RouterOS WEB认证配置指南：Hotspot搭建与排错

简介本资源面向网络管理员与RouterOS使用者聚焦ROS热点HotspotWeb认证功能的部署与定制适合需要搭建公共无线网络认证环境的初中级运维人员。压缩包共71个文件约95KB以19个html登录与状态页面、21个jpg与18个png界面素材、8个gif图标为主另含style.css样式表、md5.js脚本、WISPAccessGatewayParam.xsd及errors.txt排错说明构成一套可直接套用的认证页面模板。资源涵盖login、alogin、logout、status、redirect、radvert等多套页面配合图片与样式文件便于按品牌需求替换logo、背景与提示文案快速完成登录页定制。已有306人学习下载可帮助读者省去从零编写页面的时间直接获得可参考的目录结构与页面组织方式并结合错误日志文件排查认证失败、跳转异常等常见问题提升公共网络接入的安全性与用户体验。1. ROS WEB认证从路由器登录页到上网放行的完整链路很多人第一次听到 ROS WEB认证会下意识以为是机器人操作系统那一套东西。其实这里的 ROS 指的是 RouterOSMikroTik 家的路由系统而 WEB认证说的是把路由器的登录入口做成一个网页门户用户连上网络后先看到这个页面完成认证才被放行上网。它解决的核心问题是在一个开放或半开放的网络里怎么让每个接入的人先过一道身份确认再决定给不给他通外网、给多大带宽、能用多久。适合谁做小型园区、宿舍、门店、临时办公点网络的运维或者手里有一台 RouterOS 设备、想自己搭一套可控上网入口的人。下面按“先搞懂它怎么跑起来、再动手配、最后把坑填平”的顺序讲透。2. ROS WEB认证的底层逻辑与最小可用拓扑2.1 认证到底发生在哪一层要配之前先想清楚一件事WEB认证不是把路由器管理页面暴露出去而是让 RouterOS 的 Hotspot 功能接管用户的首次访问。用户设备连上无线或有线后DHCP 会正常发地址但防火墙里有一条规则把未认证用户的流量全部拦下只放行到网关的 80 端口。用户浏览器随便打开一个 http 页面请求被重定向到 RouterOS 内置的登录页这个页面就是 WEB认证的入口。用户提交账号密码RouterOS 校验通过后把该设备的 IP 和 MAC 加入已认证列表防火墙规则随之放行用户才能正常访问外网。这里有个容易被忽略的点重定向只对 http 生效https 请求在未认证状态下会被直接丢弃或超时因为 RouterOS 没法解密 https 再重定向。所以用户第一次访问 https 站点时往往看到的是“无法连接”而不是登录页。常见做法是让用户先访问一个 http 地址或者用 DNS 劫持把常见域名解析到网关逼出登录页。理解这一层后面配防火墙和 DNS 时就不会觉得规则是凭空冒出来的。2.2 最小可用拓扑与地址规划我一般会先画一张最小拓扑再动手一台 RouterOS 设备一个内网口比如 ether2接无线 AP 或交换机一个外网口ether1接上行。内网口上跑 DHCP网段用 192.168.88.0/24 这种不冲突的私网地址。网关地址 192.168.88.1 就是认证门户的地址。地址池、DHCP、Hotspot 三者的网段必须一致否则用户拿到地址却找不到网关登录页永远出不来。角色接口地址说明外网口ether1由上行分配接光猫或上级路由内网口ether2192.168.88.1/24认证门户所在地址池—192.168.88.10-192.168.88.254给用户设备DNS—192.168.88.1由 RouterOS 代解析这张表看着简单但每一条都对应后面一条配置。地址池范围不要和网关重叠DNS 指向网关是为了让未认证用户的解析请求也落到 RouterOS 上方便做重定向。规划清楚再进命令行能省掉大量来回改配置的时间。2.3 用命令行把 Hotspot 服务拉起来RouterOS 的图形界面 WinBox 能点但真正要复现和排错命令行更可靠。下面这段是在 RouterOS 终端里从零建一个 Hotspot 的最小命令序列假设内网口是 ether2网段 192.168.88.0/24。# 先给内网口配地址作为网关 /ip address add address192.168.88.1/24 interfaceether2 # 建地址池范围避开网关 /ip pool add namehs-pool ranges192.168.88.10-192.168.88.254 # 建 DHCP 服务绑定内网口和地址池 /ip dhcp-server add namehs-dhcp interfaceether2 address-poolhs-pool disabledno /ip dhcp-server network add address192.168.88.0/24 gateway192.168.88.1 dns-server192.168.88.1 # 建 Hotspot 服务指定接口和地址池 /ip hotspot add namehs1 interfaceether2 address-poolhs-pool disabledno # 建一个测试用户用户名 user1 密码 pass123 /ip hotspot user add nameuser1 passwordpass123 profiledefault这段命令的逻辑是先有地址再有池再有 DHCP最后才挂 Hotspot。