سیستم ارائه اینترنت به کاربران فضای عمومی با MikroTik
راه اندازی سیستم ارائه اینترنت به کاربران در فضاهای عمومی مانند هتل، رستوران، کافی شاپ، مجتمع تجاری، سالن انتظار، نمایشگاه، دانشگاه، مجموعه ورزشی و فضاهای اشتراکی فقط به معنی نصب چند اکسس پوینت و اتصال آنها به اینترنت نیست. برای ارائه اینترنت پایدار و قابل مدیریت باید احراز هویت کاربران، محدودیت سرعت و حجم، جداسازی شبکه، Captive Portal، ثبت اطلاعات مورد نیاز، مانیتورینگ و امنیت به صورت یکپارچه طراحی شوند.
در یک راهکار استاندارد، MikroTik می تواند نقش Gateway و HotSpot را بر عهده بگیرد و در صورت نیاز از RADIUS یا User Manager برای مدیریت متمرکز کاربران استفاده شود. اکسس پوینت ها نیز باید متناسب با تعداد کاربران همزمان و شرایط محیط انتخاب شوند.
سیستم ارائه اینترنت عمومی چیست؟
سیستم ارائه اینترنت عمومی مجموعه ای از تجهیزات سخت افزاری و نرم افزاری است که امکان دسترسی کنترل شده کاربران به اینترنت را فراهم می کند. در این سیستم معمولا یک روتر یا Gateway، شبکه داخلی، سوئیچ، اکسس پوینت، سیستم احراز هویت و در صورت نیاز سرور RADIUS یا سیستم Accounting وجود دارد.
کاربر پس از اتصال به شبکه Wi-Fi یا شبکه کابلی، به صفحه ورود یا Captive Portal هدایت می شود. در این صفحه می توان از کاربر خواست نام کاربری و رمز عبور وارد کند، کد Voucher ارائه شده را وارد کند یا در سناریوهای خاص مراحل خرید یا ثبت اطلاعات را انجام دهد.
پس از تایید هویت، سیاست دسترسی کاربر اعمال می شود. برای مثال ممکن است کاربر یک ساعت اینترنت با سرعت 10 مگابیت دریافت کند یا یک بسته 20 گیگابایتی داشته باشد. پس از پایان زمان یا حجم مجاز، دسترسی کاربر می تواند به صورت خودکار محدود یا قطع شود.
اجزای اصلی سیستم اینترنت عمومی
روتر و Gateway
روتر وظیفه مدیریت ارتباط اینترنت، NAT، مسیریابی، Firewall، HotSpot و در صورت نیاز QoS و محدودیت ترافیک را بر عهده دارد.
Access Point
اکسس پوینت ها ارتباط بی سیم کاربران را برقرار می کنند. تعداد و مدل آنها باید بر اساس مساحت، جنس دیوارها، تعداد کاربران همزمان و میزان ترافیک تعیین شود.
سیستم احراز هویت
احراز هویت می تواند روی خود MikroTik انجام شود یا با استفاده از RADIUS و User Manager به صورت متمرکز مدیریت شود.
سیستم مانیتورینگ
مانیتورینگ برای بررسی تعداد کاربران، مصرف پهنای باند، وضعیت تجهیزات، خطاها و شناسایی نقاط اشباع شبکه استفاده می شود.
چرا MikroTik برای اینترنت عمومی استفاده می شود؟
MikroTik RouterOS مجموعه ای از قابلیت های مورد نیاز برای پیاده سازی Internet HotSpot را در اختیار مدیر شبکه قرار می دهد. HotSpot می تواند کاربران را قبل از دسترسی به شبکه عمومی احراز هویت کند و در کنار آن از RADIUS برای Authentication و Accounting استفاده شود.
از طرف دیگر می توان برای کاربران Profile های مختلف تعریف کرد. برای مثال کاربران VIP می توانند سرعت بیشتری داشته باشند، کاربران عادی محدودیت مشخصی داشته باشند و دسترسی مهمانان برای مدت محدودی فعال باشد.
این ساختار به مدیر شبکه اجازه می دهد سیاست های دسترسی را بر اساس نیاز واقعی مجموعه تنظیم کند، بدون اینکه برای هر کاربر تنظیمات جداگانه روی اکسس پوینت ها انجام شود.
معماری پیشنهادی شبکه اینترنت عمومی
در یک طراحی مناسب بهتر است شبکه کاربران عمومی از شبکه داخلی سازمان جدا باشد. برای این کار می توان از VLAN مجزا، Subnet مستقل، Firewall Policy و Gateway جداگانه استفاده کرد.
