MikroTik HotSpot 网关为公共网络提供客户端认证，具备 DHCP 地址池、多种认证方式以及 walled-garden 访问等功能。它需要 IPv4，并存在特定的路由限制，下文提供了配置示例。

HotSpot - Captive portal

MikroTik HotSpot 网关在客户端访问公共网络之前对其进行认证。

警告

HotSpot（captive portal）使用 web-proxy，目前只能使用默认路由表；由于会使用多个路由表，因此 PCC（per connection-classifier）并不是一种有效的方法。 警告

HotSpot 功能可能会被 device-mode 阻止。在配置 HotSpot 之前，请确保已在 /system/device-mode 中启用它（更多信息。

HotSpot 属性

HotSpot 网关功能

• 使用路由器上的本地客户端数据库或远程 RADIUS 服务器，对客户端采用不同的认证方式。
• 在路由器上的本地数据库或远程 RADIUS 服务器上进行用户计费（accounting）。
• walled-garden 系统，无需授权即可访问某些网页。
• 登录页面修改，可在其中放置公司信息。
• 自动且透明地将客户端的任意 IP 地址更改为有效地址。
• HotSpot 可以告知 DHCP 客户端它们位于 captive portal 之后（RFC7710）。

只有在使用 IPv4 时，HotSpot 才能可靠工作。HotSpot 依赖防火墙 NAT 规则，而目前 IPv6 不支持这些规则。

示例

[admin@MikroTik] /ip/hotspot> setup 
Select interface to run HotSpot on 

hotspot interface: ether3
Set HotSpot address for interface 

local address of network: 10.5.50.1/24
masquerade network: yes
Set pool for HotSpot addresses 

address pool of network: 10.5.50.2-10.5.50.254
Select hotspot SSL certificate 

select certificate: none
Select SMTP server 

ip address of smtp server: 0.0.0.0
Setup DNS configuration 

dns servers: 10.1.101.1
DNS name of local hotspot server 

dns name: myhotspot
Create local hotspot user 

name of local hotspot user: admin
password for the user: 
[admin@MikroTik] /ip/hotspot>

验证 HotSpot 配置

[admin@MikroTik] /ip/hotspot> print 
Flags: X - disabled, I - invalid, S - HTTPS 
# NAME INTERFACE ADDRESS-POOL PROFILE IDLE-TIMEOUT
0 hotspot1 ether3 hs-pool-3 hsprof1 5m 
[admin@MikroTik] /ip/hotspot> 
[admin@MikroTik] /ip/pool> print 
# NAME RANGES 
0 hs-pool-3 10.5.50.2-10.5.50.254 
[admin@MikroTik] /ip/pool> /ip/dhcp-server 
[admin@MikroTik] /ip/dhcp-server> print 
Flags: X - disabled, I - invalid 
# NAME INTERFACE RELAY ADDRESS-POOL LEASE-TIME ADD-ARP
0 dhcp1 ether3 hs-pool-3 1h 
[admin@MikroTik] /ip/dhcp-server> /ip/firewall/nat 
[admin@MikroTik] /ip/firewall/nat> print 
Flags: X - disabled, I - invalid, D - dynamic 
0 X ;;; place hotspot rules here
chain=unused-hs-chain action=passthrough 

1 ;;; masquerade hotspot network
chain=srcnat action=masquerade src-address=10.5.50.0/24 
[admin@MikroTik] /ip/firewall/nat> 

设置过程中询问的参数

HotSpot

Sub-menu: /ip/hotspot

该菜单用于管理路由器的 HotSpot 服务器。可以在 Ethernet、无线、VLAN 和网桥接口上运行 HotSpot。每个接口只允许运行一个 HotSpot 服务器。当在网桥接口上配置 HotSpot 时，应将 HotSpot 接口设置为网桥接口，而不是网桥端口，不要将公共接口添加到网桥端口。你可以手动向 /ip/hotspot 菜单添加 HotSpot 服务器，但建议运行 /ip/hotspot/setup，它会添加所有必需的设置。

只读属性

HotSpot Profile

此子菜单包含 HotSpot 服务器配置文件的列表。同一台网关机器上可以有多个不同的 HotSpot 系统，它们被定义为 Server Profile。一个或多个接口可以归入同一个服务器配置文件。针对特定接口的服务器设置很少，大部分配置都在服务器配置文件中设置。例如，可以为每个服务器配置文件制作一套完全不同的 servlet 页面，并为认证定义不同的 RADIUS 服务器。

HotSpot 用户配置文件

Sub-menu: /ip/hotspot/user/profile

用户配置文件菜单用于设置通用的 HotSpot 客户端设置。配置文件类似于具有相同设置集（速率限制、过滤链名称等）的用户组。

HotSpot 用户

这是实际添加客户端用户名/密码信息的菜单，同时也在此配置 HotSpot 用户的其他配置选项。

只读属性

HotSpot Active

Sub-menu: /ip/hotspot/active

HotSpot active 菜单显示所有已在 HotSpot 中认证的客户端，该菜单是信息性的（只读）。除可以使用 remove 命令注销用户外，无法在此更改任何内容。

HotSpot Host

Sub-menu: /ip/hotspot/host

主机表列出所有连接到 HotSpot 服务器的计算机。主机表是信息性的，无法在此更改任何值：

HotSpot walled-garden

Walled garden 是一种允许未授权使用某些资源、但访问其他资源需要授权的系统。例如，这对于提供有关 HotSpot 服务提供商或计费方式的一些常规信息很有用。

该菜单仅管理 HTTP 和 HTTPs 协议的 Walled Garden。其他协议也可以包含在 Walled Garden 中，但这在其他位置配置（在 /ip/hotspot/walled-garden/ip 中）。

只读属性

通配符属性（dst-host 和 path）匹配完整字符串（即，如果它们设置为 "example"，则不会匹配 "example.com"）。可用的通配符有 '*'（匹配任意数量的任意字符）和 '?'（匹配任意一个字符）。这里也接受正则表达式，但如果该属性应被视为正则表达式，则应以冒号（':'）开头。为了表明给定模式之前不允许有任何符号，我们在模式开头使用 ^ 符号。为了表明给定模式之后不允许有任何符号，我们在模式末尾使用 $ 符号。

示例

若要将 walled garden 中允许绕过认证的访问限制为仅 "www.example.com/test" 而不包括 "www.example.com/test/test.php"：

/ip/hotspot/walled-garden
add dst-host=:^www.example.com path=":/test\$"

HotSpot walled-garden ip

为其他协议和不同的源/目标地址（或地址列表）绕过 HotSpot 认证。用于不同的服务（Winbox、SSH、Telnet、SIP 等）

IP 绑定

Sub-menu: /ip/hotspot/ip-binding

IP-Binding HotSpot 菜单允许设置静态一对一 NAT 转换，允许特定 HotSpot 客户端无需任何认证即可绕过，还允许从 HotSpot 网络阻止特定主机和子网

Cookie

该菜单包含所有发送给 HotSpot 客户端的 cookie，这些客户端通过 cookie 方法获得授权。所有条目均为只读。

Sub-menu: /ip/hotspot/cookie

MAC Cookie

MAC cookie 是一项 HotSpot 功能，旨在改善智能手机、笔记本电脑和其他移动设备的可访问性。

当启用 MAC cookie 功能（在用户配置文件中设置 login-by=mac-cookie、add-mac-cookie=yes）时，会执行以下操作：

• 首次成功登录。如果只有一个具有该 MAC 的主机，mac cookie 会记录该 MAC 地址的用户名和密码。Cookie 超时设置为等于 mac-cookie-timeout 的值。
• 出现新主机。HotSpot 检查该 MAC 地址是否存在 mac cookie 记录，并使用记录的用户名和密码登录该主机。如果存在多个具有相同 MAC 地址的主机，则不会登录该用户，并且会删除该地址的 MAC cookie 记录。

当用户注销时，mac cookie 会在以下情况下被移除：

• user-request - 用户点击了注销按钮。
• admin-reset - 从 RADIUS 服务器断开连接，或用户从 HotSpot active 菜单中被移除。
• nas-request - 达到流量限制。
• session-timeout。

要调试 mac-cookie 的问题，你需要启用 HotSpot 调试日志，并查找某个主机 mac-cookie 登录失败的原因。

服务器移除 mac cookie 的原因

• /ip/hotspot/cookie/remove [number]。
• RADIUS 服务器发送 Disconnect-Request。
• 最终用户通过 HotSpot 状态页面自行注销。
• 最终用户已达到其数据上限（"traffic limit reached"）。
• Session-Timeout。
• 如果 mac-cookie 登录失败。
• 如果服务器检测到主机表中存在多个具有相同 mac-address 的条目。

HotSpot API JSON 的属性（RFC 7710）

根据文档中提供的 api.json 模板，以下是用于向客户端设备传达 captive portal 状态的各属性说明：

• captive：一个布尔值（true 或 false），用于告知客户端设备它当前是否受 captive portal 限制。如果用户已经过认证，则返回 false。
• user-portal-url：用户可用来访问登录页面或管理其当前会话的特定 URL。在 MikroTik RouterOS 中，该值由 $(link-login-only) 变量动态填充。
• seconds-remaining：（可选）一个整数，表示当前会话过期之前剩余的秒数。仅在配置了会话超时时才会包含该项。
• bytes-remaining：（可选）一个整数，表示用户可用的剩余数据配额（字节）。仅在为 HotSpot 用户应用了数据限制时才会包含该项。
• can-extend-session：一个布尔值，表示用户是否有能力延长其当前会话，或通过门户购买/请求更多时间/数据。

在 HotSpot 服务器上使用 mangle 进行负载均衡

在多上行链路 HotSpot 设置中（例如 PCC），默认路由可能经常无法按预期工作，因为路由器会优先处理 mangle 规则，而不是本地目的地检查。

要解决此问题，请确保发往 HotSpot 服务器的流量在评估 mangle 链之前先通过 local 表路由。你可以通过以下方式实现：

1. 调整 "/routing/settings"（路由表查找。
2. 或者，添加特定的 "/routing/rule" 条目，以强制 HotSpot 服务器的流量优先使用 local 表（包括用于检测 HotSpot 服务器的 HTTP 80 流量）。