Cara Setting Walled Garden Hotspot Mikrotik dengan Benar

Menjual voucher secara online di jaringan hotspot terdengar sederhana sampai Anda menyadari ada satu lingkaran setan di dalamnya: calon pembeli tidak bisa membuka halaman toko karena belum login, sementara dia belum bisa login karena belum memiliki voucher. Fitur walled garden hotspot memecahkan persoalan itu dengan memberi izin akses ke alamat tertentu meski pengguna sama sekali belum melewati proses autentikasi. Saya memakai fitur ini setiap hari pada jaringan hotspot yang saya kelola, terutama untuk membuka halaman pembelian voucher dan gerbang pembayaran, dan seluruh isi artikel ini berangkat dari pengalaman lapangan tersebut.

Banyak teknisi mengira pengaturan walled garden hotspot cukup satu baris perintah lalu selesai. Kenyataannya jauh lebih berliku, terutama sejak hampir seluruh situs pindah ke HTTPS dan memakai jaringan pengiriman konten yang alamat IP-nya berganti setiap beberapa menit. Saya pernah menghabiskan satu malam penuh hanya untuk mencari tahu kenapa halaman toko voucher tampil sempurna, tetapi tombol bayar sama sekali tidak merespons ketika pengunjung menekannya.

Artikel ini membahas konsep walled garden hotspot, mekanisme internal RouterOS, perbedaan dua menu yang sering membingungkan, langkah konfigurasi yang benar-benar saya jalankan di lapangan, sampai daftar masalah umum beserta solusinya. Semua contoh memakai domain netral seperti toko.example.com dan bayar.example.com supaya Anda bisa menggantinya dengan alamat milik jaringan sendiri. Perintah yang saya tulis berasal dari keluarga menu /ip hotspot walled-garden pada RouterOS versi 6 akhir dan versi 7, jadi Anda bisa menyalinnya langsung ke terminal.

Pengertian Walled Garden Hotspot dan Analogi Taman Berpagar

Walled garden hotspot adalah daftar putih berisi alamat tujuan yang boleh pengguna buka sebelum dia berhasil login ke portal hotspot. Router tetap menahan seluruh trafik lain dan mengalihkannya ke halaman login, tetapi trafik menuju alamat dalam daftar itu lolos begitu saja tanpa syarat. Konsep ini muncul jauh sebelum Mikrotik populer, dan hampir semua vendor perangkat hotspot komersial menyediakan padanannya dengan nama yang mirip.

Istilah aslinya berarti taman berpagar, dan analogi itu memang paling pas untuk menjelaskannya kepada pemilik warung yang tidak paham jaringan. Bayangkan sebuah taman besar berpagar tinggi dengan satu gerbang berpenjaga. Pengunjung yang belum membeli tiket tidak boleh masuk ke area utama, namun dia tetap boleh berjalan-jalan di pelataran depan, membaca papan informasi, dan yang terpenting, mendatangi loket untuk membeli tiket.

Pelataran depan itulah yang Anda bangun ketika menyusun walled garden hotspot pada RouterOS. Loket tiket berperan sebagai halaman toko voucher, papan informasi berperan sebagai halaman bantuan atau nomor kontak pengelola, dan area utama taman adalah internet bebas yang hanya terbuka setelah pengunjung membayar. Tanpa pelataran itu, calon pelanggan berdiri di depan pagar tanpa cara apa pun untuk membeli tiket, dan Anda kehilangan penjualan.

Beda Walled Garden Hotspot dengan Bypass MAC dan Trial

Teknisi pemula sering mencampuradukkan tiga mekanisme yang sebenarnya berbeda tujuan. Bypass berbasis MAC address memberi satu perangkat akses penuh ke internet tanpa login, biasanya untuk mesin kasir, CCTV, atau printer jaringan. Fitur trial memberi seluruh pengunjung waktu gratis terbatas, misalnya lima belas menit sehari, lalu memutus mereka setelah kuota habis.

Walled garden hotspot bekerja pada dimensi yang berbeda sama sekali. Alih-alih membebaskan perangkat tertentu, mekanisme ini membebaskan tujuan tertentu bagi semua perangkat. Seratus pengunjung sekaligus boleh membuka toko.example.com, tetapi tidak satu pun dari mereka bisa membuka media sosial atau memutar video sebelum login.

Perbedaan itu penting karena menentukan risiko keamanan. Salah memasang bypass MAC hanya membocorkan satu perangkat, sedangkan salah memasang daftar putih membocorkan satu tujuan untuk seluruh jaringan sekaligus. Saya akan kembali ke risiko ini di bagian tips, karena inilah kesalahan yang paling mahal akibatnya bagi pemilik jaringan.

Posisi Walled Garden Hotspot dalam Alur Autentikasi

Setiap paket dari perangkat yang belum login melewati serangkaian pemeriksaan sebelum router memutuskan nasibnya. Pemeriksaan daftar putih terjadi setelah router mengenali perangkat sebagai host hotspot, tetapi sebelum router mengalihkan paket ke halaman login. Urutan itu masuk akal, sebab kalau pengalihan terjadi lebih dulu, tidak akan pernah ada kesempatan bagi paket menuju toko voucher untuk lolos.

RouterOS menyimpan dua daftar terpisah untuk keperluan ini, dan router memeriksa keduanya pada tahap yang berbeda. Satu daftar bekerja setelah router membedah permintaan HTTP, sedangkan daftar lainnya bekerja jauh lebih awal pada level alamat IP. Pemahaman soal urutan pemeriksaan inilah yang membedakan konfigurasi walled garden hotspot yang jalan mulus dengan konfigurasi yang selalu setengah jadi.

