Tutorial
MikroTikホットスポット利用券設定
MikroTik HotSpotとUser Managerで利用券Wi-Fiを構築する方法。キャプティブポータル、RADIUS、プラン設計、一括発行、複数拠点の一元管理を解説します。
要約 User Manager付きのMikroTik HotSpotは、どんなRouterOS機器も利用券方式のWi-Fiシステムに変えます。ゲストはキャプティブポータルにアクセスし、印刷されたコードを入力すると、プランで定められた速度・データ量・利用時間がそのまま提供されます。すべてルーター上で完結し、外部サーバーは不要です。設定手順は短い一連の流れです — HotSpotウィザード、RADIUSとしてのUser Manager、プラン設計、印刷可能な利用券。本当に難しくなるのは複数拠点で運用し始めたときで、本ガイドはその両方を扱います。
MikroTik HotSpot利用券とは
MikroTik HotSpot利用券とは、ゲストがルーターのキャプティブポータルに入力する使い切り型のアクセス認証情報のことで、通常はコードが印刷されたカードの形を取ります。入力すると、あらかじめ決められた速度・データ上限・有効期限でオンラインに接続できます。ポータル側を担うのがRouterOS HotSpotで、認証情報側を担うのがMikroTik内蔵のRADIUSサーバーであるUser Managerです。User Managerが各コードを認証し、その背後にあるプランを適用します（MikroTikドキュメント — User Manager）。この2つを組み合わせることが、ホテル・カフェ・マンション・WISPが外部の課金システムなしにWi-Fiを販売したり制限したりする標準的な方法です（Emmanuel Corels — HotSpot利用券システム向けUser Manager）。
この仕組みの魅力は、クライアント側の設定を一切要求せずに責任の所在を明確にできる点です。利用券は一枚一枚が個別の認証情報なので、1人のゲストが1つのコードを10台のデバイスで使い回すことはできず、プリペイドプランは予定どおりに失効し、誰もゲストのスマートフォンの設定を触る必要がありません。コードを販売すれば、あとはルーターが処理します。
ステップ1 — HotSpotセットアップウィザードを実行する
ゲストにサービスを提供するインターフェースから始めます — 理想的には専用のブリッジまたはVLANを使い、管理ネットワークと同じセグメントには絶対にしないでください。WinBoxで「IP → Hotspot → Hotspot Setup」に進み、ゲスト用インターフェースを選択し、アドレスプール・DNS・SSLのプロンプトを承認または調整します。ウィザードはDHCPサーバー、NATルール、キャプティブポータルを一度に構築し、通常は数分で完了します（madankc — MikroTik Hotspot Setup Step by Step）。
ウィザードの出力は、インターフェースに紐づいたHotSpotサーバーと、ゲストの認証方法を制御するサーバープロファイルです。すぐにテストしましょう。スマートフォンをゲストネットワークに接続し、ログインページが表示されるか確認します。ポータルが表示されない場合は、利用券を積み重ねる前に10.5.50.1のHotSpotゲートウェイの対処法一覧を確認してください。
ステップ2 — User ManagerをRADIUSバックエンドとして有効化する
ローカルHotSpotユーザーは数件程度のアカウントには使えますが、利用券にはUser Managerが必要です。お使いのRouterOS v7向けにuser-managerパッケージをインストールし、再起動してから/user-manager set enabled=yesで有効化します。ルーター自身をRADIUSクライアントとして登録するには/user-manager router add name=local address=127.0.0.1 shared-secret=<secret>を実行し、RADIUS側でも/radius add service=hotspot address=127.0.0.1 secret=<secret>で対応させます（MikroTikドキュメント — User Manager）。
最後に、HotSpotサーバープロファイルを編集してuse-radius=yesを有効にし、ポータルがローカルユーザーリストではなくUser Managerにログインを転送するようにします。これ以降、ゲストが入力するすべてのコードはRADIUSによって検証されます — PPPoE加入者認証でISPが使っているのと同じアーキテクチャを、Wi-Fiゲスト向けに転用したものです。
ステップ3 — プランを作成する: リミテーションとプロファイル
