วิธีตั้งค่า MikroTik กับ Radius Server ทำ WiFi Hotspot ยืนยันตัวตน

คืนวันเสาร์ตอนสี่ทุ่มกว่าๆ โทรศัพท์ผมดังขึ้น ปลายสายคือเจ้าของโรงแรมขนาด 80 ห้องที่ผมเคยเข้าไปดูแล เสียงเขาดูตื่นตระหนกมากเพราะแขกหน้าเคาน์เตอร์ยืนต่อคิวโวยวายกันเพียบเนื่องจากไม่สามารถต่อ WiFi ได้เลย พอผม Remote เข้าไปเช็ก Router MikroTik ตัวเก่งของเขาก็พบสาเหตุทันที CPU วิ่ง 100% ค้างเติ่ง เพราะฐานข้อมูล User Manager ในตัวอุปกรณ์มันบวมจนรับไม่ไหวจากการสร้างคูปองและเก็บบันทึกประวัติผู้ใช้งานแน่นเกินไป นั่นคือจุดเริ่มต้นที่ผมต้องรีบจัดแจงย้ายระบบยืนยันตัวตนทั้งหมดไปไว้บน Radius Server แยกต่างหากคืนนั้นทันที

เหตุการณ์คืนนั้นทำให้ผมย้ำกับลูกค้าเสมอครับว่า ถ้าคุณคิดจะทำระบบ WiFi Hotspot ที่รองรับผู้ใช้งานเกิน 30-50 คนขึ้นไป การหวังพึ่งพาแพ็กเกจ User Manager ที่แถมมาใน MikroTik เพียงอย่างเดียวคือความเสี่ยง วันนี้ผมเลยอยากมาแชร์ วิธีตั้งค่า MikroTik ร่วมกับ Radius Server แบบจับมือทำ เพื่อให้ระบบเครือข่ายของคุณทำงานได้เสถียร ลื่นไหล และไม่ต้องคอยรับสายโทรศัพท์ตามแก้ปัญหาตอนดึกๆ เหมือนผม

ทำไมต้องแยก Radius Server ออกจาก MikroTik?

ก่อนที่เราจะเริ่มกดปุ่ม Config บน RouterOS ผมอยากเล่าให้ฟังถึงโครงสร้างสถาปัตยกรรมแบบ AAA (Authentication, Authorization, Accounting) สั้นๆ ครับ เมื่อเราแยกหน้าที่กันทำงาน Router MikroTik จะทำหน้าที่เป็นแค่ Gateway ถอดรหัสผ่านและคุม Bandwidth ส่วนเรื่องการตรวจสอบรหัสผ่านและการบันทึกข้อมูลจราจรทางคอมพิวเตอร์ตาม พ.ร.บ.คอมพิวเตอร์ จะถูกส่งไปให้ Radius Server ภายนอกเป็นคนจัดการ

• ลดภาระ CPU และ RAM บน MikroTik: อุปกรณ์ไม่ต้องแบกรับฐานข้อมูลผู้ใช้ ทำให้ตัว Router โฟกัสเรื่องการ Routing แพ็กเกจได้อย่างเต็มประสิทธิภาพ
• รองรับการขยายระบบ (Scalability): หากอนาคตคุณเพิ่ม Router MikroTik เป็น 5 ตัวสำหรับ 5 อาคาร คุณสามารถใช้ Radius Server ศูนย์กลางเพียงเครื่องเดียวในการยืนยันตัวตนได้ทันที ไม่ต้องสร้างคูปองซ้ำหลายรอบ
• ความปลอดภัยสูงกว่า: ข้อมูลรหัสผ่านของลูกค้าและ Billing System จะถูกจัดเก็บในฐานข้อมูลที่ปลอดภัยและมีการทำ Backup ได้ง่ายกว่าการเก็บไว้ใน Router

สิ่งที่ต้องเตรียมพร้อมก่อนเริ่มการตั้งค่า

เพื่อให้การเชื่อมต่อเป็นไปอย่างราบรื่น คุณควรจัดเตรียมข้อมูล 4 ส่วนนี้เอาไว้ให้เรียบร้อยก่อนครับ:

• IP Address ของ MikroTik (เช่น 192.168.88.1)
• IP Address ของ Radius Server (เช่น 192.168.88.250)
• ค่า RADIUS Secret (รหัสผ่านเชื่อมต่อระหว่าง MikroTik กับ Radius ต้องตรงกันทั้งสองฝั่ง)
• การตั้งค่า Hotspot Basic บน MikroTik (สร้าง Bridge, IP Pool, DHCP Server ไว้เรียบร้อยแล้ว)

5 ขั้นตอนวิธีตั้งค่า MikroTik ร่วมกับ Radius Server

1. ตั้งค่า RADIUS Client บน MikroTik

เปิดโปรแกรม Winbox เข้าไปยัง MikroTik จากนั้นมองหารายการเมนู RADIUS ทางด้านซ้ายมือ คลิกปุ่มเครื่องหมายบวก (+) เพื่อเพิ่ม Radius Server ตัวใหม่

ในหน้าต่างที่เด้งขึ้นมา ให้ติ๊กเลือกบริการ hotspot จากนั้นใส่ IP Address ของ Radius Server ลงในช่อง Address ใส่รหัสผ่านความปลอดภัยในช่อง Secret แล้วกด OK คุณจะเห็นว่า MikroTik พร้อมส่งข้อมูลการตรวจสอบตัวตนไปที่ Server แล้ว

