Tutorial
MikroTik CAPsMANでWiFiを一元管理
RouterOS 7のMikroTik CAPsMANで多数のWiFiアクセスポイントを一元管理する方法。プロビジョニングルール、構成プロファイル、複数拠点の制御を解説します。
要約 MikroTik CAPsMANは、1台のRouterOS機器を無線コントローラーに変え、すべてのアクセスポイントの設定を1か所から行います。SSIDやパスワードを変更するたびに各APにログインする代わりに、1つのプロファイルを編集すればCAPsMANがそれをフリート全体へ配布します。RouterOS 7ではコントローラーがwifiパッケージに組み込まれており、追加のアドオンは不要です。本ガイドは全工程をたどります — マネージャーを有効化し、APをCAPとして登録し、プロビジョニングルールを作成し、制御チャンネルを保護し、そのパターンを複数拠点へ拡張します。
MikroTik CAPsMANとは
MikroTik CAPsMANはRouterOSに内蔵された無線コントローラーで、Controlled Access Point system Manager（制御されたアクセスポイントシステムのマネージャー）として、一群のアクセスポイントの設定を保持し、各APが接続した際に自動でプロビジョニングします（MikroTikドキュメント — AP Controller (CAPsMAN)）。ネットワークは2つの役割に分かれます — SSID・セキュリティ・チャンネル設定を保存するマネージャー（CAPsMAN）と、実際の無線カバレッジを提供し自らの設定をマネージャーに委ねるアクセスポイントである任意数のCAPです。
その見返りは、WiFiにとっての唯一の信頼できる情報源です。ゲストパスワードを一度変更すればすべてのCAPがそれを継承し、APを追加すれば既に記述したルールに従って自らプロビジョニングします。Level 4以上のライセンスを持つ機器であれば、どれでもCAPとして動作できます（MikroTikドキュメント — WiFi）。
ステップ1 — CAPsMANマネージャーを有効化する
コントローラーとして動作する機器を選びます — 多くの場合はメインルーターですが、wifiパッケージを備えたRouterOS 7機器であればどれでもホストできます。/system/package配下にパッケージが存在することを確認し、/interface/wifi/capsman/set enabled=yesでマネージャーを有効化します。CAPがコントローラーから一致するwifiパッケージを取得しファームウェアを揃えたい場合は、package-pathとupgrade-policyを設定します（MikroTikドキュメント — AP Controller (CAPsMAN)）。
これでコントローラーはCAPを待ち受けますが、まだ何も管理していません — それはステップ3のルールによって実現します。マネージャーが待ち受けるインターフェースに注意してください。CAPは既定でレイヤー2経由でそれを検出するため、登録時にはコントローラーとAPが同じブロードキャストドメインを共有するか、そこへブリッジされている必要があります。
ステップ2 — アクセスポイントをCAPに変える
各アクセスポイントで、その無線をコントローラーに委ねます。/interface/wifi/cap/set enabled=yesでCAPモードを有効にし、APが提供すべきインターフェースをslaves-datapathとdiscovery-interfacesで列挙し、レイヤー2ディスカバリーに頼らずIPでコントローラーを指定する場合はcaps-man-addressesを設定します（MikroTikドキュメント — WiFi）。CAPがマネージャーを見つけると、そのローカルの無線設定はCAPsMANがプロビジョニングする内容に置き換えられます。
ここではハードウェアが重要です。CAPの実力はその無線性能次第だからです。MikroTik hAP be liteのようなWi-Fi 6・Wi-Fi 7対応APは、CAPsMANがその新しい無線を中央から制御できるため優れたCAPになります。また、通常は機器ごとに行うバンドやチャンネルの調整 — MikroTik AXルーターでのWiFi 6設定ガイドで扱っている類の作業 — は、一度書けば済むプロファイルになります。
ステップ3 — 構成とプロビジョニングルールを作成する
ここでCAPsMANはその真価を発揮します。構成プロファイルはSSID、セキュリティ（authentication-types、パスフレーズ）、国、チャンネルプランを定義します。データパスはCAPのトラフィックがどのようにネットワークへ到達するか — APでローカルにブリッジするか、コントローラーへトンネルで戻すか — を決めます。次にプロビジョニングルールが、接続してくるCAPを無線MAC・モデル・アイデンティティで照合し、適切な構成を自動で適用します（MikroTikドキュメント — AP Controller (CAPsMAN)）。/interface/wifi/provisioning add action=create-dynamic-enabled ...と記述して、新しいAPがあなたを待たずに自己設定できるようにしましょう。
