroTik hAP be lite sono ottimi CAP perché CAPsMAN può pilotare centralmente le loro radio più recenti, e la messa a punto di banda e canale che faresti normalmente su ogni dispositivo — quella trattata nella nostra guida su come configurare il WiFi 6 sui router MikroTik AX — diventa un profilo che scrivi una volta sola.

Passo 3 — Crea configurazioni e regole di provisioning

È qui che CAPsMAN si guadagna il suo posto. Un profilo di configuration definisce l’SSID, la sicurezza (authentication-types, passphrase), il paese e il piano dei canali; un datapath decide come il traffico dei CAP raggiunge la rete — in bridge locale sull’AP o in tunnel verso il controller. Le regole di provisioning corrispondono poi ai CAP che si connettono — per MAC radio, modello o identità — e applicano automaticamente la configurazione corretta (Documentazione MikroTik — AP Controller (CAPsMAN)). Scrivi /interface/wifi/provisioning add action=create-dynamic-enabled ... così i nuovi AP si autoconfigurano invece di aspettare te.

Poiché il traffico dei CAP di solito finisce su un bridge, questo passo presuppone che il tuo Layer 2 sia pulito; se il bridging è una novità per te, la nostra guida alla configurazione dei bridge MikroTik copre le basi. Ed ecco il limite onesto di CAPsMAN: centralizza il WiFi nel raggio d’azione di un singolo controller. I controller stessi — uno per edificio, per filiale, per sito radio — restano router separati che devi mantenere sincronizzati. Questo secondo livello è esattamente ciò di cui si occupa la gestione della configurazione di flotta di MKController: distribuisci un profilo CAPsMAN identico a tutti i controller in una volta sola, e usa lo Storico delle azioni per vedere chi ha cambiato cosa, quando, e quale sede è andata in deriva.

Passo 4 — Separa una VLAN di gestione e proteggi l’accesso

Tratta il canale di controllo CAPsMAN come infrastruttura, non come un ripensamento. Trasporta il traffico CAP-manager su una VLAN di gestione dedicata, tienila completamente fuori dagli SSID ospiti e client, e limita le interfacce su cui il manager accetterà i CAP. Una VLAN di gestione impedisce anche che una rete client rumorosa tocchi mai il piano che controlla le tue radio (community MikroTik — CAPsMAN con VLAN di gestione).

Il controllo centralizzato ha due facce: una regola di provisioning sbagliata non rompe un solo AP, li rompe tutti in una volta. Prima di distribuire una modifica di canale o di sicurezza sull’intera flotta, vuoi un backup a cui poter tornare — e un modo per entrare se la modifica ti blocca fuori. MKController conserva backup binari automatici giornalieri di ogni dispositivo — le ultime cinque versioni, nel cloud — e ti permette di farne uno manuale subito prima di un push rischioso, così un push CAPsMAN errato diventa un ripristino con un clic all’ultimo stato valido noto invece di una corsa alla sede con un cavo console.

Passo 5 — Distribuisci CAPsMAN su ogni sede

Un controller e una manciata di CAP è questione di un pomeriggio. Il lavoro vero è la decima sede — un’ala di un hotel, una seconda torre, un campus di un cliente — ciascuna con il proprio controller dietro LTE o Starlink e Carrier-Grade NAT, senza un IP pubblico a cui collegarti quando un AP smette di rispondere. È il muro che i tutorial per sede singola non menzionano mai.

Questo è il vero compito da svolgere per il lettore, ed è dove il piano di controllo conta di più. MKController mantiene ogni controller raggiungibile tramite un tunnel sicuro in uscita — senza port forwarding, senza indirizzo pubblico, come descritto nella nostra guida su la gestione remota MikroTik dietro CGNAT (NATCloud) — distribuisce profili CAPsMAN identici su tutta la flotta e tiene traccia della disponibilità dei dispositivi di ogni sede, così un CAP inattivo compare — e, con gli avvisi Telegram, ti raggiunge — prima che chiami la reception. WISP e operatori multi-sede che gestiscono WiFi MikroTik lo usano per far sembrare venti sedi un’unica dashboard.

Consigli

• Mantieni controller e CAP sulla stessa versione del pacchetto wifi di RouterOS 7; i disallineamenti fanno cadere i CAP e li mandano in loop di ri-provisioning.
• Parti con il provisioning create-dynamic-enabled così i nuovi AP entrano in linea già configurati, poi restringi a regole per modello man mano che la flotta cresce.
• Usa datapath in bridge locale per le sedi ad alto traffico così i dati dei client non fanno hairpin attraverso il controller.
• Nomina i profili SSID e di sicurezza in base allo scopo (“guest”, “staff”) e non in base alla posizione, così un unico profilo serve ogni sede in modo identico.

Gestisci il WiFi, non un rack di router

CAPsMAN risolve una flotta di AP da un solo controller. Un’azienda risolve ogni controller da un unico posto. MKController è quel piano di controllo: push di configurazione su tutta la flotta, audit e storico delle configurazioni, backup automatici e accesso sicuro in uscita alle sedi dietro CGNAT senza IP pubblico né port forwarding, oltre al monitoraggio della disponibilità e agli avvisi Telegram che segnalano un CAP inattivo prima che un ospite si accorga della caduta del WiFi. Gli operatori che gestiscono MikroTik su molte sedi lo usano per tenere ogni sede allineata senza mettersi in viaggio.

Inizia la tua prova gratuita di MKController