HotSpot یکی از قدیمی‌ترین اما همچنان کاربردی‌ترین قابلیت‌های MikroTik RouterOS برای کنترل دسترسی کاربران به اینترنت است. با استفاده از HotSpot می‌توان کاری کرد که Client پس از اتصال به شبکه، قبل از دسترسی کامل به اینترنت به یک صفحه Login هدایت شود و تنها پس از Authentication اجازه استفاده از شبکه را دریافت کند.

سناریوی معمول به این شکل است:

Internet
 │
 ↓
MikroTik
 │
HotSpot Gateway
 │
 ├── DHCP
 ├── Captive Portal
 ├── Authentication
 ├── Rate Limit
 ├── Session Control
 └── Accounting
 │
 ↓
 Wi-Fi / LAN Users

HotSpot فقط مخصوص شبکه Wi-Fi نیست. RouterOS اجازه می‌دهد HotSpot روی Interfaceهای مختلف از جمله:

  • Ethernet
  • Wireless
  • Bridge
  • VLAN

راه‌اندازی شود.

در شبکه‌های سازمانی معمولاً بهتر است HotSpot روی یک VLAN یا Segment اختصاصی کاربران Guest اجرا شود تا شبکه کاربران احراز هویت‌شده از Management، Serverها و سایر VLANهای داخلی جدا باقی بماند.

محدودیت مهم: HotSpot فعلی RouterOS برای IPv4 طراحی شده است. این قابلیت به Firewall NAT وابسته است و مستند MikroTik اعلام می‌کند HotSpot فقط هنگام استفاده از IPv4 به‌صورت قابل‌اعتماد کار می‌کند.

HotSpot در MikroTik چیست؟

HotSpot Gateway یک سیستم کنترل دسترسی در RouterOS است که Client را قبل از دسترسی به شبکه عمومی Authenticate می‌کند.

به‌صورت ساده:

User connects
 ↓
Receives IP
 ↓
Internet request
 ↓
Captive Portal
 ↓
Login
 ↓
Authentication
 ↓
Internet Access

RouterOS می‌تواند Authentication را از دو منبع انجام دهد:

  • Local User Database خود Router
  • RADIUS Server خارجی

همچنین Accounting کاربران می‌تواند روی خود Router یا از طریق RADIUS انجام شود.

بنابراین Administrator می‌تواند بداند:

  • چه کسی Login کرده است.
  • از چه IP و MAC Address استفاده می‌کند.
  • چه مدت Online بوده است.
  • چه مقدار Traffic مصرف کرده است.
  • چه Profile و محدودیتی دارد.

HotSpot برای چه شبکه‌هایی کاربرد دارد؟

HotSpot در محیط‌هایی مانند موارد زیر کاربرد زیادی دارد:

  • هتل
  • رستوران و کافه
  • مدرسه و دانشگاه
  • نمایشگاه
  • Guest Wi-Fi شرکت‌ها
  • فروشگاه و مرکز تجاری
  • خوابگاه
  • شبکه عمومی
  • ISP کوچک
  • فضای Coworking

مثلاً در یک شرکت:

Corporate LAN
VLAN 10
 │
 └── No HotSpot

Guest Wi-Fi
VLAN 50
 │
 └── MikroTik HotSpot
 │
 ├── Login
 ├── Rate Limit
 └── Internet Only

این معماری نسبت به اجرای HotSpot روی کل LAN سازمان بسیار منطقی‌تر است.

محدودیت‌های مهم HotSpot در RouterOS

HotSpot عملاً IPv4 است

HotSpot برای عملکرد خود به NAT Rules متکی است و NAT مربوط به HotSpot در IPv6 پشتیبانی نمی‌شود.

در نتیجه اگر Client هم IPv4 و هم IPv6 داشته باشد، باید طراحی شبکه به‌گونه‌ای باشد که IPv6 باعث دورزدن Captive Portal نشود.

برای یک Guest Network مبتنی بر HotSpot، معمولاً IPv6 باید جداگانه طراحی و از نظر Access Policy بررسی شود.

HotSpot فقط از Default Routing Table استفاده می‌کند

این نکته برای Routerهایی که چند اینترنت دارند بسیار مهم است.

ساختارهایی مانند:

PCC
+
Multiple Routing Tables
+
HotSpot

ممکن است بدون طراحی مناسب درست کار نکنند.

HotSpot از Web Proxy داخلی استفاده می‌کند و Traffic مربوط به Captive Portal باید از مسیر Local/Default Table به‌درستی Resolve شود.

یک HotSpot Server برای هر Interface

روی یک Interface فقط یک HotSpot Server قابل اجرا است.

طراحی پیشنهادی قبل از Configuration

برای شبکه Production پیشنهاد می‌شود HotSpot روی Segment اختصاصی کاربران Guest اجرا شود.

