简介这套ROS Web认证资源包专为需要部署公共Wi-Fi认证的网络管理员准备用于解决RouterOS热点登录页面定制与配置环节的常见难题。资源内含完整的认证页面前端素材共71个文件以HTML模板为主覆盖登录、错误、重定向及状态展示等页面配套的CSS样式与JavaScript脚本负责页面渲染和认证交互逻辑多张JPG、PNG、GIF图片素材可用于品牌化界面设计另附无线网关认证参数规范文件方便理解认证网关的字段定义。整包压缩后仅95KB非常轻量可直接上传至ROS设备替换默认热点页面。目前已有307人学习下载。通过研究该资源包读者能够快速掌握Hotspot认证页面的目录结构、文件关联与认证流程还可参考内嵌脚本和样式代码定制符合自身品牌需求的登录界面同时避开认证跳转、参数传递等配置误区从而提高公共网络接入管理的安全性与效率。适合具备一定RouterOS基础、正在配置Hotspot功能的网络技术人员学习参考。内容组织简明便于按需取用。1. ROS Web认证的整体面貌从“被重定向”开始理解一个未认证的终端发出HTTP请求后它收到的不是目标网页而是路由器返回的一张登录页账号密码通过后网络才重新“畅通”。这套机制通常被叫作ROS Web认证在RouterOS里的对应实现是Hotspot。它看起来只是把访问控制搬到了浏览器里但真正学起来会发现它背后是一套“拦截—重定向—认证—放行”的完整链路横跨IP编址、DHCP、DNS、网页服务、账户体系与防火墙规则六个方面。与其把它当成设备上的一个开关不如把它理解为一个多模块协作的接入控制系统。这篇笔记就是按这个地图来组织的先讲整体架构再讲热点配置与认证源取舍最后落在易错点和复习清单上。适合正在啃网络配置、负责无线覆盖或备考网络认证的人。2. 认证架构三件套网关、服务与用户链路2.1 三层模型网络层、服务层、账户层从设备配置的视角看Web认证不是单点功能而是由三层独立且相互依赖的子系统构成。初学者习惯把/ip hotspot当成唯一入口这是导致排查翻车的最初根源。网络层的唯一职责是让终端“找得到网关”。终端接入后DHCP要给出正确的IP地址、掩码与网关。RouterOS对应项是/ip address、/ip pool、/ip dhcp-server。如果这三处配置出现网段不一致比如接口地址是10.20.30.1/24而DHCP地址池写成了192.168.50.0/24终端即使拿到了IP也ping不通网关。认证页面寄宿在网关IP上终端连网关都不通后面的一切都无从谈起。服务层负责“把未认证流量导向登录页”。RouterOS的Hotspot服务器在某个接口上监听并将未认证IP发起的TCP/80请求以DNAT形式重定向到本地页面服务。这一步看似只是改写了包的目标地址实际还包含对会话标记的判断——已认证的客户端不会再命中重定向规则。账户层处理“谁能拿到什么权限”用户表、Profile、限速、会话时长全部在这一层完成。三层之间的关系可以简化为下面这张对照表层级核心问题RouterOS配置入口故障表现网络层终端能否拿到IP并路由/ip address、/ip pool、/ip dhcp-server没有IP或网关不通服务层未认证流量是否被定向到登录页/ip hotspot、/ip firewall nat能上网但不弹认证页账户层凭据是否有效、权限是否下发/ip hotspot user、/ip hotspot profile登录失败或限速不生效复习时建议按这张表逆推先让用户描述故障现象再判断属于哪一层。这样比从头到尾翻配置快得多。2.2 认证流程的完整时序从终端请求到放行一个完整的Hotspot认证周期按时间展开共有七个环节。可以串成一句话来记“拿地址、发请求、被重定向、载入页面、交凭据、建会话、放行。”每个环节都有明确的输入输出终端上线并获取IPDHCP服务器从/ip pool里分配地址同时下发网关与DNS。终端发起HTTP请求浏览器请求目标站点的TCP/80端口。Hotspot判定该IP无有效会话将请求重定向到登录页服务地址。浏览器请求登录页面服务端返回login.html并填充会话参数。用户提交账号密码RouterOS按照Profile中配置的方式校验。凭据验证通过后创建主机会话在/ip hotspot host中建立记录。后续流量匹配会话标记直接转发。关于步骤3这是整个机制的核心也是最容易出偏差的地方。RouterOS并不能真正拦截HTTPS流量它会在SSL握手阶段尝试干预在很多部署里HTTPS请求的回包会被丢弃或连接被重置用户浏览器随后降级去请求HTTP页面登录页这才出现。