ตั้งค่า HotSpot Voucher ด้วย User Manager

สรุป MikroTik HotSpot ที่ใช้ User Manager เปลี่ยนอุปกรณ์ RouterOS ทุกเครื่องให้กลายเป็นระบบ WiFi แบบใช้ voucher ผู้ใช้งานเข้าสู่ captive portal กรอกโค้ดที่พิมพ์มา แล้วได้รับความเร็ว ปริมาณข้อมูล และเวลาใช้งานตามที่แผนกำหนดพอดี ทั้งหมดทำงานอยู่บนเราเตอร์เอง ไม่ต้องพึ่งเซิร์ฟเวอร์ภายนอก การตั้งค่าเป็นขั้นตอนสั้นๆ ต่อเนื่องกัน คือ ตัวช่วยตั้งค่า HotSpot, User Manager เป็น RADIUS, แผนบริการ และ voucher ที่พิมพ์ได้ งานจริงเริ่มขึ้นเมื่อคุณต้องใช้งานระบบนี้ในมากกว่าหนึ่งสาขา ซึ่งบทความนี้ครอบคลุมทั้งสองส่วน

MikroTik HotSpot Voucher คืออะไร

MikroTik HotSpot voucher คือข้อมูลรับรองสำหรับใช้งานครั้งเดียว โดยทั่วไปเป็นบัตรที่พิมพ์มาพร้อมโค้ด ซึ่งผู้ใช้งานกรอกบน captive portal ของเราเตอร์เพื่อเชื่อมต่ออินเทอร์เน็ตด้วยความเร็ว ปริมาณข้อมูล และวันหมดอายุที่กำหนดไว้ล่วงหน้า ฝั่ง portal คือ RouterOS HotSpot ส่วนฝั่งข้อมูลรับรองคือ User Manager ซึ่งเป็น RADIUS server ในตัวของ MikroTik ที่ยืนยันตัวตนแต่ละโค้ดและบังคับใช้แผนที่อยู่เบื้องหลัง (MikroTik Documentation — User Manager) ทั้งสองส่วนรวมกันเป็นวิธีมาตรฐานที่โรงแรม คาเฟ่ คอนโดมิเนียม และ WISP ใช้ขาย หรือจำกัดปริมาณ WiFi โดยไม่ต้องมีระบบเรียกเก็บเงินภายนอกใดๆ (Emmanuel Corels — User Manager for HotSpot voucher systems)

จุดเด่นคือความรับผิดชอบตรวจสอบได้โดยที่ผู้ใช้งานไม่ต้องตั้งค่าอะไรเลย เพราะ voucher แต่ละใบเป็นข้อมูลรับรองเฉพาะตัว ผู้ใช้งานหนึ่งคนจึงไม่สามารถแชร์โค้ดเดียวกันให้อุปกรณ์สิบเครื่องได้ แผนแบบเติมเงินจะหมดอายุตามกำหนดเวลา และไม่มีใครต้องไปยุ่งกับการตั้งค่าโทรศัพท์ของผู้ใช้งาน ขายโค้ด แล้วปล่อยให้เราเตอร์จัดการที่เหลือ

ขั้นตอนที่ 1 — รันตัวช่วยตั้งค่า HotSpot

เริ่มต้นที่ interface ที่จะให้บริการผู้ใช้งาน ควรเป็น bridge หรือ VLAN แยกต่างหาก ไม่ใช่เซกเมนต์เดียวกับเครือข่ายจัดการของคุณ ใน WinBox ไปที่ IP → Hotspot → Hotspot Setup เลือก interface ของผู้ใช้งาน แล้วยอมรับหรือปรับแต่งค่า address pool, DNS และ SSL ที่ระบบถาม ตัวช่วยจะสร้าง DHCP server, กฎ NAT และ captive portal ให้ในขั้นตอนเดียว โดยทั่วไปใช้เวลาเพียงไม่กี่นาที (madankc — MikroTik Hotspot Setup Step by Step)

ผลลัพธ์ของตัวช่วยคือ HotSpot server ที่ผูกกับ interface พร้อม server profile ที่ควบคุมวิธีที่ผู้ใช้งานยืนยันตัวตน ทดสอบทันที เชื่อมต่อโทรศัพท์เข้ากับเครือข่ายผู้ใช้งานแล้วตรวจสอบว่าหน้าล็อกอินปรากฏขึ้น หาก portal ไม่โหลด ให้ไล่ตามรายการแก้ปัญหาของเราสำหรับ HotSpot gateway 10.5.50.1 ก่อนเพิ่มระบบ voucher เข้าไป

ขั้นตอนที่ 2 — เปิดใช้งาน User Manager เป็น RADIUS backend

ผู้ใช้งาน HotSpot แบบ local เหมาะสำหรับบัญชีจำนวนไม่กี่บัญชี แต่ระบบ voucher ต้องใช้ User Manager ติดตั้งแพ็กเกจ user-manager สำหรับ RouterOS v7 เวอร์ชันของคุณ รีบูต แล้วเปิดใช้งานด้วย /user-manager set enabled=yes ลงทะเบียนตัวเราเตอร์เองเป็น RADIUS client ด้วย /user-manager router add name=local address=127.0.0.1 shared-secret=<secret> และตั้งค่าให้สอดคล้องกันในฝั่ง RADIUS ด้วย /radius add service=hotspot address=127.0.0.1 secret=<secret> (MikroTik Documentation — User Manager)

