Nói ngắn gọn: quán nhỏ không cần tự dựng server RADIUS. Một router, ít khách, không bán gói thì user lưu ngay trên router là đủ. Muốn mỗi khách một phiên riêng, bán thêm giờ hay có vài chi nhánh thì RADIUS rất có ích, nhưng bạn có thể dùng cloud RADIUS: máy chủ nằm trên cloud, router MikroTik hay OpenWrt của quán nối lên qua đường hầm WireGuard, không cần IP tĩnh, không có máy nào phải trông ở quán.
Chuyện thường bắt đầu thế này. Bạn muốn cho khách dùng WiFi miễn phí một tiếng, ai cần ngồi thêm thì mua thêm giờ. Hỏi anh thợ mạng quen, anh gật gù: “Làm được, nhưng phải dựng con RADIUS.” Rồi anh kể một tràng: máy chủ, IP tĩnh, mở cổng, cơ sở dữ liệu… Nghe xong bạn chỉ muốn quay về dán tờ giấy ghi pass lên quầy cho xong.
Bài này kể lại chuyện RADIUS bằng ngôn ngữ của chủ quán: nó là gì, khi nào cần, tự dựng thì phải lo những gì, và vì sao để RADIUS trên cloud thường hợp với quán nhỏ hơn.
RADIUS là gì, nói theo kiểu chủ quán
Hình dung RADIUS như người soát vé đứng sau quầy. Mỗi khi có khách kết nối WiFi và đăng nhập, router không tự quyết mà quay sang hỏi: “Khách này cho vào không? Được bao lâu? Tốc độ bao nhiêu?” RADIUS trả lời, router làm theo.
Trong lúc khách dùng, router còn báo lại cho RADIUS khách đã dùng bao nhiêu thời gian, bao nhiêu dung lượng. Phần ghi nhận này gọi là accounting, nhờ nó mà hết giờ là biết hết giờ, cuối ngày xem lại được ai đã dùng bao lâu.
Khách thì không thấy RADIUS đâu cả. Khách chỉ thấy trang đăng nhập hiện ra khi bắt WiFi, tức là captive portal. Muốn hiểu kỹ phần này thì có bài MikroTik captive portal là gì.
Không có RADIUS thì router kiểm tra khách bằng cách nào?
Router vẫn tự làm được, theo kiểu “sổ tay riêng”. Trên MikroTik, phần HotSpot cho phép lưu danh sách user ngay trên router, kèm giới hạn thời gian và tốc độ cho từng nhóm. Tài liệu của MikroTik cũng ghi rõ HotSpot có hai lựa chọn: dùng danh sách user lưu trên router, hoặc hỏi một máy chủ RADIUS bên ngoài.
Cách “sổ tay riêng” ổn khi quán có một router và ít khách. Cái khó lộ ra dần:
- Tạo user bằng tay. Mỗi khách một user thì ai tạo? Thường là nhân viên, giờ đông thì ghi pass ra giấy cho nhanh. Bài hotspot billing trên MikroTik kể kỹ cái vòng luẩn quẩn này.
- Mỗi router một sổ. Thêm router ở tầng hai hay mở thêm chi nhánh là thêm một danh sách phải giữ cho khớp.
- Không có chỗ cho chuyện tiền. Router lo được chuyện cho vào bao lâu, còn khách mua thêm giờ, tiền về đâu, cuối ngày đối soát thế nào thì phải tự xoay.
Tự dựng server RADIUS: phải lo những gì
Đến đây nhiều người nghĩ: vậy dựng RADIUS là xong. Về kỹ thuật thì đúng, RADIUS gom danh sách và quy tắc về một chỗ, nhiều router hỏi chung một máy chủ. Nhưng “dựng” nghĩa là bạn nhận về cả một danh sách việc:
| Việc phải lo | Nghĩa là gì với quán |
|---|---|
| Một máy chạy suốt ngày đêm | Máy tính để ở quán hoặc một máy chủ thuê ngoài. Máy tắt là khách không đăng nhập được. |
| Đường nối router với máy chủ | Máy chủ ở ngoài thì router phải gọi tới được: cần IP tĩnh, mở cổng hoặc tự dựng VPN. |
| Cài và giữ phần mềm RADIUS | Cài FreeRADIUS (hoặc phần mềm tương tự), cơ sở dữ liệu, sao lưu, cập nhật bảo mật. |
| Phần khách nhìn thấy | RADIUS chỉ trả lời “cho vào hay không”. Trang đăng nhập, gói, thu tiền, đối soát là phần bạn phải tự làm thêm. |
| Người sửa khi hỏng | 7 giờ sáng máy chủ lỗi thì ai vào xem? Thường là bạn, hoặc anh thợ mạng nếu gọi được. |
Với một công ty có người làm IT thì danh sách này bình thường. Với một quán cafe, nó là thêm một thứ phải trông bên cạnh máy pha, máy POS và camera. Và RADIUS chỉ là nửa câu chuyện, phần khách nhìn thấy (trang đăng nhập, gói, thanh toán) vẫn phải làm thêm.