مثال:

Internet
 │
ether1
 │
MikroTik
 │
 ├── VLAN 10
 │ Management
 │
 ├── VLAN 20
 │ Staff
 │
 └── VLAN 50
 Guest HotSpot
 │
 ├── cAP
 ├── hAP
 └── Guest Clients

در ادامه برای ساده‌ترشدن آموزش فرض می‌کنیم Interface موردنظر:

vlan50-hotspot

است و شبکه:

10.50.0.0/24

برای HotSpot در نظر گرفته شده است.

اگر فقط برای Lab تمرین می‌کنید، می‌توانید به‌جای VLAN یک Ethernet Port یا Bridge جداگانه انتخاب کنید.

مرحله اول؛ بررسی Device Mode

در RouterOSهای جدید قابلیت HotSpot ممکن است توسط Device Mode محدود شده باشد.

ابتدا اجرا کنید:

/system/device-mode/print

به مقدار زیر توجه کنید:

hotspot: yes

اگر:

hotspot: no

بود، می‌توان درخواست فعال‌سازی را با دستور زیر ثبت کرد:

/system/device-mode/update hotspot=yes

تغییر Device Mode نیازمند تأیید فیزیکی است.

RouterOS از Administrator می‌خواهد در بازه تعیین‌شده:

  • دکمه Reset/Mode مناسب را فشار دهد؛
  • یا در دستگاه‌های مربوطه Power Cycle فیزیکی انجام دهد.

Reboot نرم‌افزاری تأیید Device Mode نیست. تغییرات Device Mode عمداً به تأیید فیزیکی نیاز دارند تا مهاجمی که فقط دسترسی Remote گرفته نتواند قابلیت‌های محدودشده را فعال کند.

مرحله دوم؛ اجرای HotSpot Setup

مستند MikroTik استفاده از Wizard داخلی RouterOS را برای ساخت اولیه HotSpot توصیه می‌کند:

/ip/hotspot/setup

پس از اجرای دستور، RouterOS چند سؤال می‌پرسد.

برای سناریوی ما:

[admin@MikroTik] > /ip/hotspot/setup

Select interface to run HotSpot on

hotspot interface:
vlan50-hotspot

HotSpot Gateway Address

local address of network:
10.50.0.1/24

این Address به Gateway شبکه HotSpot تبدیل می‌شود.

Masquerade

masquerade network:
yes

اگر Yes انتخاب شود، Wizard یک NAT Masquerade Rule برای شبکه HotSpot ایجاد می‌کند.

Address Pool

address pool of network:
10.50.0.10-10.50.0.250

این Pool برای Clientها استفاده خواهد شد.

SSL Certificate

برای Lab می‌توان:

select certificate:
none

انتخاب کرد.

اما برای Production بهتر است Certificate معتبر با DNS Name صحیح استفاده شود؛ در ادامه توضیح می‌دهیم.

SMTP Server

ip address of smtp server:
0.0.0.0

در بیشتر سناریوهای امروزی نیازی به SMTP Redirect نیست.

DNS Server

مثلاً:

dns servers:
10.50.0.1

یا DNSهای موردنظر شبکه.

DNS Name

برای Production یک FQDN واقعی انتخاب کنید:

login.example.com

DNS Name در URL صفحه Login استفاده می‌شود.

HotSpot User اولیه

name of local hotspot user:
testuser

password:
StrongPassword

Wizard در پایان HotSpot Server، Pool، DHCP و تنظیمات لازم را ایجاد می‌کند.

Wizard دقیقاً چه چیزهایی می‌سازد؟

HotSpot Setup معمولاً بخش‌هایی مانند:

  • IP Address
  • IP Pool
  • DHCP Server
  • HotSpot Server
  • HotSpot Server Profile
  • NAT Masquerade
  • DNS مرتبط
  • User اولیه

را ایجاد یا تنظیم می‌کند.

به همین دلیل برای راه‌اندازی اولیه معمولاً Wizard نسبت به ساخت دستی همه اجزا خطای کمتری ایجاد می‌کند.

مرحله سوم؛ بررسی Configuration ساخته‌شده

HotSpot Server

/ip/hotspot/print detail

IP Pool

/ip/pool/print

DHCP Server

/ip/dhcp-server/print detail

NAT

/ip/firewall/nat/print

باید Masquerade مربوط به Subnet HotSpot دیده شود.

Server Profile

/ip/hotspot/profile/print detail

Users

/ip/hotspot/user/print detail

راه‌اندازی HotSpot در WinBox

اگر از WinBox استفاده می‌کنید:

IP
↓
Hotspot
↓
Hotspot Setup

مراحل Wizard تقریباً همان گزینه‌هایی هستند که در CLI مشاهده کردیم:

  1. انتخاب Interface
  2. تعیین HotSpot Address
  3. Address Pool
  4. SSL Certificate
  5. SMTP Server
  6. DNS Server
  7. DNS Name
  8. User اولیه

روش‌های Login در HotSpot

RouterOS چند Authentication Method ارائه می‌دهد.