CAPのトラフィックは通常ブリッジに着地するため、この手順はレイヤー2が整っていることを前提とします。ブリッジに不慣れな場合は、MikroTikブリッジ設定ガイドが基礎を扱っています。そしてここがCAPsMANの正直な限界です。CAPsMANが一元化するのは1台のコントローラーが届く範囲内のWiFiだけです。コントローラーそのもの — 建物ごと、支店ごと、鉄塔サイトごとに1台 — は、依然として自分で同期を保たなければならない別々のルーターです。その2層目こそ、MKControllerのフリート構成管理が扱う領域です。同一のCAPsMANプロファイルを配布してすべてのコントローラーへ一斉展開し、アクション履歴で誰がいつ何を変更し、どの拠点がずれたかを把握できます。
ステップ4 — 管理VLANを分離しアクセスを保護する
CAPsMANの制御チャンネルは後付けではなくインフラとして扱いましょう。CAPとマネージャー間のトラフィックを専用の管理VLANで運び、ゲストやクライアントのSSIDからは完全に切り離し、マネージャーがCAPを受け入れるインターフェースを制限します。管理VLANはまた、おしゃべりなクライアントネットワークが無線を制御するプレーンに触れることを一切防ぎます（MikroTikコミュニティ — 管理VLAN付きCAPsMAN）。
中央集権的な制御は諸刃の剣です。1つの誤ったプロビジョニングルールは1台のAPを壊すのではなく、すべてを一度に壊します。チャンネルやセキュリティの変更をフリート全体に投入する前には、ロールバックできるバックアップと、変更で締め出された場合の入り口が欲しくなります。MKControllerは全機器の日次自動バイナリバックアップをクラウドに直近5世代分保持し、リスクの高い投入の直前に手動バックアップも取得できます。そのため、まずいCAPsMANの投入は、コンソールケーブルを持って現地へ車を走らせる代わりに、直前の正常な状態へのワンクリック復元になります。
ステップ5 — 全拠点にCAPsMANを展開する
コントローラー1台と数台のCAPなら午後だけの作業です。本当の仕事は10番目の会場 — ホテルの別館、2本目の鉄塔、クライアントのキャンパス — であり、それぞれがLTEやStarlink、そしてキャリアグレードNATの背後に自前のコントローラーを持ち、APが沈黙してもダイヤルインできるパブリックIPがありません。それが、単一拠点向けのチュートリアルが決して語らない壁です。
これこそが読者の本当に片づけたい仕事であり、制御基盤が最も重要になる場面です。MKControllerは、CGNAT環境でのMikroTikリモート管理 (NATCloud)ガイドで詳しく解説しているとおり、ポートフォワーディングもパブリックアドレスも不要な安全なアウトバウンドトンネル経由で全コントローラーへの到達性を維持し、同一のCAPsMANプロファイルをフリート全体へ配布し、各拠点のデバイス可用性を追跡します。そのため、ダウンしたCAPはフロントデスクから電話が来る前に表示され、Telegramアラートによってあなたに届きます。MikroTik WiFiを運用するWISPや複数拠点の事業者は、これを使って20拠点を1つのダッシュボードのように感じられるようにしています。
ヒント
- コントローラーとCAPを同じRouterOS 7 wifiパッケージバージョンに揃えましょう。不一致はCAPが切断され、プロビジョニングを繰り返すループの原因になります。
- まず
create-dynamic-enabledのプロビジョニングから始め、新しいAPが設定済みの状態でオンラインになるようにし、フリートの拡大に合わせてモデルごとのルールへ引き締めていきます。 - トラフィックの多い拠点ではローカルブリッジのデータパスを使い、クライアントデータがコントローラーをヘアピンで経由しないようにします。
- SSIDとセキュリティのプロファイルは拠点名ではなく用途（「guest」「staff」）で命名し、1つのプロファイルがすべての拠点で同一に機能するようにします。
ルーターのラックではなくWiFiを管理する
CAPsMANは1つのコントローラーから1つのAPフリートを解決します。ビジネスは1か所からすべてのコントローラーを解決します。MKControllerがその制御基盤です。フリート全体への構成配布、構成監査と履歴、自動バックアップ、パブリックIPもポートフォワーディングも不要でCGNATの背後にある拠点への安全なアウトバウンドアクセス、さらにゲストがWiFiの切断に気づく前にダウンしたCAPを浮かび上がらせる可用性監視とTelegramアラートです。多数の拠点でMikroTikを運用する事業者は、これを使って現地へ足を運ぶことなく全拠点を同じ状態に保っています。