مدیریت حساب‌های کاربری در شبکه‌هایی که از MikroTik HotSpot یا سرویس‌های دسترسی مبتنی بر RADIUS استفاده می‌کنند، به برنامه‌ریزی دقیق نیاز دارد. با افزایش تعداد کاربران، نگهداری اطلاعات حساب‌ها به‌صورت پراکنده، کنترل محدودیت‌های دسترسی و بررسی گزارش مصرف می‌تواند دشوار و زمان‌بر شود.

MikroTik User Manager یک پیاده‌سازی سرور RADIUS در RouterOS است که امکان متمرکزکردن احراز هویت و مجوزدهی کاربران را فراهم می‌کند. با پیکربندی صحیح آن می‌توان حساب‌های کاربران، سیاست‌های دسترسی و اطلاعات نشست‌ها را متناسب با سرویس موردنظر مدیریت کرد.

در این راهنما با کاربرد User Manager، پیش‌نیازهای نصب، اتصال آن به HotSpot، ساخت حساب آزمایشی، مدیریت محدودیت‌ها، بررسی گزارش‌ها و عیب‌یابی مشکلات رایج آشنا می‌شوید. مثال‌های دستوری این مقاله برای RouterOS v7 هستند و باید پیش از استفاده با نسخه و پیکربندی دستگاه شما تطبیق داده شوند.

User Manager میکروتیک چیست؟

User Manager بخشی از اکوسیستم RouterOS است که نقش سرور RADIUS را بر عهده می‌گیرد. RADIUS روشی استاندارد برای برقراری ارتباط میان دستگاه ارائه‌دهنده سرویس و سرور احراز هویت است. در این معماری، دستگاهی مانند روتر HotSpot درخواست احراز هویت را به سرور می‌فرستد و بر اساس پاسخ آن، دسترسی کاربر تعیین می‌شود.

به‌جای مدیریت جداگانه حساب‌ها در چند محل، می‌توان از یک پایگاه کاربران مرکزی استفاده کرد. این موضوع به‌خصوص در محیط‌هایی اهمیت دارد که تعداد کاربران زیاد است یا باید نشست‌ها و میزان استفاده از سرویس بررسی شوند.

User Manager در سناریوهای مختلفی از جمله HotSpot، PPP و برخی سرویس‌های دیگر قابل استفاده است. قابلیت‌های در دسترس به نسخه RouterOS، بسته نصب‌شده، نوع سرویس و سطح مجوز دستگاه بستگی دارند.

قابلیت‌ها و کاربردهای User Manager

  • احراز هویت متمرکز: بررسی نام کاربری و رمز عبور از طریق سرور RADIUS به‌جای اتکا به حساب‌های پراکنده در دستگاه‌های مختلف.
  • مدیریت نشست‌ها: مشاهده اطلاعات مربوط به شروع و پایان اتصال، مدت استفاده و وضعیت نشست، در صورتی که Accounting به‌درستی فعال باشد.
  • مدیریت حساب‌های کاربران: ساخت، غیرفعال‌کردن و سازمان‌دهی حساب‌ها و کنترل تعداد نشست‌های هم‌زمان مجاز.
  • تعریف پروفایل و محدودیت: تنظیم سیاست‌هایی مانند حجم مجاز دانلود و آپلود، مدت استفاده یا محدودیت‌های زمانی با پیکربندی مناسب Profile و Limitation.
  • گزارش‌گیری: بررسی آمار نشست‌ها و مصرف کاربران برای مدیریت بهتر شبکه.
  • پشتیبانی از روش‌های مختلف احراز هویت: پشتیبانی از روش‌های متنوع RADIUS با توجه به نوع سرویس و تنظیمات موردنیاز.

پیش‌نیازهای راه‌اندازی User Manager

قبل از نصب و پیکربندی، موارد زیر را بررسی کنید:

  • نسخه RouterOS و معماری سخت‌افزاری دستگاه را مشخص کنید.
  • بررسی کنید که بسته User Manager برای معماری و نسخه دستگاه شما در دسترس باشد. این قابلیت به‌صورت بسته جداگانه ارائه می‌شود و نصب آن باید با نسخه RouterOS سازگار باشد.
  • اگر قصد استفاده از HotSpot را دارید، ابتدا خود HotSpot، رابط شبکه، تخصیص IP و دسترسی پایه کاربران را پیکربندی و آزمایش کنید.
  • اگر User Manager روی دستگاه جداگانه‌ای اجرا می‌شود، ارتباط شبکه‌ای میان روتر و سرور RADIUS باید برقرار باشد.
  • یک Shared Secret قوی و اختصاصی برای ارتباط RADIUS انتخاب کنید.
  • پیش از تغییرات مهم، از پیکربندی و داده‌های لازم نسخه پشتیبان تهیه کنید.