顺序反了会报错因为 Hotspot 依赖地址池和接口。参数上ranges决定用户能拿到的地址范围dns-server指向网关是为了让未认证解析可控profiledefault是 Hotspot 的默认策略组后面要限速或改认证方式都改这里。跑完这几条用手机连上 ether2 下的 AP打开一个 http 网站应该能看到登录页。看不到就往下看排查那章。3. 认证页面、用户管理与放行策略怎么配3.1 登录页面的三种来源与选择RouterOS 的登录页有三种来源内置默认页、本地自定义页、外部托管页。内置页最省事但样式老旧很多场景下用户会怀疑是钓鱼页。本地自定义页是把 html、css、图片打包上传到 RouterOS 的 hotspot 目录适合想改品牌和文案又不想依赖外部服务器的情况。外部托管页是把登录页放在自己的 web 服务器上RouterOS 只做重定向适合页面复杂、要接第三方认证接口的场景。我一般先问自己这个网络是长期还是临时长期且要品牌感就本地自定义临时或要对接已有账号系统就外部托管。选本地自定义时文件通过 FTP 传到 RouterOS 的 hotspot 目录登录页入口文件通常是 login.html改完在 Hotspot 的 server profile 里把 html-directory 指过去。注意文件编码用 UTF-8中文才不会乱码这是血泪经验。3.2 用户、用户组与限速的绑定关系Hotspot 的用户管理分两层user 是具体账号profile 是策略组。profile 里能设的东西很多最常用的是限速、会话时长、是否允许多设备同时在线。下面这段命令建一个限速 5M/5M、单设备在线的策略组再把用户挂上去。# 建策略组限速上下行各 5M限制单设备 /ip hotspot profile add namelimited shared-users1 rate-limit5M/5M # 把已有用户改挂到这个组 /ip hotspot user set user1 profilelimited # 批量建用户用脚本循环账号 user10 到 user19 :for i from10 to19 do{ /ip hotspot user add name(user . $i) password(pass . $i) profilelimited }shared-users1表示同一账号只允许一台设备在线超过就顶掉前一台适合一人一号的场景。rate-limit5M/5M是上行/下行单位是比特别写成 5M 以为是字节。批量建用户用:for循环账号密码用字符串拼接这是 RouterOS 脚本里很实用的写法。参数改完不用重启服务Hotspot 会实时生效但已在线用户要重新认证才套用新策略。3.3 放行策略哪些地址不认证也能通有些地址必须让未认证用户也能访问否则登录页本身都加载不出来。比如网关自己的 80 端口、DNS 的 53 端口、以及登录页引用的外部 css 或图片服务器。这些在 Hotspot 的 walled-garden 里配。walled-garden 就是“围墙花园”列在里面的目标地址对未认证用户放行。# 放行网关的 web 服务保证登录页能加载 /ip hotspot walled-garden add dst-host192.168.88.1 actionallow # 放行一个外部静态资源域名登录页引用了它的样式 /ip hotspot walled-garden add dst-hoststatic.example.com actionallow # 放行 DNS保证域名能解析 /ip hotspot walled-garden ip add dst-address192.168.88.1 actionacceptwalled-garden 分域名和 IP 两种写法域名用 dst-hostIP 用 dst-address。放行范围要尽量小只放登录页真正需要的放多了等于给未认证用户开了后门。配完用一台没认证的设备访问放行地址能通就说明规则生效访问没放行的地址应该被拦这才算配对。4. 认证失败与重定向异常的排查清单4.1 现象连上后打不开任何网页也看不到登录页原因通常是 DHCP 没发地址或者 DNS 没指到网关。用户设备拿不到 192.168.88.x 的地址自然找不到网关。解决在用户设备上看 IP如果是 169.254 开头就是没拿到地址回 RouterOS 查/ip dhcp-server lease print看有没有分配记录。没有就检查 DHCP 服务是否 disabled、接口是否绑对、地址池是否耗尽。DNS 没指网关的话用户解析不到任何域名登录页的域名形式入口也会失败把 dhcp-server network 里的 dns-server 改成网关地址即可。4.2 现象能看到登录页提交账号密码后没反应原因多半是账号没挂对 profile或者 profile 里认证方式不对。解决先/ip hotspot user print看用户是否存在、profile 是否为空。再/ip hotspot profile print看认证方式默认是 HTTP PAP如果改过又没配套改用户就会认证失败。