Cloud RADIUS: vẫn là RADIUS, chỉ là không nằm ở quán
Cloud RADIUS giữ nguyên cách làm “router hỏi máy chủ”, chỉ đổi chỗ đặt máy chủ: nó nằm trên cloud và do bên cung cấp vận hành. Với quán, khác biệt nằm ở ba chỗ.
Không có máy chủ nào phải trông. Không có máy tính chạy suốt ở quán, không phải tự sao lưu hay cập nhật phần mềm RADIUS.
Không cần IP tĩnh. Router MikroTik và OpenWrt chủ động nối lên cloud, nên gói internet bình thường của quán là đủ, không phải gọi nhà mạng xin IP tĩnh hay mở cổng.
Nhiều chi nhánh dùng chung một chỗ. Router ở các điểm cùng hỏi một máy chủ, bạn quản lý ở một dashboard. Với IWAS, gói WiFi gắn với tài khoản quán (workspace) chứ không gắn với một router hay một điểm, nên tạo một lần là dùng được cho mọi router trong cùng tài khoản, mở thêm điểm không phải tạo lại gói.
IWAS nối router lên cloud RADIUS thế nào
IWAS chạy FreeRADIUS trên cloud. Router MikroTik và OpenWrt của quán nối lên IWAS qua một đường hầm WireGuard được tạo tự động khi cài: router tự gọi ra, nên không cần IP tĩnh. Qua chính đường hầm này, IWAS gửi được lệnh ngắt phiên xuống router khi khách hết giờ, kể cả khi router nằm sau NAT của nhà mạng.
Lấy MikroTik làm ví dụ, phần bạn làm khá ngắn:
- Kiểm tra router đang chạy RouterOS v7 trở lên (IWAS cần bản này cho MikroTik, WireGuard cũng nằm trong RouterOS v7). Cách xem và nâng cấp có trong bài kiểm tra và nâng cấp RouterOS v7.
- Tạo router trong dashboard IWAS và copy lệnh ZTP (Zero-Touch Provisioning) mà dashboard tạo riêng cho router đó.
- Dán lệnh vào Terminal của MikroTik, chờ router hiện Online trên dashboard.
- Tạo gói WiFi, rồi tự đóng vai khách để thử.
Bạn không phải tự cấu hình RADIUS hay WireGuard từng dòng. Các bước chi tiết có trong bài cài captive portal PayOS trên MikroTik trong 15 phút. Quán dùng OpenWrt thì lệnh cài cũng tự tạo đường hầm WireGuard và trỏ RADIUS về IWAS, còn trang đăng nhập chạy bằng CoovaChilli, nodogsplash hoặc openNDS, tuỳ gói đã cài trên router. Quán dùng UniFi thì UniFi dùng external guest portal của IWAS. Yêu cầu RouterOS v7 chỉ áp dụng cho MikroTik.
Phần khách nhìn thấy cũng nằm sẵn trên IWAS: trang đăng nhập, gói theo thời gian, tốc độ, dung lượng do quán tự đặt, voucher giảm giá cho gói, và mua thêm giờ bằng VietQR qua tài khoản PayOS riêng của quán (chưa cấu hình PayOS thì trang đăng nhập không hiện QR). Tiền khách trả đối soát trên trang Payments.
IWAS là phần mềm quản lý WiFi khách cho quán cafe: khách vào mạng qua trang đăng nhập (captive portal), quán tự đặt gói theo thời gian, tốc độ, dung lượng, và khách có thể mua thêm giờ bằng VietQR qua tài khoản PayOS riêng của quán. IWAS chạy với router MikroTik (RouterOS v7 trở lên), OpenWrt và UniFi.
Khi nào cứ dùng user trên router là đủ
Nói cho công bằng, không phải quán nào cũng cần RADIUS. Nếu quán chỉ có một router, khách chủ yếu mua mang đi, bạn không định bán thêm giờ và một mật khẩu chung vẫn ổn, thì cứ giữ cách đơn giản. Chỉ nên tách mạng khách ra khỏi mạng của máy POS và camera. Bài đổi mật khẩu WiFi mỗi ngày hay dùng captive portal giúp bạn tự xem quán mình đang ở đâu.