نصب User Manager در RouterOS v7

در RouterOS v7، روش مدیریت User Manager با نسخه‌های قدیمی‌تر تفاوت دارد. تنظیمات مدیریتی آن از طریق WinBox یا خط فرمان RouterOS انجام می‌شود و نباید رابط وب کاربر را با پنل کامل مدیریت سیستم اشتباه گرفت.

مرحله اول: بررسی نسخه و معماری

از بخش System در WinBox یا فرمان زیر، اطلاعات دستگاه را بررسی کنید:

/system/resource/print
/system/package/print

در خروجی، نسخه RouterOS، معماری سخت‌افزاری و بسته‌های نصب‌شده را بررسی کنید. سپس از صفحه رسمی دانلود MikroTik، بسته مناسب همان نسخه و معماری را تهیه کنید.

مرحله دوم: نصب بسته سازگار

بسته User Manager را فقط از منبع رسمی MikroTik و مطابق روش نصب مستندشده برای همان نسخه نصب کنید. اگر نصب از طریق فایل بسته انجام می‌شود، از بسته نامتناسب با معماری یا نسخه دیگر استفاده نکنید.

پس از نصب و در صورت نیاز راه‌اندازی مجدد دستگاه، فهرست بسته‌ها و منوهای User Manager را دوباره بررسی کنید. اگر بسته در دسترس نیست یا فضای ذخیره‌سازی کافی ندارید، پیش از ادامه مشکل را برطرف کنید.

تنظیم User Manager برای HotSpot

در این بخش، یک سناریوی ساده را بررسی می‌کنیم: User Manager و HotSpot روی یک روتر اجرا می‌شوند. در این حالت می‌توان از آدرس محلی 127.0.0.1 برای ارتباط داخلی RADIUS استفاده کرد.

هشدار: فرمان‌های این بخش تنظیمات روتر را تغییر می‌دهند. قبل از اجرا، از پیکربندی فعلی نسخه پشتیبان بگیرید و مطمئن شوید رکورد مشابهی از قبل وجود ندارد. مقدارهای نمونه را با تنظیمات واقعی خود جایگزین کنید.

مرحله اول: فعال‌کردن User Manager

ابتدا عملکرد User Manager را فعال کنید:

/user-manager/set enabled=yes

مرحله دوم: ثبت روتر به‌عنوان RADIUS Client مجاز

در User Manager باید دستگاهی که درخواست RADIUS می‌فرستد ثبت شود. وقتی سرور و کلاینت روی همان روتر هستند، می‌توان از 127.0.0.1 استفاده کرد.

/user-manager/router/add name=local-hotspot address=127.0.0.1 shared-secret="REPLACE_WITH_A_LONG_RANDOM_SECRET"

عبارت داخل Shared Secret صرفاً جای‌نگهدار است. قبل از اجرا آن را با یک مقدار قوی و اختصاصی جایگزین کنید. همین مقدار باید در تنظیمات RADIUS Client نیز استفاده شود.

مرحله سوم: تعریف RADIUS Client در RouterOS

اکنون باید به روتر بگویید درخواست‌های احراز هویت سرویس HotSpot را به User Manager ارسال کند:

/radius/add address=127.0.0.1 secret="REPLACE_WITH_THE_SAME_SECRET" service=hotspot

Shared Secret در این فرمان باید دقیقاً با مقدار ثبت‌شده در بخش قبلی یکسان باشد. اگر قبلاً RADIUS Client مناسب تعریف کرده‌اید، ابتدا آن را بررسی کنید تا رکورد تکراری ایجاد نشود.

مرحله چهارم: فعال‌کردن RADIUS روی پروفایل واقعی HotSpot

برای مشاهده پروفایل‌های HotSpot از فرمان زیر استفاده کنید:

/ip/hotspot/print detail
/ip/hotspot/profile/print detail

در خروجی، نام پروفایلی را پیدا کنید که HotSpot موردنظر شما واقعاً از آن استفاده می‌کند. در مثال زیر، نام hsprof1 صرفاً نمونه است؛ آن را با نام واقعی پروفایل جایگزین کنید.

/ip/hotspot/profile/set [find where name="hsprof1"] use-radius=yes radius-accounting=yes

گزینه use-radius احراز هویت از طریق RADIUS را برای پروفایل انتخاب‌شده فعال می‌کند. گزینه radius-accounting نیز ارسال اطلاعات حسابداری نشست‌ها به RADIUS را فعال نگه می‌دارد.

فعال‌کردن RADIUS روی پروفایل اشتباه ممکن است هیچ اثری بر سرویس موردنظر نداشته باشد. پس از اعمال تنظیم، دوباره پروفایل واقعی و وضعیت RADIUS را بررسی کنید.