还有一种情况是用户已在线但被 shared-users 限制顶掉日志里会有提示看/log print里 hotspot 相关行能确认。4.3 现象登录页样式全丢只剩纯文字原因是登录页引用的 css、图片、字体没被 walled-garden 放行未认证状态下加载不到。解决用浏览器开发者工具看哪些请求失败了把那些域名逐个加进 walled-garden。注意有些资源是 https 的未认证状态下 https 本来就不通这种情况要么把资源换成本地文件要么把资源域名也做 DNS 劫持到本地。我一般优先把资源放本地少一层依赖少一个坑。4.4 现象认证成功后部分应用还是不能用原因是这些应用走的是非标准端口或 https而 Hotspot 的放行规则只覆盖了常规流量。解决检查/ip hotspot ip-binding里有没有把这些设备或地址误设成 blocked。另外有些应用会做证书校验重定向期间证书不匹配会被应用直接拒绝认证成功后一般恢复。如果认证后仍不通用/ip firewall filter print看有没有其他规则在 Hotspot 规则之前把流量丢了防火墙规则顺序是从上到下匹配顺序错了前面就把包拦了。4.5 现象重启路由器后所有用户要重新认证原因是 Hotspot 的已认证列表默认存在内存里重启就丢。解决在 Hotspot 的 server profile 里把login-by之外还要确认有没有开“记住我”类的持久化。RouterOS 本身不持久化在线状态这是设计如此。要减少影响可以把会话超时设长一点或者用 MAC 认证让设备重连时自动通过。MAC 认证的代价是换设备就失效安全性换便利性看场景取舍。5. 把认证做成可运营入口的几个进阶手法5.1 用 MAC 认证做免登录回连固定设备多的场景比如办公室的打印机、监控、固定工位电脑每次弹登录页很烦。可以给这些设备做 MAC 认证让它们连上就自动放行。做法是在 Hotspot 的 ip-binding 里把 MAC 和类型设为 bypassed或者在 user 里用 MAC 作为用户名。下面这段把指定 MAC 的设备直接放行。# 把指定 MAC 的设备设为 bypassed不弹登录页直接通 /ip hotspot ip-binding add mac-addressAA:BB:CC:DD:EE:FF typebypassed # 另一种做法用 MAC 作为用户名做认证适合要记录的场景 /ip hotspot user add nameAA:BB:CC:DD:EE:FF passwordAA:BB:CC:DD:EE:FFbypassed 是直接放行不记录认证事件用 MAC 当用户名则会走认证流程并留日志。要审计就选后者要省事就选前者。MAC 可以伪造所以这套只适合内部可信设备不适合对外开放网络。5.2 用定时脚本做账号有效期管理临时活动或按天计费的场景账号需要到期自动失效。RouterOS 的 scheduler 可以定时跑脚本把过期用户禁用或删除。下面这段每天凌晨检查一次把注释里带过期日期的用户禁用。# 建一个每天执行的计划任务 /system scheduler add nameexpire-check interval1d on-event{ # 遍历所有用户注释里 expire 后面的日期早于今天就禁用 :foreach u in[/ip hotspot user find] do{ :local c [/ip hotspot user get $u comment] :if ([:find $c expire] 0) do{ # 这里做日期比较实际用 :pick 截取日期字符串再比 :local d [:pick $c ([:find $c expire] 7) ([:find $c expire] 17)] :if ($d [/system clock get date]) do{ /ip hotspot user disable $u } } } }这段脚本的核心是遍历用户、从注释里取过期日期、和当前日期比。日期格式要统一RouterOS 的日期是 jan/01/2025 这种字符串比较在同年内有效跨年要转成时间戳才严谨。实际用的时候我会把日期统一成 yyyy-mm-dd 再比避免跨年翻车。脚本跑之前先在测试用户上验证别直接上生产。5.3 验证认证链路是否真的通了配完不算完要有一套验证方法。我一般分三步第一步用未认证设备访问一个 http 地址确认能出登录页第二步用错误密码提交确认被拒且有日志第三步用正确密码提交确认放行并能访问外网。三步都过链路才算通。再进一步用/ip hotspot active print看在线列表用/ip hotspot host print看所有被 Hotspot 管理的设备对比哪些已认证哪些没有。这套验证做完心里才有底。5.4 我踩过的最大一个坑早期配的时候我把 Hotspot 挂在了错误的接口上用户从另一个接口进来认证规则根本不生效查了半天以为是账号问题。后来养成习惯配完先/ip hotspot print确认 interface 是用户实际接入的那个口再看/ip hotspot host print里有没有用户的 MAC。如果 host 列表里没有说明流量根本没进 Hotspot问题在接口和桥接不在认证本身。这个顺序帮我省了很多瞎调账号的时间。希望帮到你。本文还有配套的精品资源点击获取