Internet → Router/Firewall → MikroTik HotSpot → Switch → Access Point → کاربران
در معماری های بزرگ تر می توان RADIUS Server، سیستم مانیتورینگ، Controller اکسس پوینت ها و سیستم مدیریت کاربران را نیز به ساختار اضافه کرد.
این جداسازی اهمیت زیادی دارد. کاربر مهمان نباید بتواند مستقیما به File Server، Active Directory، دوربین ها، پرینترها یا تجهیزات مدیریتی سازمان دسترسی پیدا کند.
مرحله اول: بررسی نیاز و طراحی شبکه
قبل از خرید تجهیزات باید تعداد کاربران همزمان، تعداد کاربران روزانه، نوع استفاده، حجم تقریبی مصرف، سرعت اینترنت، تعداد نقاط دسترسی و مساحت محیط مشخص شود.
برای مثال شبکه یک کافی شاپ با 30 کاربر همزمان با شبکه یک هتل 300 کاربره یک طراحی ندارد. همچنین تعداد کاربران فقط معیار انتخاب Access Point نیست. تعداد دستگاه های متصل، نوع ترافیک، تماس تصویری، ویدئو، دانلود و کیفیت سیگنال نیز باید بررسی شوند.
در مرحله طراحی بهتر است نقشه ساختمان، محل نصب Access Point ها، مسیر کابل کشی، محل رک، محل سوئیچ و مسیر اتصال به اینترنت مشخص شود.
مرحله دوم: انتخاب سخت افزار
انتخاب MikroTik
مدل MikroTik باید بر اساس سرعت اینترنت، تعداد کاربران، نوع Queue، تعداد Session ها، قابلیت های Firewall و سایر سرویس های مورد نیاز انتخاب شود. استفاده از یک مدل مشخص برای تمام پروژه ها روش مناسبی نیست.
انتخاب Access Point
برای محیط های پرتراکم باید Access Point دارای قابلیت مدیریت تعداد زیاد Client و Roaming مناسب انتخاب شود. تعداد AP ها باید بر اساس Site Survey تعیین شود.
انتخاب Switch
سوئیچ باید تعداد پورت کافی، ظرفیت مناسب و در صورت نیاز PoE داشته باشد تا Access Point ها بدون نیاز به آداپتور جداگانه تغذیه شوند.
Controller
در شبکه های چند اکسس پوینتی استفاده از Controller مدیریت SSID، کانال، توان ارسال، وضعیت Client ها و تنظیمات AP ها را ساده تر می کند.
مرحله سوم: ایجاد شبکه جداگانه برای کاربران مهمان
یکی از مهم ترین اصول طراحی اینترنت عمومی، جداسازی کاربران مهمان از شبکه اصلی است. این کار معمولا با VLAN و Subnet مجزا انجام می شود.
برای نمونه می توان یک VLAN مخصوص Guest تعریف کرد و Gateway آن را روی MikroTik قرار داد. سپس Firewall طوری تنظیم می شود که کاربران Guest اجازه دسترسی به Subnet های داخلی را نداشته باشند و فقط بتوانند به سرویس های مورد نیاز مانند DNS و Internet دسترسی پیدا کنند.
اگر مجموعه دارای شبکه اداری، سرور، دوربین مداربسته، VoIP یا سیستم های مدیریتی است، بهتر است هر بخش بر اساس نیاز امنیتی خود Segment جداگانه داشته باشد.
برای طراحی و ایمن سازی این بخش می توانید از خدمات امنیت شبکه استفاده کنید.
مرحله چهارم: راه اندازی MikroTik HotSpot
در RouterOS می توان HotSpot را روی Interface، VLAN یا Bridge مناسب راه اندازی کرد. برای شروع بهتر است از Wizard مربوط به HotSpot استفاده شود و سپس تنظیمات امنیتی و احراز هویت متناسب با پروژه اصلاح شوند.
در فرآیند راه اندازی باید Gateway شبکه، Address Pool، DHCP، DNS، HotSpot Profile و روش Authentication مشخص شوند.
MikroTik در مستندات رسمی خود HotSpot را به عنوان Gateway احراز هویت کاربران قبل از دسترسی به شبکه عمومی معرفی کرده است. HotSpot همچنین امکان استفاده از RADIUS و Accounting را فراهم می کند.
مرحله پنجم: طراحی Captive Portal
Captive Portal همان صفحه ای است که کاربر قبل از دسترسی کامل به اینترنت مشاهده می کند. طراحی این صفحه روی تجربه کاربری تاثیر مستقیم دارد.