2. เปิดใช้งาน RADIUS ใน Hotspot Server Profile

ไปที่เมนู IP > Hotspot > แท็บ Server Profiles ให้ดับเบิลคลิกที่ Profile ของ Hotspot ที่คุณใช้งานอยู่ (เช่น hsprof1)

ย้ายไปที่แท็บ RADIUS ติ๊กเช็กถูกที่ช่อง Use RADIUS และในส่วนของ MAC Authentication ให้ปรับตั้งค่าตามรูปแบบที่คุณต้องการ หากระบบ Radius ของคุณรองรับ NAS Identifier แนะนำให้ใส่ชื่ออุปกรณ์ลงในช่อง NAS ID เพื่อให้ Radius Server แยกได้ว่า Traffic นี้มาจาก MikroTik สาขาไหน

3. กำหนดค่า Authentication Types (Captive Portal)

ในแท็บ Login ของ Server Profiles เดียวกัน ให้เลือกรูปแบบการรับข้อมูล Login จากหน้า Captive Portal โดยทั่วไปเราจะเลือกใช้ HTTP PAP หรือ HTTP CHAP เพื่อให้การส่งรหัสผ่านจากหน้าเว็บไปตรวจสอบที่ Radius Server ทำงานได้อย่างถูกต้องตรงตามมาตรฐาน

4. ปรับตั้งค่า Walled Garden และ Domain Bypass

สำหรับระบบยืนยันตัวตนที่ต้องมีหน้าชำระเงินออนไลน์ หรือต้องเชื่อมต่อ Social Login (เช่น Facebook หรือ Line Login) คุณจำเป็นต้องไปกำหนดที่เมนู IP > Hotspot > Walled Garden เพื่ออนุญาตให้ผู้ใช้ออกไปดึงข้อมูลจาก Server ภายนอกได้ก่อนที่จะผ่านการ Authenticate ครับ

5. ทดสอบการ Authenticate และตรวจสอบ Status

เมื่อตั้งค่าเสร็จแล้ว ให้ลองนำสมาร์ตโฟนหรือโน้ตบุ๊กเชื่อมต่อสัญญาณ WiFi Hotspot หน้า Login ควรจะเด้งขึ้นมาโดยอัตโนมัติ ให้ทดลองกรอก Username และ Password ที่สร้างไว้ใน Radius Server หากตั้งค่าถูกต้อง ระบบจะยอมให้เข้าใช้งานอินเทอร์เน็ตทันที และในหน้า IP > Hotspot > แท็บ Active บน MikroTik จะปรากฏชื่อผู้ใช้พร้อมสัญลักษณ์ 'R' ซึ่งหมายความว่า User นี้ผ่านการยืนยันตัวตนมาจาก RADIUS นั่นเองครับ

3 ปัญหาที่ผมเจอบ่อยที่สุดในการเชื่อมต่อ MikroTik กับ Radius

จากประสบการณ์ที่ผมออกไปแก้หน้างานให้ลูกค้า ปัญหาที่ทำให้ระบบเชื่อมต่อไม่ผ่านมักจะมาจากจุดเล็กๆ น้อยๆ เหล่านี้ครับ:

• RADIUS Secret ไม่ตรงกัน: พิมพ์ผิดแม้แต่ตัวเดียวหรือมีช่องว่าง (Spacebar) เกินมา อุปกรณ์ทั้งสองฝั่งจะไม่คุยกันทันที
• ติดบล็อก Firewall (UDP Port 1812, 1813): ต้องเช็กให้แน่ใจว่า Router หรือตัว Server ไม่ได้ตั้งค่าปิด Port 1812 (Authentication) และ Port 1813 (Accounting) เอาไว้
• Time Domain ไม่ตรงกัน: เวลา (NTP Server) บน MikroTik กับ Radius Server ไม่ตรงกัน ทำให้ Token รหัสผ่านหมดอายุก่อนเวลาที่ควรจะเป็น

สรุปบทเรียนจากประสบการณ์สนามจริง

การปรับมาใช้ วิธีตั้งค่า MikroTik ร่วมกับ Radius Server ไม่เพียงแต่จะช่วยแก้ปัญหา CPU ค้างหรือเน็ตหลุดบ่อยเท่านั้น แต่มันคือการวางรากฐานโครงสร้างเครือข่ายที่เป็นมืออาชีพสำหรับองค์กร อพาร์ตเมนต์ หรือโรงแรม การแยกภาระงานภายนอกช่วยให้คุณจัดการบันทึกข้อมูลการใช้งานย้อนหลัง ออกรายงานคูปอง และคุมสปีดอินเทอร์เน็ตได้นิ่งกว่าเดิมหลายเท่าครับ

หากคุณลองทำตามขั้นตอนข้างต้นแล้วยังติดขัด หรือต้องการระบบ Radius Server สำเร็จรูปที่ออกแบบมาสำหรับงาน WiFi Hotspot โดยเฉพาะ ทีมงาน SIAM-LOGIN พร้อมให้คำแนะนำและช่วยเหลือดูแลระบบเครือข่ายของคุณเสมอครับ