Was ist MikroTik Hotspot? Funktionsweise, Einrichtung und Tipps
Kurz erklärt: Was ist MikroTik Hotspot?
MikroTik Hotspot ist eine in das Betriebssystem MikroTik RouterOS integrierte Zugangskontrollfunktion, die Nutzer nach der Verbindung mit dem Netz vor dem Internetzugang auf eine Anmelde- oder Authentifizierungsseite umleitet. Nach erfolgreicher Anmeldung wendet RouterOS die für diesen Nutzer definierten Geschwindigkeits-, Zeit- und Kontingentregeln an. Die Funktion wird in Hotels, Cafés, Restaurants, auf Campusgeländen und in öffentlichen Bereichen häufig genutzt, um Gästeverbindungen kontrolliert zu verwalten, und lässt sich zusammen mit externer Hotspot-Software für anspruchsvollere Szenarien erweitern.
Kurz zu MikroTik und RouterOS
MikroTik ist ein Hersteller von Netzwerkhardware mit Sitz in Lettland. Das Unternehmen produziert Router, Switches, WLAN-Access-Points und Outdoor-Geräte. Die meisten Geräte laufen mit dem Betriebssystem RouterOS. Da RouterOS Funktionen auf Unternehmensniveau wie Routing, Firewall, VLAN, VPN, DHCP, Bandbreitenverwaltung und Hotspot auf preisgünstiger Hardware bietet, ist es in der Türkei in Hotel-, Café- und KMU-Netzen sehr verbreitet. Die Geräte werden über WinBox, WebFig oder die Kommandozeile (Terminal) verwaltet.
Wie funktioniert MikroTik Hotspot?
Die Funktionsweise von MikroTik Hotspot beruht auf einigen grundlegenden Schritten:
- Verbindung und IP-Zuweisung: Der Nutzer verbindet sich mit dem Gästenetz; der DHCP-Server in RouterOS weist dem Gerät eine IP-Adresse zu.
- Nicht autorisierter Zustand: Da der Nutzer noch nicht angemeldet ist, behandelt der Hotspot ihn als „nicht autorisiert". In dieser Phase sind nur freigegebene Adressen (Walled Garden) erreichbar.
- Umleitung: Ruft der Nutzer eine Website auf, wird die HTTP-Anfrage abgefangen und zur Anmeldeseite umgeleitet. Da moderne Betriebssysteme eine Verbindungsprüfung durchführen, öffnet sich die Anmeldeseite meist automatisch.
- Authentifizierung: Der Nutzer gibt seine Zugangsdaten auf der Anmeldeseite ein. Die Prüfung kann über die lokale Benutzerdatenbank von RouterOS oder per RADIUS über einen externen Server erfolgen.
- Aktive Sitzung: Bei Erfolg wird der Nutzer in die Liste „active" aufgenommen; Geschwindigkeitslimit, Sitzungs-Timeout und Leerlauf-Timeout aus dem Benutzerprofil werden angewendet.
- Accounting: Während der Sitzung werden Datenvolumen und Zeit erfasst; bei Nutzung von RADIUS werden diese Daten an den externen Server übermittelt.
- Sitzungsende: Der Zugang endet, wenn die Zeit abläuft, der Nutzer sich abmeldet oder ein Administrator die Sitzung schließt.
Die Kernkomponenten von MikroTik Hotspot
Hotspot-Server
Der Hotspot-Dienst, der auf einer bestimmten Schnittstelle läuft (zum Beispiel dem Gäste-VLAN oder einer Bridge). Hier werden der Adresspool und das anzuwendende Serverprofil festgelegt.
Serverprofil
Die Einstellungen für Anmeldemethoden (HTTP CHAP, HTTP PAP, HTTPS, Cookie, MAC, Trial), den DNS-Namen, die RADIUS-Nutzung und die Dateien der Anmeldeseite.