مهم‌ترین گزینه‌ها:

cookie
http-chap
http-pap
https
mac
trial
mac-cookie

HTTP CHAP

Client Username و Password وارد می‌کند و CHAP Challenge/Response برای حفاظت از Password استفاده می‌شود.

HTTP PAP

Username و Password به‌صورت Plaintext در Session HTTP منتقل می‌شوند.

برای شبکه Production از HTTP PAP روی اتصال بدون TLS استفاده نکنید.

HTTPS

Login از طریق TLS انجام می‌شود.

برای استفاده صحیح باید Certificate معتبر و DNS Name هماهنگ داشته باشید.

MAC Authentication

User بدون Login Form و بر اساس MAC Address Authenticate می‌شود.

Trial

کاربر برای مدت مشخصی بدون Username/Password به اینترنت دسترسی پیدا می‌کند.

Cookie

پس از اولین Login موفق، HTTP Cookie ذخیره می‌شود و تا زمان اعتبار آن Loginهای بعدی ساده‌تر انجام می‌شوند.

MAC Cookie

RouterOS رابطه MAC Address و Credential کاربر را ثبت می‌کند و Device می‌تواند در اتصال‌های بعدی به‌صورت خودکار Authenticate شود.

راه‌اندازی HotSpot امن با HTTPS

در شبکه Production بهتر است Captive Portal دارای DNS Name واقعی و Certificate معتبر باشد.

مثلاً:

hotspot.bistoongroup.com

Certificate باید برای همین Hostname معتبر باشد.

سپس در HotSpot Profile:

/ip/hotspot/profile
set [find name="hsprof1"] \
 dns-name=hotspot.example.com \
 ssl-certificate=hotspot-cert

و Login Method می‌تواند شامل HTTPS باشد.

داشتن DNS Name و Certificate معتبر علاوه بر امنیت Login برای مکانیزم استاندارد Captive Portal Detection نیز اهمیت دارد.

چگونه صفحه Login روی گوشی خودکار باز می‌شود؟

Android، iOS، Windows و سایر سیستم‌ها معمولاً هنگام اتصال به Wi-Fi یک URL شناخته‌شده را بررسی می‌کنند.

اگر Response مورد انتظار دریافت نشود، سیستم تشخیص می‌دهد شبکه پشت Captive Portal است و Login Window نمایش می‌دهد.

RouterOS علاوه بر این مکانیزم از استاندارد مرتبط با Captive Portal Advertisement نیز استفاده می‌کند.

اگر HotSpot دارای:

  • DNS Name صحیح
  • Certificate SSL معتبر

باشد، RouterOS می‌تواند به DHCP Client اعلام کند که شبکه پشت Captive Portal قرار دارد.

Client به URLی با ساختار:

https://HOTSPOT-DNS-NAME/api

دسترسی پیدا می‌کند و اطلاعات Captive Portal را به‌صورت JSON دریافت می‌کند.

اگر HotSpot بسیار قدیمی است و قبل از RouterOS 7.3 ساخته شده، ممکن است برای این قابلیت نیاز به Reset HTML یا اضافه‌کردن فایل api.json جدید داشته باشید.

ساخت User در HotSpot

یک User ساده:

/ip/hotspot/user
add name=behdad \
 password="StrongPassword" \
 profile=default

برای مشاهده:

/ip/hotspot/user/print detail

محدودکردن User به یک MAC Address

/ip/hotspot/user
add name=user01 \
 password="StrongPassword" \
 mac-address=AA:BB:CC:DD:EE:FF

در این حالت Credential موردنظر فقط برای MAC Address مشخص در نظر گرفته می‌شود.

MAC Address یک Identity امنیتی قوی محسوب نمی‌شود و قابل Spoof است. از MAC Lock بیشتر به‌عنوان کنترل عملیاتی استفاده کنید، نه جایگزین Authentication امن.

User Profile چیست؟

به‌جای تعریف تنظیمات جداگانه برای تک‌تک Userها، می‌توان Profile ساخت.

مثلاً:

Guest-2M
Staff-10M
VIP-20M
Trial

یک Profile نمونه:

/ip/hotspot/user/profile
add name=Guest-2M \
 rate-limit=1M/2M \
 shared-users=1

در HotSpot، Rate Limit از دید Router نوشته می‌شود:

rx-rate / tx-rate

Client Upload / Client Download

بنابراین:

rate-limit=1M/2M

یعنی:

Upload = 1 Mbps
Download = 2 Mbps

وقتی User Login می‌کند، RouterOS یک Dynamic Simple Queue برای او ایجاد می‌کند.