于是我们看到的现象就是“第一次打开网页失败刷新一下弹登录页”。步骤5的校验方式直接影响安全性。RouterOS Profile里的login-by支持http-chap、http-pap、https、cookie、trial五种方式的组合。默认Profile通常同时开启http-chap与cookie。其中http-pap是明文传输密码除非只为兼容老旧设备否则别单独开启https让密码走SSL安全等级最高但代价是必须处理证书信任问题。在服务端可以通过两条命令观察流程走到哪一步# 查看主机状态确认会话是否建立 /ip hotspot host print detail # 查看最近认证日志观察步骤5是否报错 /log print where topics~hotspot/ip hotspot host print detail输出的状态字段是关键bypassed表示已放行local表示本地用户通过认证radius表示RADIUS认证通过idle表示地址拿到了但还没有成功登录。日志里的登录失败会带有明确的用户名与原因排查时不要忽略它。2.3 数据面与转发链路上认证的挂载点看到这里你可能会有一个本质性疑问Hotspot到底是怎么插入到数据路径里的答案是它并不单独工作而是依赖一组自动生成的防火墙规则。启用Hotspot时RouterOS会在防火墙NAT表和过滤表里加入关键条目。用/ip firewall nat print就能看到类似下面的动作/ip firewall nat add chainpre-routing dst-port80 protocoltcp actionredirect to-ports80 commenthotspotactionredirect与actiondst-nat的区别在于redirect是把包引导到路由器自身的IP而不是另一个远端地址。于是流量在pre-routing阶段就被改写成指向本地80端口Hotspot页面服务才有机会接管。Walled Garden机制也挂在这条链路上。它的意义是让用户在认证之前就能访问少数特定目标——典型场景是允许DNS解析、允许访问运营商的支付页面或公司门户。配置位置是# 允许未认证用户访问公司主页 /ip hotspot walled-garden add dst-hostportal.corp.example.com # 允许 DNS 服务 /ip hotspot walled-garden add dst-host*.*.*.* dst-port53 protocoltcp /ip hotspot walled-garden add dst-host*.*.*.* dst-port53 protocoludpWalled Garden的本质是一份白名单它作用于未认证会话的传输链路。如果你期望“某些IP在认证前就能通”但忘了将DNS服务列入Walled Garden终端会连域名都解析不了登录页自然也无法加载。这是实际部署中很容易被忽略的一个点保留DHCP之外的DNS流量而不是只放行80端口。数据面还有一个值得留意的是ACL与Profile的策略联动。Profile不只是限速用的它也可以配置允许访问的地址段、允许的协议和端口。未认证流量受Walled Garden约束认证之后的流量受Profile的ACL约束两者并不互相覆盖。很多配置问题出在“认证通过后仍然访问不了某些站点”原因往往就出在这个ACL上。3. 热点认证实战从默认模板到自定义登录页3.1 开启Hotspot的最小步骤开启Hotspot的方式有两种交互向导和纯命令行。向导适合第一次上手它会把地址池、DHCP、预热、证书、NAT规则一次性建好但考试或系统复习时推荐用命令行一步步创建因为每个步骤都对应一个可记忆的概念。下面是一套可在测试机上复现的最小配置。假设LAN侧接口为ether2内网段为10.20.30.0/24# 1. 创建内网地址池 /ip pool add namehs_pool ranges10.20.30.100-10.20.30.200 # 2. 给接口配置IP /ip address add address10.20.30.1/24 interfaceether2 # 3. 为访客网段创建DHCP服务器 /ip dhcp-server add namehs_dhcp interfaceether2 address-poolhs_pool lease-time10m # 4. 