Benutzerprofil
Enthält die Regeln für Nutzergruppen, etwa Geschwindigkeitslimit (rate-limit), Anzahl gleichzeitiger Nutzer pro Konto (shared-users), Sitzungs-Timeout (session-timeout), Leerlauf-Timeout (idle-timeout) und Adresslisten.
Benutzer
Bei lokaler Authentifizierung werden Benutzernamen und Passwörter hier gespeichert. In fortgeschrittenen Szenarien werden die Nutzer in einem externen System verwaltet.
Walled Garden
Domains und IP-Adressen, die vor der Anmeldung erreichbar sein dürfen. Werden ein externes Captive Portal, ein SMS-Verifizierungsdienst oder Social Login genutzt, müssen die entsprechenden Adressen in den Walled Garden eingetragen werden; sonst lädt das Portal nicht korrekt.
IP Bindings
Ermöglichen es, bestimmte Geräte (etwa den Drucker an der Rezeption, Smart-TVs oder Verwaltungsgeräte) ohne Hotspot-Anmeldung durchzulassen (bypassed) oder vollständig zu sperren (blocked).
Dateien der Anmeldeseite
RouterOS verwendet Vorlagendateien wie login.html, status.html und logout.html. Diese lassen sich anpassen, oder der Nutzer wird auf eine externe Portalseite umgeleitet.
Grundlegende Einrichtungsschritte
Eine einfache Hotspot-Einrichtung auf MikroTik erfolgt im Allgemeinen in dieser Reihenfolge:
- Schnittstelle vorbereiten: Eine eigene Bridge oder VLAN-Schnittstelle für das Gästenetz anlegen.
- IP-Adresse zuweisen: Zum Beispiel der Gästeschnittstelle die Adresse 10.10.0.1/22 geben. Ein Subnetz wählen, das für die Nutzerzahl ausreicht.
- Hotspot-Setup-Assistent ausführen: Unter IP > Hotspot > Hotspot Setup werden Schnittstelle, Adresspool, DNS-Server und DNS-Name festgelegt. Der Assistent erstellt die nötigen NAT- und Filterregeln automatisch.
- Benutzerprofile anlegen: Zum Beispiel 5M/5M für ein Profil „Standard" und 20M/20M für „Premium" definieren; den Wert shared-users gemäß Ihrer Geräterichtlinie einstellen.
- Authentifizierungsmethode festlegen: Lokale Benutzerliste, Voucher oder externe RADIUS-Authentifizierung wählen.
- Walled-Garden-Einträge hinzufügen: Die Domains des externen Portals und der Anmeldedienste eintragen.
- DNS und NTP konfigurieren: Den NTP-Client aktivieren, da eine korrekte Uhrzeit für die Protokollierung entscheidend ist.
- Testen: Verbindung, Umleitung, Anmeldung und Zugang nach dem Login mit Android-, iOS-, Windows- und macOS-Geräten prüfen.
- Sichern: Ein Backup (backup und export) der funktionierenden Konfiguration erstellen.
MikroTik Hotspot und externe Hotspot-Software: Aufgabenteilung
Die integrierte Hotspot-Funktion von MikroTik reicht für kleine Szenarien allein aus. Mit wachsenden Anforderungen entstehen jedoch weitere Bedürfnisse:
- Ein Portaldesign im Corporate Design, mehrsprachig und leicht zu aktualisieren
- Methoden wie SMS-Verifizierung, Anmeldung per Zimmernummer und Social Login
- Integration mit dem Hotelverwaltungssystem (PMS)
- Verwaltung mehrerer Standorte über ein Panel
- Benutzerfreundliche Berichte und Nutzungsanalysen
- Geordnete, integritätsgeschützte Protokollverwaltung im Rahmen der Gesetzgebung
Am sinnvollsten ist eine klare Aufgabenteilung: Das MikroTik-Gerät setzt den Netzzugang durch, leitet den Verkehr und wendet Geschwindigkeitsregeln an; die Hotspot-Software übernimmt Authentifizierung, Nutzer- und Regelverwaltung, Portaldesign, Berichte und Protokollierung. Beide Systeme kommunizieren meist über RADIUS oder die RouterOS-API.