Khi bắt đầu thấy một trong mấy dấu hiệu sau thì nên nghĩ tới cloud RADIUS: nhân viên mất nhiều thời gian lo pass WiFi, khách ngồi lâu mà bạn muốn có lựa chọn mua thêm giờ, hoặc quán sắp có router thứ hai, chi nhánh thứ hai. Đang so sánh vài bên thì cầm theo 8 câu nên hỏi trước khi chọn phần mềm quản lý WiFi. Còn muốn rà lại toàn bộ WiFi của quán, từ đường truyền tới cách vận hành mỗi ngày, có danh sách việc cần làm khi lắp và vận hành WiFi quán cafe.
Câu hỏi thường gặp
RADIUS là gì?
RADIUS là một kiểu máy chủ mà router hỏi mỗi khi có khách đăng nhập WiFi: khách này có được vào không, được dùng bao lâu, tốc độ bao nhiêu. Trong lúc khách dùng, router báo lại thời gian và dung lượng đã dùng để máy chủ ghi nhận (gọi là accounting).
Quán cafe nhỏ có cần RADIUS không?
Nếu quán chỉ có một router, khách ít và không bán gói WiFi thì user lưu ngay trên router là đủ. Khi muốn mỗi khách một phiên riêng, bán thêm giờ, hoặc có từ hai router trở lên, RADIUS giúp gom mọi thứ về một chỗ. Lúc đó quán có thể dùng cloud RADIUS thay vì tự dựng máy chủ.
Tự dựng server RADIUS cho quán cần những gì?
Cần một máy chạy suốt ngày đêm, đường nối từ router tới máy chủ (IP tĩnh, mở cổng hoặc VPN), cài và cập nhật phần mềm RADIUS cùng cơ sở dữ liệu, rồi tự làm thêm trang đăng nhập, gói, thu tiền, đối soát. Và cần một người sửa khi máy chủ lỗi.
Dùng cloud RADIUS của IWAS có cần IP tĩnh không?
Không. Router MikroTik và OpenWrt chủ động nối lên IWAS qua đường hầm WireGuard tạo tự động khi cài, nên gói internet bình thường là được. Qua đường hầm này, IWAS còn ngắt được phiên của khách khi hết giờ dù router nằm sau NAT.
IWAS dùng được với router nào?
MikroTik, OpenWrt và UniFi. MikroTik và OpenWrt nối về IWAS qua WireGuard, còn UniFi dùng external guest portal của IWAS. Yêu cầu RouterOS v7 trở lên chỉ áp dụng cho MikroTik. Chưa biết MikroTik của quán chạy bản nào thì xem bài kiểm tra và nâng cấp RouterOS v7 trên blog IWAS.
Quán có nhiều chi nhánh thì sao?
Các chi nhánh nằm chung một dashboard IWAS, có phân quyền cho từng người. Gói WiFi gắn với tài khoản quán, không gắn với router hay chi nhánh nào, nên tạo một lần là dùng cho mọi router trong tài khoản. Mã khách đã mua dùng được ở các điểm thuộc cùng tài khoản quán, nhưng mỗi mã chỉ cho một thiết bị online cùng lúc. Phí tính theo router gateway: gói Starter gồm 1 router, nhiều router hơn thì xem các gói lớn hơn ở bảng giá.
IWAS giá bao nhiêu?
Dùng thử 14 ngày, sau đó gói Starter là 249.000đ/tháng cho mỗi địa điểm, gồm 1 router gateway và 5.000 phiên khách mỗi tháng. Đây là phí phần mềm chủ quán trả, tách riêng với giá gói WiFi quán bán cho khách.
Kết luận
RADIUS nghe to tát nhưng việc của nó đơn giản: trả lời router khách nào được vào, bao lâu, nhanh bao nhiêu, và ghi lại khách đã dùng gì. Quán nhỏ cần cái lợi đó, nhưng không cần ôm thêm một máy chủ. Để RADIUS trên cloud, router nối lên IWAS, bạn giữ được phần dễ chịu mà bỏ được phần phải trông.
Muốn thử với router của quán? Ghé getiwas.com để dùng thử IWAS 14 ngày, chạy với MikroTik (RouterOS v7 trở lên), OpenWrt và UniFi. Sau thời gian dùng thử, gói Starter là 249.000đ/tháng cho mỗi địa điểm, xem bảng giá.
