Integração MikroTik e NAS

01Arquitetura de integração

O Daddy SAS fala com routers MikroTik por dois canais — RADIUS padrão para decisões AAA, e operações do lado do router (API/CoA) para ações de sessão ao vivo.

• RADIUS (UDP 1812/1813) transporta autenticação, autorização e contabilidade.
• CoA/Disconnect-Message (UDP 3799) empurra mudanças de política e mata sessões ao vivo.
• As operações Router-API são usadas onde suportadas para ações de gestão.
• Os seus subscritores, pacotes e faturação vivem centralmente no Daddy SAS — o router permanece o ponto de aplicação.

02Adicionar um NAS

• Registe o router na secção NAS/router do painel de administração com o seu endereço IP e um shared secret.
• Ative o serviço correspondente: servidor PPPoE, Hotspot ou IPoE/DHCP.
• Aponte o router para o Daddy SAS como o seu servidor RADIUS (veja o exemplo abaixo).

03Configuração RouterOS ilustrativa

Sintaxe RouterOS padrão — substitua os placeholders pelos seus valores. Ilustrativa, não copiada de uma implementação ao vivo.

# 1. Aponte o router para o servidor Daddy SAS
/radius add service=ppp,hotspot \
    address=<DADDYSAS_IP> secret=<STRONG_SECRET> \
    authentication-port=1812 accounting-port=1813 timeout=3s

# 2. Use RADIUS para autenticação PPP + contabilidade
/ppp aaa set use-radius=yes accounting=yes interim-update=5m

# 3. Ative CoA / Disconnect-Message (UDP 3799)
/radius incoming set accept=yes port=3799

# 4. Perfil Hotspot → contabilidade RADIUS
/ip hotspot profile set [find] use-radius=yes \
    radius-accounting=yes interim-update=5m

04Compatibilidade

• MikroTik RouterOS e RouterBOARD — todas as versões suportadas (confirmado pelo proprietário).
• Outras plataformas NAS: Cisco, StarOS, ChilliSpot, pfSense, DD-WRT/OpenWRT.
• Provisionamento DOCSIS CMTS para redes de cabo.

05Operações multi-NAS

• Opere muitos routers a partir de um único painel — cada NAS recebe a sua própria entrada, segredo e atribuição de serviço.
• Um subscritor pode autenticar-se em qualquer NAS permitido pela sua conta; as sessões são rastreadas por NAS.
• As ações de sessão ao vivo (desconexão, mudança de velocidade) saem por RADIUS CoA/DM e operações router-API.
• A monitorização por NAS isola qual router tem um problema de comunicação.

06Recomendações de segurança

• Restrinja o serviço RADIUS apenas ao endereço do servidor e limite quem pode alcançar UDP 1812/1813.
• Use um shared secret aleatório longo por NAS — nunca os reutilize.
• Mantenha a gestão do router (Winbox/API) fora de endereços públicos; uma VPN ou VLAN de gestão é recomendada.
• Implementações atrás de NAT/CGNAT são viáveis — pergunte ao suporte pela topologia recomendada.