创建Hotspot服务器挂到同一接口 /ip hotspot add namehs_main interfaceether2 address-poolhs_pool profiledefault # 5. 添加一个测试用户 /ip hotspot user add nametest01 passwordtest2024 profiledefault步骤2的10.20.30.1/24是Hotspot登录页寄宿地址。步骤3中的lease-time10m决定DHCP租约时长如果租约太短终端在认证完成后因为租约到期重取IP会丢掉会话上下文不得不重新登录。步骤4里address-poolhs_pool与步骤1的池子必须一致这里有个常被忽略的点/ip hotspot add并不会自动替你修正地址池的矛盾如果写错网段也不会有明显报错只会表现为登录后数据不通。配置完成后默认Profile和默认页面文件已经能提供一次完整认证流程。若想修改默认页面在RouterOS里Hotspot页面存放在一个隐含的HTML目录中用/ip hotspot profile set [ find defaultyes ] html-directoryhotspot来指向它。如果你通过/file上传了自定义文件记得确认目录下的文件名大小写和路径完全一致否则会返回404。3.2 登录页、重定向与Cookie的作用域默认情况下RouterOS会为登录页附带一组模板变量在渲染时用当前会话信息替换。自定义登录页几乎都会用到下面几个变量模板变量含义典型用途$(link-login)登录提交地址表单的action$(link-orig)用户最初想访问的URL登录成功后跳转$(link-ip)网关IP显示帮助信息$(error)错误提示信息在页面上显示登录失败原因$(username)上次输入的用户名登录失败时回填基于这些变量一个最小的自定义登录页可以写成这样!DOCTYPE html html headmeta charsetutf-8title访客登录/title/head body form namelogin action$(link-login-only) methodpost input typehidden namedst value$(link-orig) / label账号input nameusername value$(username) //label label密码input namepassword typepassword //label button typesubmit登录/button /form p stylecolor:red$(error)/p /body /html写完后上传并刷新浏览器即可生效。这里有个常见的坑RouterOS会自动保留一个login.html.bak作为前一个版本的备份。如果你改坏了新页面手动把.bak重命名回login.html就能恢复。每次覆盖上传前先在本地留一份副本避免多次修改后连备份也被新版本覆盖。Cookie在登录成功后写回到浏览器表示“这台设备已经认证过”。默认的Profile策略里Cookie与主机会话是配合使用的浏览器带Cookie访问页面服务端比对Cookie与IP/MAC是否符合符合则放行。若用户清空了Cookie但主机会话仍然存在终端还是能上网反过来如果会话被/ip hotspot host remove手动清除了即使Cookie还在用户也会被引导到登录页。理解Cookie与主机会话的独立性是判断“要不要重新登录”的关键。还有一件事默认的登录页面只依赖HTTP。如果你在Profile里开启了use-sslyes并提供证书登录与静态资源都可能走HTTPS。这时要重新检查自定义页面中的资源引用方式不能用绝对HTTP路径否则会发生混合内容加载问题第5章会专门展开。3.3 用户账户体系与Voucher管理Hotspot的用户账户不单纯是账密每个用户挂在一个Profile下并可以叠加多个消费限制。常见命令与参数含义如下# 限制累计在线2小时、累计流量1G的访客 /ip hotspot user add nameguest01 passwordpwd01 \ limit-uptime2h limit-bytes-total1G profilevisitor # 将某个账户绑定到指定MAC避免借号 /ip hotspot user add namestaff01 passwordpwd02 \ mac-addressAA:BB:CC:DD:EE:FF profilestafflimit-uptime是累计在线时长上限达到后强制下线limit-bytes-total是双向累计流量上限mac-address表示该用户只允许从指定MAC设备登录。