MikroTik-те Wi-Fi SMS-авторизациясы: hotspot және сыртқы портал

MikroTik — қазақстандық мекемелердегі ең жиі кездесетін жабдық және сонымен бірге авторизация порталын баптағанда жиі сүрінетін жабдық. Жұмыс істейтін конфигурация мен бір кешті жейтін үш қатені талдаймыз.

Бастар алдында не қажет

Мыналарды алдын ала дайындаңыз, әйтпесе баптау жартысында тоқтайды:

• Маршрутизаторға кіру — Winbox немесе WebFig арқылы, конфигурацияны өзгерту құқығымен
• RouterOS нұсқасы. Hotspot барлық өзекті тармақтарда бар, бірақ 6.x пен 7.x диалогтары әртүрлі — ескі нұсқаулықтардың скриншоттарына емес, экранда көріп тұрғаныңызға сүйеніңіз
• Авторизация серверінің мекенжайы және ортақ RADIUS құпия кілті — портал қосылғанда беріледі
• Walled garden үшін мекенжайлар тізімі: порталдың өзі және SMS-шлюз
• Тексеруге арналған телефон, мобильді интернетін өшіруге болатын. LTE қосулы тұрса, ұстап қалу жұмыс істеп тұрғанын көрмейсіз

Қашықтан баптау туралы бөлек ескерту. Hotspot интерфейсте көтеріледі, интерфейсті қате таңдасаңыз, маршрутизаторға өз кіруіңізді үзіп алуыңыз мүмкін. Қонақ көпіріне кірмейтін порт арқылы жұмыс істеңіз.

Не құрастырамыз

Қонақ қонақ SSID-іне қосылады, мекенжай алады, кіру бетін көреді, телефон нөмірін енгізеді, SMS-код алады және интернетке шығады. Сессия журналға жазылады. Авторизацияға дейінгі трафикті RouterOS hotspot ұстайды, нөмірді растау мен журнал — сыртқы серверде.

1-қадам. Қонақ көпірі және мекенжайлау

/interface bridge add name=bridge-guest
/ip address add address=10.50.0.1/24 interface=bridge-guest
/ip pool add name=guest-pool ranges=10.50.0.10-10.50.0.254
/ip dhcp-server add name=guest-dhcp interface=bridge-guest address-pool=guest-pool disabled=no
/ip dhcp-server network add address=10.50.0.0/24 gateway=10.50.0.1 dns-server=10.50.0.1

Қонақ SSID-ін осы көпірге қосамыз, жұмыс SSID-ін қоспаймыз. Бөлудің неге маңызды екені қонақ желісін оқшаулау материалында.

2-қадам. Hotspot

/ip hotspot setup

Шебер интерфейсті (bridge-guest), желіні, пулды, сертификатты және порталдың DNS атауын сұрайды. Содан кейін профильді сыртқы авторизацияға ауыстырамыз:

/ip hotspot profile set [find name=hsprof1] \
    use-radius=yes \
    login-by=http-chap,http-pap \
    html-directory=hotspot

3-қадам. RADIUS

/radius add service=hotspot \
    address=<сервер-мекенжайы> \
    secret=<ортақ-құпия> \
    timeout=3s
/radius incoming set accept=yes
/ip hotspot profile set [find name=hsprof1] radius-interim-update=5m

radius-interim-update роутердің тірі сессия туралы қаншалықты жиі хабарлайтынын белгілейді. Онсыз ұзақ сессия журналға қонақ ажыратылғанда ғана түседі.

4-қадам. Walled garden — «портал ашылмайды» дегеннің басты себебі

/ip hotspot walled-garden add dst-host=*.thelink.kz action=allow
/ip hotspot walled-garden ip add dst-address=<сервер-мекенжайы> action=accept

SMS-шлюз домендерін де рұқсат етіңіз, егер олар сценарийге қатысса.

Бәрі жұмыс істеп тұрғанына қалай көз жеткізу керек

Тексеру бес минут алады және кейінгі сұрақтардың көбін жабады:

1. Мобильді деректерді өшіріп, телефоннан қонақ SSID-ге қосылыңыз
2. Кез келген сайтты http арқылы ашыңыз. Кіру беті шығуға тиіс. https арқылы ұстап қалу жұмыс істемейді, сонда жұмыс істеп тұрған баптау бұзылған болып көрінеді
3. Код алыңыз, кіріңіз және интернеттің ашылғанына көз жеткізіңіз
4. Сеансты қосылымдар журналынан табыңыз: онда нөмір, кіру уақыты және құрылғының MAC-мекенжайы болуға тиіс
5. Сол телефоннан касса немесе камера мекенжайын ашып көріңіз. Ашылмауға тиіс — қонақ сегменті оқшауланған

Соңғы тармақты жиі өткізіп жібереді, ал ол ыңғайлылықты емес, қауіпсіздікті тексеретін жалғыз тармақ.

Бір кешті жейтін үш қате

• DNS рұқсат етілмеген. Hotspot DNS-ті өзі ұстайды, бірақ DHCP қонаққа сыртқы резолвер берсе және 53-порт сүзгіленсе, ауыстыру жұмыс істемейді. DNS ретінде роутердің өзін беріңіз
• HTTPS қайта бағыттау. Қорғалған қосылымды сертификат туралы ескертусіз ұстау мүмкін емес. Тексеруді http-бетпен жасаңыз
• Сессиялар жазылмайды. Авторизация бар, accounting өшірулі — сұрау келгенде көрсететін ештеңе жоқ. Журналда не болуы керегі логтарды сақтау материалында

Журналға не түседі

Кіргеннен кейін әр сеанс бойынша телефон нөмірі, басталу мен аяқталу уақыты, құрылғының MAC-мекенжайы және қолжетімділік нүктесі сақталады. Бұл — тексерушінің «пәлен уақытта желіде кім болды» деген сұрағына жауап беретін ең аз жиын. Журнал жеке кабинеттен жүктеледі, ол үшін маршрутизаторда бөлек команда қажет емес.

Маршрутизатордың өзі ештеңе сақтамайды: логтар портал жағында тұрады. Жабдықты ауыстырғанда бұл маңызды — тарих темірмен бірге кетпейді. Қандай өрістерді және қанша мерзімге сақтаған жөн екені Wi-Fi логтарын сақтау туралы материалда талданған.

Әрі қарай

Талаптың өзі заң және тексерулер туралы бетте сипатталған. SMS қымбатқа түссе, оны Aitu Passport пен салыстырыңыз. Дәмханалар үшін әдетте осы баптау жеткілікті, қонақүйлерде бөлме нөміріне байланыстыру қосылады.