اگر User Manager روی روتر جداگانه اجرا شود

در معماری چندروتری، آدرس‌ها با مثال بالا متفاوت خواهند بود. در User Manager باید آدرس کلاینت RADIUS یعنی روتر ارسال‌کننده درخواست، با توجه به آدرسی که سرور از آن درخواست را دریافت می‌کند، ثبت شود. در بخش RADIUS روتر HotSpot نیز باید آدرس سرور User Manager درج شود.

در این حالت، مطمئن شوید مسیر شبکه برقرار است، Shared Secret دو طرف یکسان است و فایروال ارتباط را مسدود نمی‌کند. پورت UDP شماره 1812 معمولاً برای احراز هویت و پورت UDP شماره 1813 برای Accounting استفاده می‌شود. این دسترسی‌ها را فقط برای دستگاه‌های مورداعتماد باز کنید.

ساخت حساب آزمایشی در User Manager

پس از تنظیم ارتباط RADIUS، یک حساب آزمایشی بسازید. رمز زیر نمونه نیست که عیناً استفاده شود؛ آن را با یک رمز قوی و منحصربه‌فرد جایگزین کنید.

/user-manager/user/add name="test-user" password="REPLACE_WITH_A_UNIQUE_STRONG_PASSWORD" shared-users=1

پارامتر shared-users=1 تعداد نشست‌های هم‌زمان مجاز برای این حساب را روی یک نشست قرار می‌دهد. این مقدار برای آزمایش اولیه مناسب است، اما سیاست نهایی باید با نیاز شبکه شما مطابقت داشته باشد.

حالا یک دستگاه آزمایشی را به شبکه HotSpot متصل کنید و با حساب ایجادشده وارد شوید. اگر ورود موفق نبود، پیش از ساخت حساب‌های بیشتر، تنظیمات RADIUS و پروفایل فعال را بررسی کنید.

مدیریت پروفایل‌ها و محدودیت مصرف

اگر هدف شما فقط احراز هویت ساده کاربران است، ممکن است ایجاد حساب به‌تنهایی کافی باشد. اما برای اعمال محدودیت‌های زمانی، حجمی یا سرعت، باید سازوکار Profile و Limitation را متناسب با نیاز خود پیکربندی کنید.

در RouterOS v7 استفاده از Profile و Limitation به گزینه use-profiles وابسته است. این قابلیت به‌صورت پیش‌فرض فعال نیست؛ بنابراین اگر به پروفایل‌های کاربری نیاز دارید، تنظیم مربوط را آگاهانه فعال و سپس پروفایل‌ها و محدودیت‌های لازم را تعریف کنید.

در طراحی محدودیت مصرف، تفاوت میان معیارهای زیر را در نظر بگیرید:

  • Download Limit: حداکثر حجم دانلود مجاز برای کاربر.
  • Upload Limit: حداکثر حجم آپلود مجاز.
  • Transfer Limit: مجموع حجم آپلود و دانلود.
  • Uptime Limit: میزان زمان مجاز استفاده از سرویس.
  • Rate Limit: محدودیت نرخ انتقال داده در صورت پشتیبانی و تنظیم صحیح ویژگی موردنظر.

برای استفاده از پروفایل‌ها، ابتدا Limitation مناسب را بسازید، سپس آن را به Profile متصل کنید و در مرحله بعد پروفایل را به حساب کاربر اختصاص دهید. نام فیلدها، ترتیب تنظیمات و مقدارهای مجاز را با نسخه نصب‌شده RouterOS تطبیق دهید.

برای مثال، اگر هدف شما فروش بسته اینترنتی یک‌ماهه است، تنها محدودکردن سرعت کافی نیست؛ باید اعتبار زمانی، سقف مصرف موردنظر و نحوه ثبت Accounting نیز به‌درستی تعریف شوند.

مشاهده نشست‌ها و گزارش مصرف کاربران

اطلاعات نشست‌های User Manager فقط زمانی ثبت می‌شوند که Accounting در دستگاه سرویس‌دهنده فعال باشد و پیام‌های لازم به سرور برسند.

برای مشاهده نشست‌های ثبت‌شده در RouterOS v7 می‌توانید از فرمان زیر استفاده کنید:

/user-manager/session/print detail

اطلاعات بسته به وضعیت نشست و پیام‌های دریافتی می‌تواند شامل نام کاربر، زمان شروع و پایان، مدت اتصال، حجم آپلود و دانلود و شناسه دستگاه ارسال‌کننده درخواست باشد.

اگر کاربر می‌تواند وارد شبکه شود اما اطلاعات مصرف او ثبت نمی‌شود، ابتدا گزینه radius-accounting را در پروفایل واقعی HotSpot بررسی کنید. سپس دسترسی شبکه‌ای و رسیدن پیام‌های Accounting به سرور RADIUS را بررسی کنید.