Was ist RADIUS und warum ist es für Hotspots wichtig?
RADIUS (Remote Authentication Dial-In User Service) ist ein Standardprotokoll, mit dem Netzwerkgeräte die Authentifizierung, Autorisierung und Nutzungserfassung an einen zentralen Server abgeben. Ist RADIUS im MikroTik Hotspot aktiviert, sucht der Router die eingegebenen Zugangsdaten nicht in der eigenen Datenbank, sondern fragt den RADIUS-Server. Dieser antwortet mit „Accept" oder „Reject" und übermittelt bei Annahme auch Attribute wie Geschwindigkeitslimit und Sitzungsdauer.
Für Betriebe bietet dieser Aufbau mehrere wichtige Vorteile. Nutzer und Richtlinien werden an einem zentralen Ort verwaltet, sodass mehrere Router oder Standorte mit denselben Regeln arbeiten. Accounting-Daten wie Sitzungsbeginn, Sitzungsende und Datenvolumen werden zentral gesammelt, was Berichte und Protokollierung vereinfacht. Zudem können komplexe Anmeldeabläufe wie SMS-Verifizierung oder PMS-Abfragen in der Software statt auf dem Router laufen. Das gemeinsame Geheimnis (Shared Secret) sollte stark sein, und RADIUS-Verkehr sollte nur zwischen vertrauenswürdigen Adressen fließen.
Beispielarchitektur eines MikroTik-Hotspots für ein Hotel
Nehmen wir ein Stadthotel mit 120 Zimmern, Restaurant und Tagungsraum. Eine Beispielarchitektur könnte so aussehen:
- Gateway: Ein MikroTik-Router mit einer zur Nutzerlast passenden Rechenleistung; auf der WAN-Seite eine Hauptleitung und eine Backup-Leitung.
- VLAN-Struktur: VLAN 10 Gäste, VLAN 20 Personal, VLAN 30 Kassen und Verwaltungssysteme, VLAN 40 Kameras und Gebäudeautomation.
- Hotspot-Server: Läuft nur im Gäste-VLAN, mit einem Subnetz für mehr als 1.000 Adressen.
- Benutzerprofile: Mittlere Geschwindigkeit für Standardzimmer, höhere Geschwindigkeit für Suiten und VIP-Gäste, ein an die Veranstaltungsdauer gekoppeltes Voucher-Profil für Tagungsteilnehmer.
- Authentifizierung: Externe Hotspot-Software per RADIUS; Zimmernummer und Nachname in den Zimmern, Voucher im Tagungsraum, SMS oder Ein-Klick-Login im Restaurant.
- Access Points: Je nach Zimmerdichte und Wandaufbau im Flur oder in den Zimmern platziert; die Gäste-SSID wird mit VLAN 10 getaggt ausgestrahlt.
- Sicherheit: Der Zugriff vom Gäste-VLAN auf andere VLANs wird per Firewall blockiert; Client-Isolation ist aktiv; Verwaltungszugriff ist nur von bestimmten Adressen im VLAN 20 erlaubt.
- Zeit und Protokolle: Zeitsynchronisation per NTP; Sitzungs- und IP-Zuweisungsdaten werden zentral in der Hotspot-Software geführt.
So wird der Netzzugang mit den starken Routing- und Queue-Funktionen von MikroTik umgesetzt, während Gästeerlebnis und Verwaltung von der Hotspot-Software übernommen werden.
Häufige Probleme und Lösungen
Die Anmeldeseite öffnet sich nicht
Ursache sind meist DNS-Einstellungen, HTTPS-Seiten oder fehlende Walled-Garden-Einträge. Prüfen Sie, ob das Gerät den Router als DNS-Server nutzt, der Hotspot-DNS-Name korrekt ist und die Adressen des externen Portals im Walled Garden stehen.