اختصاص Profile به User

/ip/hotspot/user
add name=guest01 \
 password="guest-pass" \
 profile=Guest-2M

محدودیت زمان و حجم

HotSpot می‌تواند محدودیت را مستقیماً روی User نیز اعمال کند.

محدودیت زمان

/ip/hotspot/user
add name=guest-2h \
 password="pass" \
 limit-uptime=2h

پس از رسیدن مجموع Uptime کاربر به دو ساعت، دسترسی متوقف می‌شود.

محدودیت حجم کل

/ip/hotspot/user
add name=guest-1gb \
 password="pass" \
 limit-bytes-total=1073741824

همچنین RouterOS گزینه‌های مجزای:

limit-bytes-in
limit-bytes-out
limit-bytes-total

را دارد.

Session Timeout

اگر هدف این است که هر Session حداکثر مثلاً دو ساعت باشد، از User Profile استفاده می‌کنیم:

/ip/hotspot/user/profile
add name=Guest-Session \
 session-timeout=2h

تفاوت مهم:

limit-uptime
→ محدودیت مجموع مصرف User

session-timeout
→ محدودیت یک Session

کنترل Login هم‌زمان

پارامتر:

shared-users

تعداد Session هم‌زمان مجاز برای یک Username را مشخص می‌کند.

مثلاً:

/ip/hotspot/user/profile
set Guest-2M shared-users=1

یعنی یک Credential نباید هم‌زمان روی چند Device استفاده شود.

برای Account خانوادگی یا Multi-Device:

shared-users=3

قابل استفاده است.

MAC Cookie چیست؟

MAC Cookie برای کاهش دفعات Login، مخصوصاً روی Smartphoneها و Laptopها طراحی شده است.

برای فعال‌سازی، Server Profile باید شامل:

login-by=...,mac-cookie

باشد و User Profile نیز:

add-mac-cookie=yes

داشته باشد.

پس از Login موفق:

User
↓
Successful Login
↓
MAC Cookie
↓
Reconnect
↓
Automatic Authentication

مدت اعتبار با:

mac-cookie-timeout

کنترل می‌شود.

مقدار پیش‌فرض مستند فعلی:

3d

است.

مشکل MAC Randomization گوشی‌ها

سیستم‌عامل‌های جدید Mobile معمولاً قابلیت Private/Random MAC دارند.

اگر MAC Address یک Device تغییر کند:

Old MAC Cookie
≠
New MAC

و Login خودکار ممکن است دیگر انجام نشود.

این موضوع در طراحی HotSpotهای وابسته به MAC باید در نظر گرفته شود.

Trial Access

برای ارائه دسترسی موقت بدون Credential می‌توان روش:

trial

را فعال کرد.

مثلاً:

30 minutes access
every 1 day

با:

trial-uptime=30m/1d

قابل طراحی است.

همچنین می‌توان برای Trial Userها Profile مخصوص با Rate Limit پایین‌تر ساخت.

Walled Garden چیست؟

Walled Garden اجازه می‌دهد User قبل از Login به بعضی Resourceها دسترسی داشته باشد.

مثلاً:

Unauthenticated User
 │
 ├── Company Website ✓
 ├── Payment Portal ✓
 ├── Help Page ✓
 │
 └── General Internet ✕

برای مثال:

/ip/hotspot/walled-garden
add dst-host=www.example.com

Walled Garden اصلی HTTP/HTTPS Resourceها را مدیریت می‌کند.

برای Protocolهای دیگر از:

/ip/hotspot/walled-garden/ip

استفاده می‌شود.

برای مثال می‌توان دسترسی به Server خاص یا Service خاص را قبل از Login مجاز کرد.

Walled Garden را بیش از حد باز نکنید. Ruleهای گسترده می‌توانند عملاً امکان دورزدن هدف اصلی HotSpot را ایجاد کنند.

IP Binding چیست؟

IP Binding سه کاربرد اصلی دارد:

  • Bypass کردن Device خاص از HotSpot
  • Block کردن Device
  • One-to-One Address Translation

Bypass کردن یک Device

مثلاً Printer یا NVR نباید Login کند:

/ip/hotspot/ip-binding
add mac-address=AA:BB:CC:DD:EE:FF \
 type=bypassed

این Client بدون Authentication از HotSpot عبور می‌کند.

Block کردن Client

/ip/hotspot/ip-binding
add mac-address=AA:BB:CC:DD:EE:FF \
 type=blocked

شخصی‌سازی صفحه Login HotSpot

یکی از قابلیت‌های مهم HotSpot امکان طراحی صفحه Login اختصاصی است.

فایل‌های پیش‌فرض در Directory:

hotspot

قرار می‌گیرند.

