Wi-Fi e hotspot
Hotspot, CAPsMAN, client wireless e Passpoint: il Wi-Fi con MikroTik, dalla reception dell’albergo al ponte radio.
Immagine generata in locale con ComfyUI a partire da elementi scelti a caso. Come nascono le immagini
MikroTik in Wi-Fi station e bridge: perché dietro non passa niente (e come si risolve)
Un MikroTik collegato come client al Wi-Fi di un altro access point, con una telecamera dietro: perché in modalità station non funziona, come si risolve con station-pseudobridge e perché il vecchio trucco del bridge NAT si rompe.
DojoHotspot e PPPoE MikroTik: il nome utente in ogni riga di log
Il log delle connessioni di un hotspot contiene indirizzi IP, non persone: per sapere chi c'era dietro un indirizzo bisogna incrociarlo con i login. Con uno script di login e logout si può creare una regola di log per ogni utente collegato, con il nome utente nel log-prefix: ogni riga di log contiene già il nome. Funziona con l'hotspot (on-login / on-logout del profilo utente) e con il PPPoE (on-up / on-down del profilo PPP).
DojoHotspot MikroTik: come registrare il traffico degli utenti
In un hotspot gli utenti escono su internet con un unico indirizzo pubblico: per sapere chi ha fatto cosa serve un registro delle connessioni. Con RouterOS 7 si genera con una regola di firewall action=log sulle sole connessioni nuove e si spedisce a un server syslog esterno, perché la memoria del router non è un archivio. In alternativa, o in aggiunta, c'è Traffic Flow (IPFIX/NetFlow) verso un collettore.
DojoHotspot 2.0 e Passpoint con MikroTik: l’interworking nel pacchetto wifi
Hotspot 2.0 (il nome commerciale è Passpoint, lo standard sotto è 802.11u) permette a un telefono di collegarsi da solo e in modo cifrato a una rete WiFi pubblica, senza pagina di login, riconoscendo il proprio operatore o la propria organizzazione. Nel 2017 avevo scovato un menu non documentato in RouterOS 6; oggi nel pacchetto wifi di RouterOS 7 c'è un menu ufficiale, /interface wifi interworking, da usare insieme a un server RADIUS.
DojoScan wireless su un MikroTik remoto senza perdere il risultato
Uno scan delle frequenze ferma la radio per qualche secondo: se il router remoto lo raggiungi proprio attraverso quel link wireless, perdi la connessione e il risultato. La soluzione è far girare lo scan in background sul router stesso, con il risultato salvato in un file da leggere quando il link torna su. In RouterOS 7 si fa con :execute e il parametro file=, che funziona sia con il pacchetto wifi sia con wireless.
DojoCAPsMAN e WiFi RouterOS 7: attivare il client isolation
Il client isolation impedisce ai dispositivi collegati allo stesso WiFi di parlarsi fra loro: in un hotspot o in una rete ospiti è la prima difesa contro chi curiosa nei telefoni altrui. In RouterOS 7, con il nuovo pacchetto wifi e il suo CAPsMAN, si attiva con client-isolation=yes nel datapath; con il vecchio pacchetto wireless restano default-forwarding e, in CAPsMAN v1, client-to-client-forwarding.
DojoHotspot MikroTik: come proteggere la LAN dai client WiFi
In un hotspot MikroTik i client ospiti non devono poter raggiungere la rete del cliente (server, stampanti, NAS). Basta una regola nel firewall che usa il matcher hotspot=from-client; se la rete da proteggere non è nota in anticipo, perché la WAN prende l'indirizzo in DHCP, uno script del client DHCP la aggiorna da solo in una address list.
DojoCome creare un hotspot WiFi con MikroTik e RouterOS 7
Un hotspot WiFi con captive portal su MikroTik si costruisce in sette passi: reset, WAN, rete degli ospiti su un bridge, radio, wizard /ip hotspot setup, prova e pulizia finale. In RouterOS 7 cambia soprattutto la parte radio, che sui modelli recenti usa il nuovo pacchetto wifi al posto di wireless. Gli indirizzi dell'esempio sono quelli del mio laboratorio: vanno adattati alla tua rete.