สุดท้าย แก้ไข HotSpot server profile แล้วเปิดใช้งาน use-radius=yes เพื่อให้ portal ส่งต่อการล็อกอินไปยัง User Manager แทนรายชื่อผู้ใช้แบบ local จากจุดนี้เป็นต้นไป ทุกโค้ดที่ผู้ใช้งานกรอกจะถูกตรวจสอบโดย RADIUS ซึ่งเป็นสถาปัตยกรรมเดียวกับที่ ISP ใช้สำหรับการยืนยันตัวตนสมาชิก PPPoE เพียงแต่เปลี่ยนเป้าหมายมาที่ผู้ใช้งาน WiFi

ขั้นตอนที่ 3 — สร้างแผน: limitation และ profile

แผนที่ขายใน User Manager ประกอบด้วยสองส่วน limitation กำหนดว่าผู้ใช้งานจะได้รับอะไร เช่น rate-limit สำหรับความเร็ว download-limit และ upload-limit สำหรับปริมาณข้อมูล uptime-limit สำหรับเวลาการเชื่อมต่อ ส่วน profile ห่อหุ้ม limitation หนึ่งรายการหรือมากกว่า และเพิ่มระยะเวลาใช้งาน คือ voucher จะมีอายุนานเท่าไรหลังใช้งานครั้งแรก สร้าง profile หนึ่งรายการต่อหนึ่งสินค้า เช่น “ฟรี 1 ชั่วโมง”, “24 ชม. — 10 Mbps”, “รายสัปดาห์ — 5 GB” (MikroTik Documentation — User Manager)

กำหนดแผนเพียงครั้งเดียวและอย่าปล่อยให้แต่ละสาขาแก้ไขเองตามใจชอบ เพราะเมื่อผู้ดูแลแต่ละสาขาแก้ไข limitation ด้วยมือ voucher “24 ชม.” เดียวกันจะมีความหมายต่างกันไปในแต่ละสถานที่โดยไม่รู้ตัว ซึ่งเป็นความคลาดเคลื่อนที่มักปรากฏให้เห็นในรูปรีวิวหนึ่งดาวเท่านั้น การรักษา profile ให้เหมือนกันในทุกเราเตอร์คือปัญหาระดับฟลีตที่การตรวจสอบและประวัติการตั้งค่าของ MKController แก้ได้โดยตรง ดูว่าอะไรเปลี่ยนไป ที่ไหน แล้วส่ง profile ที่ถูกต้องไปยังทุกสาขาพร้อมกันในคลิกเดียว

ขั้นตอนที่ 4 — สร้างผู้ใช้เป็นชุดและพิมพ์ voucher

ถึงเวลาผลิตสินค้า สร้างผู้ใช้จำนวนมากพร้อมกันแล้วผูก profile ของแผนเข้าไป ผู้ใช้แต่ละคนคือ voucher หนึ่งโค้ด จากนั้นสร้างบัตรสำหรับพิมพ์ด้วยคำสั่ง generate-voucher โดยชี้ไปที่ user ID หรือคำสั่ง find User Manager จะเติมเทมเพลต voucher ด้วยโค้ด แผน และวันหมดอายุ พร้อมพิมพ์และขายที่เคาน์เตอร์ได้ทันที (MikroTik Documentation — User Manager)

บนเราเตอร์เครื่องเดียว งานนี้เป็นงานวันศุกร์ที่ทำได้อย่างสบายใจ แต่ในสิบกว่าสาขา มันกลายเป็นวงจรของเซสชัน Winbox ที่ต้องสร้างสต็อก ตรวจว่าอะไรขายไปแล้ว ปิดโค้ดที่รั่วไหล ซึ่งเป็นเหตุผลที่ผู้ให้บริการหันไปใช้เครื่องมือ local อย่าง Mikhmon หรือย้ายขึ้นคลาวด์ด้วยระบบจัดการ voucher และ HotSpot ของ MKController เพื่อสร้าง ติดตาม และเพิกถอน voucher ของทุกสาขาจากแผงควบคุมเดียว บทความเปรียบเทียบ Mikhmon กับ MKController ของเราอธิบายข้อแลกเปลี่ยนนี้อย่างละเอียด

ขั้นตอนที่ 5 — ล็อกดาวน์เครือข่ายสำหรับผู้ใช้งาน

captive portal คือประตูสาธารณะบนเราเตอร์ของคุณ จึงต้องปฏิบัติกับมันแบบนั้น เพิ่มกฎไฟร์วอลล์ที่บล็อกซับเน็ต HotSpot ไม่ให้เข้าถึง LAN ของคุณ และที่สำคัญที่สุดคือบล็อกไม่ให้เข้าถึงบริการจัดการของเราเตอร์เอง เช่น Winbox, API, WebFig, SSH จากฝั่งผู้ใช้งาน รักษา walled garden ให้น้อยที่สุดเท่าที่จำเป็น เพราะทุกโฮสต์ที่คุณอนุญาตไว้สามารถเข้าถึงได้โดยไม่ต้องมี voucher