Nach der Anmeldung kein Internet
Regelreihenfolge, fehlendes NAT oder Filterregeln können den Zugang blockieren. Stellen Sie sicher, dass eigene Firewall-Regeln nicht mit den dynamischen Hotspot-Regeln kollidieren.
Nutzer werden häufig getrennt
Idle-timeout und keepalive-timeout sind womöglich zu kurz, oder Roaming-Probleme auf der WLAN-Seite führen zur Erneuerung der Sitzung.
Der Router wird zu Spitzenzeiten langsam
Die Rechenleistung des Geräts reicht möglicherweise für die Nutzerzahl nicht aus. Anzahl der Queues, Komplexität der Firewall-Regeln und gleichzeitige Sitzungen erhöhen die CPU-Last. Bei der Kapazitätsplanung sollte das Hardwaremodell passend zu dieser Last gewählt werden.
Empfehlungen für Sicherheit und Wartung
- Den Standardnutzer „admin" entfernen oder ein starkes Passwort setzen.
- WinBox-, SSH- und WebFig-Zugang nur aus dem Verwaltungsnetz erlauben.
- RouterOS- und RouterBOOT-Versionen aktuell halten; vor Updates ein Backup erstellen.
- Nicht genutzte Dienste (etwa telnet, ftp, api) deaktivieren; wird die API genutzt, nur die Adresse der Hotspot-Software zulassen.
- Gästenetz per VLAN und Firewall von Verwaltungs- und Mitarbeiternetzen trennen.
- Konfigurationsänderungen dokumentieren.
Häufig gestellte Fragen
Ist MikroTik Hotspot kostenpflichtig?
Die Hotspot-Funktion ist Teil von RouterOS und wird nicht separat lizenziert; die RouterOS-Lizenzstufe des Geräts kann jedoch die Zahl unterstützter aktiver Nutzer beeinflussen. Externe Hotspot-Software hat eigene Lizenzmodelle.
Wie viele Nutzer werden unterstützt?
Das hängt von Gerätemodell, CPU- und Speicherkapazität, Lizenzstufe und Komplexität der Regeln ab. In Häusern mit vielen Nutzern sollte die Hardware anhand von Kapazitätstests gewählt werden.
Ist mit MikroTik Hotspot SMS-Verifizierung möglich?
Die integrierte Funktion bietet keine direkte SMS-Verifizierung; mit externer Hotspot-Software, die über RADIUS oder die API angebunden ist, lassen sich jedoch SMS-Verifizierung und Anmeldung per Zimmernummer nutzen.
Reicht MikroTik Hotspot für das Gesetz Nr. 5651 aus?
RouterOS kann Protokolle erzeugen; das regelmäßige Sammeln, die Integritätssicherung, die sichere Aufbewahrung und die Bereitstellung bei Bedarf erfordern jedoch zusätzliche Prozesse und Software. Der rechtliche Rahmen sollte gesondert geprüft werden.
Welche RouterOS-Version sollte ich verwenden?
Allgemein wird die aktuelle stabile Version (stable) für das jeweilige Gerät empfohlen. Wird externe Hotspot-Software eingesetzt, sollten die von ihr unterstützten RouterOS-Versionen vor der Installation bestätigt werden.
Nächster Schritt mit Richspot
Richspot Hotspot wurde mit einer für MikroTik RouterOS optimierten API-Struktur entwickelt, um den Gästezugang von Betrieben mit MikroTik-Infrastruktur zu verwalten. Es verbindet ein anpassbares Captive Portal, mehrere Anmeldemethoden, Bandbreitenverwaltung pro Nutzer, ein cloudbasiertes zentrales Panel und automatische Protokollierung im Rahmen des Gesetzes Nr. 5651 mit der leistungsfähigen Netzwerkinfrastruktur von MikroTik.
Bestätigen Sie vor der Installation die Kompatibilität Ihres Gerätemodells und Ihrer RouterOS-Version mit dem Richspot-Team und fordern Sie eine technische Bewertung Ihres Netzes an.
