Intégration MikroTik et NAS

01Architecture d'intégration

Daddy SAS communique avec les routeurs MikroTik sur deux canaux — RADIUS standard pour les décisions AAA, et des opérations côté routeur (API/CoA) pour les actions de session en direct.

• RADIUS (UDP 1812/1813) transporte l'authentification, l'autorisation et la comptabilité.
• CoA/Disconnect-Message (UDP 3799) pousse les changements de politique et tue les sessions en direct.
• Les opérations Router-API sont utilisées là où elles sont supportées pour les actions de gestion.
• Vos abonnés, forfaits et facturation vivent centralement dans Daddy SAS — le routeur reste le point d'application.

02Ajouter un NAS

• Enregistrez le routeur dans la section NAS/routeur du panneau d'administration avec son adresse IP et un secret partagé.
• Activez le service correspondant : serveur PPPoE, Hotspot ou IPoE/DHCP.
• Pointez le routeur vers Daddy SAS comme son serveur RADIUS (voir l'exemple ci-dessous).

03Configuration RouterOS illustrative

Syntaxe RouterOS standard — remplacez les placeholders par vos valeurs. Illustrative, non copiée d'un déploiement en production.

# 1. Pointez le routeur vers le serveur Daddy SAS
/radius add service=ppp,hotspot \
    address=<DADDYSAS_IP> secret=<STRONG_SECRET> \
    authentication-port=1812 accounting-port=1813 timeout=3s

# 2. Utilisez RADIUS pour l'authentification PPP + comptabilité
/ppp aaa set use-radius=yes accounting=yes interim-update=5m

# 3. Activez CoA / Disconnect-Message (UDP 3799)
/radius incoming set accept=yes port=3799

# 4. Profil Hotspot → comptabilité RADIUS
/ip hotspot profile set [find] use-radius=yes \
    radius-accounting=yes interim-update=5m

04Compatibilité

• MikroTik RouterOS et RouterBOARD — toutes les versions supportées (confirmé par le propriétaire).
• Autres plateformes NAS : Cisco, StarOS, ChilliSpot, pfSense, DD-WRT/OpenWRT.
• Provisionnement DOCSIS CMTS pour les réseaux câblés.

05Opérations multi-NAS

• Exploitez de nombreux routeurs depuis un seul tableau de bord — chaque NAS reçoit sa propre entrée, secret et affectation de service.
• Un abonné peut s'authentifier sur tout NAS autorisé par son compte ; les sessions sont suivies par NAS.
• Les actions de session en direct (déconnexion, changement de débit) sortent via RADIUS CoA/DM et les opérations router-API.
• La surveillance par NAS isole quel routeur a un problème de communication.

06Recommandations de sécurité

• Restreignez le service RADIUS à la seule adresse du serveur et limitez qui peut atteindre UDP 1812/1813.
• Utilisez un secret partagé aléatoire long par NAS — ne les réutilisez jamais.
• Gardez la gestion du routeur (Winbox/API) hors des adresses publiques ; un VPN ou un VLAN de gestion est recommandé.
• Les déploiements derrière NAT/CGNAT sont réalisables — demandez la topologie recommandée au support.