User Managerにおける販売プランは2つのオブジェクトから成ります。リミテーションはゲストが得るものを定義し、速度にはrate-limit、データ上限にはdownload-limitとupload-limit、接続時間にはuptime-limitを使います。プロファイルは1つ以上のリミテーションをまとめ、有効期限（初回利用後に利用券がどれだけ有効か）を加えたものです。「1時間無料」「24時間 — 10 Mbps」「週間 — 5 GB」のように、製品ごとに1つのプロファイルを作成します（MikroTikドキュメント — User Manager）。
プランは一度だけ定義し、拠点ごとの場当たり的な変更は避けましょう。各拠点の運用担当者がリミテーションを個別に手直しすると、同じ「24時間」の利用券が施設によって意味の異なるものになってしまいます — 星1つのレビューとしてしか表面化しないタイプのずれです。全ルーターでプロファイルを同一に保つことこそ、MKControllerの設定監査と履歴機能がまさに解決するフリート運用上の課題です。変更内容と変更場所を把握し、修正済みのプロファイルを全拠点に一斉展開できます。
ステップ4 — ユーザーを一括生成し利用券を印刷する
いよいよ商品を作ります。ユーザーを一括作成し、プランのプロファイルを割り当てます — 各ユーザーが1枚の利用券コードに対応します。次にgenerate-voucherコマンドで印刷可能なカードを生成します。ユーザーIDまたはfindクエリを指定すると、User Managerがコード・プラン・有効期限を利用券テンプレートに埋め込み、そのままカウンターで印刷・販売できる状態にします（MikroTikドキュメント — User Manager）。
ルーター1台であれば楽しい金曜の作業です。しかし十数拠点になると、在庫を生成し、売れ行きを確認し、漏洩したコードを無効化するというWinboxセッションのローテーションと化します。だからこそ運用者はMikhmonのようなローカルツールを追加したり、MKControllerの利用券・HotSpot管理をクラウドで導入し、全拠点の利用券を1つのパネルから生成・追跡・失効させたりするのです。この判断のトレードオフについては、MikhmonとMKControllerの比較で詳しく解説しています。
ステップ5 — ゲストネットワークを制限する
キャプティブポータルはルーター上の公開された入口なので、そのつもりで扱いましょう。HotSpotサブネットがLANに到達するのを防ぐファイアウォールルールを追加し、何よりもルーター自身の管理サービス — Winbox、API、WebFig、SSH — へのゲスト側からのアクセスを遮断してください。ウォールドガーデンは最小限に保ちましょう。ホワイトリストに載せたホストはすべて、利用券なしでも到達可能になります。
ゲストは定義上見知らぬ相手であり、侵害されたゲスト端末はルーターからわずか1ホップの距離にいます。自分を生成した設定に到達できる利用券ネットワークは、常設の招待状のようなものです。
ステップ6 — 全拠点で利用券を運用する
ルーター1台向けのチュートリアルが見落としがちなのはここです。LTEやStarlinkでキャリアグレードNATの背後にある拠点にはパブリックIPがないため、ポータルの調子が悪くなっても簡単にはアクセスできません。MKControllerは、CGNAT環境でのMikroTikリモート管理で解説しているとおり、ポートフォワーディングもパブリックアドレスも不要な安全なアウトバウンドトンネル経由で各ルーターへの到達性を維持し、自動バックアップとテレメトリによって、フロントデスクにクレームが来る前にポータルの障害を検知します。
各拠点は同じ方法で検証します。ゲストとして接続し、テスト用の利用券を1枚使い切り、速度と有効期限がプランどおりか確認します。
ヒント
- 利用券のユーザー名は短く紛らわしくないものにしましょう —
0/Oや1/l/Iは避けます。ゲストはスマートフォンのキーボードで入力するためです。 - プロファイルの有効期限は作成時点ではなく初回ログイン時点から起算するよう設定し、印刷済みの在庫が引き出しの中で失効しないようにします。
- 最後のバッチから直接販売してはいけません。需要を先取りして在庫を生成し、漏洩したバッチの未販売コードは無効化しましょう。
- ユーザーデータベースが大きい場合はルーターのメモリに注意してください。User Managerは課金データを機器上に保存します。
サポートチケットではなくWi-Fiを売る
MikroTik1台での利用券HotSpotは午後だけで終わる作業です。しかし、それをビジネスとして複数拠点で運用すること — 全ルーターで同一のプラン、中央集権的に生成・失効される利用券在庫、CGNATの背後でも到達可能なポータル、変更のたびに取得されるバックアップ — となると、運用者は夜な夜な作業に追われるか、一元管理に舵を切るかの分かれ道になります。MKControllerはその制御基盤を提供します。フリート全体のHotSpotと利用券管理、パブリックIP不要の安全なアウトバウンドリモートアクセス、設定履歴とワンクリック復元、そしてゲストがWi-Fiの不調に気づく前にチケットを起票する監視機能です。MikroTikで有料Wi-Fiを運用する事業者は、これを使って10拠点の運用を1拠点並みに簡単にしています。