بهتر است به‌جای ویرایش مستقیم فایل‌های اصلی، یک Copy در Directory جدید ایجاد شود:

hotspot-custom

سپس در Profile:

/ip/hotspot/profile
set [find name="hsprof1"] \
 html-directory-override=hotspot-custom

در صفحه Login می‌توان مواردی مانند:

  • نام مجموعه
  • شرایط استفاده
  • راهنمای اتصال
  • فرم Username/Password
  • Trial Access
  • اطلاعات پشتیبانی

را قرار داد.

متغیرها و ساختار داخلی فایل‌های HotSpot را بدون شناخت حذف نکنید. MikroTik توصیه می‌کند فایل‌ها با ویرایش دستی کنترل‌شده تغییر داده شوند، زیرا بعضی HTML Editorهای خودکار ممکن است Variableهای RouterOS را حذف یا خراب کنند.

صفحات مهم HotSpot

بسته به Template، فایل‌هایی مانند موارد زیر وجود دارند:

login.html
status.html
logout.html
error.html
api.json
...

فایل:

api.json

برای Captive Portal Detection مدرن اهمیت دارد.

اتصال HotSpot به RADIUS

Local User Database برای شبکه کوچک مناسب است.

اما وقتی تعداد کاربران یا HotSpot Serverها زیاد می‌شود، RADIUS معماری بهتری ارائه می‌کند.

HotSpot
 │
 │ Access-Request
 ↓
RADIUS Server
 │
 ├── Authentication
 ├── Authorization
 └── Accounting

ابتدا RADIUS Server تعریف می‌شود.

ساختار نمونه:

/radius
add service=hotspot \
 address=10.10.10.10 \
 secret="StrongRadiusSecret"

سپس روی HotSpot Profile:

/ip/hotspot/profile
set [find name="hsprof1"] \
 use-radius=yes

HotSpot می‌تواند Accounting Sessionها را نیز به RADIUS ارسال کند.

برای شبکه‌هایی با:

  • تعداد زیاد User
  • چند Router
  • Voucher
  • Accounting مرکزی
  • Policy مرکزی

استفاده از User Manager یا RADIUS Server مستقل منطقی‌تر است.

Local Users یا RADIUS؟

سناریوانتخاب مناسب‌تر
۱۰ کاربر آزمایشیLocal Users
کافه کوچکLocal / RADIUS
هتلRADIUS / User Manager
چند شعبهCentral RADIUS
Voucher و Accounting گستردهRADIUS / User Manager

مشاهده کاربران Online

برای مشاهده Userهای Authenticate شده:

/ip/hotspot/active/print detail

اطلاعاتی مانند:

  • User
  • IP Address
  • MAC Address
  • Login Method
  • Uptime
  • Idle Time
  • Session Time Left

قابل مشاهده است.

قطع Session یک User

ابتدا User را پیدا کنید:

/ip/hotspot/active/print

سپس:

/ip/hotspot/active/remove [find user="guest01"]

Host Table چیست؟

همه Deviceهایی که HotSpot مشاهده کرده، حتی اگر Authenticate نشده باشند، در:

/ip/hotspot/host/print detail

قابل مشاهده هستند.

Host Table اطلاعاتی مانند:

  • MAC Address
  • Original IP
  • Translated Address
  • Bridge Port
  • Uptime
  • Traffic Counters

را نمایش می‌دهد.

نکات امنیتی مهم HotSpot

HotSpot جای Wi-Fi Encryption نیست

این دو مفهوم متفاوت‌اند:

WPA2 / WPA3
→ Wireless Encryption

HotSpot
→ User Authentication / Portal

استفاده از Captive Portal به معنی Encrypt شدن Wireless Traffic نیست.

برای Login واقعی از HTTPS استفاده کنید

خصوصاً اگر Username/Password حساس هستند.

Management Router را از Guest Network محدود کنید

User HotSpot نباید صرفاً به دلیل قرارداشتن پشت Captive Portal بتواند WinBox، SSH یا WebFig Router را هدف قرار دهد.

Firewall باید Management Access را به VLAN یا Address List مدیریتی محدود کند.

Guest Client Isolation را فراموش نکنید

HotSpot ذاتاً به معنی Isolation میان Clientها نیست.

اگر کاربران Guest نباید یکدیگر را ببینند، Isolation باید در:

  • Wireless Configuration
  • Bridge/VLAN
  • Firewall

جداگانه طراحی شود.

Guest VLAN را از LAN سازمان جدا کنید

ساختار پیشنهادی:

Guest
 │
VLAN 50
 │
HotSpot
 │
Firewall
 ├── Internet ✓
 ├── DNS/DHCP ✓
 ├── Management ✕
 ├── Servers ✕
 └── Other VLANs ✕

آیا HotSpot Firewall کافی ایجاد می‌کند؟

HotSpot مجموعه‌ای Dynamic Rule برای عملکرد Portal ایجاد می‌کند، اما این Rules جایگزین Security Policy کامل Router نیستند.

همچنان باید:

  • Input Chain
  • Forward Chain
  • Inter-VLAN Policy
  • Management Access
  • WAN Security

به‌صورت اصولی تنظیم شوند.

HotSpot و Dual-WAN/PCC

این بخش یکی از رایج‌ترین منابع خطا است.

HotSpot فعلاً فقط با Default Routing Table کار می‌کند.

در مقابل PCC معمولاً از:

Mangle
+
Connection Mark
+
Routing Mark
+
Multiple Routing Tables

استفاده می‌کند.

بنابراین اجرای مستقیم PCC روی Traffic HotSpot می‌تواند Captive Portal را دچار اختلال کند.

نشانه‌ها ممکن است شامل:

  • بازنشدن Login Page
  • Redirect Loop
  • عدم دسترسی به DNS Name HotSpot
  • Login موفق ولی اینترنت نامعتبر

باشند.

در نسخه فعلی RouterOS، برای Multi-Uplink HotSpot باید اطمینان حاصل شود Traffic مقصد خود HotSpot Server قبل از Mangle از Local/Default Table Resolve می‌شود.

یک Configuration آماده PCC را بدون تطبیق روی Router دارای HotSpot Copy/Paste نکنید. Interaction میان Local Traffic، Mangle و Routing Table باید جداگانه بررسی شود.

صفحه HotSpot باز نمی‌شود؛ چه کنیم؟

1. Device Mode را بررسی کنید

/system/device-mode/print

باید:

hotspot: yes

باشد.

2. HotSpot Server Running است؟

/ip/hotspot/print detail

3. Client IP گرفته است؟

/ip/dhcp-server/lease/print

4. Client در Host Table دیده می‌شود؟

/ip/hotspot/host/print detail

اگر Client اصلاً در Host Table نیست، مشکل احتمالاً قبل از Authentication و در Interface/Bridge/VLAN قرار دارد.

5. DNS کار می‌کند؟

Client باید بتواند DNS Query انجام دهد.

روی Router:

/ip/dns/print

و DHCP Network را بررسی کنید.

6. یک سایت HTTP باز کنید

اگر Auto Popup باز نمی‌شود، برای تست می‌توان یک URL ساده HTTP را باز کرد تا Redirect اتفاق بیفتد.

7. HTTPS Certificate بررسی شود

Certificate اشتباه یا DNS Name نامنطبق می‌تواند Captive Portal Experience را خراب کند.

8. PCC یا Mangle فعال است؟

Routing Markها و Local Traffic را بررسی کنید.

User Login می‌کند ولی اینترنت ندارد

موارد زیر را بررسی کنید:

  • Default Route
  • NAT Masquerade
  • DNS
  • Forward Firewall
  • Routing Marks
  • WAN Connectivity

ابتدا خود Router را تست کنید:

/ping 1.1.1.1

سپس DNS:

/resolve example.com

User مدام دوباره Login می‌خواهد

موارد احتمالی:

  • Cookie غیرفعال است.
  • MAC Cookie غیرفعال است.
  • mac-cookie-timeout کوتاه است.
  • Client از Random MAC استفاده می‌کند.
  • Session Timeout کوتاه است.
  • User دستی Disconnect می‌شود.

بعضی سایت‌ها قبل از Login باز می‌شوند

Walled Garden را بررسی کنید:

/ip/hotspot/walled-garden/print detail

/ip/hotspot/walled-garden/ip/print detail

Rule گسترده یا Wildcard اشتباه ممکن است دسترسی بیشتری از مقدار موردنظر ایجاد کند.

یک Device نباید Login Page ببیند

مثلاً POS، NVR یا Printer:

/ip/hotspot/ip-binding
add mac-address=AA:BB:CC:DD:EE:FF \
 type=bypassed

Client باید فوراً Block شود

/ip/hotspot/ip-binding
add mac-address=AA:BB:CC:DD:EE:FF \
 type=blocked

چک‌لیست راه‌اندازی HotSpot در MikroTik

  1. RouterOS به نسخه مناسب و به‌روز ارتقا یافته است.
  2. Backup Configuration تهیه شده است.
  3. Guest Network از LAN اصلی جدا شده است.
  4. VLAN یا Bridge HotSpot مشخص است.
  5. Device Mode بررسی شده است.
  6. hotspot=yes فعال است.
  7. Interface صحیح در HotSpot Setup انتخاب شده است.
  8. Gateway Address مشخص است.
  9. IP Pool درست تعریف شده است.
  10. DHCP Server فعال است.
  11. DNS به Clientها داده می‌شود.
  12. Masquerade Rule وجود دارد.
  13. HotSpot Server Running است.
  14. DNS Name برای Production تعریف شده است.
  15. Certificate معتبر در صورت استفاده HTTPS نصب شده است.
  16. Login Method مناسب انتخاب شده است.
  17. HTTP PAP ناامن استفاده نشده است.
  18. User Profileها ساخته شده‌اند.
  19. Rate Limit از دید Upload/Download Client درست وارد شده است.
  20. Shared Users تنظیم شده است.
  21. Session Timeout بررسی شده است.
  22. Limit Uptime در صورت نیاز تعریف شده است.
  23. Data Limit در صورت نیاز تعریف شده است.
  24. MAC Cookie بر اساس نیاز تنظیم شده است.
  25. Random MAC Clientها در نظر گرفته شده است.
  26. Walled Garden فقط Resourceهای ضروری را Allow می‌کند.
  27. IP Binding Deviceهای Bypass شده بررسی شده است.
  28. Guestها به Management Network دسترسی ندارند.
  29. Guestها به Server VLAN دسترسی ندارند.
  30. Client Isolation در صورت نیاز فعال است.
  31. IPv6 Policy جداگانه بررسی شده است.
  32. Multi-WAN/PCC با HotSpot تست شده است.
  33. Captive Portal روی Android تست شده است.
  34. Captive Portal روی iOS تست شده است.
  35. Captive Portal روی Windows/macOS تست شده است.
  36. User Online در HotSpot Active قابل مشاهده است.
  37. Accounting و Traffic Counters بررسی شده‌اند.
  38. RADIUS در صورت نیاز فعال شده است.
  39. صفحه Login قبل از Production تست شده است.
  40. Backup نهایی تهیه شده است.

سؤالات متداول HotSpot MikroTik

HotSpot در MikroTik چیست؟

HotSpot یک Captive Portal برای Authentication کاربران قبل از دسترسی به شبکه عمومی است و امکان مدیریت User، Session، Rate Limit، Accounting و Walled Garden را فراهم می‌کند.

آیا HotSpot فقط برای Wi-Fi است؟

خیر. می‌توان آن را روی Ethernet، Wireless، Bridge یا VLAN اجرا کرد.

بهترین محل اجرای HotSpot کجاست؟

در شبکه سازمانی معمولاً یک VLAN یا Segment مجزای Guest بهترین انتخاب است.

آیا HotSpot روی IPv6 کار می‌کند؟

مستند فعلی MikroTik اعلام می‌کند HotSpot فقط با IPv4 به‌صورت قابل اعتماد کار می‌کند، زیرا به NAT Rules وابسته است و HotSpot NAT برای IPv6 پشتیبانی نمی‌شود.

آیا HotSpot با PCC کار می‌کند؟

HotSpot فقط از Default Routing Table استفاده می‌کند، در حالی که PCC معمولاً چند Routing Table ایجاد می‌کند. بنابراین PCC باید با درنظرگرفتن Local/HotSpot Traffic طراحی شود.

آیا هر Interface می‌تواند چند HotSpot Server داشته باشد؟

خیر. یک HotSpot Server در هر Interface مجاز است.

ساده‌ترین روش نصب چیست؟

/ip/hotspot/setup

Wizard رسمی RouterOS تنظیمات اصلی را ایجاد می‌کند.

چرا HotSpot غیرفعال ساخته می‌شود؟

یکی از دلایل ممکن Device Mode است. مقدار hotspot را در /system/device-mode بررسی کنید.

آیا تغییر Device Mode از راه دور انجام می‌شود؟

فرمان از راه دور قابل ثبت است، اما فعال‌شدن تغییر به تأیید فیزیکی نیاز دارد.

HotSpot Local User بهتر است یا RADIUS؟

برای تعداد کم User، Local Database ساده‌تر است. برای تعداد زیاد کاربر، چند Router، Accounting و مدیریت مرکزی، RADIUS یا User Manager انتخاب مناسب‌تری است.

چگونه سرعت User را محدود کنیم؟

در HotSpot User Profile از rate-limit استفاده می‌شود.

rate-limit=1M/2M یعنی چه؟

از دید Router، RX آپلود Client و TX دانلود Client است؛ بنابراین این مقدار تقریباً 1Mbps Upload و 2Mbps Download برای Client ایجاد می‌کند.

چگونه حجم User را محدود کنیم؟

از limit-bytes-in، limit-bytes-out یا limit-bytes-total استفاده می‌شود.

چگونه زمان دسترسی User را محدود کنیم؟

برای مجموع زمان مصرف می‌توان limit-uptime و برای مدت هر Session از session-timeout استفاده کرد.

Shared Users چیست؟

حداکثر تعداد Session هم‌زمان مجاز برای یک Username را تعیین می‌کند.

MAC Cookie چیست؟

پس از اولین Login موفق، RouterOS Credential مرتبط با MAC را ثبت کرده و می‌تواند Device را در اتصال بعدی به‌صورت خودکار Authenticate کند.

چرا MAC Cookie روی بعضی گوشی‌ها کار نمی‌کند؟

یکی از دلایل رایج استفاده سیستم‌عامل از Private/Random MAC Address است.

Trial چیست؟

امکان دسترسی محدود و موقت بدون Username و Password است.

Walled Garden چیست؟

اجازه دسترسی به بعضی URLها یا Resourceها قبل از Authentication را فراهم می‌کند.

IP Binding چه کاربردی دارد؟

برای Bypass کردن، Block کردن یا One-to-One Translation دستگاه‌های مشخص استفاده می‌شود.

چگونه Printer را از Login معاف کنیم؟

MAC یا IP آن را در IP Binding با نوع bypassed قرار دهید.

آیا HotSpot صفحه Login اختصاصی دارد؟

بله. فایل‌های HTML HotSpot قابل شخصی‌سازی هستند و می‌توان Directory سفارشی برای هر HotSpot Profile تعریف کرد.

آیا Captive Portal روی گوشی خودکار باز می‌شود؟

سیستم‌عامل‌های جدید خودشان Portal را Probe می‌کنند. همچنین RouterOS در شرایط مناسب می‌تواند اطلاعات Captive Portal را از طریق DHCP اعلام کند؛ برای عملکرد استاندارد آن DNS Name و Certificate معتبر اهمیت دارند.

آیا HotSpot خودش Wireless را رمزگذاری می‌کند؟

خیر. Captive Portal جای WPA2/WPA3 نیست. Encryption وایرلس و HotSpot Authentication دو لایه جدا هستند.

آیا Guest HotSpot به LAN دسترسی دارد؟

این موضوع به Firewall بستگی دارد. در طراحی صحیح Guest VLAN باید از Management و Server VLANها جدا شود و فقط Resourceهای ضروری و اینترنت در دسترس باشند.

چگونه کاربران Online را ببینیم؟

/ip/hotspot/active/print

چگونه یک User را Disconnect کنیم؟

/ip/hotspot/active/remove [find user="USERNAME"]

Host و Active چه تفاوتی دارند؟

Host Table تمام Deviceهای دیده‌شده توسط HotSpot را نشان می‌دهد؛ Active فقط Userهایی را نمایش می‌دهد که Authenticate شده‌اند.

آیا برای هتل و مجموعه بزرگ HotSpot مناسب است؟

بله، اما برای مقیاس بزرگ بهتر است Authentication و Accounting با RADIUS یا User Manager متمرکز شود و Access Point، VLAN، Firewall و Client Isolation نیز به‌صورت مستقل طراحی شوند.

جمع‌بندی؛ HotSpot فقط یک Login Page نیست

ساختار یک HotSpot اصولی را می‌توان این‌طور خلاصه کرد:

Guest Client
 ↓
Dedicated VLAN
 ↓
DHCP
 ↓
MikroTik HotSpot
 ↓
Captive Portal
 ↓
Authentication
 │
 ├── Local Users
 └── RADIUS / User Manager
 ↓
User Profile
 │
 ├── Rate Limit
 ├── Session Timeout
 ├── Data Limit
 └── Shared Users
 ↓
Firewall
 ↓
Internet

استفاده درست از HotSpot فقط به اجرای /ip/hotspot/setup محدود نمی‌شود. در یک شبکه Production باید VLAN کاربران، Firewall، Login Method، HTTPS Certificate، Rate Limit، Session Policy، Walled Garden، Accounting و Captive Portal Detection نیز بررسی شوند.

همچنین باید محدودیت‌های فعلی RouterOS را جدی گرفت: HotSpot اساساً یک راهکار IPv4 است و در شبکه‌های دارای PCC و چند Routing Table نیاز به طراحی دقیق‌تری دارد.

بهترین معماری این است که HotSpot را به‌عنوان یک لایه Authentication روی Guest Network مستقل ببینیم؛ نه اینکه آن را جایگزین VLAN، Firewall، WPA2/WPA3 یا طراحی امنیتی شبکه کنیم.

طراحی HotSpot و مدیریت کاربران MikroTik

برای شبکه‌های هتل، مدرسه، شرکت، فروشگاه یا محیط‌های عمومی، انتخاب Router، Access Point، ساختار VLAN، RADIUS و ظرفیت کاربران باید بر اساس تعداد Clientها و حجم واقعی Traffic انجام شود.

برای طراحی شبکه HotSpot، انتخاب تجهیزات MikroTik و استعلام قیمت و موجودی می‌توانید با تیم فنی و فروش بیستون در ارتباط باشید.