Banyak orang gagal justru karena memasukkan entri ke daftar yang salah. Domain HTTPS yang Anda taruh di daftar berbasis nama host tidak akan pernah cocok, karena router tidak sanggup membaca isi permintaan yang sudah terenkripsi. Bagian berikutnya membedah mekanisme itu satu per satu supaya Anda tidak jatuh ke lubang yang sama.

Cara Kerja Walled Garden Hotspot Menahan Pengguna Sebelum Login

Begitu sebuah perangkat terhubung ke jaringan hotspot dan menerima alamat IP dari DHCP, RouterOS langsung mendaftarkannya ke tabel host dengan status tamu yang belum login. Router memasang aturan NAT dinamis pada rantai khusus hotspot yang membelokkan seluruh permintaan HTTP port 80 ke proxy internal hotspot di port 64872. Proxy internal itulah yang menampilkan halaman login ketika pengunjung membuka situs apa pun.

Permintaan DNS mendapat perlakuan serupa. Router membelokkan port 53 milik klien ke server DNS lokal RouterOS sehingga pengunjung tetap bisa menerjemahkan nama domain walaupun dia mengisi pengaturan DNS publik di perangkatnya. Mekanisme itu penting karena tanpa resolusi nama, browser tidak akan pernah sampai pada tahap mengirim permintaan HTTP.

Trafik selain HTTP dan DNS mendapat nasib paling sederhana: router membuangnya. Aplikasi yang mencoba mengunduh pembaruan, klien surel yang menarik pesan baru, atau permainan daring yang menghubungi servernya semuanya berhenti di router tanpa jawaban. Kondisi inilah yang membuat pengunjung merasa perangkatnya kehilangan koneksi meski indikator WiFi menunjukkan sinyal penuh, dan walled garden hotspot hadir untuk memberi pengecualian terukur pada kondisi tersebut.

Titik Masuk Walled Garden Hotspot pada Rantai Pemeriksaan

Ketika proxy internal menerima permintaan HTTP dari klien yang belum login, proxy tersebut membaca header Host dan mencocokkannya dengan daftar nama host yang Anda daftarkan. Cocok berarti proxy meneruskan permintaan ke server tujuan lalu mengembalikan jawabannya ke klien, persis seperti proxy biasa. Tidak cocok berarti proxy menjawab dengan pengalihan ke halaman login.

Trafik non-HTTP menempuh jalur pemeriksaan yang berbeda. RouterOS mencocokkan alamat IP tujuan, protokol, dan nomor port dengan daftar kedua sebelum aturan pembuangan bekerja. Cocok berarti paket lolos apa adanya tanpa sentuhan proxy sama sekali, sehingga koneksi terenkripsi tetap utuh dari klien sampai server.

Dua jalur pemeriksaan itu berjalan berdampingan dan saling melengkapi. Jalur pertama sudah cukup menangani situs HTTP polos, sedangkan situs HTTPS wajib melewati jalur kedua. Praktik terbaik yang saya pakai selalu mendaftarkan alamat penting ke kedua daftar sekaligus, karena biaya tambahannya nol sementara risiko kelewatan jadi jauh berkurang.

Perbedaan walled-garden dan walled-garden ip

Menu /ip hotspot walled-garden menampung aturan berbasis nama host, jalur, dan metode HTTP. Anda mengisi parameter dst-host dengan nama domain, opsional menambahkan path untuk membatasi pada folder tertentu, dan menentukan action berisi allow atau deny. Aturan pada menu ini hanya bekerja bila permintaan melewati proxy internal hotspot, artinya hanya berlaku untuk trafik HTTP port 80.

Menu /ip hotspot walled-garden ip menampung aturan berbasis alamat IP, protokol, dan port. Parameternya mencakup dst-address, dst-host, dst-port, protocol, dan action yang berisi accept, reject, atau drop. Aturan pada menu ini bekerja pada level jaringan sehingga sanggup meloloskan protokol apa pun, termasuk HTTPS, kueri DNS eksternal, bahkan ping.

Perbedaan paling membingungkan muncul pada parameter dst-host yang ada di kedua menu dengan arti berbeda. Pada menu pertama, nilai itu berarti nama host yang router cocokkan dengan header permintaan HTTP. Pada menu kedua, RouterOS menerjemahkan nama tersebut menjadi alamat IP lalu memasang aturan berdasarkan hasil terjemahannya.

Tabel Perbandingan Dua Menu

Panduan Memilih Menu Walled Garden Hotspot yang Tepat

Pilih menu berbasis nama host ketika tujuan Anda benar-benar memakai HTTP polos dan Anda butuh penyaringan halus sampai level path. Contoh nyatanya adalah halaman informasi internal, portal captive milik jaringan sendiri, atau server lokal yang belum memakai sertifikat. Menu ini juga berguna untuk memblokir sub-bagian tertentu dari domain yang sudah Anda buka lewat aturan deny.

Pilih menu berbasis IP untuk semua kebutuhan modern, terutama toko voucher dan gerbang pembayaran yang pasti memakai HTTPS. Menu ini juga satu-satunya cara membuka layanan non-web seperti pengiriman notifikasi, sinkronisasi waktu, atau koneksi API yang halaman toko panggil di latar belakang. Beban prosesornya jauh lebih ringan karena router hanya mencocokkan alamat, bukan membedah isi permintaan.

