Cara Integrasi Mikrotik dengan RADIUS untuk Billing Otomatis

Mengelola dua puluh pelanggan PPPoE lewat menu /ppp secret di satu router masih terasa nyaman. Begitu jumlahnya menembus seratus dan Anda menambah router kedua di sisi desa sebelah, pekerjaan yang sama berubah menjadi beban administratif yang melelahkan. Di titik itulah integrasi RADIUS Mikrotik menjadi jawaban paling masuk akal bagi pengelola RT-RW Net maupun ISP kecil yang ingin tumbuh tanpa menambah jumlah operator.

Saya sendiri menjalankan jaringan dengan pola tersebut selama beberapa tahun terakhir. Awalnya semua data pelanggan menumpuk di dalam router, lalu satu insiden kerusakan perangkat memaksa saya menyalin ulang ratusan akun dari file backup yang setengah kedaluwarsa. Setelah saya memindahkan otentikasi ke skema RADIUS Mikrotik terpusat, proses menambah pelanggan baru hanya butuh satu baris di basis data, dan router mana pun langsung mengenali akun itu tanpa saya sentuh.

Artikel ini membahas seluruh rantai integrasi RADIUS Mikrotik secara runtut: pengertian protokolnya, alur pertukaran paket, konfigurasi RouterOS baris demi baris, atribut yang server kirim balik, mekanisme pemutusan sesi, sampai daftar masalah yang paling sering muncul di lapangan. Semua contoh memakai alamat dokumentasi 203.0.113.10, domain example.com, dan secret rahasia123 supaya Anda tinggal mengganti dengan data milik sendiri.

Pengertian RADIUS Mikrotik dan Kepanjangannya

RADIUS adalah kepanjangan dari Remote Authentication Dial-In User Service, sebuah protokol jaringan yang memusatkan proses pemeriksaan identitas pengguna pada satu server. Protokol ini lahir pada era koneksi dial-up, namun sampai hari ini tetap menjadi tulang punggung otentikasi PPPoE, hotspot, dan WiFi kantor. Istilah RADIUS Mikrotik sendiri merujuk pada praktik menghubungkan router RouterOS ke server tersebut agar router berhenti menyimpan data pelanggan secara lokal.

Protokol ini bekerja di atas UDP dengan port standar 1812 untuk otentikasi dan 1813 untuk akuntansi. Pemilihan UDP membuat pertukaran pesan terasa ringan dan cepat, meski konsekuensinya router harus mengurus sendiri mekanisme pengulangan ketika balasan tidak kunjung datang. Setiap pesan membawa tanda tangan berbasis shared secret, yaitu kata sandi rahasia milik router dan server saja.

Perlu Anda catat bahwa RADIUS Mikrotik tidak menggantikan fungsi routing atau NAT. Perannya murni sebagai penjaga pintu masuk plus pencatat aktivitas, sedangkan urusan melewatkan paket data tetap menjadi tugas router. Pemahaman pembagian peran ini penting supaya Anda tidak salah menaruh harapan ketika merancang jaringan.

Tiga Fungsi AAA yang Wajib Anda Pahami

Praktisi jaringan mengenal protokol ini lewat singkatan AAA: Authentication, Authorization, dan Accounting. Authentication menjawab pertanyaan siapa Anda, yaitu proses mencocokkan nama pengguna dan kata sandi dengan catatan di basis data. Tanpa tahap ini, siapa pun yang menebak nama akun bisa masuk ke jaringan Anda.

Authorization menjawab pertanyaan berikutnya, yaitu apa saja yang boleh Anda lakukan setelah berhasil masuk. Server mengirim balik sekumpulan atribut yang menentukan kecepatan unduh, alamat IP, batas waktu sesi, hingga kelompok kebijakan pelanggan. Alhasil dua pelanggan dengan paket berbeda bisa memakai router yang sama tetapi mendapat perlakuan yang berbeda pula.

Accounting menutup rangkaian dengan mencatat kapan pelanggan memulai sesi, berapa lama sesi itu berjalan, dan berapa besar trafik yang pelanggan habiskan. Data inilah yang kemudian menjadi bahan laporan pemakaian, dasar penagihan, sekaligus bukti ketika pelanggan mengeluh soal kuota. Ketiga fungsi RADIUS Mikrotik tersebut berjalan dalam satu protokol yang sama, sehingga Anda tidak perlu membangun tiga sistem terpisah.

Posisi Router sebagai NAS dalam Arsitektur RADIUS Mikrotik

Dalam terminologi protokol ini, praktisi menyebut perangkat yang menampung koneksi pengguna sebagai NAS atau Network Access Server. Router Mikrotik Anda memegang peran itu, sedangkan server FreeRADIUS berdiri sebagai pihak yang memutuskan. Hubungan keduanya bersifat klien dan server, dengan router bertindak sebagai klien yang bertanya.