در صفحه ورود می توان لوگوی مجموعه، قوانین استفاده، شرایط سرویس، اطلاعات تماس، نام کاربری و رمز عبور یا Voucher را قرار داد.
اگر کاربران برای دریافت اینترنت نیاز به خرید بسته دارند، می توان صفحه خرید یا اتصال به سامانه فروش را نیز در معماری قرار داد. در این حالت ارتباط میان سیستم فروش، RADIUS و MikroTik باید به صورت دقیق طراحی شود.
همچنین می توان از Walled Garden برای فراهم کردن دسترسی محدود به برخی سایت ها یا سرویس های مورد نیاز قبل از احراز هویت استفاده کرد.
مرحله ششم: مدیریت کاربران با User Manager و RADIUS
در پروژه های کوچک ممکن است مدیریت کاربران روی خود MikroTik کافی باشد، اما در پروژه هایی که تعداد کاربران زیاد است یا چند Router و Access Point وجود دارد، استفاده از RADIUS می تواند مدیریت متمرکزتری ایجاد کند.
User Manager در RouterOS یک پیاده سازی RADIUS برای Authentication و Authorization است و می تواند اطلاعات کاربران، Profile ها، محدودیت ها و Session ها را مدیریت کند.
در این ساختار می توان برای کاربران مختلف Profile تعریف کرد. برای نمونه:
- کاربر یک ساعته
- کاربر روزانه
- کاربر با حجم مشخص
- کاربر با سرعت محدود
- کاربر ویژه با سرعت بالاتر
- دسترسی آزمایشی یا Trial
User Manager همچنین قابلیت مدیریت Voucher و گزارش های مربوط به Session را فراهم می کند و می تواند برای محیط هایی که نیاز به مدیریت متمرکز دارند مورد استفاده قرار گیرد.
مرحله هفتم: تعیین محدودیت سرعت، حجم و زمان
بدون محدودیت مناسب، چند کاربر پرمصرف می توانند بخش بزرگی از پهنای باند را مصرف کنند و تجربه سایر کاربران را کاهش دهند. به همین دلیل Rate Limit و Quota بخش مهمی از طراحی اینترنت عمومی هستند.
سرعت
مثلا محدود کردن سرعت دانلود و آپلود هر کاربر.
حجم
مثلا تعیین سقف مصرف 5 یا 20 گیگابایت.
زمان
مثلا تعیین اعتبار یک ساعت، یک روز یا یک دوره مشخص.
MikroTik برای HotSpot امکان تعریف Rate Limit، Session Timeout و محدودیت حجم را فراهم می کند. در پروژه های بزرگ تر می توان سیاست های پیچیده تر را با User Manager و RADIUS مدیریت کرد.
آیا شبکه سازمان شما به اینترنت عمومی یا Guest Wi-Fi نیاز دارد؟
اگر شبکه مهمان بدون طراحی صحیح به شبکه داخلی متصل شود، فقط مشکل سرعت ایجاد نمی کند؛ بلکه می تواند یک ریسک امنیتی نیز ایجاد کند.
برای طراحی، اجرا و پشتیبانی شبکه و اینترنت کاربران عمومی با کارشناسان عصر ارتباط تماس بگیرید: 021-88442844 | 021-88427610
مرحله هشتم: مانیتورینگ و گزارش گیری
بعد از راه اندازی شبکه، کار تمام نمی شود. مدیر شبکه باید بداند چه تعداد کاربر متصل هستند، مصرف پهنای باند چقدر است و کدام بخش شبکه در ساعات پرترافیک دچار مشکل می شود.
RouterOS ابزارهای مختلفی برای مشاهده وضعیت Connection، کاربران HotSpot، مصرف ترافیک و Log در اختیار مدیر قرار می دهد. در پروژه های بزرگ تر می توان اطلاعات را به سیستم های مانیتورینگ مانند Zabbix یا PRTG نیز ارسال کرد.
گزارش های دوره ای می توانند شامل موارد زیر باشند:
- تعداد کاربران همزمان
- میزان مصرف اینترنت
- ساعات اوج مصرف
- مصرف هر کاربر یا گروه
- خطاهای Authentication
- قطع شدن Access Point ها
- مصرف CPU و RAM روتر
- وضعیت لینک اینترنت
مرحله نهم: امنیت شبکه کاربران عمومی
شبکه عمومی ذاتا محیطی با کاربران ناشناس یا کم اعتماد است. بنابراین نباید همان سیاست دسترسی شبکه داخلی برای آن استفاده شود.
اولین اقدام، جداسازی شبکه مهمان است. سپس باید Firewall Policy مشخصی برای Guest تعریف شود. دسترسی به Subnet های داخلی، تجهیزات مدیریتی، سرویس های غیرضروری و پورت های حساس باید محدود شود.
همچنین باید Management Interface روتر و تجهیزات شبکه از شبکه عمومی قابل دسترسی نباشد. دسترسی مدیریتی بهتر است فقط از شبکه مدیریت یا VPN مجاز انجام شود.
برای Wi-Fi نیز باید بر اساس نوع تجهیزات و نیاز امنیتی، استاندارد رمزنگاری مناسب انتخاب شود. در شبکه مهمان عمومی، طراحی SSID، Client Isolation و سیاست های دسترسی باید متناسب با نوع استفاده تنظیم شوند.
مرحله دهم: تست نهایی قبل از بهره برداری
قبل از تحویل شبکه، باید سناریوهای مختلف آزمایش شوند. فقط وصل شدن یک گوشی به Wi-Fi برای تایید عملکرد کافی نیست.
- اتصال چند Client همزمان
- نمایش صحیح Captive Portal
- ورود با کاربر معتبر
- رد شدن کاربر نامعتبر
- اعمال محدودیت سرعت
- اعمال محدودیت حجم
- اعمال محدودیت زمان
- قطع دسترسی پس از پایان اعتبار
- عدم دسترسی Guest به شبکه داخلی
- بررسی DNS و NAT
- بررسی Roaming در صورت وجود چند AP
- بررسی Log و Accounting
- آزمایش قطع و وصل اینترنت
- بررسی وضعیت CPU و RAM MikroTik
مزایای پیاده سازی سیستم اینترنت عمومی
کنترل کاربران
هر کاربر می تواند حساب، Profile یا Voucher مشخص داشته باشد.
کنترل پهنای باند
سرعت مصرف کاربران قابل مدیریت است و احتمال اشباع لینک کاهش پیدا می کند.
امنیت بهتر
شبکه عمومی از شبکه داخلی سازمان جدا می شود و سطح دسترسی قابل کنترل خواهد بود.
گزارش گیری
اطلاعات Session، مصرف و وضعیت شبکه برای عیب یابی و مدیریت بهتر قابل استفاده است.
اینترنت عمومی برای چه مجموعه هایی مناسب است؟
راهکار HotSpot و مدیریت متمرکز کاربران می تواند برای مجموعه هایی مانند هتل ها، رستوران ها، کافی شاپ ها، مراکز خرید، نمایشگاه ها، سالن های انتظار، مراکز آموزشی، مجموعه های ورزشی، فضاهای کار اشتراکی و سازمان هایی که برای مهمانان اینترنت ارائه می کنند مورد استفاده قرار گیرد.
برای مجموعه های بزرگ تر، معماری باید بر اساس تعداد کاربران و سطح سرویس طراحی شود. در چنین پروژه هایی ممکن است علاوه بر MikroTik، از چندین Access Point، Controller، RADIUS Server، مانیتورینگ مرکزی و لینک های اینترنت پشتیبان استفاده شود.
اگر زیرساخت شبکه فعلی شما نیاز به بازطراحی دارد، صفحه خدمات شبکه و سرور را نیز بررسی کنید.
مراحل اجرای پروژه توسط تیم فنی
بررسی تعداد کاربران، محیط و نوع سرویس.
بررسی پوشش Wi-Fi و محل تجهیزات.
تعیین VLAN، IP Plan، Gateway و سیاست دسترسی.
راه اندازی Router، Switch و Access Point.
راه اندازی Captive Portal و Authentication.
پیاده سازی User Manager یا FreeRADIUS در صورت نیاز.
Firewall، جداسازی شبکه و محدود کردن دسترسی.
تست ظرفیت، امنیت، Authentication و گزارش گیری.
خدمات مکمل شبکه و پشتیبانی
سیستم اینترنت عمومی بخشی از زیرساخت شبکه است و در بسیاری از پروژه ها لازم است وضعیت کل شبکه بررسی شود. مشکلاتی مانند کابل کشی نامناسب، ضعف Wi-Fi، سوئیچ نامناسب، کمبود ظرفیت اینترنت یا طراحی اشتباه VLAN می توانند مستقیما روی عملکرد HotSpot تاثیر بگذارند.
برای نگهداری مستمر و رفع مشکلات زیرساخت می توانید از پشتیبانی شبکه و سرور استفاده کنید.
منابع فنی معتبر
برای مطالعه جزئیات فنی HotSpot، Authentication، RADIUS، Accounting و تنظیمات RouterOS، مستندات رسمی MikroTik HotSpot منبع اصلی مناسبی است.
برای طراحی و پیکربندی FreeRADIUS نیز می توان از مستندات رسمی FreeRADIUS استفاده کرد.
سوالات متداول درباره اینترنت عمومی و MikroTik
آیا برای ارائه اینترنت عمومی حتما به User Manager نیاز داریم؟
خیر. در پروژه های کوچک می توان از کاربران داخلی HotSpot استفاده کرد. زمانی که تعداد کاربران زیاد شود یا مدیریت متمرکز، Profile، Voucher و Accounting مورد نیاز باشد، استفاده از RADIUS و User Manager می تواند مناسب تر باشد.
آیا می توان برای هر کاربر سرعت متفاوت تعیین کرد؟
بله. می توان بر اساس User Profile یا RADIUS Policy برای کاربران مختلف محدودیت سرعت متفاوت تعریف کرد.
آیا امکان تعیین حجم اینترنت برای هر کاربر وجود دارد؟
بله. HotSpot و User Manager می توانند برای کاربر محدودیت مصرف تعریف کنند. نوع و روش پیاده سازی به نسخه RouterOS و معماری انتخاب شده بستگی دارد.
آیا می توان کاربران مهمان را از شبکه شرکت جدا کرد؟
بله. استفاده از VLAN، Subnet جداگانه و Firewall Policy از روش های اصلی جداسازی Guest Network از شبکه داخلی است.
آیا Captive Portal برای اینترنت عمومی ضروری است؟
ضروری بودن آن به مدل سرویس و الزامات پروژه بستگی دارد، اما برای بسیاری از شبکه های عمومی Captive Portal روش مناسبی برای Authentication، نمایش قوانین و مدیریت دسترسی کاربران است.
چند Access Point برای مجموعه من لازم است؟
تعداد AP فقط بر اساس متراژ مشخص نمی شود. تعداد کاربران، ظرفیت AP، جنس دیوار، سطح سیگنال، نوع Client و میزان ترافیک باید بررسی شوند. برای پروژه های جدی بهتر است Site Survey انجام شود.
آیا می توان اینترنت رایگان و پولی را همزمان ارائه کرد؟
بله. می توان Profile های مختلف برای کاربران ایجاد کرد و برای هر گروه سرعت، زمان یا حجم متفاوت تعریف نمود. نحوه فروش آنلاین نیز باید جداگانه با سیستم Authentication یکپارچه شود.
آیا MikroTik برای تعداد زیاد کاربر مناسب است؟
مدل مناسب باید بر اساس تعداد Session، سرعت اینترنت، نوع پردازش، Firewall، Queue و سایر سرویس های فعال انتخاب شود. نمی توان فقط بر اساس تعداد کاربران یک مدل مشخص را برای تمام پروژه ها توصیه کرد.
برای راه اندازی اینترنت عمومی و HotSpot مشاوره بگیرید
اگر قصد دارید برای هتل، رستوران، مجتمع تجاری، نمایشگاه، مجموعه ورزشی، فضای کار اشتراکی یا سازمان خود اینترنت عمومی راه اندازی کنید، بهتر است قبل از خرید تجهیزات، ظرفیت شبکه و مدل احراز هویت مشخص شود.
برای طراحی، اجرا و پشتیبانی سیستم اینترنت عمومی با عصر ارتباط تماس بگیرید.
021-88442844 | 021-88427610 | 0912-301-1472
بازدید و بررسی فنی قبل از اجرای پروژه، از خرید تجهیزات نامتناسب و ایجاد مشکلات بعدی جلوگیری می کند.
جمع بندی
راه اندازی اینترنت برای کاربران فضای عمومی یک پروژه چندبخشی است که از طراحی شبکه و انتخاب تجهیزات شروع می شود و تا Authentication، Captive Portal، مدیریت کاربران، محدودیت سرعت و حجم، امنیت، مانیتورینگ و پشتیبانی ادامه پیدا می کند.
MikroTik می تواند در این معماری نقش مهمی در Gateway، HotSpot، Firewall، مدیریت دسترسی و کنترل ترافیک داشته باشد. در پروژه های بزرگ تر نیز می توان RADIUS، User Manager، Controller و سیستم مانیتورینگ را به معماری اضافه کرد.
مهم ترین نکته این است که شبکه مهمان از شبکه داخلی جدا باشد و سیاست دسترسی، ظرفیت تجهیزات و روش مدیریت کاربران قبل از اجرا مشخص شود.