三者都是可选的若都不设置账户将长期有效适合办公专用的固定账号。批量生成Voucher也是热点场景的常用操作。一张Voucher本质上就是一个一次性有效的限时账户常见需求是“生成50个一次性账号每个用2小时”。RouterOS脚本可以这样写:for i from1 to50 do{ /ip hotspot user add name(v.$i) password(v.$i.pw) \ limit-uptime2h comment(voucher-batch-.$i) }name(v.$i)用循环变量拼出不同用户名password同理comment字段记录批次便于后续按备注删除。需要回收这批账号时应使用/ip hotspot user remove [find comment~voucher-batch]而不是逐条手工删。此时如果用户正在线删除用户并不会立刻清除会话还需到/ip hotspot host里把对应主机会话也清除才算完成回收。从这个细节可以看出账户层存在“用户记录”和“会话记录”两个并行的实体。前者描述凭证后者描述当前在线状态。很多管理员只删用户不删会话结果设备还能继续上网等到超时才掉线造成“已经删除的账号还能上网”的错觉。4. 认证源的取舍本地库、RADIUS与MAC免认证4.1 三种认证形式的对比Hotspot后端认证源主要有三套本地用户库、RADIUS服务器、MAC免认证。很多人以为选一个就行但实际上它们可以同时启用按顺序配合工作。简单说一下适配场景本地用户库适合终端数量少、没有统一账户管理部门的场景配置快、零外部依赖RADIUS适合需要统一结算、集中审计与动态下发策略的规模化网络MAC免认证严格来说不算身份认证它只是绕过登录环节常用于打印机、监控头、广告屏等无头设备。三者对比见下表认证源规模优点明显短板本地用户库小1050零依赖、配置直观设备多了后管理分散RADIUS大100、多台设备集中管理与审计、可计费依赖服务器与链路稳定性MAC免认证无交互设备无感接入无需人工输入可伪造MAC、无自动回收机制“同时启用”是一个容易漏掉的知识点。Profile里的use-radiusyes一旦打开RouterOS会优先向RADIUS服务器发请求当RADIUS服务器无响应或超时时才回落到本地用户库。若你原本同时维护着本地用户和RADIUS又希望策略清晰记得分工把关键用户放在RADIUS把应急本地账号保留在本地库并定期检查本地库是否有过期账号避免成为后门入口。4.2 RADIUS集成要点RADIUS的接入配置并不复杂难点在属性正确与链路稳定。两条核心命令# 定义一个供Hotspot使用的RADIUS客户端 /radius add servicehotspot address10.0.0.5 secretsharedsecret timeout300ms # 让默认Profile去询问RADIUS /ip hotspot profile set [ find defaultyes ] use-radiusyestimeout300ms表示单个RADIUS请求的等待阈值超时会触发重试。若RADIUS服务器在异地、链路往返超过300ms即便服务器正常用户也会感到登录缓慢。建议先用ping统计平均RTT再把timeout设成RTT的23倍同时通过retry参数设置有限次数的重试避免因网络抖动触发大量并发重试。RADIUS返回的关键属性决定了策略是否生效。最常打交道的两个RADIUS属性作用常见错误Mikrotik-Rate-Limit动态下发速率限制速率格式写错限速不生效Mikrotik-Group映射到本地Profile本地不存在该组名用户被拒绝错误的表现形式很隐蔽用户能登录但带宽和默认用户完全一样没有任何报错。此时要在RADIUS服务器侧查看Access-Accept包里是否真的携带了这些属性并核对值与格式。比如Mikrotik-Rate-Limit的规范写法是rx-rate[/tx-rate][/tx-burst-rx][/tx-burst-tx]举一个正确示例Mikrotik-Rate-Limit 10M/10M/1M/1M含义是下行10M、上行10M突发上限1M队列。