Voucher HotSpot MikroTik với User Manager

Tóm tắt MikroTik HotSpot kết hợp với User Manager biến bất kỳ thiết bị RouterOS nào thành một hệ thống WiFi bán vé: khách vào captive portal, nhập mã đã in sẵn, và nhận đúng tốc độ, dung lượng, thời gian mà gói cước cho phép. Mọi thứ chạy ngay trên router — không cần server ngoài. Quy trình thiết lập là một chuỗi ngắn: trình hướng dẫn HotSpot, User Manager đóng vai RADIUS, gói cước, và voucher in được. Việc thực sự khó bắt đầu khi bạn vận hành trên nhiều hơn một địa điểm; bài này sẽ nói về cả hai.

Voucher HotSpot MikroTik Là Gì?

Voucher HotSpot MikroTik là một thông tin đăng nhập dùng một lần — thường là thẻ in kèm mã — mà khách nhập vào captive portal của router để lên mạng với tốc độ, hạn mức dữ liệu và thời hạn đã định trước. Phần portal do RouterOS HotSpot đảm nhiệm; phần thông tin đăng nhập thuộc về User Manager, RADIUS server tích hợp sẵn của MikroTik, có nhiệm vụ xác thực từng mã và áp đúng gói cước đứng sau nó (Tài liệu MikroTik — User Manager). Kết hợp lại, đây là cách chuẩn mà khách sạn, quán cà phê, chung cư và các WISP dùng để bán hoặc phân phối WiFi mà không cần bất kỳ hệ thống tính cước bên ngoài nào (Emmanuel Corels — User Manager cho hệ thống voucher HotSpot).

Điểm hấp dẫn là khả năng kiểm soát trách nhiệm mà không cần cấu hình gì phía khách: mỗi voucher là một thông tin đăng nhập riêng biệt, nên một khách không thể chia sẻ một mã cho mười thiết bị, một gói trả trước sẽ tự hết hạn đúng lịch, và không ai phải đụng vào cài đặt điện thoại của khách. Bán mã, và router sẽ lo phần còn lại.

Bước 1 — Chạy trình hướng dẫn thiết lập HotSpot

Bắt đầu trên interface sẽ phục vụ khách — lý tưởng nhất là một bridge hoặc VLAN riêng, không bao giờ dùng chung segment với mạng quản trị của bạn. Trong WinBox, vào IP → Hotspot → Hotspot Setup, chọn interface dành cho khách, rồi chấp nhận hoặc chỉnh sửa các bước hỏi về address pool, DNS và SSL; trình hướng dẫn sẽ dựng DHCP server, rule NAT và captive portal chỉ trong một lượt, thường mất vài phút (madankc — MikroTik Hotspot Setup Step by Step).

Kết quả của trình hướng dẫn là một HotSpot server gắn với interface, cùng một server profile quyết định cách khách xác thực. Kiểm tra ngay lập tức: kết nối một điện thoại vào mạng khách và xác nhận trang đăng nhập hiện ra. Nếu portal không tải được, hãy tham khảo danh sách khắc phục cho HotSpot gateway 10.5.50.1 của chúng tôi trước khi triển khai voucher lên trên.

Bước 2 — Bật User Manager làm backend RADIUS

User HotSpot cục bộ chỉ phù hợp với vài tài khoản, nhưng voucher thì cần User Manager. Cài gói user-manager cho phiên bản RouterOS v7 của bạn, khởi động lại, rồi bật nó bằng /user-manager set enabled=yes. Đăng ký chính router như một RADIUS client — /user-manager router add name=local address=127.0.0.1 shared-secret=<secret> — và phản chiếu cấu hình đó ở phía RADIUS bằng /radius add service=hotspot address=127.0.0.1 secret=<secret> (Tài liệu MikroTik — User Manager).

Cuối cùng, chỉnh server profile của HotSpot và bật use-radius=yes để portal chuyển tiếp thông tin đăng nhập tới User Manager thay vì danh sách user cục bộ. Từ thời điểm này, mỗi mã khách nhập vào đều được RADIUS kiểm tra — cùng kiến trúc mà các ISP dùng cho xác thực thuê bao PPPoE, chỉ khác là nhắm vào khách WiFi.

Bước 3 — Tạo gói cước: giới hạn và profile

Một gói cước trong User Manager gồm hai đối tượng. Limitation (giới hạn) định nghĩa những gì khách nhận được — rate-limit cho tốc độ, download-limit và upload-limit cho hạn mức dữ liệu, uptime-limit cho thời gian kết nối. Profile gói một hoặc nhiều limitation lại và thêm thời hạn hiệu lực — voucher sống được bao lâu kể từ lần đăng nhập đầu tiên. Tạo một profile cho mỗi sản phẩm: “1 giờ miễn phí”, “24 giờ — 10 Mbps”, “1 tuần — 5 GB” (Tài liệu MikroTik — User Manager).