Strategi walled garden hotspot yang saya jalankan di seluruh jaringan pelanggan cukup sederhana: daftarkan setiap domain penting ke kedua menu sekaligus. Menu pertama tetap melayani perangkat lawas yang masih mengakses lewat HTTP, sedangkan menu kedua melayani browser modern yang langsung memaksa HTTPS. Cara ini menghemat waktu diagnosis ketika ada keluhan dari pengguna dengan ponsel model lama.

Kelebihan dan Kekurangan Walled Garden Hotspot

Keunggulan terbesar walled garden hotspot terletak pada kemampuannya mengubah jaringan dari sekadar gerbang akses menjadi kanal penjualan mandiri. Pengunjung yang baru duduk di warung kopi bisa langsung membeli voucher dari ponselnya tanpa mengantre di kasir, dan pemilik warung tidak perlu mencetak kertas voucher sama sekali. Saya mencatat kenaikan transaksi sekitar tiga puluh persen pada dua lokasi setelah memindahkan penjualan ke halaman daring.

Keunggulan kedua menyangkut pengalaman pengguna secara umum. Halaman bantuan, nomor WhatsApp pengelola, dan panduan pemakaian tetap terbuka bagi pengunjung yang kebingungan, sehingga jumlah panggilan telepon ke teknisi turun drastis. Banyak pengelola meremehkan nilai tambah walled garden hotspot semacam ini padahal dampaknya nyata pada beban kerja harian mereka.

Kekurangannya juga tidak sedikit dan wajib Anda perhitungkan. Daftar yang terlalu longgar membuka celah internet gratis, ekosistem HTTPS modern menyulitkan pencocokan berbasis nama, dan setiap penambahan entri walled garden hotspot menambah pekerjaan pemeliharaan karena penyedia layanan kerap mengubah domain pendukungnya tanpa pemberitahuan.

Ringkasan Untung Rugi dalam Tabel

Mengapa Walled Garden Hotspot Sering Gagal pada Situs HTTPS

Pertanyaan ini muncul hampir di setiap pemasangan baru, dan jawabannya berakar pada cara kerja enkripsi. Ketika browser membuka alamat HTTPS, browser membangun terowongan terenkripsi lebih dulu, baru mengirim permintaan di dalamnya. Router yang menyadap trafik di tengah jalan hanya melihat aliran byte acak, sehingga proxy internal hotspot tidak menemukan header Host untuk mencocokkannya dengan daftar Anda.

Satu-satunya petunjuk yang tersisa berada di paket pembuka bernama Client Hello, tepatnya pada ekstensi Server Name Indication. Ekstensi itu memuat nama domain tujuan dalam bentuk teks polos, dan sebagian perangkat kelas atas memakainya untuk penyaringan. RouterOS memang mengenal pencocokan berbasis TLS host pada firewall filter, tetapi mekanisme hotspot sendiri tidak memakainya untuk daftar putih.

Konsekuensinya jelas: mendaftarkan domain HTTPS hanya ke menu berbasis nama host tidak akan pernah berhasil. Anda harus memindahkan atau menduplikasi entri tersebut ke menu berbasis IP agar router meloloskan paketnya. Kesalahan penempatan entri walled garden hotspot ini menyumbang mayoritas keluhan yang saya terima dari teknisi yang baru pertama kali menyetel toko voucher daring.

Masalah Sertifikat dan Peringatan Keamanan

Sebagian teknisi mencoba jalan pintas dengan memaksa semua trafik lewat proxy transparan lalu memasang sertifikat sendiri. Pendekatan itu memicu peringatan keamanan besar di browser pengunjung karena sertifikat yang mereka terima bukan milik server asli. Ponsel modern bahkan menolak melanjutkan koneksi sama sekali pada situs yang menerapkan HSTS.

Pemilik warung akan menerima protes dalam hitungan menit, dan reputasi jaringan Anda ikut tercoreng. Saya pernah mencoba pendekatan ini pada satu lokasi uji dan langsung membatalkannya di hari yang sama. Pelajaran yang saya ambil sederhana: jangan pernah membedah trafik terenkripsi milik penyedia pembayaran, karena taruhannya jauh lebih besar daripada kenyamanan konfigurasi.

Solusi yang benar justru menghindari pembedahan sama sekali. Biarkan koneksi terenkripsi lewat utuh dari klien ke server, dan cukup atur router agar mengizinkan alamat tujuannya. Pendekatan ini menjaga keamanan transaksi pembayaran sekaligus membuat konfigurasi walled garden hotspot Anda jauh lebih stabil dalam jangka panjang.

CDN dengan Alamat IP yang Berubah-ubah

Hambatan kedua datang dari jaringan pengiriman konten. Penyedia besar menyebar layanannya ke ratusan titik dan mengembalikan alamat IP berbeda tergantung lokasi, beban server, bahkan waktu. Alamat yang Anda catat hari ini bisa tidak berlaku lagi besok pagi, dan aturan statis yang Anda buat langsung kehilangan gunanya.

Situasi bertambah rumit karena satu halaman toko biasanya menarik sumber daya dari beberapa domain sekaligus. Skrip pembayaran datang dari satu domain, pustaka antarmuka dari domain lain, dan gambar dari domain ketiga. Memblokir salah satunya membuat halaman tampil separuh jadi atau tombolnya mati total meski alamat utama sudah terbuka.