若写成10M这样的单值RouterOS可能识别不出完整的限速策略。调试时在RouterOS侧执行这条命令看RADIUS日志/log print where topics~radius日志中能看到Access-Request与Access-Accept的交互记录。若连请求都没有先排查servicehotspot是否匹配、密钥是否一致、网络是否通。4.3 MAC免认证的适用边界MAC免认证是Hotspot里最容易被误解的功能。它的配置方式简短# 指定MAC完全免认证 /ip hotspot ip-binding add macAA:BB:CC:DD:EE:FF typebypassed # 指定MAC禁止接入 /ip hotspot ip-binding add macAA:BB:CC:DD:EE:F0 typeblockedtype的可选值有bypassed、blocked和regular。regular意味着按正常认证流程走。bypassed的效果是该设备不会看到登录页流量直接放行。它很适合部署在网络内部的打印服务器、电子屏、监控主机等无人值守设备。但这套方案有两个明显的边界。第一免认证判断基于源MAC而终端如果位于另一台NAT路由器后面RouterOS看到的MAC是外层设备的接口MAC不是内网设备的真实MAC白名单形同虚设。第二bypassed并不保证该设备能访问全部网络资源——它仍然受Walled Garden与Profile ACL约束。一个典型的翻车案例是给监控摄像头设了bypassed但忘了在Walled Garden里放行NTP服务器地址摄像头时间失步录像分段异常。排查时不能只盯着认证状态还要看策略列表。实际项目里建议把MAC免认证划分出一个专用Profile并在其中显式放行它需要的目的地址与端口同时为每一条绑定记录加comment标注设备型号与负责人。这样到期回收时按comment批量查找即可。5. 易漏点与易错点配置后连不上时的排查方向5.1 易漏点HTTPS证书与混合内容导致登录页异常易漏点开启HTTPS登录后自定义页面中引用的静态资源仍写在HTTP路径上浏览器以混合内容为由拦截脚本登录功能失灵。为什么漏RouterOS默认生成的是自签证书浏览器本来就不信任再加上页面资源走HTTP登录页会被浏览器标记为不安全。用户在看问题时只会觉得“页面能打开按钮没反应”很少会想到是浏览器策略在起作用。也有反向情况页面本身是HTTP但某个资源写死了HTTPS同样会加载失败。怎么补自定义页面里的资源一律用相对路径引用即css/style.css而不是http://ip/css/style.css静态资源全部放到Hotspot的html目录中与页面同源。上线前用浏览器开发者工具的Network面板检查有没有混入HTTP请求有则改掉。生产环境则建议把设备证书换成受信任CA签发的正式证书并在Profile里开启use-sslyes让用户走HTTPS登录避免密码明文传输。提示修改login.html之前先把原文件另存为一份副本RouterOS虽然会自动生成.bak但多次保存改动后.bak会被新版本覆盖。5.2 易错点地址池、DNS与网关的配置顺序错位易漏点接口地址、DHCP地址池、Hotspot地址池三段参数不在同一个网段结果是终端拿到地址、也能看Wi-Fi信号但永远打不开登录页。为什么漏Hotspot在创建时会把地址池锁到特定网段。你单独改DHCP的地址池或给接口换IP不会自动同步Hotspot。更隐蔽的是DNS设备开启了Hotspot后默认会劫持未认证终端的DNS解析把域名解析往登录页引导若你手工指定了外部DNS或Walled Garden未放行DNS终端浏览器一直显示“正在解析”登录页迟迟不出。怎么补配置后用三条命令自查/ip address print /ip dhcp-server print /ip hotspot print对比接口IP所在网段、DHCP分配网段与Hotspot的address-pool是否一致。终端侧再用一条ipconfig命令核对实际拿到IP。若要用固定DNS记得把对应IP加入Walled Garden。5.3 易错点防火墙规则优先级与“先命中”原则易漏点手写的NAT规则放在Hotspot自动规则前面先命中了流量认证页不再出现。为什么漏RouterOS的防火墙规则按顺序从上到下匹配同一链内首条匹配生效。很多网络配置者习惯把actionmasquerade的NAT规则排在最前面这会让内网流量直接出去Hotspot重定向根本没有机会介入。规则多了以后这种冲突很难一眼发现被人称为“配置玄学”并不夸张。怎么补查看/ip firewall nat print把Hotspot自动生成的actionredirect规则移动到前端位置或保证前置规则的作用范围不覆盖需要认证的网段。这里提供一个通用检查习惯每当新增了防火墙规则后用/ip firewall nat print过一遍列表看看是否有新规则挡在认证规则之前。对于过滤链也需要确认一条chaininput规则允许访问本地80/443端口否则登录页服务不可达。5.4 易漏点会话超时与重新认证逻辑易漏点用户被“踢下线”后重新打开网页又要求登录这不是账号密码过期而是会话层的超时参数在起作用。为什么漏账户有效期与会话闲置超时是两个维度。账户有效期写在用户记录里控制累计使用时长会话闲置超时写在Profile的keepalive-timeout里。管理员只改了用户有效期没动keepalive-timeout于是一段静默时间后会话被回收。用户在Wi-Fi信号满格的情况下被要求再输账号体验非常差也容易被误判为“网络不稳定”。怎么补根据访客网络的真实需要设置合适的会话闲置时长。若希望访客一直保持在线把keepalive-timeout调大或设成永不若希望空闲回收则针对性设短。考试或复习时要能分清楚“会话过期”和“用户过期”两套判断逻辑对应的查看命令分别是/ip hotspot host print与/ip hotspot user print。注意bypassed不等于“完全不受控”它只是免去了认证步骤流量策略依旧生效。5.5 易错点MAC免认证与Walled Garden的叠加副作用易漏点给设备设为bypassed后以为它会一直畅通但实际它仍受Walled Garden和Profile ACL的限制某些地址访问不通。为什么漏前面提到过bypassed只跳过认证交互不改变流量过滤策略。如果没在Walled Garden里放行该设备要访问的目标它依然被困在受限环境中问题表象却是“网络已连接但某些应用异常”容易把排查方向带偏到应用层。怎么补排查这类问题时按“先认证、后策略”的顺序分解看主机状态是否显示bypassed再检查Walled Garden列表和目标地址是否匹配最后检查该主机会话对应的Profile ACL。若设备需要访问任意地址建议单独建一个名为allow-all-bypass的Profile并在其ACL中放行全部而不是在默认Profile里做看似“全局”的调整。6. 复习清单从配置到排错的完整自查路径6.1 五个先检查复习时我常用一张“五查表”来检查配置是否健康检查项命令期望结果接口与地址池同段/ip address print、/ip pool print地址池包含接口地址所在网段Hotspot监听接口正确/ip hotspot print监听接口与DHCP接口一致NAT规则顺序正确/ip firewall nat printredirect规则在列表靠前登录页可打开浏览器访问网关IP出现登录页且无混合内容报错认证后会话存在/ip hotspot host print主机状态为bypassed/local/radius6.2 三类故障的排查路径当用户反馈“连上了但上不了网”时我习惯按下面的路线图走每一步都有对应的观察命令先看终端IP与网关确认DHCP是否下发正确地址不通则回到网络层。看是否弹出登录页不弹则检查NAT规则、input规则和Hotspot服务。看认证是否成功用/ip hotspot host print确认会话状态。认证成功仍无法上网检查masquerade规则、Walled Garden、DNS。依旧异常最终检查Profile限速与ACL策略。这套排查路线能避免一半以上的“翻车”——因为大部分故障都出在1、2步而不是认证环节。6.3 一个沿用至今的习惯说到这儿我讲一个自己的排查习惯。以前我调试Hotspot毫无章法经常在用户列表、地址池和NAT规则里来回翻结果越调越乱。后来逼着自己把整个流程拆成三步先看网络层把地址池和接口地址对齐再看服务层确认NAT重定向规则在正确位置最后看账户层才去动用户与Profile。每次调试完还强制自己用手里的终端完整走一遍登录流程并在ROS侧把主机会话打印出来看一眼。从那以后我每次配置前都会强制走一遍“先看接口、再看规则、最后看用户”的顺序思路就再没乱过。希望帮到你。本文还有配套的精品资源点击获取