Định nghĩa gói cước một lần và tránh để từng site tự ý chỉnh sửa. Khi mỗi điểm bán tự tay sửa limitation, cùng một voucher “24 giờ” âm thầm mang ý nghĩa khác nhau ở mỗi địa điểm — kiểu sai lệch mà chỉ lộ ra qua một đánh giá một sao. Giữ profile đồng nhất trên toàn bộ router chính là bài toán vận hành đa site mà tính năng audit cấu hình và lịch sử thay đổi của MKController giải quyết: xem cái gì đã thay đổi, ở đâu, và đẩy profile đã sửa đúng ra toàn bộ hệ thống cùng lúc.

Bước 4 — Tạo hàng loạt user và in voucher

Giờ là lúc “đúc” sản phẩm. Tạo user theo lô và gắn profile của gói cước tương ứng — mỗi user chính là một mã voucher. Sau đó tạo thẻ in được bằng lệnh generate-voucher, trỏ nó vào một user ID hoặc một truy vấn find; User Manager sẽ điền mẫu voucher với mã, gói cước và thời hạn, sẵn sàng in ra và bán tại quầy (Tài liệu MikroTik — User Manager).

Trên một router, đây là việc làm nhẹ nhàng cho một buổi chiều thứ Sáu. Nhưng với hàng chục điểm bán, nó biến thành một vòng xoay liên tục giữa các phiên Winbox — tạo tồn kho, kiểm tra đã bán được gì, vô hiệu hóa mã bị lộ — đó là lý do các nhà vận hành gắn thêm công cụ cục bộ như Mikhmon, hoặc chuyển lên nền tảng đám mây với tính năng quản lý voucher và HotSpot của MKController để tạo, theo dõi và thu hồi voucher cho mọi site chỉ từ một bảng điều khiển. Bài so sánh Mikhmon và MKController của chúng tôi phân tích chi tiết sự đánh đổi này.

Bước 5 — Khóa chặt mạng khách

Captive portal là một cánh cửa công khai trên router của bạn, hãy đối xử với nó đúng như vậy. Thêm các rule firewall chặn subnet HotSpot tiếp cận LAN của bạn, và quan trọng nhất là chặn khách truy cập các dịch vụ quản trị của chính router — Winbox, API, WebFig, SSH. Giữ walled garden ở mức tối thiểu: mỗi host bạn cho phép truy cập tự do là một điểm có thể vào mạng mà không cần voucher.

Khách theo định nghĩa là người lạ, và một thiết bị của khách bị xâm nhập chỉ cách router của bạn đúng một bước nhảy. Một mạng voucher có thể chạm tới cấu hình đã tạo ra nó chính là một lời mời gọi tai họa.

Bước 6 — Vận hành voucher trên mọi địa điểm

Đây là phần mà các hướng dẫn một-router thường bỏ qua: điểm bán dùng LTE hoặc Starlink sau Carrier-Grade NAT không có IP công khai, nên khi portal của nó gặp trục trặc, bạn không thể đơn giản kết nối vào để xử lý. MKController giữ cho mỗi router luôn truy cập được qua một tunnel outbound an toàn — không cần port forwarding, không cần địa chỉ công khai, như đã trình bày trong hướng dẫn quản lý từ xa MikroTik sau CGNAT của chúng tôi — cùng với sao lưu tự động và telemetry cảnh báo một portal chết trước khi quầy lễ tân bắt đầu nhận khiếu nại.

Xác minh từng site theo cùng một cách: kết nối như một khách, dùng thử một voucher, xác nhận tốc độ và thời hạn khớp với gói cước.

Mẹo

• Đặt username voucher ngắn gọn và không gây nhầm lẫn — tránh 0/O và 1/l/I — vì khách phải gõ chúng trên bàn phím điện thoại.
• Đặt thời hạn hiệu lực của profile tính từ lần đăng nhập đầu tiên, không phải lúc tạo, để tồn kho đã in không hết hạn trong ngăn kéo.
• Đừng bao giờ bán từ lô cuối cùng: tạo tồn kho trước nhu cầu, và vô hiệu hóa các mã chưa bán từ bất kỳ lô nào bị rò rỉ.
• Theo dõi bộ nhớ router với cơ sở dữ liệu user lớn; User Manager lưu dữ liệu accounting ngay trên thiết bị.

Bán WiFi, không bán vé hỗ trợ

Một HotSpot dùng voucher trên một MikroTik là dự án của một buổi chiều. Vận hành nó như một hoạt động kinh doanh trên nhiều điểm bán — cùng một gói cước trên mọi router, tồn kho voucher được tạo và thu hồi tập trung, portal vẫn truy cập được kể cả sau CGNAT, sao lưu được thực hiện trước mỗi thay đổi — mới là nơi các nhà vận hành hoặc mất hết buổi tối hoặc chọn tập trung hóa. MKController mang lại cho bạn control plane đó: quản lý HotSpot và voucher trên toàn bộ hệ thống, truy cập từ xa an toàn qua kết nối outbound không cần IP công khai, lịch sử cấu hình và khôi phục chỉ với một cú click, cùng hệ thống giám sát mở ticket trước khi khách nhận ra WiFi bị lỗi. Các nhà vận hành đang bán WiFi trả phí trên MikroTik dùng nó để biến mười điểm bán dễ quản lý như một.

Bắt đầu dùng thử miễn phí MKController