ผู้ใช้งานคือคนแปลกหน้าโดยนิยาม และอุปกรณ์ของผู้ใช้งานที่ถูกเจาะระบบอยู่ห่างจากเราเตอร์ของคุณเพียงหนึ่งฮอป เครือข่าย voucher ที่สามารถย้อนกลับไปถึงการตั้งค่าที่สร้างมันขึ้นมาได้ ก็เท่ากับเป็นคำเชิญให้ถูกโจมตี

ขั้นตอนที่ 6 — ใช้งาน voucher ในทุกสาขาพร้อมกัน

นี่คือสิ่งที่บทช่วยสอนแบบเราเตอร์เดียวมักข้ามไป สาขาที่ใช้ LTE หรือ Starlink อยู่หลัง Carrier-Grade NAT ไม่มี IP สาธารณะ ดังนั้นเมื่อ portal ของสาขานั้นทำงานผิดปกติ คุณจะเชื่อมต่อเข้าไปแก้ไขโดยตรงไม่ได้ MKController ทำให้เราเตอร์แต่ละเครื่องเข้าถึงได้ผ่าน tunnel ขาออกที่ปลอดภัย โดยไม่ต้องทำ port forwarding หรือมี IP สาธารณะ ตามที่กล่าวไว้ในคู่มือการจัดการ MikroTik ระยะไกลเบื้องหลัง CGNAT ของเรา พร้อมทั้งสำรองข้อมูลอัตโนมัติและระบบ telemetry ที่แจ้งเตือน portal ที่ล่มก่อนที่พนักงานหน้าเคาน์เตอร์จะเริ่มรับเรื่องร้องเรียน

ตรวจสอบแต่ละสาขาด้วยวิธีเดียวกัน เชื่อมต่อในฐานะผู้ใช้งาน ใช้ voucher ทดสอบหนึ่งใบ แล้วยืนยันว่าความเร็วและวันหมดอายุตรงกับแผนที่กำหนดไว้

เคล็ดลับ

• ตั้งชื่อผู้ใช้ voucher ให้สั้นและไม่กำกวม หลีกเลี่ยง 0/O และ 1/l/I เพราะผู้ใช้งานต้องพิมพ์บนคีย์บอร์ดโทรศัพท์
• ตั้งค่าระยะเวลาใช้งานของ profile ให้นับจาก การล็อกอินครั้งแรก ไม่ใช่วันที่สร้าง เพื่อไม่ให้สต็อกที่พิมพ์ไว้หมดอายุในลิ้นชัก
• อย่าขายจากชุดสุดท้ายที่มีอยู่ ให้สร้างสต็อกล่วงหน้าก่อนความต้องการ และปิดใช้งานโค้ดที่ยังไม่ขายจากชุดใดก็ตามที่รั่วไหล
• จับตาดูหน่วยความจำของเราเตอร์เมื่อฐานข้อมูลผู้ใช้มีขนาดใหญ่ เพราะ User Manager เก็บข้อมูลการใช้งานไว้บนอุปกรณ์เอง

ขาย WiFi ไม่ใช่ตั๋วซัพพอร์ต

HotSpot แบบ voucher บน MikroTik เครื่องเดียวคือโปรเจกต์ที่ทำเสร็จได้ในบ่ายเดียว แต่การรันมันเป็นธุรกิจในหลายสาขา ด้วยแผนที่เหมือนกันทุกเราเตอร์ สต็อก voucher ที่สร้างและเพิกถอนได้จากศูนย์กลาง portal ที่เข้าถึงได้แม้อยู่หลัง CGNAT และมีการสำรองข้อมูลก่อนทุกการเปลี่ยนแปลง คือจุดที่ผู้ให้บริการต้องเลือกระหว่างเสียเวลาทุกค่ำคืนหรือรวมศูนย์การจัดการ MKController มอบแผงควบคุมนั้นให้คุณ การจัดการ HotSpot และ voucher ทั้งฟลีต การเข้าถึงระยะไกลผ่าน tunnel ขาออกที่ปลอดภัยโดยไม่ต้องมี IP สาธารณะ ประวัติการตั้งค่าพร้อมกู้คืนได้ในคลิกเดียว และระบบมอนิเตอร์ที่เปิดตั๋วแจ้งปัญหาก่อนที่ผู้ใช้งานจะสังเกตเห็นว่า WiFi ล่ม ผู้ให้บริการที่รัน WiFi แบบเสียเงินบน MikroTik ใช้เครื่องมือนี้เพื่อทำให้สิบสาขาง่ายเหมือนสาขาเดียว

เริ่มทดลองใช้ MKController ฟรี