Anda harus mendaftarkan setiap NAS di sisi server lengkap dengan alamat IP dan secret yang cocok. Server sengaja menolak pertanyaan dari alamat asing demi mencegah orang luar memancing data akun. Pemula sering melewatkan aturan sederhana ini, dan hasilnya adalah kegagalan otentikasi yang membingungkan padahal konfigurasi router sudah benar.

Arsitektur RADIUS Mikrotik memungkinkan satu server melayani puluhan NAS sekaligus. Router di lokasi A, router di lokasi B, bahkan access point pihak ketiga bisa menanyakan akun yang sama ke satu sumber kebenaran. Pola inilah yang membuat protokol tersebut sangat cocok untuk jaringan yang tumbuh menyebar.

Cara Kerja RADIUS Mikrotik dalam Pertukaran Paket

Seluruh proses RADIUS Mikrotik berlangsung dalam hitungan milidetik dan melibatkan beberapa jenis paket yang saling berbalas. Pelanggan memulai dengan mengirim nama pengguna dan kata sandi melalui dialer PPPoE atau halaman login hotspot. Router menerima data itu, membungkusnya, lalu meneruskan pertanyaan ke server sebelum mengizinkan satu byte pun lewat.

Alur tersebut selalu sama, baik untuk pelanggan rumahan yang memakai modem ONT maupun pengguna voucher yang login dari ponsel. Perbedaannya hanya menyangkut layanan yang menangani, yakni ppp untuk PPPoE dan hotspot untuk portal login. Ketika Anda memahami urutannya, membaca log saat terjadi masalah menjadi jauh lebih mudah.

Bagian berikut memecah alur menjadi dua kelompok paket, yaitu kelompok otentikasi dan kelompok akuntansi. Keduanya memakai port berbeda dan bisa gagal sendiri-sendiri, sehingga pelanggan kadang berhasil online tetapi server tidak mencatat pemakaiannya sama sekali.

Access-Request, Access-Accept, dan Access-Reject

Paket pertama bernama Access-Request. Router mengemas nama pengguna, kata sandi terenkripsi, identitas NAS, jenis port, dan alamat MAC pelanggan ke dalam paket ini lalu mengirimnya ke port 1812. Desain paket ini sengaja ringkas agar server bisa memprosesnya dengan cepat meski menerima ratusan permintaan per menit.

Server membaca permintaan tersebut, mencocokkan kredensial dengan tabel di MariaDB, lalu memilih satu dari dua jawaban. Jawaban Access-Accept berarti pelanggan lolos, dan paket itu membawa serta daftar atribut seperti alamat IP dan batas kecepatan. Sebaliknya Access-Reject berarti penolakan, entah karena kata sandi salah, akun kedaluwarsa, atau sistem billing sedang mengisolir pelanggan tersebut.

Router memperlakukan kedua jawaban secara berbeda. Access-Accept membuat router langsung membangun antarmuka dinamis untuk pelanggan tersebut, sedangkan Access-Reject membuat dialer pelanggan menampilkan pesan kegagalan. Kadang server juga membalas Access-Challenge untuk meminta informasi tambahan, meski skenario itu jarang muncul pada jaringan RT-RW Net biasa.

Accounting-Start, Interim-Update, dan Accounting-Stop

Segera setelah sesi terbentuk, router mengirim paket Accounting-Start ke port 1813. Paket ini menandai bahwa pelanggan resmi online, lengkap dengan session id, alamat IP yang pelanggan pakai, dan waktu mulai. Server menyimpannya sebagai baris baru pada tabel akuntansi.

Selama sesi berjalan, router mengirim Interim-Update secara berkala, misalnya setiap lima menit. Paket berkala inilah yang membuat dasbor pemakaian RADIUS Mikrotik Anda terlihat hidup, karena router terus memperbarui angka unduh dan unggah tanpa menunggu pelanggan memutus koneksi. Tanpa interim update, Anda baru melihat angka pemakaian sebuah sesi tiga hari setelah sesi itu berakhir pada hari ketiga.

Ketika pelanggan mematikan modem atau router memutus sesi, paket Accounting-Stop menutup catatan tersebut. Isinya mencakup total byte, durasi, dan alasan pemutusan seperti user-request atau lost-carrier. Alasan pemutusan sangat berguna saat Anda menelusuri keluhan koneksi putus nyambung pada satu pelanggan tertentu.

Alasan RADIUS Dibutuhkan Saat Jumlah Pelanggan Bertambah

Banyak pengelola bertahan dengan secret lokal dan menunda RADIUS Mikrotik karena merasa jaringannya masih kecil. Batas kenyamanan itu biasanya runtuh di angka delapan puluh sampai seratus pelanggan, terutama ketika router kedua mulai beroperasi. Gejalanya khas: Anda lupa router mana yang menyimpan akun siapa, dan perubahan paket kecepatan harus Anda kerjakan dua kali.

Masalah lain muncul dari sisi keuangan. Menagih pelanggan tanpa data pemakaian membuat Anda kesulitan membuktikan klaim, sementara memutus layanan pelanggan menunggak harus Anda lakukan manual satu per satu. Sistem terpusat menghapus semua pekerjaan berulang tersebut sekaligus.

Berikut tiga alasan utama yang paling sering saya sampaikan kepada rekan pengelola jaringan ketika mereka bertanya kapan waktu yang tepat untuk pindah.

Pengelolaan User Terpusat

Satu basis data menampung seluruh akun, paket, tanggal jatuh tempo, dan status pelanggan. Menambah pelanggan berarti menambah satu baris, bukan membuka Winbox lalu mengetik ulang di menu secret. Praktisnya, staf administrasi yang tidak paham jaringan pun bisa mengerjakan pendaftaran lewat aplikasi billing.

Pemusatan juga menyeragamkan penamaan dan mencegah akun kembar. Router tidak lagi menjadi tempat penyimpanan, sehingga penggantian perangkat karena rusak atau upgrade tidak berisiko menghilangkan data. Anda cukup memasang router baru, menyalin konfigurasi dasar, lalu mengarahkannya ke server yang sama.

Pola kerja ini melengkapi kebiasaan rapi yang sudah saya bahas pada panduan merapikan data pelanggan PPPoE. Struktur penamaan yang konsisten tetap penting, hanya saja tempat penyimpanannya berpindah ke basis data.

Satu Database untuk Banyak Router

Jaringan yang menyebar biasanya memakai lebih dari satu titik konsentrasi. Tanpa server terpusat, pelanggan yang pindah rumah dari cakupan router A ke router B harus Anda daftarkan ulang. Dengan basis data bersama, RADIUS Mikrotik membuat setiap router yang Anda daftarkan sebagai NAS langsung mengenali akun yang sama.

Skema ini juga mempermudah pemeliharaan. Saat router A perlu reboot untuk upgrade RouterOS, Anda bisa mengalihkan sebagian pelanggan ke router B tanpa memikirkan sinkronisasi akun. Pengalaman saya, waktu pemeliharaan turun drastis karena tidak ada lagi tahap menyalin daftar user.

Keuntungan tambahan datang dari sisi audit. Server mencatat semua percobaan login, baik yang berhasil maupun gagal, di satu tempat sehingga Anda bisa melihat pola aneh seperti satu akun yang aktif dari dua lokasi berbeda.

Laporan Pemakaian dari Accounting RADIUS Mikrotik

Data akuntansi membuka banyak kemungkinan analisis yang sebelumnya mustahil. Anda bisa melihat sepuluh pelanggan dengan trafik terbesar, jam sibuk jaringan, hingga rata-rata durasi sesi per wilayah. Informasi tersebut menjadi dasar keputusan saat Anda hendak menambah kapasitas uplink.

Accounting RADIUS Mikrotik juga menghasilkan laporan yang menjadi alat negosiasi dengan pelanggan. Ketika seseorang mengeluh internet lambat, catatan pemakaian menunjukkan apakah dia benar-benar memakai penuh jatah kecepatannya atau justru koneksinya sering terputus. Bukti angka jauh lebih meyakinkan daripada perdebatan berdasarkan perasaan.

Untuk sisi penagihan, data ini menyatu rapi dengan alur kerja yang saya jelaskan di artikel pengelolaan billing pelanggan RT-RW Net. Kombinasi keduanya memungkinkan tagihan terbit otomatis dan pemutusan berjalan tanpa campur tangan teknisi.

Kelebihan dan Kekurangan RADIUS Mikrotik Dibanding Secret Lokal

Setiap pilihan arsitektur membawa konsekuensi, dan memindahkan otentikasi ke luar router lewat RADIUS Mikrotik bukan keputusan tanpa risiko. Saya selalu menyarankan pengelola menimbang keduanya secara jujur sebelum migrasi. Tabel berikut merangkum perbandingan yang paling terasa di lapangan.

Kelebihan yang Terasa Sejak Hari Pertama

Manfaat paling cepat terasa adalah kecepatan operasional. Mengubah paket pelanggan dari 10 Mbps ke 20 Mbps cukup lewat satu baris di basis data, dan perubahan berlaku pada sesi berikutnya. Kalau Anda memakai fitur pemutusan paksa, perubahan bahkan berlaku dalam hitungan detik.

Kelebihan berikutnya menyangkut kesinambungan usaha. Petir yang menyambar router tidak lagi memusnahkan data ratusan pelanggan, karena semuanya aman di server. Penggantian perangkat menjadi pekerjaan teknis biasa, bukan bencana administratif.

Nilai tambah terakhir datang dari otomatisasi. Sistem billing bisa menerbitkan tagihan, menerima pembayaran, lalu mengaktifkan kembali layanan tanpa teknisi membuka Winbox sama sekali. Alhasil satu orang mampu mengelola jumlah pelanggan yang dulu butuh tiga orang.

Kekurangan dan Risiko yang Harus Anda Antisipasi

Kekurangan RADIUS Mikrotik yang paling nyata adalah munculnya titik kegagalan tunggal. Server yang mati membuat pelanggan baru gagal login, dan pelanggan lama ikut terputus begitu sesi mereka berakhir. Risiko tersebut nyata, namun bisa Anda tekan dengan server cadangan dan jalur yang tidak bergantung pada satu koneksi.

Beban belajar juga bertambah. Anda perlu memahami dasar administrasi Linux, membaca log FreeRADIUS, dan sedikit SQL untuk menelusuri data. Bagi pengelola yang selama ini hanya bermain di Winbox, minggu pertama biasanya terasa berat.

Faktor terakhir adalah biaya dan tanggung jawab keamanan. Server tanpa perlindungan yang menghadap internet menjadi target menarik, sehingga pengamanan wajib Anda kerjakan sejak awal seperti pada pembahasan langkah pengamanan perangkat jaringan. Tanpa disiplin itu, sistem terpusat justru memperbesar dampak jika terjadi pembobolan.

Persiapan Sebelum Integrasi RADIUS Mikrotik

Persiapan RADIUS Mikrotik yang matang memangkas separuh waktu troubleshooting nanti. Saya biasa menyiapkan tiga hal sebelum menyentuh router: server yang sudah berjalan, catatan alamat dan secret, serta jalur komunikasi yang aman. Melewati salah satunya hampir selalu berujung pada sesi debugging panjang di malam hari.

• Server Linux dengan FreeRADIUS 3.x dan MariaDB yang sudah berjalan normal.
• Alamat server serta shared secret yang sudah Anda catat rapi di satu tempat.
• Jalur tunnel privat antara router dan server, misalnya WireGuard atau L2TP.
• Layanan PPPoE atau hotspot yang teruji memakai akun lokal.
• Akses Winbox atau SSH ke seluruh router yang akan Anda daftarkan sebagai NAS.

Perlu Anda pastikan pula bahwa layanan PPPoE atau hotspot sudah berfungsi normal memakai akun lokal. Menguji dua hal baru sekaligus, yaitu layanan dan otentikasi terpusat, membuat Anda kesulitan menentukan sumber masalah. Pastikan dasar sudah kokoh sebelum menumpuk lapisan baru.

Kalau layanan dasarnya belum berdiri, silakan selesaikan dulu lewat panduan membangun PPPoE server di RouterOS. Setelah pelanggan uji coba berhasil dial dengan akun lokal, barulah integrasi terpusat masuk akal untuk dikerjakan.

Kebutuhan Server FreeRADIUS dan MariaDB

Kombinasi RADIUS Mikrotik paling umum di Indonesia memakai FreeRADIUS 3.x di atas distribusi Linux seperti Debian, Ubuntu, atau Rocky, dengan MariaDB sebagai penyimpan data. Spesifikasi tidak perlu besar; untuk 200 sampai 500 pelanggan, VPS dengan 2 vCPU dan RAM 2 GB masih sangat lega. Beban justru datang dari akuntansi, bukan dari otentikasi.

Modul sql pada FreeRADIUS menyediakan skema tabel bawaan seperti radcheck, radreply, radgroupreply, radacct, dan nas. Tabel radcheck menyimpan kredensial, radreply menyimpan atribut per pelanggan, radgroupreply menyimpan atribut per paket, sedangkan radacct menampung seluruh catatan sesi. Struktur ini sudah teruji bertahun-tahun, jadi hindari godaan membuat skema sendiri.

Sediakan juga NTP agar jam server dan router selalu selaras. Selisih waktu beberapa menit saja membuat laporan durasi sesi kacau dan menyulitkan Anda mencocokkan log ketika terjadi keluhan. Sinkronisasi waktu terdengar sepele, tetapi dampaknya besar pada data akuntansi.

Menyiapkan Alamat, Secret, dan Jalur Komunikasi

Catat alamat server, misalnya 203.0.113.10, dan tentukan shared secret yang panjang serta acak. Contoh dalam artikel ini memakai rahasia123 demi kemudahan membaca, namun jaringan produksi wajib memakai kombinasi minimal dua puluh karakter. Secret yang lemah membuka peluang penyusup memalsukan balasan otentikasi.

Tentukan pula alamat sumber yang router pakai saat menghubungi server. Router dengan beberapa jalur keluar bisa memakai alamat berbeda setiap kali koneksi berpindah, dan server akan menolak paket dari alamat yang belum Anda daftarkan. Menetapkan src-address secara eksplisit menyelesaikan masalah itu sejak awal.

Untuk jalur, saya sangat menyarankan tunnel privat ketimbang internet terbuka. Panduan membangun tunnel L2TP dengan IPsec bisa Anda pakai sebagai pijakan, atau alternatif yang lebih ringan dengan WireGuard. Penyadap maupun pemalsu jauh lebih sulit menjamah trafik otentikasi yang lewat tunnel.

Konfigurasi RADIUS Mikrotik Langkah demi Langkah

Bagian ini masuk ke praktik. Seluruh perintah berjalan pada RouterOS 6 maupun 7, dan Anda bisa menempelkannya lewat terminal Winbox atau SSH. Silakan sesuaikan nama antarmuka serta alamat sesuai kondisi jaringan Anda.

Urutan pengerjaan sengaja saya susun dari yang paling aman ke yang paling berdampak. Menambah entri server tidak mengubah perilaku apa pun sampai Anda menyalakan use-radius, sehingga risiko memutus pelanggan yang sedang online tetap kecil. Kerjakan berurutan dan uji setiap langkah sebelum lanjut.

1. Tambahkan entri server pada menu /radius beserta secret dan nomor port.
2. Nyalakan use-radius di menu /ppp aaa untuk seluruh layanan PPP.
3. Pastikan /interface pppoe-server server aktif pada antarmuka pelanggan.
4. Hubungkan profil hotspot lewat /ip hotspot profile bila Anda menjual voucher.
5. Aktifkan accounting berikut interim update supaya pemakaian tercatat.
6. Uji satu sesi pelanggan lalu baca hasilnya melalui /log print.

Sebagai catatan, dokumentasi resmi di portal dokumentasi Mikrotik selalu menjadi rujukan terakhir jika ada parameter yang berubah pada versi RouterOS terbaru.

Langkah 1 Menambahkan Entri Server pada Menu radius

Menu /radius menampung daftar server RADIUS Mikrotik yang akan router hubungi. Satu entri bisa melayani beberapa layanan sekaligus, cukup Anda sebutkan pada parameter service. Perhatikan bahwa nilai timeout bawaan sebesar 300 milidetik terlalu ketat jika server berada di luar jaringan lokal.

/radius
add service=ppp,hotspot address=203.0.113.10 secret=rahasia123 \
    authentication-port=1812 accounting-port=1813 \
    src-address=10.20.30.2 timeout=2s comment="Server utama"

Parameter src-address di atas mengasumsikan router memiliki alamat 10.20.30.2 pada tunnel menuju server. Kalau Anda belum memakai tunnel, hapus parameter tersebut lalu daftarkan alamat publik router sebagai NAS di sisi server. Kolom comment sangat membantu ketika daftar entri mulai panjang.

Periksa hasilnya dengan /radius print dan pastikan baris tidak berstatus disabled. Menu ini juga menyediakan penghitung sederhana lewat perintah /radius monitor 0 untuk memantau berapa permintaan yang router kirim dan berapa yang gagal.

Langkah 2 Mengaktifkan use-radius pada PPP AAA

Menu /ppp aaa menjadi saklar utama bagi seluruh layanan PPP, termasuk PPPoE, PPTP, L2TP, dan SSTP. Selama parameter use-radius masih bernilai no, router hanya melihat daftar secret lokal. Menyalakannya membuat router bertanya ke server ketika daftar lokal tidak memuat akun tersebut.

/ppp aaa
set use-radius=yes accounting=yes interim-update=5m

Urutan pemeriksaan tersebut sebenarnya menguntungkan Anda. Akun teknisi dan akun uji coba tetap bisa Anda simpan lokal sebagai jaring pengaman, sementara ratusan akun pelanggan hidup di server. Pola campuran ini yang saya pakai di semua router produksi.

Nilai interim-update=5m menentukan seberapa sering router melaporkan pemakaian. Rentang lima sampai sepuluh menit terasa seimbang antara kesegaran data dan beban server, sedangkan nilai satu menit pada jaringan besar hanya membuat basis data cepat menggelembung.

Langkah 3 Menyalakan Layanan PPPoE Server

Layanan PPPoE membutuhkan satu entri server yang menempel pada antarmuka menghadap pelanggan. Profil bawaan sudah cukup untuk memulai, karena atribut kecepatan nanti datang dari server otentikasi. Sesuaikan nama antarmuka dengan port fisik yang benar-benar Anda pakai.

/ppp profile
add name=profil-radius local-address=10.10.0.1 dns-server=203.0.113.10 \
    only-one=yes

/interface pppoe-server server
add interface=ether2 service-name=layanan-internet default-profile=profil-radius \
    authentication=pap,chap,mschap1,mschap2 one-session-per-host=yes \
    max-mtu=1480 max-mru=1480 disabled=no

Parameter one-session-per-host=yes mencegah dua modem memakai satu akun sekaligus. Fitur ini melengkapi pembatasan di sisi server dan sering menyelamatkan Anda dari pelanggan yang membagikan kata sandi ke tetangga. Nilai MTU 1480 merupakan angka aman untuk sebagian besar perangkat ONT di Indonesia.

Uji dengan satu pelanggan lebih dulu sebelum mengalihkan semua. Jalankan /ppp active print dan pastikan kolom nama muncul beserta alamat yang server berikan.

Langkah 4 Menghubungkan Hotspot Profile ke RADIUS Mikrotik

Sisi hotspot memakai pintu masuk berbeda, yaitu profil server hotspot. Selama use-radius pada profil masih no, halaman login tetap memeriksa daftar user lokal meski entri server sudah ada. Kekeliruan ini menjebak banyak pengelola ketika router tidak kunjung menerima voucher hasil generate server.

/ip hotspot profile
set [find name=hsprof1] use-radius=yes radius-accounting=yes \
    radius-interim-update=5m radius-mac-format=XX:XX:XX:XX:XX:XX \
    nas-port-type=wireless-802.11

Parameter radius-mac-format menentukan bentuk penulisan alamat MAC yang router kirim. Kecocokan format menjadi penting jika Anda memakai login berbasis MAC untuk perangkat tertentu. Sementara nas-port-type membantu server membedakan asal permintaan antara jaringan nirkabel dan kabel.

Kombinasi hotspot dengan server terpusat membuat voucher bisa terbit dari aplikasi penjualan, bukan dari router. Alur pembuatan voucher konvensional yang saya bahas di artikel membangun hotspot berbasis voucher tetap relevan sebagai dasar pemahaman, hanya sumber datanya yang berpindah.

Langkah 5 Mengaktifkan Accounting dan Interim Update

Akuntansi merupakan bagian RADIUS Mikrotik yang paling sering terlupa. Otentikasi berhasil, pelanggan online, tetapi tabel radacct kosong melompong karena router tidak pernah mengirim paket ke port 1813. Pastikan kedua sisi menyalakan opsi ini secara eksplisit.

/ppp aaa print
/ip hotspot profile print detail
/radius print detail

Perhatikan kolom accounting-port pada entri server dan pastikan nilainya 1813. Beberapa panduan lama masih memakai port 1646, warisan implementasi awal yang kini jarang dipakai. Salah port membuat otentikasi berjalan mulus sementara akuntansi hilang tanpa jejak.

Untuk verifikasi cepat, hidupkan satu sesi lalu periksa penghitung akuntansi pada menu monitor. Angka yang bergerak menandakan router benar-benar mengirim paket, sedangkan angka nol berarti masalah ada di firewall atau rute.

Langkah 6 Menguji Sesi Pertama dan Membaca Log

Pengujian yang benar selalu melibatkan log. RouterOS menyediakan topik khusus yang menampilkan detail percakapan dengan server, dan topik itu tidak aktif secara bawaan. Nyalakan sementara selama masa uji coba, lalu matikan kembali agar memori router tidak penuh.

/system logging
add topics=radius action=memory
add topics=pppoe,ppp,info action=memory

/log print where topics~"radius"

Log yang sehat menampilkan urutan request lalu accept dalam waktu singkat. Kalau Anda melihat pesan timeout berulang, masalahnya ada di jalur atau firewall, bukan di kredensial. Sebaliknya pesan reject menandakan paket sampai ke server tetapi data pelanggan ditolak.

Setelah semua berjalan normal, catat konfigurasi final Anda dan simpan cadangannya. Kebiasaan menyimpan backup sebelum dan sesudah perubahan besar terbukti menyelamatkan banyak malam panjang.