Menuliskan seluruh alamat IP secara manual jelas bukan jawaban bagi walled garden hotspot yang harus bertahan berbulan-bulan. Pendekatan yang berkelanjutan memanfaatkan kemampuan RouterOS menerjemahkan nama domain menjadi entri daftar alamat secara otomatis, lalu menyegarkannya secara berkala. Sub-bagian berikut menjelaskan caranya dengan perintah yang bisa Anda salin.

Solusi Address-List Dinamis dari Resolusi DNS

RouterOS menerima nama domain pada parameter address di menu /ip firewall address-list. Router menerjemahkan nama itu memakai server DNS yang aktif lalu membuat entri dinamis untuk setiap alamat hasil terjemahan. Setiap kali masa berlaku catatan DNS habis, router memperbarui entri tersebut, sehingga daftar Anda mengikuti perubahan di sisi penyedia.

Langkah berikutnya menautkan daftar alamat itu ke aturan walled garden hotspot. RouterOS 7 menyediakan parameter dst-address-list pada menu /ip hotspot walled-garden ip sehingga satu aturan cukup untuk mewakili puluhan alamat sekaligus. Bila versi RouterOS Anda belum mengenal parameter tersebut, pakai dst-host pada aturan yang sama karena router juga menerjemahkannya secara otomatis.

Efektivitas cara ini bergantung pada satu syarat: server DNS router harus menerjemahkan nama yang sama dengan yang diterima perangkat pengunjung. Karena hotspot sudah membelokkan seluruh kueri DNS klien ke router, mayoritas kasus otomatis memenuhi syarat itu. Perhatikan saja perangkat yang memaksa DNS terenkripsi, sebab ponsel semacam itu bisa memperoleh alamat berbeda dari yang tercatat di daftar Anda.

Persiapan Sebelum Menyetel Walled Garden Hotspot

Persiapan pertama menyangkut kondisi dasar jaringan. Pastikan server hotspot sudah berjalan normal, halaman login tampil, dan pengguna dengan voucher valid bisa masuk tanpa kendala. Kalau tahap dasar ini belum beres, silakan tuntaskan dulu lewat panduan membangun server hotspot dari awal sebelum melangkah lebih jauh.

Persiapan kedua berupa inventaris domain. Buka halaman toko voucher Anda di komputer biasa, tekan F12 untuk membuka alat pengembang browser, lalu pindah ke tab Network dan muat ulang halamannya. Catat setiap nama domain yang muncul di kolom permintaan, termasuk domain skrip, gambar, dan panggilan API yang berjalan saat Anda menekan tombol bayar. Daftar itulah bahan mentah walled garden hotspot yang akan Anda susun nanti.

Persiapan ketiga menyangkut akses dan cadangan. Siapkan Winbox atau SSH dengan akun yang berwenang, lalu ambil cadangan konfigurasi sebelum mengubah apa pun. Kebiasaan mencadangkan konfigurasi sebelum menyentuh menu hotspot sudah menyelamatkan saya beberapa kali ketika aturan baru ternyata memutus akses seluruh pengguna.

Memastikan Profil Hotspot Sudah Benar

Profil hotspot menyimpan pengaturan yang memengaruhi cara router menangani daftar putih. Periksa nilai login-by, nama DNS portal, dan alamat proxy induk lewat perintah print. Biarkan parameter http-proxy pada nilai bawaan bila Anda tidak memakai proxy eksternal, sebab hotspot tetap menjalankan proxy internalnya sendiri untuk keperluan pencocokan nama host.

/ip hotspot print
/ip hotspot profile print detail
/ip hotspot walled-garden print
/ip hotspot walled-garden ip print

Perhatikan juga nama profil dan nama server hotspot yang aktif. Anda memerlukan nama server tersebut bila hendak membatasi aturan agar hanya berlaku pada satu server hotspot dari beberapa yang berjalan di router yang sama. Tanpa parameter server, aturan berlaku untuk seluruh server hotspot pada router itu.

Pemeriksaan terakhir menyangkut server DNS. Router wajib memiliki server DNS yang berfungsi dan mengizinkan permintaan dari klien lokal, karena seluruh mekanisme penerjemahan nama bergantung padanya. Perintah pada langkah keempat nanti mengatur bagian ini secara lengkap.

Cara Konfigurasi Walled Garden Hotspot Langkah demi Langkah

Bagian ini menyusun konfigurasi walled garden hotspot dari nol sampai teruji, dengan urutan yang saya pakai setiap kali memasang jaringan baru. Ikuti langkahnya berurutan karena setiap tahap bergantung pada tahap sebelumnya. Ganti semua domain contoh dengan alamat asli milik jaringan Anda sebelum menjalankan perintahnya.

Langkah 1 — Membuka Domain Toko Voucher

Mulailah dari alamat yang paling penting, yaitu halaman tempat pengunjung membeli voucher. Daftarkan domainnya ke menu berbasis nama host untuk melayani permintaan HTTP, lalu daftarkan domain yang sama ke menu berbasis IP untuk melayani HTTPS. Beri komentar yang jelas pada setiap entri supaya Anda mudah menelusurinya enam bulan kemudian.

/ip hotspot walled-garden
add dst-host=toko.example.com action=allow comment="toko voucher http"
add dst-host="*.example.com" action=allow comment="subdomain toko http"

/ip hotspot walled-garden ip
add dst-host=toko.example.com protocol=tcp dst-port=443 action=accept comment="toko voucher https"
add dst-host=toko.example.com protocol=tcp dst-port=80 action=accept comment="toko voucher http ip"

Tanda bintang pada entri kedua berfungsi sebagai regexp yang mencocokkan seluruh subdomain. Gunakan pola itu dengan hati-hati dan hanya pada domain milik Anda sendiri, sebab pola yang terlalu luas membuka pintu bagi pemakaian di luar rencana. Saya membahas risikonya lebih rinci pada bagian tips.

Langkah 2 — Membuka Domain Gerbang Pembayaran

Penyedia pembayaran hampir selalu memakai lebih dari satu domain. Halaman utamanya berada di satu alamat, aset statis di alamat kedua, dan titik akhir API di alamat ketiga. Daftarkan seluruhnya karena melewatkan satu saja membuat proses pembayaran berhenti di tengah jalan tanpa pesan kesalahan yang jelas.

/ip hotspot walled-garden ip
add dst-host=bayar.example.com protocol=tcp dst-port=443 action=accept comment="gerbang bayar utama"
add dst-host=api.bayar.example.com protocol=tcp dst-port=443 action=accept comment="titik akhir api"
add dst-host=aset.bayar.example.com protocol=tcp dst-port=443 action=accept comment="aset statis bayar"

/ip hotspot walled-garden
add dst-host="*.bayar.example.com" action=allow comment="cadangan http gerbang bayar"

Perhatikan bahwa penyedia pembayaran juga memanggil domain bank atau dompet digital ketika pengguna memilih metode tertentu. Pengujian menyeluruh dengan setiap metode pembayaran menjadi keharusan, bukan pilihan. Saya biasa mencoba minimal tiga metode berbeda sebelum menyatakan konfigurasi siap produksi.

Langkah 3 — Mengatur DNS agar Resolusi Berjalan

Server DNS router menjadi tulang punggung seluruh mekanisme penerjemahan nama. Aktifkan penerimaan permintaan dari klien, isi alamat penerus yang cepat, dan perpanjang masa simpan cache secukupnya agar router tidak menerjemahkan ulang terus-menerus. Nilai cache yang terlalu panjang justru merugikan pada domain CDN karena alamatnya cepat berubah.

/ip dns
set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes cache-size=4096KiB cache-max-ttl=1d
/ip dns cache print

Hotspot sudah membelokkan kueri DNS klien ke router lewat aturan NAT dinamis, jadi Anda tidak perlu menambahkan aturan daftar putih khusus untuk port 53. Tambahkan aturan itu hanya bila Anda sengaja menonaktifkan pembelokan DNS dan ingin klien memakai penerjemah eksternal. Kondisi semacam itu jarang saya temui di lapangan.

Langkah 4 — Memakai Address-List untuk Domain CDN

Kelola domain yang menyebar di banyak alamat lewat daftar alamat. Buat satu daftar bernama jelas, isi dengan nama domain, lalu tautkan daftar itu ke satu aturan hotspot. Router menerjemahkan setiap nama menjadi entri dinamis dan memperbaruinya sendiri seiring waktu.

/ip firewall address-list
add list=wg-bayar address=cdn.bayar.example.com comment="cdn gerbang bayar"
add list=wg-bayar address=static.example.com comment="aset statis toko"
add list=wg-bayar address=img.example.com comment="gambar produk"

/ip hotspot walled-garden ip
add dst-address-list=wg-bayar protocol=tcp dst-port=443 action=accept comment="cdn via address-list"
add dst-address-list=wg-bayar protocol=tcp dst-port=80 action=accept comment="cdn http via address-list"

Periksa hasilnya dengan mencetak isi daftar alamat setelah beberapa detik. Anda akan melihat entri dinamis bertanda huruf D beserta alamat IP hasil terjemahan dan sisa masa berlakunya. Daftar yang kosong menandakan resolusi gagal, dan penyebab paling umumnya adalah server DNS router yang belum berfungsi.

Langkah 5 — Menutup Celah dengan Aturan Deny

Kadang Anda tidak punya pilihan selain membuka seluruh subdomain, misalnya ketika penyedia tidak mendokumentasikan daftar domainnya. Batasi dampaknya dengan menambahkan aturan penolakan pada bagian yang jelas-jelas tidak Anda butuhkan. Urutan aturan berpengaruh, jadi letakkan entri penolakan di atas entri pengizinan.

/ip hotspot walled-garden
add dst-host="video.example.com" action=deny comment="tutup subdomain video" place-before=0

/ip hotspot walled-garden ip
add dst-host=video.example.com protocol=tcp dst-port=443 action=reject comment="tutup video https" place-before=0

Nilai reject mengirim pesan penolakan ke klien sehingga browser gagal cepat, sedangkan drop membuang paket diam-diam dan menyebabkan browser menunggu sampai kehabisan waktu. Saya lebih suka reject pada aturan yang berhadapan langsung dengan pengguna karena pengalamannya lebih baik. Pakai drop hanya untuk trafik yang Anda anggap penyalahgunaan.

Langkah 6 — Menguji Walled Garden Hotspot dari Perangkat Tamu

Pengujian dari laptop teknisi yang sudah pernah login tidak sah sebagai bukti. Ambil ponsel yang belum pernah terhubung, lupakan jaringannya bila perlu, lalu sambungkan ulang dan coba buka halaman toko tanpa login. Bersihkan tabel host hotspot terlebih dulu supaya router memperlakukan perangkat itu sebagai tamu baru.

/ip hotspot host print
/ip hotspot host remove [find where authorized=no]
/ip hotspot active print

Lanjutkan pengujian sampai transaksi benar-benar selesai, bukan berhenti di halaman katalog. Tekan tombol bayar, pilih metode, selesaikan pembayaran uji coba, dan pastikan pengunjung menerima kode vouchernya. Konfigurasi walled garden hotspot baru layak Anda sebut selesai setelah satu siklus penuh berjalan mulus dari ponsel milik orang lain.

Studi Kasus Walled Garden Hotspot di Lapangan

Teori terasa rapi sampai Anda berhadapan dengan jaringan sungguhan beserta segala keanehannya. Dua kasus penerapan walled garden hotspot berikut saya ambil dari pemasangan nyata, dengan angka yang saya catat sendiri selama masa uji. Nama tempat dan domain sengaja saya samarkan demi privasi pemiliknya.

Warung Kopi dengan Empat Puluh Pengunjung Harian

Lokasi pertama berupa warung kopi dengan satu RB951Ui, satu access point tambahan, dan rata-rata empat puluh pengunjung per hari. Pemiliknya lelah mencetak voucher kertas karena kertas itu sering hilang dan menyulitkan penghitungan pada akhir bulan. Kami memindahkan penjualan ke halaman daring lalu membuka aksesnya lewat delapan entri walled garden hotspot.

Hasil minggu pertama mengejutkan: dua puluh tiga transaksi berhasil, tetapi sembilan pengunjung mengeluh tombol bayar tidak berfungsi. Penelusuran log menunjukkan satu domain penyedia dompet digital belum masuk daftar, dan domain itu hanya muncul ketika pengguna memilih metode pembayaran tertentu. Penambahan satu entri menyelesaikan seluruh keluhan dalam satu sore.

Angka bulan kedua naik menjadi seratus sembilan puluh transaksi tanpa mencetak satu pun voucher kertas. Pemilik warung kini hanya memeriksa laporan penjualan dari ponselnya, dan saya cukup memantau daftar putih sebulan sekali. Kombinasi ini juga memudahkan dia mengganti tarif tanpa menyentuh router sama sekali.

RT-RW Net dengan Seratus Delapan Puluh Pelanggan

Kasus kedua datang dari jaringan RT-RW Net yang melayani seratus delapan puluh pelanggan PPPoE ditambah area hotspot di dua balai warga. Pengelolanya ingin warga pendatang bisa membeli akses harian tanpa menghubungi admin. Perancangan jaringannya sendiri saya bahas pada artikel merintis jaringan RT-RW Net dari nol bila Anda ingin gambaran menyeluruh.

Tantangan terbesar di lokasi ini justru soal skala. Dua area hotspot berjalan pada satu router dengan profil berbeda, dan pengelola hanya ingin membuka toko pada salah satunya. Parameter server menyelesaikan persoalan itu karena setiap aturan walled garden hotspot bisa Anda ikat pada nama server tertentu saja.

Selama tiga bulan pertama, penjualan harian stabil di angka dua belas sampai delapan belas voucher. Satu insiden sempat terjadi ketika pengelola menambahkan pola wildcard terlalu luas dan beberapa warga menemukan cara berselancar gratis lewat subdomain di luar perkiraan. Perbaikan berupa penggantian pola menjadi daftar domain eksplisit menutup celah tersebut dalam hitungan menit.

Tips dan Best Practice Walled Garden Hotspot

Kumpulan saran walled garden hotspot berikut lahir dari kesalahan yang pernah saya buat sendiri. Menerapkannya sejak awal menghemat banyak waktu diagnosis di kemudian hari. Beberapa di antaranya terdengar sepele, tetapi justru bagian sepele itulah yang paling sering terlewat.

Mulai dari Daftar Sekecil Mungkin

Godaan terbesar saat menyetel daftar putih adalah membuka banyak domain sekaligus supaya cepat selesai. Pendekatan itu justru menyulitkan karena Anda tidak pernah tahu entri mana yang sebenarnya berperan. Mulailah dari satu domain utama, uji, lalu tambahkan entri berikutnya hanya ketika pengujian menunjukkan ada yang kurang.

Metode bertahap ini juga menghasilkan dokumentasi alami. Setiap entri yang Anda tambahkan punya alasan konkret yang tercatat pada kolom komentar, bukan sekadar warisan dari konfigurasi lama. Enam bulan kemudian Anda akan berterima kasih pada diri sendiri ketika harus merapikan daftar yang sudah panjang.

Tetapkan juga batas jumlah entri yang wajar. Pengalaman saya menunjukkan sepuluh sampai lima belas entri walled garden hotspot sudah cukup untuk toko voucher lengkap dengan dua metode pembayaran. Daftar yang membengkak sampai puluhan entri biasanya menandakan ada pola wildcard yang salah tempat atau entri usang yang lupa Anda hapus.

Manfaatkan Tabel Host dan Log Router

Perintah /ip hotspot host print memperlihatkan setiap perangkat yang terhubung beserta status autentikasinya. Kolom bytes membantu Anda menilai apakah seorang tamu benar-benar hanya membuka toko atau justru menyedot data dalam jumlah mencurigakan. Pemeriksaan rutin lewat perintah ini sering mengungkap penyalahgunaan sebelum tagihan bandwidth membengkak.

/system logging add topics=hotspot action=memory
/log print where topics~"hotspot"
/ip hotspot host print detail where authorized=no

Aktifkan pencatatan topik hotspot hanya selama masa diagnosis, lalu matikan kembali setelah selesai. Log yang menyala terus-menerus memenuhi memori router kecil dan menutupi pesan penting lainnya. Saya biasa menyalakannya selama satu jam saat menelusuri keluhan, lalu segera mematikannya.

Alat pengembang browser tetap menjadi pelengkap yang tak tergantikan. Tab Network memperlihatkan domain mana yang gagal dimuat lengkap dengan kode kesalahannya, informasi yang tidak muncul di log router. Gabungkan kedua sumber ini dan penelusuran masalah biasanya selesai dalam beberapa menit saja.

Hati-hati Membuka Wildcard Terlalu Luas

Pola bintang memang menghemat waktu, tetapi risikonya nyata. Membuka seluruh subdomain sebuah penyedia besar berarti membuka pula layanan penyimpanan awan, pemutar video, dan berbagai layanan lain yang kebetulan bernaung di domain yang sama. Pengguna yang jeli akan menemukannya, dan kabar itu menyebar cepat di lingkungan padat.

Pola yang lebih aman membatasi diri pada domain milik Anda sendiri. Untuk domain pihak ketiga, tuliskan nama lengkapnya satu per satu meski jumlahnya jadi lebih banyak. Prinsip yang sama berlaku pada penyaringan konten secara umum, sebagaimana saya jelaskan pada artikel membatasi akses situs tertentu di RouterOS.

Lakukan audit walled garden hotspot secara berkala setiap tiga bulan. Cetak seluruh daftar, cocokkan dengan kebutuhan yang sedang berjalan, lalu hapus entri yang sudah tidak relevan. Kebiasaan kecil ini menjaga jaringan tetap rapi sekaligus mengurangi permukaan serangan, seiring prinsip yang saya bahas pada panduan memperkuat keamanan perangkat Mikrotik.

Troubleshooting Masalah Umum Walled Garden Hotspot

Tiga masalah berikut mencakup hampir seluruh keluhan yang saya terima dari lapangan. Pola gejalanya khas sehingga Anda bisa mengenalinya hanya dari deskripsi pengguna. Solusinya pun umumnya singkat begitu Anda tahu di mana harus mencari.

Halaman Toko Terbuka tetapi Tombol Bayar Gagal

Gejala ini muncul ketika domain utama sudah lolos sementara router masih memblokir sumber daya pendukungnya. Halaman katalog memuat sempurna karena HTML dan gambar berasal dari domain yang sudah Anda daftarkan. Tombol bayar mati karena skrip pemroses transaksi datang dari domain berbeda yang belum masuk daftar.

Diagnosisnya cepat: buka halaman yang sama dari perangkat yang sudah login, tekan F12, lalu bandingkan daftar permintaan dengan hasil dari perangkat tamu. Domain yang muncul pada perangkat terautentikasi tetapi hilang pada perangkat tamu adalah tersangka utamanya. Tambahkan domain tersebut ke menu berbasis IP dengan port 443, lalu uji ulang.

Kasus varian terjadi ketika browser berhasil memuat skrip tetapi panggilan API-nya gagal. Perhatikan kolom status pada tab Network, sebab kode kesalahan jaringan menunjukkan pemblokiran sedangkan kode kesalahan aplikasi menunjukkan persoalan di sisi server. Membedakan keduanya menghindarkan Anda dari mengubah router padahal masalahnya ada di tempat lain.

Gambar dan Ikon Tidak Muncul

Halaman yang tampil polos tanpa gambar hampir selalu berarti router belum membuka domain aset statis. Perancang halaman modern memisahkan gambar dan berkas gaya ke domain khusus supaya pemuatan lebih cepat. Pemisahan itu bagus untuk kinerja tetapi menambah satu domain lagi ke daftar yang harus Anda urus.

Perbaikannya cukup dengan menambahkan domain aset ke daftar alamat dinamis yang sudah Anda buat di langkah keempat. Cara ini lebih rapi daripada menambah aturan baru satu per satu, terutama bila penyedia memakai beberapa domain aset sekaligus. Setelah entri masuk, muat ulang halaman dengan pembersihan cache di ponsel penguji.

Gejala mirip juga muncul bila browser gagal memuat font web, dan akibatnya halaman tampil dengan huruf berbeda atau ikon berubah menjadi kotak kosong. Perlakuan untuk kasus ini sama persis dengan penanganan domain aset. Halaman login hotspot yang Anda rancang sendiri sebaiknya memuat seluruh asetnya secara lokal, sebagaimana saya sarankan pada panduan menyesuaikan tampilan halaman login hotspot.

Pengguna Bisa Berselancar Gratis

Masalah paling merugikan justru bergejala paling sunyi karena tidak ada yang mengeluh. Petunjuk pertamanya biasanya berupa lonjakan pemakaian bandwidth yang tidak sebanding dengan jumlah voucher terjual. Petunjuk kedua muncul pada tabel host berupa perangkat tak terautentikasi dengan angka bytes sangat besar.

Penyebab tersering berupa pola wildcard yang terlalu luas atau aturan berbasis IP tanpa batasan port. Aturan yang hanya menyebut alamat tujuan tanpa protocol dan dst-port meloloskan seluruh protokol menuju alamat itu, termasuk terowongan VPN yang bisa disalahgunakan. Perketat setiap aturan walled garden hotspot dengan protokol dan port yang spesifik.

Penyebab lain yang lebih licik berupa penyalahgunaan penerjemah nama. Pengguna berpengalaman bisa menyelundupkan data lewat kueri DNS bila router meneruskan seluruh permintaan tanpa batas. Batasi ukuran dan laju kueri lewat firewall bila jaringan Anda berada di lingkungan yang rawan, dan pantau jumlah kueri per klien secara berkala.

FAQ Seputar Walled Garden Hotspot

Apa itu walled garden hotspot dan apa fungsinya?

Walled garden hotspot adalah daftar alamat yang boleh diakses pengguna sebelum dia login ke portal hotspot. Fungsinya membuka jalan bagi calon pelanggan untuk membeli voucher, membaca informasi, atau menghubungi pengelola tanpa harus terautentikasi lebih dulu. Router tetap menahan seluruh tujuan lain dan mengalihkannya ke halaman login.

Apakah walled garden hotspot bisa membuka situs HTTPS?

Bisa, tetapi Anda wajib memakai menu /ip hotspot walled-garden ip, bukan menu berbasis nama host. Trafik terenkripsi tidak melewati proxy internal hotspot sehingga router tidak dapat membaca nama domain tujuannya. Daftarkan domain pada parameter dst-host di menu berbasis IP dengan protocol=tcp dan dst-port=443.

Berapa jumlah entri yang masih aman dipakai?

Sepuluh sampai lima belas entri sudah cukup untuk toko voucher lengkap dengan dua metode pembayaran. Jumlah tersebut tidak memberatkan router kelas RB941 sekalipun, terutama bila mayoritas aturan berada di menu berbasis IP. Daftar yang membengkak melewati tiga puluh entri biasanya menandakan ada duplikasi atau entri usang yang perlu dibersihkan.

Apakah proxy hotspot harus aktif agar fitur ini jalan?

Proxy internal hotspot berjalan otomatis dan Anda tidak perlu mengaktifkannya secara manual. Parameter http-proxy pada /ip hotspot profile menunjuk proxy induk eksternal, bukan proxy internal, jadi biarkan nilainya bawaan bila Anda tidak memakai proxy tambahan. Menu /ip proxy juga terpisah dan tidak wajib Anda nyalakan.

Kenapa entri sudah dibuat tetapi tujuan masih terblokir?

Penyebab paling umum berupa domain HTTPS yang hanya masuk ke menu berbasis nama host. Penyebab kedua berupa alamat CDN yang berubah setelah aturan Anda buat, sehingga hasil terjemahan lama sudah kedaluwarsa. Periksa entri dinamis pada daftar alamat, lalu bandingkan dengan hasil resolusi terbaru dari perintah /ip dns cache print.

Apakah walled garden hotspot membebani CPU router?

Aturan berbasis IP hampir tidak berpengaruh pada beban prosesor karena router hanya mencocokkan alamat dan port. Aturan berbasis nama host menambah pekerjaan proxy internal, meski dampaknya baru terasa pada jaringan dengan ratusan pengguna aktif serentak. Utamakan menu berbasis IP bila Anda memakai perangkat berspesifikasi rendah.

Bisakah aturan dibatasi hanya untuk satu server hotspot?

Bisa, gunakan parameter server dan isi dengan nama server hotspot yang Anda tuju. Tanpa parameter itu, aturan berlaku untuk seluruh server hotspot yang berjalan pada router yang sama. Fitur ini sangat berguna pada router yang melayani beberapa lokasi dengan kebijakan penjualan berbeda.

Bagaimana cara menghapus entri yang salah?

Cetak dulu daftarnya untuk melihat nomor urut setiap entri, lalu hapus berdasarkan nomor atau berdasarkan komentar. Perintah /ip hotspot walled-garden remove [find comment~"toko"] menghapus semua entri yang komentarnya memuat kata tersebut. Nonaktifkan lebih dulu dengan disable bila Anda ragu, sebab langkah itu mudah Anda batalkan.

Kesimpulan

Menyetel walled garden hotspot dengan benar mengubah jaringan Anda dari sekadar penyedia akses menjadi kanal penjualan yang bekerja sendiri sepanjang hari. Kuncinya terletak pada pemahaman bahwa RouterOS menyediakan dua menu berbeda: satu bekerja pada level nama host lewat proxy internal, satu lagi bekerja pada level alamat IP dan port. Situs modern yang serba terenkripsi menuntut Anda memakai menu kedua, dilengkapi daftar alamat dinamis untuk mengikuti perubahan alamat CDN.

Mulailah dari daftar sekecil mungkin, uji dari ponsel tamu sungguhan sampai satu transaksi selesai penuh, lalu tambahkan entri hanya ketika pengujian membuktikan kebutuhannya. Hindari pola wildcard yang terlalu luas, batasi setiap aturan dengan protokol dan port yang spesifik, dan sediakan waktu audit setiap tiga bulan. Disiplin sederhana itu menjaga jaringan tetap aman sekaligus memudahkan penelusuran ketika keluhan datang.

Rujukan resmi mengenai parameter lengkap tersedia pada dokumentasi resmi Mikrotik bila Anda ingin menggali opsi lanjutan seperti pembatasan path dan metode HTTP. Setelah konfigurasi walled garden hotspot berjalan stabil, langkah berikutnya biasanya menyangkut pengelolaan stok kode akses, dan Anda bisa melanjutkannya lewat panduan membuat kode akses hotspot dalam jumlah banyak. Selamat mencoba, dan semoga penjualan voucher di jaringan Anda ikut naik.