Usaroam Cloud Mikrotik Entegrasyon Rehberi

1 - Useroam Panele Cihaz Ekleme

İlk olarak panel.useroam.com adresinden panelinize giriş yapıp Yeni Cihaz ekleyiniz. Cihaz Adresi kısmına, firewall üzerinden hangi dış bacak IP adresi ile iletişim kuracaksanız onu tanımlayınız.

2 - Bridge ve Port Yapılandırması

Bridge > Bridge ekranından BR-MISAFIR isimli yeni bir sanal köprü oluşturunuz. Ardından Bridge > Ports ekranına gelerek misafir ağına ayıracağınız fiziksel portları (Örn: ether4 ve ether5) bu bridge'e dahil ediniz.

Alternatif CLI Komutları:

/interface bridge add name=BR-MISAFIR comment="Misafir bridge"
/interface bridge port add bridge=BR-MISAFIR interface=ether4 horizon=1
/interface bridge port add bridge=BR-MISAFIR interface=ether5 horizon=1

3 - Misafir Ağ IP ve DHCP Sunucu Kurulumu

IP > Addresses menüsünden oluşturduğunuz BR-MISAFIR arayüzüne misafir ağ geçidi IP'sini (Örn: 192.168.3.1/24) tanımlayınız.

Ardından IP > Pool altından misafir cihazların alacağı IP aralığını belirleyip, IP > DHCP Server menüsünden misafir IP dağıtım servisini aktif ediniz.

Alternatif CLI Komutları:

/ip address add address=192.168.3.1/24 interface=BR-MISAFIR comment="Guest GW"
/ip pool add name=POOL-MISAFIR ranges=192.168.3.50-192.168.3.250
/ip dhcp-server add name=DHCP-MISAFIR interface=BR-MISAFIR address-pool=POOL-MISAFIR disabled=no
/ip dhcp-server network add address=192.168.3.0/24 gateway=192.168.3.1 dns-server=192.168.3.1

4 - Hotspot ve RADIUS / Useroam Entegrasyonu

IP > Hotspot menüsünde BR-MISAFIR üzerinde Hotspot servisini sihirbaz yardımıyla kurunuz. Yerel ağ geçidi adresini 192.168.3.1 olarak seçerek ilerleyiniz.

Hotspot kurulumu bittikten sonra, ana menüdeki Radius sekmesine gelerek yeni bir servis ekleyiniz. Sunucu IP alanına Useroam Cloud RADIUS IP adresi olan 104.247.174.120 giriniz. Hotspot Server Profile ayarları içerisinden Use RADIUS seçeneğini aktif (yes) konumuna getiriniz.

Alternatif CLI Komutları:

/radius add service=hotspot address=104.247.174.120 secret="RADIUS_SECRET" authentication-port=1812 accounting-port=1813 require-message-auth=no
/ip hotspot profile set HS-PROFILE-MISAFIR use-radius=yes radius-accounting=yes

5 - Walled Garden İzin Kuralları

Oturum açmamış misafir kullanıcıların karşılama ekranına ve Useroam paneline kesintisiz ulaşabilmesi için Hotspot altındaki Walled Garden listesine gerekli izinleri ekleyiniz.

Alternatif CLI Komutları:

/ip hotspot walled-garden add dst-host=panel.useroam.com action=allow
/ip hotspot walled-garden ip add dst-address=104.247.174.120 protocol=tcp dst-port=80 action=accept
/ip hotspot walled-garden ip add dst-address=104.247.174.120 protocol=tcp dst-port=443 action=accept

6 - Firewall Güvenlik Sıkılaştırma (Hardening) Kuralları

IP > Firewall > Filter Rules menüsüne giderek misafir ağından MikroTik cihazının yönetim portlarına (Winbox, SSH, Webfig, API) erişimi kapatınız. Ayrıca misafir ağından şirket iç ağlarına (LAN) veya kamera ağlarına erişimi engellemek için izolasyon kurallarını tanımlayınız.

Alternatif CLI Komutları:

/ip firewall filter add chain=input src-address=192.168.3.0/24 protocol=tcp dst-port=22,80,443,8291,8728,8729 action=drop comment="Guest -> Router mgmt DROP"
/ip firewall filter add chain=forward src-address=192.168.3.0/24 dst-address=192.168.2.0/24 action=drop comment="Guest -> LAN DROP"
/ip firewall filter add chain=forward src-address=192.168.3.0/24 dst-address=192.168.88.0/24 action=drop comment="Guest -> CAMERA DROP"

7 - DNS Görünürlüğü ve Bypass Engelleme (DNS Visibility)

Kullanıcıların harici DNS sunucuları (DoH, DoT, QUIC) kullanarak 5651 loglama sistemini ve DNS visibility politikalarını aşmasını (bypass) engellemek amacıyla, tüm DNS isteklerini MikroTik üzerinden geçmeye zorlayınız.

Alternatif CLI Komutları:

/ip dns set allow-remote-requests=yes servers=1.1.1.3,1.0.0.3
/ip firewall nat add chain=dstnat src-address=192.168.3.0/24 protocol=udp dst-port=53 action=redirect to-ports=53 comment="Force Guest DNS UDP"
/ip firewall nat add chain=dstnat src-address=192.168.3.0/24 protocol=tcp dst-port=53 action=redirect to-ports=53 comment="Force Guest DNS TCP"
/ip firewall filter add chain=forward src-address=192.168.3.0/24 protocol=tcp dst-port=853 action=drop comment="Block Guest DoT TCP"
/ip firewall filter add chain=forward src-address=192.168.3.0/24 protocol=udp dst-port=853 action=drop comment="Block Guest DoT UDP"
/ip firewall filter add chain=forward src-address=192.168.3.0/24 protocol=udp dst-port=443 action=drop comment="Block Guest QUIC"

8 - Syslog ile Logları Useroam'a Yönlendirme

System > Logging ve Logging Actions menüleri altından; hotspot, account, dhcp ve firewall süreçlerine ait tüm log akışını yasal 5651 imzalamasının yapılabilmesi amacıyla Useroam syslog sunucusuna yönlendiriniz.

Alternatif CLI Komutları:

/system logging action set remote remote=104.247.174.120 remote-port=514 remote-protocol=udp
/system logging add topics=hotspot action=remote
/system logging add topics=hotspot,account action=remote
/system logging add topics=dhcp action=remote
/system logging add topics=firewall action=remote

9 - Kontrol ve Doğrulama Adımları

Sistem kurulumunu tamamladıktan sonra terminal üzerinden aşağıdaki komutları çalıştırarak servislerin, RADIUS iletişiminin ve aktif kullanıcı oturumlarının durumunu doğrulayabilirsiniz:

/ip hotspot active print
/ip hotspot host print
/radius print detail
/ip hotspot profile print detail
/ip firewall filter print
/ip firewall nat print
/ip dns cache print
/log print where topics~"hotspot|radius|account|dns|firewall"

Önemli - Entegrasyon Tamamlandı

Hepsi bu kadar! MikroTik mevcut cihaz üzerinde misafir ağı, Hotspot ve Useroam entegrasyon işlemleriniz başarıyla tamamlandı. Süreç esnasında herhangi bir teknik aksaklık yaşarsanız destek@useroamteknoloji.com adresi üzerinden teknik destek ekibimizle iletişime geçebilirsiniz.