Atribut Penting yang Dikirim Balik Server RADIUS Mikrotik

Kekuatan sesungguhnya dari integrasi RADIUS Mikrotik terletak pada atribut balasan. Server tidak sekadar berkata boleh atau tidak boleh, melainkan ikut menitipkan aturan main untuk sesi tersebut. Router menerapkan aturan itu tanpa Anda perlu menyentuh konfigurasi lokal sama sekali.

Atribut terbagi menjadi dua kelompok, yaitu atribut standar milik protokol dan atribut khusus vendor. Kelompok kedua memakai nomor vendor 14988 yang terdaftar atas nama Mikrotik. Tabel berikut merangkum atribut yang paling sering saya pakai di jaringan produksi.

Framed-IP-Address dan Mikrotik-Rate-Limit

Atribut Framed-IP-Address memberi pelanggan alamat yang selalu sama setiap kali dia terhubung. Manfaatnya besar untuk pelanggan bisnis yang butuh port forwarding, kamera CCTV, atau akses jarak jauh ke perangkat kantor. Router menghormati nilai ini dan mengabaikan pool bawaan pada profil.

Sementara itu Mikrotik-Rate-Limit menjadi atribut RADIUS Mikrotik yang paling sering pengelola pakai pada jaringan RT-RW Net. Formatnya cukup fleksibel, mulai dari bentuk sederhana 10M/20M sampai bentuk lengkap yang menyertakan burst, threshold, waktu burst, prioritas, serta limit-at. Router membuat simple queue dinamis begitu sesi terbentuk, lalu menghapusnya otomatis saat sesi berakhir.

Kalau Anda ingin memahami arti tiap kolom pada format panjang, konsep dasarnya sama persis dengan pembahasan pembatasan bandwidth memakai Simple Queue. Perbedaannya hanya pada siapa yang membuat antrean, apakah Anda secara manual atau server secara otomatis.

Session-Timeout dan Mikrotik-Group

Atribut Session-Timeout memaksa sesi berakhir setelah sekian detik. Fitur ini menjadi tulang punggung sistem voucher hotspot berdurasi, misalnya voucher tiga jam yang otomatis mati tepat waktu. Router menghitung mundur sendiri, jadi server tidak perlu mengirim perintah putus.

Adapun Mikrotik-Group menunjuk nama profil PPP yang sudah ada di router. Pendekatan ini berguna ketika Anda ingin mengatur banyak hal sekaligus, seperti DNS, alamat lokal, dan skrip on-up, tanpa mengirim puluhan atribut. Cukup Anda siapkan beberapa profil di router lalu server memilih salah satunya.

Gabungan keduanya memberi fleksibilitas yang jarang dimiliki sistem lain. Pelanggan terisolir bisa Anda arahkan ke grup khusus dengan DNS dan rute berbeda, sementara pelanggan aktif tetap memakai grup normal. Perpindahan status cukup Anda lakukan lewat basis data.

Change of Authorization dan Packet of Disconnect

Sampai tahap ini semua komunikasi RADIUS Mikrotik berjalan satu arah: router bertanya, server menjawab. Kenyataan operasional menuntut arah sebaliknya juga, misalnya saat pelanggan baru saja membayar dan ingin langsung online, atau saat Anda perlu memutus pelanggan menunggak seketika. Dua mekanisme menjawab kebutuhan tersebut.

Change of Authorization atau CoA memungkinkan server mengubah atribut sesi yang sedang berjalan. Server mengirim paket ke router, dan router menerapkan perubahan tanpa memutus koneksi pelanggan. Skenario khasnya adalah menaikkan kecepatan setelah pelanggan upgrade paket.

Packet of Disconnect atau PoD bekerja lebih tegas dengan memerintahkan router menutup sesi tertentu. Begitu paket diterima dan tanda tangannya cocok, router langsung membubarkan sesi pelanggan yang disebut. Tanpa mekanisme ini, Anda harus menunggu sesi berakhir sendiri atau masuk ke router untuk memutusnya manual.

Mengaktifkan Incoming CoA di RouterOS

RouterOS menyediakan menu /radius incoming khusus untuk menerima paket dari arah server. Fitur ini mati secara bawaan demi keamanan, jadi Anda harus menyalakannya secara sadar. Port standarnya adalah 3799 dengan protokol UDP.

/radius incoming
set accept=yes port=3799

/ip firewall filter
add chain=input protocol=udp dst-port=3799 src-address=203.0.113.10 \
    action=accept comment="Terima CoA dan PoD dari server" place-before=0
add chain=input protocol=udp dst-port=3799 action=drop \
    comment="Tolak CoA dari sumber lain"

Dua aturan firewall di atas membentuk pola izinkan lalu tolak yang sangat saya sarankan. Router hanya menerima perintah pemutusan dari alamat server yang sah, sedangkan paket dari sumber lain langsung terbuang. Tanpa aturan kedua, siapa pun yang menebak secret Anda bisa memutus pelanggan sesuka hati.

Uji hasilnya dengan memutus satu sesi dari sisi server, lalu amati apakah entri pada /ppp active print menghilang. Sebagai pembanding, Anda juga bisa memutus manual dari router memakai perintah berikut.

/ppp active print
/ppp active remove [find name="pelanggan-uji"]
/ip hotspot active print

Studi Kasus RT-RW Net 200 Pelanggan dengan Dua Router

Contoh berikut mengambil kondisi nyata sebuah jaringan desa dengan 200 pelanggan aktif. Pengelola memakai dua router utama karena pelanggan tersebar di dua arah yang dipisahkan sungai, masing-masing dengan tiang distribusi sendiri. Sebelum migrasi, kedua router menyimpan daftar secret terpisah dan pengelola mencatat tagihan di lembar kerja.

Masalah menumpuk seiring pertumbuhan. Pelanggan yang pindah rumah harus didaftarkan ulang, perubahan paket sering terlewat di salah satu router, dan pemutusan pelanggan menunggak memakan waktu dua jam setiap awal bulan. Puncaknya terjadi ketika satu router rusak dan pengelola kehilangan data 90 akun karena backup terakhir berumur empat bulan.

Migrasi ke RADIUS Mikrotik berjalan bertahap selama satu pekan, dimulai dari router yang lebih kecil. Pendekatan bertahap memberi ruang belajar sekaligus membatasi dampak jika ada kesalahan konfigurasi.

Topologi dan Pembagian Peran

Server FreeRADIUS berdiri di sebuah VPS dengan MariaDB pada mesin yang sama. Kedua router terhubung ke server lewat tunnel privat, sehingga trafik otentikasi tidak pernah menyentuh internet terbuka. Alamat tunnel router pertama 10.20.30.2 dan router kedua 10.20.30.3, keduanya terdaftar sebagai NAS dengan secret berbeda.

Pembagian pelanggan mengikuti wilayah fisik, sekitar 120 akun di router pertama dan 80 akun di router kedua. Basis data tidak membedakan keduanya, jadi pelanggan yang pindah wilayah cukup mengganti kabel dan langsung terhubung. Pengelola membagi paket kecepatan menjadi empat kelompok dan menyimpannya sebagai grup di tabel radgroupreply.

Untuk pelanggan menunggak, sistem billing memindahkan akun ke grup isolir yang mengirim Mikrotik-Rate-Limit sangat kecil dan Mikrotik-Address-List khusus. Router lalu mengarahkan seluruh trafik grup itu ke halaman pemberitahuan tagihan. Pola ini jauh lebih ramah daripada memutus koneksi sepenuhnya, karena pelanggan tetap bisa membuka halaman pembayaran.

Hasil Setelah Migrasi ke RADIUS Mikrotik

Waktu pemutusan massal awal bulan turun dari dua jam menjadi kurang dari lima menit. Sistem billing mengubah grup pelanggan menunggak lewat basis data, lalu mengirim Packet of Disconnect agar perubahan langsung berlaku. Pengelola cukup memantau hasilnya dari dasbor.

Pendaftaran pelanggan baru kini memakan waktu sekitar tiga menit, termasuk pembuatan akun dan penetapan paket. Teknisi di lapangan tidak lagi perlu menelepon operator untuk minta dibuatkan akun di router yang tepat. Alhasil pemasangan baru bisa selesai dalam satu kunjungan.

Manfaat lain datang dari data. Setelah tiga bulan berjalan, laporan pemakaian menunjukkan jam sibuk berada di rentang 19.00 sampai 22.00 dengan puncak trafik 180 Mbps, dan angka itu menjadi dasar keputusan menaikkan kapasitas uplink. Perhitungan lengkapnya bisa Anda pelajari pada bahasan menghitung kebutuhan bandwidth jaringan RT-RW Net.

Tips dan Best Practice RADIUS Mikrotik

Konfigurasi yang berjalan belum tentu konfigurasi yang tahan banting. Beberapa kebiasaan berikut lahir dari kesalahan yang pernah saya buat sendiri, jadi anggap saja jalan pintas agar Anda tidak mengulanginya. Terapkan sejak awal, karena memperbaiki kebiasaan buruk pada jaringan berjalan jauh lebih repot.

Pertama, samakan secret antara router dan server RADIUS Mikrotik dengan teliti, termasuk soal huruf besar kecil dan spasi tersembunyi di akhir baris. Kedua, catat setiap perubahan pada dokumen sederhana lengkap dengan tanggal. