MikroTik Captive Portal là gì? Cách hoạt động và cấu hình cơ bản

Nói ngắn gọn: captive portal trên MikroTik là trang đăng nhập hiện ra ngay khi điện thoại vừa kết nối WiFi. RouterOS làm việc này bằng tính năng HotSpot: thiết bị phải đăng nhập hoặc bấm đồng ý rồi mới vào được Internet. Cấu hình cơ bản gồm chạy HotSpot wizard, tạo user và user profile, mở Walled Garden cho những trang cần vào trước khi đăng nhập, rồi tự test như một khách thật.

Muốn thử trên WiFi quán mình? Dùng thử IWAS miễn phí 14 ngày, sau đó gói Starter là 249.000đ/tháng cho mỗi địa điểm. IWAS chạy với MikroTik (RouterOS v7 trở lên), OpenWrt và UniFi. Tạo tài khoản dùng thử

Nếu bạn từng kết nối WiFi ở quán cafe và thay vì vào Internet ngay, điện thoại hiện một trang yêu cầu đăng nhập hoặc bấm “Kết nối”, đó là trải nghiệm captive portal.

Với MikroTik, captive portal được triển khai thông qua tính năng HotSpot. HotSpot đứng giữa mạng WiFi và Internet, yêu cầu thiết bị xác thực trước khi được truy cập mạng bên ngoài.

Bài này giải thích từ đầu cách MikroTik HotSpot và captive portal hoạt động, sau đó đi qua một cấu hình cơ bản để bạn có thể hiểu và kiểm tra flow trên router của mình.

Lưu ý: Ví dụ bên dưới dùng một mạng lab đơn giản. Mỗi hệ thống MikroTik có thể đã có bridge, DHCP, firewall, VLAN hoặc WAN configuration khác nhau. Không nên xóa cấu hình hiện tại chỉ để làm theo từng dòng lệnh.

1. Captive Portal là gì?

Captive portal là một trang web xuất hiện trước khi người dùng được truy cập Internet.

Một flow đơn giản:

Thiết bị khách
     ↓
   WiFi
     ↓
MikroTik HotSpot
     ↓
Captive Portal / Login
     ↓
Authentication
     ↓
   Internet

Điểm quan trọng là captive portal không phải một loại WiFi riêng. Access Point vẫn phát WiFi như bình thường. MikroTik đảm nhiệm việc kiểm soát truy cập của client trên mạng HotSpot.

Với một quán cafe, flow có thể là:

1. Khách kết nối WiFi.
2. Thiết bị nhận địa chỉ IP từ DHCP.
3. Khách chưa được xác thực nên bị HotSpot kiểm soát.
4. MikroTik đưa khách tới trang login.
5. Khách đăng nhập hoặc hoàn tất flow xác thực.
6. MikroTik cho phép session truy cập Internet.

2. MikroTik HotSpot và Captive Portal khác nhau thế nào?

Hai khái niệm này thường bị dùng lẫn nhau.

MikroTik HotSpot là cơ chế trên RouterOS dùng để xác thực client trước khi cho phép truy cập mạng công cộng.

Captive portal là phần giao diện/trải nghiệm mà người dùng nhìn thấy trong quá trình đó.

Nói ngắn gọn:

HotSpot là cơ chế kiểm soát truy cập; captive portal là phần giao diện xác thực mà khách nhìn thấy.

HotSpot có thể sử dụng database user ngay trên router hoặc xác thực thông qua RADIUS. RouterOS cũng hỗ trợ walled garden, cho phép một số tài nguyên được truy cập trước khi người dùng đăng nhập.

3. MikroTik HotSpot hoạt động như thế nào?

Có thể hình dung một client chưa đăng nhập như sau:

Client kết nối WiFi
       ↓
Nhận IP qua DHCP
       ↓
Gửi request ra Internet
       ↓
HotSpot kiểm tra trạng thái
       ↓
Chưa authenticated?
       ↓
Hiển thị login page
       ↓
Authentication thành công
       ↓
Cho phép truy cập Internet

Sau khi đăng nhập, MikroTik theo dõi session trong IP → HotSpot → Active. Tại đây administrator có thể xem user, IP, MAC address, phương thức login, thời gian session và trạng thái hoạt động.

4. Chuẩn bị một mạng lab đơn giản

Để thử HotSpot, bạn có thể bắt đầu với một interface hoặc bridge dành riêng cho mạng khách.

Ví dụ:

Guest network: 10.5.50.0/24
Router:         10.5.50.1
DHCP pool:      10.5.50.2 - 10.5.50.254

Đây chỉ là ví dụ. Nếu router của bạn đã có bridge/VLAN/DHCP đang chạy, hãy sử dụng topology hiện tại thay vì tạo lại toàn bộ mạng.

Trước khi cấu hình HotSpot, hãy kiểm tra:

• Client có nhận được IP hay chưa.
• Client có ping được gateway hay chưa.
• Router có DNS configuration phù hợp hay chưa.
• Router có đường ra Internet hay chưa.

Nếu những phần này chưa hoạt động, captive portal không phải nơi nên bắt đầu debug.

5. Tạo HotSpot bằng wizard của RouterOS

RouterOS có wizard cho HotSpot:

/ip hotspot setup

Wizard sẽ hỏi một số thông tin, trong đó có:

• Interface chạy HotSpot.
• Địa chỉ mạng của HotSpot.
• Có masquerade mạng hay không.
• IP pool cho client.
• Certificate nếu sử dụng HTTPS.
• DNS server.
• DNS name của HotSpot.

Ví dụ trong một mạng lab, MikroTik có thể hỏi:

hotspot interface: ether3
local address of network: 10.5.50.1/24
masquerade network: yes
address pool: 10.5.50.2-10.5.50.254

Đừng copy nguyên các giá trị này vào router đang chạy production. Interface, subnet và NAT phải phù hợp với topology thực tế của bạn.

Sau khi wizard hoàn tất, kiểm tra:

/ip hotspot print
/ip hotspot profile print
/ip hotspot user print

Bạn muốn thấy HotSpot server đã được tạo và gắn với interface/network đúng.

6. Tạo một user để kiểm tra login

HotSpot có database user local trên router.

Ví dụ lab:

/ip hotspot user add name=test password=test123

Sau đó kết nối một thiết bị vào mạng HotSpot và thử đăng nhập bằng user này.

Để kiểm tra session:

/ip hotspot active print

Nếu authentication thành công, client sẽ xuất hiện trong danh sách Active.

HotSpot user cũng có thể có các giới hạn như:

• limit-uptime: giới hạn tổng thời gian sử dụng.
• limit-bytes-in: giới hạn dữ liệu nhận.
• limit-bytes-out: giới hạn dữ liệu gửi.
• limit-bytes-total: giới hạn tổng dữ liệu.
• mac-address: giới hạn user vào một MAC cụ thể.
• profile: áp dụng một HotSpot user profile.

Ví dụ:

/ip hotspot user add name=demo password=demo123 limit-uptime=1h

Điều này hữu ích cho những mô hình WiFi có thời lượng sử dụng giới hạn.

7. HotSpot User Profile dùng để làm gì?

Nếu bạn có nhiều user với cùng chính sách, không cần cấu hình từng user một.

HotSpot User Profile hoạt động giống như một nhóm policy. Profile có thể chứa các thiết lập chung như rate limit và một số hành vi của user.

Ví dụ:

/ip hotspot user profile print

Sau đó user có thể được gán vào profile:

/ip hotspot user set [find name="demo"] profile=default

Trong một hệ thống thực tế, bạn có thể tạo các profile khác nhau cho những loại truy cập khác nhau, nhưng nên thiết kế policy trước khi tạo quá nhiều profile.

8. Walled Garden là gì?

Có những trang mà khách cần truy cập trước khi đăng nhập.

Ví dụ:

• Trang giới thiệu dịch vụ.
• Trang hướng dẫn WiFi.
• Trang thanh toán.
• Domain của hệ thống authentication.

HotSpot có Walled Garden để cho phép một số tài nguyên được truy cập mà không cần authentication.

Ví dụ về mặt khái niệm:

Chưa login
   │
   ├── Portal domain       → Allow
   ├── Payment domain      → Allow
   └── Internet khác      → Authentication required

RouterOS có hai cơ chế walled garden chính cho các loại traffic khác nhau, vì vậy không nên chỉ thêm một domain vào một danh sách rồi giả định mọi protocol đều được bypass.

9. Trang đăng nhập captive portal nằm ở đâu và nên hiển thị gì?

HotSpot sử dụng các HTML servlet pages trên router. Login page mặc định có thể được tùy chỉnh để phù hợp với thương hiệu hoặc flow của hệ thống.

Một số page thường gặp gồm:

• login.html
• redirect.html
• status.html
• logout.html
• các page xử lý thành công hoặc lỗi authentication.

Bạn có thể lấy bộ file HotSpot, chỉnh sửa rồi upload lại vào router và trỏ HotSpot profile tới thư mục HTML tương ứng.

Điều này cho phép biến login page mặc định thành một trang phù hợp với quán cafe, khách sạn hoặc doanh nghiệp.

Trang đăng nhập captive portal nên hiển thị gì?

Với khách, trang đăng nhập captive portal là thứ đầu tiên họ thấy khi vào WiFi quán, nên càng rõ càng tốt. Một trang dễ dùng thường có:

• Tên quán (và logo nếu có), để khách biết mình đang vào đúng mạng.
• Một nút đăng nhập hoặc "Kết nối" thật rõ, không bắt điền form dài.
• Thời gian dùng WiFi miễn phí, ví dụ 60 phút, ghi ngay từ đầu cho khách biết.
• Nếu quán bán thêm giờ: các gói, giá và cách trả tiền, ví dụ quét VietQR.
• Một dòng ngắn về quy định sử dụng, hoặc chỗ hỏi nhân viên khi cần giúp.

Trang này nên nhẹ và mở nhanh trên điện thoại, vì khách xem nó lúc chưa vào được Internet. Ảnh, font hay script tải từ trang ngoài đều phải được mở trong Walled Garden, nếu không trang sẽ hiện thiếu hoặc vỡ giao diện.

Muốn biết nên ghi gì cho khách dễ hiểu, xem bài trang đăng nhập WiFi quán cafe nên hiển thị gì. Còn nếu bạn không muốn tự sửa file HTML trên router, bài cài captive portal + PayOS cho MikroTik trong 15 phút chỉ cách để IWAS lo phần trang đăng nhập cho quán.

10. Có cần HTTPS cho Captive Portal không?

Đây là phần dễ gây nhầm lẫn.

HotSpot có hỗ trợ HTTPS login và MikroTik khuyến nghị sử dụng HTTPS cho login page. Tuy nhiên, HTTPS captive portal không đơn giản chỉ là bật một checkbox.

Bạn cần quan tâm tới:

• DNS name của HotSpot.
• Certificate hợp lệ cho DNS name đó.
• Cấu hình login method.
• Thiết bị client và cách hệ điều hành phát hiện captive portal.

RouterOS hiện cũng hỗ trợ cơ chế DHCP option liên quan tới RFC 7710 để thông báo cho client rằng mạng đang nằm sau captive portal. Cơ chế này yêu cầu HotSpot có DNS name và certificate hợp lệ.

Vì vậy, nếu captive portal chỉ hoạt động khi người dùng tự mở một trang HTTP nào đó, chưa chắc đó là lỗi của HotSpot. Khả năng hiển thị captive portal tự động còn phụ thuộc vào cách thiết bị client phát hiện mạng captive.

11. Checklist test sau khi cấu hình

Đừng chỉ kiểm tra xem login page có xuất hiện hay không. Hãy test toàn bộ flow:

Test 1 — DHCP

Thiết bị nhận đúng IP từ guest network.

Test 2 — Gateway

Thiết bị truy cập được gateway MikroTik.

Test 3 — Portal

Request chưa authenticated được xử lý bởi HotSpot.

Test 4 — Authentication

User hợp lệ đăng nhập thành công.

Test 5 — Internet

Sau authentication, client truy cập Internet được.

Test 6 — Session

Kiểm tra:

/ip hotspot active print

Test 7 — Expiration

Nếu user có limit-uptime, kiểm tra session bị ngắt khi đạt giới hạn.

Test 8 — Logout

Đăng xuất và xác nhận client không còn được xem là authenticated.

Nếu một bước fail, hãy debug đúng tầng thay vì chỉnh ngẫu nhiên firewall hoặc portal HTML.

12. Một số lỗi thường gặp

Kết nối WiFi nhưng không nhận IP

Kiểm tra DHCP và bridge/interface trước khi kiểm tra HotSpot.

Có IP nhưng không thấy portal

Kiểm tra HotSpot server có chạy trên đúng interface hay không, DNS và trạng thái authentication của client.

Portal mở nhưng login không thành công

Kiểm tra user database, password, user profile và authentication method.

Login thành công nhưng không có Internet

Kiểm tra routing, NAT, firewall và upstream Internet.

Một domain cần thiết bị truy cập trước login nhưng bị chặn

Kiểm tra Walled Garden. Với dịch vụ không phải HTTP/HTTPS, cần xem xét cơ chế IP Walled Garden tương ứng.

Điện thoại không tự bật captive portal

Kiểm tra DNS/certificate và cơ chế captive portal detection của client. Đừng mặc định rằng mọi điện thoại đều sẽ tự mở login page trong mọi trường hợp.

13. Khi nào cần RADIUS hoặc một hệ thống bên ngoài?

Local HotSpot user database rất phù hợp để học, test hoặc triển khai một hệ thống nhỏ.

Khi hệ thống có nhiều router hoặc cần quản lý authentication tập trung, RADIUS là một hướng mở rộng tự nhiên. Quán nhỏ có cần tự dựng server RADIUS hay không thì bài quán có cần tự dựng server RADIUS cho WiFi khách? nói dễ hiểu hơn.

Khi đó flow có thể trở thành:

Client
  ↓
MikroTik HotSpot
  ↓
RADIUS
  ↓
Authentication / Policy
  ↓
Internet

External portal cũng có thể được dùng khi login/registration cần chạy trên một hệ thống web riêng. MikroTik HotSpot hỗ trợ flow này thông qua custom login pages và walled garden.

Đây là điểm mà một hệ thống WiFi có thể bắt đầu chuyển từ “một router có login page” thành một nền tảng quản lý WiFi tập trung.

14. Nếu bạn đang triển khai WiFi cho quán cafe

Bạn không nhất thiết phải bắt đầu bằng một hệ thống phức tạp. Muốn soát lại cả hệ thống, từ đường truyền, router đến chuyện vận hành mỗi ngày, thì cứ đi theo checklist lắp đặt và vận hành WiFi cho quán cafe.

Một flow cơ bản có thể là:

MikroTik
   ↓
HotSpot
   ↓
Captive Portal
   ↓
60 phút WiFi miễn phí
   ↓
Hết session
   ↓
Khách có thể mua thêm thời gian

Khi cần thêm voucher, thanh toán VietQR, quản lý nhiều điểm hoặc authentication tập trung, bạn mới mở rộng architecture. Tới lúc chọn phần mềm quản lý WiFi cho quán, bài 8 câu nên hỏi trước khi chọn giúp bạn so cho nhanh.

IWAS là phần mềm quản lý WiFi khách cho quán cafe: khách vào mạng qua trang đăng nhập (captive portal), quán tự đặt gói theo thời gian, tốc độ, dung lượng, và khách có thể mua thêm giờ bằng VietQR qua tài khoản PayOS riêng của quán. IWAS chạy với router MikroTik (RouterOS v7 trở lên), OpenWrt và UniFi. Tìm hiểu thêm về IWAS.

Nếu muốn đi tiếp từ cấu hình HotSpot cơ bản đến một flow WiFi có freemium + VietQR/PayOS trên MikroTik, xem hướng dẫn:

Cài Captive Portal + PayOS MikroTik cafe trong 15 phút.

FAQ

MikroTik captive portal là gì?

Là trang đăng nhập hiện ra khi điện thoại vừa vào WiFi, trước khi được dùng Internet. Trên MikroTik, việc này do tính năng HotSpot của RouterOS lo: thiết bị phải đăng nhập hoặc bấm đồng ý rồi mới ra được Internet. Nói gọn, captive portal trên MikroTik chính là RouterOS HotSpot cộng với trang đăng nhập mà khách nhìn thấy.

Cần RouterOS bản nào?

HotSpot có sẵn trong RouterOS, không cần cài thêm gì. Nếu bạn định dùng MikroTik với IWAS thì router cần chạy RouterOS v7 trở lên. Chưa biết router mình đang chạy bản nào thì xem bài kiểm tra và nâng cấp RouterOS v7 cho MikroTik.

Nên dùng user ngay trên router hay dùng RADIUS?

Không bắt buộc phải có RADIUS. Một router, vài user để thử thì tạo user ngay trên router (/ip hotspot user) là đủ. Khi có nhiều router, nhiều điểm, hoặc muốn quản lý tài khoản, gói và phiên dùng ở một chỗ thì nên chuyển sang RADIUS.

Walled Garden là gì?

Là danh sách những trang khách được vào trước khi đăng nhập, ví dụ trang đăng nhập đặt ngoài router, trang thanh toán hay trang hướng dẫn dùng WiFi. Quên mở Walled Garden thì trang đăng nhập dễ thiếu hình, vỡ giao diện hoặc không thanh toán được. RouterOS có Walled Garden cho web (HTTP/HTTPS) và IP Walled Garden cho các loại kết nối khác.

IWAS chạy với router nào?

IWAS chạy với MikroTik (RouterOS v7 trở lên), OpenWrt và UniFi. Yêu cầu RouterOS v7 chỉ áp dụng cho MikroTik.

Dùng IWAS tốn bao nhiêu tiền?

Bạn dùng thử miễn phí 14 ngày, sau đó gói Starter là 249.000đ/tháng cho mỗi địa điểm.

Có thể giới hạn thời gian WiFi không?

Có. HotSpot user hỗ trợ giới hạn thời gian dùng (limit-uptime) và giới hạn dung lượng.

Có thể tùy chỉnh trang đăng nhập không?

Có. HotSpot dùng các trang HTML (login.html, status.html...) trên router, bạn sửa được nội dung và giao diện cho hợp với quán.

Captive portal có cần IP tĩnh không?

Không phải lúc nào cũng cần. Có cần IP public tĩnh hay không tùy vào cách hệ thống portal được dựng và các phần kết nối với nhau thế nào.

Có thể dùng MikroTik captive portal cho quán cafe không?

Có. HotSpot dùng tốt cho WiFi khách: cho khách vào mạng qua trang đăng nhập và giới hạn thời gian dùng. Nhu cầu nâng cao hơn như nhiều điểm hay bán thêm giờ thì thường cần RADIUS hoặc một hệ thống bên ngoài.

Kết luận

MikroTik Captive Portal thực chất là một flow kiểm soát truy cập được xây dựng trên HotSpot:

Client → WiFi → HotSpot → Authentication → Internet.

Hiểu được flow này sẽ giúp bạn dễ dàng triển khai từ một mạng WiFi đơn giản đến các mô hình có voucher, thời lượng sử dụng, RADIUS và hệ thống quản lý tập trung.

Điều quan trọng nhất là xây đúng network flow trước, rồi mới thêm portal, authentication và business logic.