MikroTik Hotspot Kurulumu 2026 Rehberi

Neden MikroTik?

Türkiye'deki ağ kurulum sektöründe MikroTik, RouterOS'un zengin özellikleri ve uygun maliyeti nedeniyle standart haline gelmiştir. MikroTik'in hotspot modülü, ek yazılım gerektirmeden tam kapsamlı bir captive portal çözümü sunar. Dahili RADIUS istemcisi sayesinde dış sistemlerle entegrasyonu da oldukça esnektir.

Kurulum Öncesi Hazırlık

Kuruluma başlamadan önce şunların hazır olduğundan emin olun:

• WinBox — MikroTik'in ücretsiz yönetim aracı; mikrotik.com/download'dan indirin
• RouterOS lisansı — Hotspot için en az Level 4 gereklidir (çoğu cihazda dahili gelir)
• İnternet bağlantısı — WAN portu ISS modemine bağlı olmalı
• SSID kararı — Misafir ağı için bir WiFi adı belirleyin
• IP planı — Misafir ağı için örneğin 192.168.88.0/24 ayrılacak

Adım 1: WinBox ile Bağlantı

MikroTik'e bağlanmak için WinBox'ı açın. "Neighbors" sekmesinde cihazınız otomatik olarak listelenecektir. MAC adresiyle bağlanın (IP henüz atanmamış olabilir). Varsayılan kullanıcı adı admin, şifre boş.

Adım 2: İnternet Bağlantısını Yapılandırın

WAN (internet) bağlantısını kurmak için:

• 1
  IP → DHCP Client

  Yeni bir DHCP Client ekleyin, Interface olarak WAN portunu (genellikle ether1) seçin. "Add Default Route" işaretli olmalı. Apply ile kaydedin ve IP alındığını doğrulayın.
• 2
  IP → DNS

  DNS Servers olarak 8.8.8.8 ve 8.8.4.4 girin. "Allow Remote Requests" işaretleyin — bu, router'ın iç ağ için DNS sunucusu olarak çalışmasını sağlar.
• 3
  IP → Firewall → NAT

  Chain: srcnat, Out. Interface: ether1 (WAN), Action: masquerade kuralı ekleyin. Bu iç ağın internete çıkmasını sağlayan NAT kuralıdır.

Adım 3: Misafir Ağı Arayüzü

Misafir WiFi için ayrı bir bridge veya VLAN oluşturmak önerilir. Basit kurulum için yeni bir bridge oluşturup wireless arayüzü buraya ekleyeceğiz:

/interface bridge add name=bridge-misafir
/interface wireless set wlan1 ssid="Misafir WiFi" mode=ap-bridge \
  band=2ghz-b/g/n frequency=auto disabled=no
/interface bridge port add interface=wlan1 bridge=bridge-misafir
/ip address add address=192.168.100.1/24 interface=bridge-misafir

2.4 GHz ve 5 GHz'de ayrı SSID isterseniz wlan1 ve wlan2 için aynı bridge'e her ikisini de ekleyin.

Adım 4: DHCP Sunucusu

Misafir cihazlarına otomatik IP dağıtmak için DHCP sunucusu ekliyoruz:

/ip pool add name=pool-misafir ranges=192.168.100.10-192.168.100.254
/ip dhcp-server add address-pool=pool-misafir interface=bridge-misafir \
  name=dhcp-misafir disabled=no
/ip dhcp-server network add address=192.168.100.0/24 \
  gateway=192.168.100.1 dns-server=192.168.100.1

Adım 5: Hotspot Modülünü Aktifleştirin

MikroTik'in hotspot modülü, captive portal ve kullanıcı kimlik doğrulamasını yönetir. WinBox üzerinden:

• 1
  IP → Hotspot → Hotspot Setup

  Sihirbaz açılır. Interface olarak bridge-misafir seçin, ardından "Next" ile devam edin.
• 2
  Local Address: 192.168.100.1/24

  Hotspot sunucusunun dinleyeceği adres. "Masquerade Network" işaretli bırakın.
• 3
  Address Pool: pool-misafir

  Daha önce oluşturduğumuz IP havuzunu seçin.
• 4
  SSL Certificate: None (başlangıç için)

  Captive portal HTTPS için sertifika gerektirir. Bulut tabanlı çözüm kullanıyorsanız bu adımı atlayabilirsiniz.
• 5
  DNS Name: wifi.kafeniz.com (opsiyonel)

  Hotspot login sayfasının URL'si. DNS adı varsa kullanın, yoksa IP ile devam edin.

Adım 6: RADIUS Entegrasyonu

SMS doğrulama ve 5651 log tutma için harici bir RADIUS/captive portal servisi kullanacaksınız. Servis sağlayıcınız (örneğin SkyVault WiFi Portal) size şu bilgileri verir:

• RADIUS sunucu IP adresi
• RADIUS port (genellikle 1812)
• RADIUS shared secret

/radius add service=hotspot address=RADIUS_SERVER_IP \
  secret=SHARED_SECRET port=1812 timeout=3s
/ip hotspot profile set [find] use-radius=yes

RADIUS entegrasyonu aktif edildiğinde, her kullanıcı giriş denemesi servis sağlayıcınızın sunucusuna iletilir. SMS doğrulama, log kaydı ve KVKK yönetimi bu sunucu tarafından yapılır. MikroTik artık sadece ağ geçidi görevi görür.

Adım 7: Walled Garden — Portal Öncesi Erişilebilir Adresler

Kullanıcı giriş yapmadan önce bazı adreslere erişebilmesi gerekir: captive portal sayfasının kendisi, SMS doğrulama API'si ve Apple/Google CNA kontrol adresleri. Bu "walled garden" listesi:

/ip hotspot walled-garden
# Captive portal sunucusu
add dst-host=portal.skyvault.com.tr
# Apple CNA
add dst-host=captive.apple.com
add dst-host=www.apple.com
# Google CNA (Android)
add dst-host=connectivitycheck.gstatic.com
add dst-host=connectivitycheck.android.com

Adım 8: Bant Genişliği Sınırları

Misafir kullanıcıların işletme internetini aşırı kullanmasını önlemek için hız sınırı ekleyin:

/ip hotspot user profile set default \
  rate-limit="5M/5M" \
  session-timeout=8h \
  idle-timeout=30m

Bu ayarla her misafir kullanıcı maksimum 5 Mbps indirme/yükleme yapabilir ve 30 dakika boşta kalırsa otomatik çıkış yapılır. session-timeout=8h ise günde birden fazla bağlanmalarını gerektirebilir.

Adım 9: iOS / Android Captive Portal Uyumluluğu

Modern mobil işletim sistemleri WiFi'a bağlandığında otomatik portal tespiti yapar. Bu tespit doğru çalışmazsa kullanıcı "internet yok" uyarısı görür. Dikkat edilmesi gerekenler:

• iOS (Apple CNA): captive.apple.com adresinin walled garden'da açık olması şart
• Android: connectivitycheck.gstatic.com adresi açık olmalı
• Windows: www.msftconnecttest.com açık olmalı
• Port 80 yönlendirmesi: HTTP istekleri portal sayfasına yönlendirilmeli

Sık Karşılaşılan Sorunlar

Kullanıcı giriş yaptı ama internet yok

IP → Firewall → NAT kuralını kontrol edin. srcnat masquerade kuralında out-interface doğru WAN portu olmalı. Ayrıca hotspot'un kendi NAT kurallarının çakışmadığını doğrulayın.

RADIUS "timeout" hatası

RADIUS sunucu IP'si ve port numarasını kontrol edin. MikroTik'ten RADIUS sunucusuna ping atarak bağlantıyı doğrulayın. Güvenlik duvarınız UDP 1812 portunu bloke ediyor olabilir.

Bazı cihazlarda portal açılmıyor

Cihaz daha önce bu ağa bağlı kalmış ve session açık olabilir. IP → Hotspot → Active bölümünden aktif oturumları listeleyin ve sorunlu cihazın MAC adresini silin.

Yüksek CPU kullanımı

Hotspot modülü yoğun trafik altında CPU tüketebilir. Bu durumda connection tracking'i optimize edin veya daha güçlü bir model (CCR serisi) düşünün.

Güvenlik Kontrol Listesi

• ☐ Admin şifresi değiştirildi
• ☐ SSH sadece yönetim IP'sinden erişilebilir
• ☐ WinBox sadece yerel ağdan erişilebilir
• ☐ Misafir ağı işletme ağından VLAN ile ayrıldı
• ☐ RouterOS güncel sürüme güncellendi
• ☐ Gereksiz servisler (Telnet, FTP, www) kapatıldı
• ☐ Log kaydı aktif ve RADIUS'a gönderiliyor
• ☐ Bant genişliği limiti ayarlı

MikroTik altyapısını kurduktan sonra kafe ve restoran için captive portal rehberini inceleyerek bulut tabanlı bir yönetim sistemiyle entegre edebilirsiniz.