عیب‌یابی مشکلات متداول User Manager

کاربر نمی‌تواند وارد HotSpot شود

  • فعال‌بودن User Manager و نصب صحیح بسته را بررسی کنید.
  • مطمئن شوید روتر ارسال‌کننده درخواست در User Manager ثبت شده باشد.
  • Shared Secret در هر دو طرف باید دقیقاً یکسان باشد.
  • گزینه use-radius باید در پروفایلی فعال باشد که HotSpot واقعاً از آن استفاده می‌کند.
  • آدرس سرور RADIUS و دسترسی شبکه‌ای را بررسی کنید.

ورود موفق است اما گزارش نشست‌ها خالی است

احراز هویت و Accounting دو وظیفه مرتبط اما متمایز هستند. فعال‌بودن احراز هویت به‌تنهایی ثبت گزارش را تضمین نمی‌کند. وضعیت radius-accounting، پورت Accounting، فایروال و دریافت پیام‌های نشست را بررسی کنید.

حساب کاربر محدودیت‌های مورد انتظار را اعمال نمی‌کند

بررسی کنید که use-profiles فعال باشد، Limitation به Profile مربوط متصل شده باشد و پروفایل به حساب کاربر اختصاص یافته باشد. همچنین مشخص کنید محدودیت موردنظر به حجم، زمان اتصال یا نرخ انتقال مربوط است؛ این موارد یکسان نیستند.

پس از ارتقا از RouterOS v6 تنظیمات قبلی در دسترس نیست

User Manager در RouterOS v7 بازطراحی شده و از ساختار داده و پیکربندی جدیدی استفاده می‌کند. مهاجرت اطلاعات نسخه قدیمی به روش جداگانه نیاز دارد. پیش از اجرای فرایند مهاجرت، از اطلاعات نسخه قدیمی و پایگاه داده فعلی نسخه پشتیبان تهیه کنید و راهنمای رسمی MikroTik را مطالعه کنید.

نکات امنیتی مهم در راه‌اندازی User Manager

  • برای Shared Secret و حساب‌های کاربری، رمزهای قوی و اختصاصی انتخاب کنید.
  • از بازگذاشتن پورت‌های RADIUS برای تمام اینترنت خودداری کنید و دسترسی را به کلاینت‌های مورداعتماد محدود کنید.
  • پیش از تغییرات مهم، نصب بسته یا عملیات مربوط به پایگاه داده، نسخه پشتیبان تهیه کنید.
  • حساب‌های آزمایشی را پس از پایان آزمون غیرفعال یا حذف کنید.
  • پس از راه‌اندازی، با یک حساب آزمایشی، احراز هویت، محدودیت مصرف و ثبت نشست را جداگانه آزمایش کنید.

پرسش‌های متداول درباره User Manager میکروتیک

آیا User Manager فقط برای HotSpot استفاده می‌شود؟

خیر. User Manager سرور RADIUS در RouterOS است و برای سرویس‌هایی مانند HotSpot، PPP و برخی سناریوهای دیگر نیز قابل استفاده است. پیکربندی مناسب به سرویس و روش احراز هویت بستگی دارد.

آیا ساخت حساب به‌تنهایی محدودیت حجم و زمان را اعمال می‌کند؟

خیر. برای سیاست‌های مبتنی بر Profile و Limitation باید امکانات مربوط را فعال و به‌درستی پیکربندی کنید. ثبت اطلاعات مصرف نیز به فعال‌بودن Accounting و دریافت پیام‌های آن نیاز دارد.

چرا باید Shared Secret در دو محل یکسان باشد؟

Shared Secret برای محافظت از ارتباط RADIUS میان کلاینت و سرور استفاده می‌شود. اگر مقدارهای دو طرف یکسان نباشند، تبادل معتبر درخواست و پاسخ مختل می‌شود.

جمع‌بندی

MikroTik User Manager امکان متمرکزکردن احراز هویت و مدیریت دسترسی کاربران را در شبکه فراهم می‌کند. برای راه‌اندازی موفق آن باید بسته سازگار با دستگاه نصب شود، کلاینت RADIUS ثبت شود، سرویس موردنظر به RADIUS متصل گردد و در صورت نیاز، پروفایل‌ها و محدودیت‌ها تنظیم شوند.

بهترین روش برای شروع، آزمایش روی یک حساب محدود و غیرعملیاتی است. پس از اطمینان از ورود صحیح، ثبت نشست‌ها و اعمال سیاست‌های دسترسی، می‌توان راهکار را متناسب با تعداد کاربران و ساختار شبکه توسعه داد.

برای جزئیات نسخه‌محور، پیش از اجرای فرمان‌های مدیریتی به مستندات رسمی مراجعه کنید: