📘 Modul 05 · MikroTik Fundamentals

Hotspot — WiFi Tamu dengan Login Page

⏱ 70 menit 📝 8 lab tasks 🎯 Intermediate 🛠 WinBox / SSH

🎯 Setelah Modul Ini Kamu Akan Bisa

  • Membuat jaringan WiFi tamu yang terisolasi penuh dari LAN & subnet manajemen
  • Setup hotspot server dengan captive portal (halaman login) di RouterOS
  • Membuat voucher/user tamu dengan batas waktu, bukan password permanen
  • Memahami walled garden dan kenapa TIDAK boleh dipakai untuk buka akses manajemen
  • Menjelaskan prinsip privasi & batas logging yang benar untuk WiFi publik
Prasyarat: Sudah menyelesaikan Modul 04 — Firewall (paham chain forward, Safe Mode). Hardware: 2 jalur setara — (a) mandiri: CHR di VirtualBox (panduan setup →), atau (b) magang formal: hardware MikroTik di kantor mitra.
📡 Catatan CHR: CHR (virtual) tidak punya radio WiFi fisik. Modul ini fokus ke konfigurasi hotspot server (captive portal, voucher, isolasi) — logikanya identik baik medium aksesnya WiFi asli maupun kabel. Untuk CHR, pakai interface ethernet virtual TAMBAHAN sebagai simulasi "port menuju access point". Untuk hardware dengan radio bawaan (mis. hAP), interface wlan1 bisa dipakai langsung.

1 · PengantarSkenario: Pasien Minta WiFi Sambil Menunggu

Klinik gigi yang sama. Sekarang firewall sudah terpasang (Modul 04). Pasien yang menunggu di ruang tunggu sering minta akses WiFi. Opsi paling malas: kasih password WiFi biasa yang sama terus-menerus ke semua orang — tapi itu berarti password gampang tersebar ke luar tanpa kontrol, dan device pasien yang asing bisa "nempel" di jaringan yang sama dengan laptop staff kalau tidak dipisah.

💡 Solusinya: jaringan WiFi tamu yang benar-benar terpisah dari LAN staff, dengan captive portal (halaman login) dan voucher per-sesi — bukan password permanen yang sama untuk semua orang.

2 · KonsepIsolasi Jaringan Tamu — Prioritas Sebelum Apa Pun

Sebelum sentuh fitur hotspot sama sekali, keputusan desain paling penting: WiFi tamu HARUS di interface/bridge dan subnet yang BEDA dari LAN staff (bridge, subnet lab dari Modul 01-04) dan subnet manajemen (10.10.10.0/24).

🚨 Kalau satu subnet dengan LAN staff: device tamu (yang tidak terverifikasi, milik orang asing) berpotensi mencoba akses printer, CCTV, atau bahkan mencoba konek ke router manajemen — semua fitur hotspot (voucher, captive portal) jadi percuma kalau fondasi jaringannya tidak terisolasi dari awal.

Fitur hotspot (captive portal, voucher) itu lapisan tambahan di atas isolasi jaringan — bukan pengganti isolasi itu sendiri. Modul ini akan membangun keduanya: bridge+subnet terpisah, DAN firewall rule eksplisit yang memblokir trafik tamu menuju LAN/manajemen (melanjutkan pola chain forward dari Modul 04).

3 · KonsepCaptive Portal & Cara Kerja Hotspot

Hotspot di RouterOS bekerja dengan meng-intercept request HTTP pertama dari device baru yang belum login, lalu me-redirect ke halaman login (captive portal) — device itu tidak diizinkan akses internet penuh sampai berhasil login.

Setelah login sukses, RouterOS "mengingat" device itu (biasanya lewat MAC address) sampai sesi berakhir — baik karena logout manual, timeout idle, atau voucher/limit-uptime habis.

⚠ Batasan penting: captive portal HANYA bisa meng-intercept request HTTP biasa untuk memicu redirect awal. Ini bukan alasan untuk mengintersepsi atau melemahkan HTTPS milik device tamu — modul ini TIDAK mengajarkan cara "membuka" atau memodifikasi trafik HTTPS pengguna dengan cara apa pun. Begitu device sudah login, semua trafik (termasuk HTTPS) berjalan normal apa adanya, tanpa campur tangan tambahan dari router.

4 · KonsepVoucher & User Manager

Daripada satu password WiFi yang sama untuk semua tamu (gampang bocor, tidak bisa dikontrol), hotspot RouterOS pakai user/voucher individual dengan limit-uptime (batas durasi pemakaian).

  • Kontrol lebih baik: tiap voucher bisa dinonaktifkan sendiri-sendiri kalau disalahgunakan, tanpa mengganggu tamu lain.
  • Otomatis expire: limit-uptime=2h artinya voucher itu otomatis berhenti berfungsi setelah 2 jam pemakaian aktif — tidak perlu reset manual.
  • Tidak perlu identitas asli: voucher cukup pakai kode (mis. TAMU-DEMO-01), bukan nama asli atau nomor HP tamu — dibahas lebih lanjut di section 6.
⚠ Contoh di modul ini semuanya FIKTIF. Voucher, nama, dan data apa pun yang dipakai sebagai contoh CLI di bawah adalah data demo — jangan pernah pakai data tamu/pasien asli sebagai bahan latihan atau dokumentasi laporan.

5 · KonsepWalled Garden — Batasannya

Walled garden adalah daftar situs/tujuan yang bisa diakses tamu TANPA login dulu — contoh umum: halaman info klinik, atau portal pembayaran yang perlu diakses sebelum sesi hotspot resmi dimulai.

🚨 JANGAN PERNAH memasukkan IP/port manajemen (winbox 8291, ssh 22, atau subnet manajemen 10.10.10.0/24) ke walled garden. Walled garden bekerja SEBELUM firewall rule biasa dievaluasi untuk tamu yang belum login — kalau port manajemen dimasukkan situ, itu sama saja membuka celah ke router untuk SEMUA tamu yang bahkan belum login sama sekali, merusak seluruh isolasi yang dibangun di section 2 dan Modul 04.

Walled garden HANYA untuk mengizinkan akses ke situs/layanan eksternal tertentu sebelum login — bukan jalan pintas untuk melonggarkan keamanan jaringan internal.

6 · KonsepPrivasi & Batas Logging

Hotspot RouterOS secara default mencatat beberapa hal untuk keperluan operasional: waktu login/logout, MAC address device, IP yang dipakai, dan durasi sesi. Ini bukan berarti semua data itu boleh dikumpulkan atau disimpan tanpa batas.

Prinsip yang benar untuk WiFi publik/tamu

  • Kumpulkan seperlunya saja — voucher/username cukup kode (mis. nomor urut), jangan minta nama asli atau nomor HP tamu kalau tidak benar-benar perlu secara operasional.
  • Batasi retensi log — jangan disimpan selamanya "buat jaga-jaga". Tentukan periode wajar (mis. beberapa minggu) lalu hapus.
  • Batasi siapa yang bisa akses log — cukup admin jaringan, bukan semua staff.
  • Jangan pakai data hotspot untuk tujuan lain (misal marketing/profiling tamu) tanpa izin eksplisit — di luar tujuan operasional menyediakan akses internet.
💡 Kenapa ini bagian dari modul teknis? Kemampuan mengumpulkan data (karena fitur RouterOS memungkinkan) beda dengan harus mengumpulkan semuanya. Teknisi yang baik tahu batasannya — bukan cuma tahu caranya.

7 · PraktikDemo Step-by-Step (CLI)

Asumsi: ether3 adalah port menuju access point (atau interface ethernet tambahan di CHR untuk simulasi). Subnet tamu 192.168.77.0/24 — sengaja beda total dari subnet LAN (10.99.99.0/24) dan manajemen (10.10.10.0/24).

1

Buat bridge terpisah untuk tamu

> /interface bridge add name=bridge-guest > /interface bridge port add bridge=bridge-guest interface=ether3

Bridge baru ini SENGAJA terpisah dari bridge (LAN staff) yang sudah ada sejak Modul 01.

2

Assign subnet baru + DHCP untuk tamu

> /ip address add address=192.168.77.1/24 interface=bridge-guest > /ip pool add name=guest_pool ranges=192.168.77.10-192.168.77.200 > /ip dhcp-server network add address=192.168.77.0/24 gateway=192.168.77.1 dns-server=192.168.77.1 > /ip dhcp-server add name=dhcp_guest interface=bridge-guest address-pool=guest_pool lease-time=1h disabled=no

Lease pendek (1 jam) wajar untuk tamu — konsisten dengan prinsip yang dipelajari di Modul 02.

3

Setup hotspot server

> /ip hotspot profile add name=hsprof_guest hotspot-address=192.168.77.1 > /ip hotspot add name=hs_guest interface=bridge-guest address-pool=guest_pool profile=hsprof_guest

Ini yang mengaktifkan captive portal — mulai sekarang, device baru di bridge-guest akan di-redirect ke halaman login sebelum dapat internet.

4

Buat voucher (data FIKTIF)

> /ip hotspot user add name=TAMU-DEMO-01 password=demo12345 limit-uptime=2h

TAMU-DEMO-01 — kode voucher, bukan nama asli siapa pun. limit-uptime=2h membuat voucher otomatis berhenti berfungsi setelah 2 jam pemakaian aktif.

5

Isolasi: blokir tamu menuju LAN & manajemen

> /ip firewall filter add chain=forward src-address=192.168.77.0/24 dst-address=10.99.99.0/24 action=drop comment="block guest to LAN" > /ip firewall filter add chain=forward src-address=192.168.77.0/24 dst-address=10.10.10.0/24 action=drop comment="block guest to management"
⚠ Taruh rule ini SEBELUM rule "drop semua" chain forward dari Modul 04 (yang tetap harus di paling bawah) — tapi SETELAH rule accept established/related, mengikuti pola urutan yang sama.
6

Uji: connect & captive portal muncul

# Dari device test, connect ke jaringan tamu (192.168.77.0/24). # Buka browser ke situs manapun via HTTP — harus di-redirect ke halaman login.

Kalau langsung dapat internet TANPA diminta login, cek lagi status hotspot server (langkah 3) — mungkin belum aktif dengan benar.

7

Uji: login dengan voucher, uji isolasi

# Login pakai TAMU-DEMO-01 / demo12345 — harus dapat internet. # Dari device yang sama (SETELAH login), coba ping ke gateway LAN (10.99.99.1) # dan gateway manajemen (10.10.10.1) — HARUS gagal/timeout.

Kalau device tamu JUSTRU berhasil ping ke LAN/manajemen, rule isolasi (langkah 5) belum benar — perbaiki sebelum lanjut.

8

Backup & catat kebijakan retensi

> /system backup save name=setelah-hotspot-2026-05-02 > /export file=setelah-hotspot-2026-05-02

Selain backup config, tuliskan juga (di catatan/laporan, bukan di router): berapa lama log hotspot akan disimpan, dan siapa yang punya akses melihatnya — bagian dari praktik privasi section 6.

8 · Lab TaskPraktik Wajib — Hardware Kantor Mitra atau CHR Mandiri

🧭 Pilih jalurmu — keduanya setara dan sah:
  • Jalur Mandiri (CHR): lanjutkan CHR yang sama dari Modul 01-04, tambah 1 interface ethernet virtual untuk simulasi port tamu. Bukti kelulusan = screenshot tiap tahap, disimpan sendiri (tidak perlu verifikasi pembimbing).
  • Jalur Formal (magang): pakai hardware MikroTik yang sama dari Modul 01-04 di kantor mitra (pakai wlan1 kalau ada radio bawaan, atau port ethernet tambahan). Hasil dicatat di template Laporan PKL Bagian 4, dan diverifikasi langsung oleh pembimbing.

📋 8 Lab Tasks — Modul 05

  1. Buat bridge terpisah untuk jaringan tamu (BUKAN bridge LAN yang sama dari Modul 01-04). Screenshot /interface bridge print.
  2. Assign subnet BARU (non-overlap dengan LAN & manajemen) + DHCP server untuk subnet tamu. Screenshot /ip dhcp-server print.
  3. Setup hotspot server (profile + binding ke bridge tamu). Screenshot /ip hotspot print.
  4. Buat 1 voucher/user hotspot FIKTIF dengan limit-uptime. Screenshot /ip hotspot user print (nama voucher harus jelas kode/fiktif, bukan nama asli siapa pun).
  5. Buat firewall rule isolasi — blokir trafik subnet tamu menuju subnet LAN dan subnet manajemen. Screenshot /ip firewall filter print menunjukkan rule ini ditaruh di posisi yang benar (setelah established/related, sebelum drop-semua).
  6. Uji captive portal: device baru di jaringan tamu di-redirect ke halaman login sebelum dapat internet. Screenshot bukti halaman login muncul.
  7. Uji login & isolasi: login pakai voucher berhasil dapat internet, TAPI ping ke gateway LAN & manajemen dari device tamu harus gagal. Screenshot kedua hasil (berhasil internet + gagal ping internal).
  8. Backup akhir + tuliskan 1-2 kalimat kebijakan retensi log hotspot (berapa lama disimpan, siapa yang akses) di catatan/laporan.

Selesai? Jalur Formal: tunjuk pembimbing untuk verifikasi — pembimbing akan cek captive portal muncul, voucher berfungsi, DAN device tamu benar-benar tidak bisa akses LAN/manajemen. Jalur Mandiri: cek sendiri — kalau semua 8 bukti lengkap dan konsisten (terutama bukti isolasi jalan), lab task ini selesai. Simpan buktinya untuk checklist di halaman progres.

9 · Self-AssessmentCek Pemahaman (5 Soal)

1. Kenapa WiFi tamu HARUS di subnet terpisah dari LAN staff/manajemen?
2. Cara kerja captive portal hotspot RouterOS:
3. Kenapa voucher dengan limit-uptime lebih baik dari 1 password WiFi permanen untuk semua tamu?
4. Kenapa port/subnet manajemen TIDAK BOLEH dimasukkan ke walled garden?
5. Prinsip yang benar soal privasi & logging WiFi tamu:

10 · RangkumanKey Takeaways Modul 05

  1. Isolasi jaringan dulu, baru fitur hotspot — subnet tamu harus beda total dari LAN & manajemen.
  2. Captive portal me-redirect request HTTP pertama ke halaman login sebelum internet penuh diizinkan.
  3. Voucher + limit-uptime jauh lebih baik dari password WiFi permanen — kontrol individual & auto-expire.
  4. Walled garden cuma untuk akses situs eksternal sebelum login — TIDAK PERNAH untuk port/subnet manajemen.
  5. Captive portal bukan alasan melemahkan HTTPS — trafik pengguna setelah login berjalan normal apa adanya.
  6. Data minimal — voucher pakai kode, bukan identitas asli tamu; batasi retensi & akses log.
  7. Uji isolasi dua arah: internet berhasil (setelah login) DAN akses ke LAN/manajemen gagal — bukan cuma tes salah satu.

📘 Modul Berikutnya

Modul 06 — Monitoring: Netwatch, Traffic Graph, Logs

Modul terakhir dari MikroTik Fundamentals — cara memantau kesehatan jaringan yang sudah dibangun (Modul 01-05) lewat Netwatch (ping monitoring), traffic graph, dan analisis log untuk troubleshooting proaktif.

← Kembali ke daftar 6 modul

11 · GlossariumIstilah Penting di Modul Ini

Hotspot
Fitur RouterOS yang meng-intercept trafik device baru dan mewajibkan login (captive portal) sebelum internet penuh diizinkan.
Captive Portal
Halaman login yang muncul otomatis saat device baru mencoba browsing sebelum login ke hotspot.
Voucher
User/kredensial hotspot individual dengan batas waktu (limit-uptime), pengganti password WiFi permanen.
Limit-Uptime
Parameter yang membuat voucher otomatis berhenti berfungsi setelah durasi pemakaian aktif tertentu.
Walled Garden
Daftar tujuan yang bisa diakses tamu TANPA login dulu — hanya untuk situs eksternal, bukan port manajemen.
Isolasi Jaringan
Praktik memisahkan subnet/interface tamu dari LAN staff & manajemen supaya tidak saling terlihat/terjangkau.
Minimalisasi Data
Prinsip privasi: kumpulkan & simpan data seperlunya saja sesuai tujuan operasional, bukan sebanyak mungkin.
Retensi Log
Berapa lama data/log disimpan sebelum dihapus — harus dibatasi periode wajar, bukan disimpan selamanya.