Integración MikroTik y NAS

01Arquitectura de integración

Daddy SAS habla con routers MikroTik por dos canales — RADIUS estándar para decisiones AAA, y operaciones del lado del router (API/CoA) para acciones de sesión en vivo.

• RADIUS (UDP 1812/1813) transporta autenticación, autorización y contabilidad.
• CoA/Disconnect-Message (UDP 3799) empuja cambios de política y mata sesiones en vivo.
• Las operaciones Router-API se usan donde están soportadas para acciones de gestión.
• Tus suscriptores, paquetes y facturación viven centralmente en Daddy SAS — el router sigue siendo el punto de aplicación.

02Añadir un NAS

• Registra el router en la sección NAS/router del panel de administración con su dirección IP y un shared secret.
• Habilita el servicio correspondiente: servidor PPPoE, Hotspot o IPoE/DHCP.
• Apunta el router hacia Daddy SAS como su servidor RADIUS (ver el ejemplo abajo).

03Configuración RouterOS ilustrativa

Sintaxis estándar de RouterOS — reemplaza los placeholders con tus valores. Ilustrativa, no copiada de un despliegue en vivo.

# 1. Apunta el router al servidor Daddy SAS
/radius add service=ppp,hotspot \
    address=<DADDYSAS_IP> secret=<STRONG_SECRET> \
    authentication-port=1812 accounting-port=1813 timeout=3s

# 2. Usa RADIUS para autenticación PPP + contabilidad
/ppp aaa set use-radius=yes accounting=yes interim-update=5m

# 3. Habilita CoA / Disconnect-Message (UDP 3799)
/radius incoming set accept=yes port=3799

# 4. Perfil Hotspot → contabilidad RADIUS
/ip hotspot profile set [find] use-radius=yes \
    radius-accounting=yes interim-update=5m

04Compatibilidad

• MikroTik RouterOS y RouterBOARD — todas las versiones soportadas (confirmado por el propietario).
• Otras plataformas NAS: Cisco, StarOS, ChilliSpot, pfSense, DD-WRT/OpenWRT.
• Aprovisionamiento DOCSIS CMTS para redes de cable.

05Operaciones multi-NAS

• Opera muchos routers desde un solo panel — cada NAS obtiene su propia entrada, secreto y asignación de servicio.
• Un suscriptor puede autenticarse en cualquier NAS permitido por su cuenta; las sesiones se rastrean por NAS.
• Las acciones de sesión en vivo (desconexión, cambio de velocidad) salen por RADIUS CoA/DM y operaciones router-API.
• El monitoreo por NAS aísla qué router tiene un problema de comunicación.

06Recomendaciones de seguridad

• Restringe el servicio RADIUS solo a la dirección del servidor y limita quién puede alcanzar UDP 1812/1813.
• Usa un shared secret aleatorio largo por NAS — nunca los reutilices.
• Mantén la gestión del router (Winbox/API) fuera de direcciones públicas; se recomienda una VPN o VLAN de gestión.
• Los despliegues detrás de NAT/CGNAT son viables — pregunta a soporte por la topología recomendada.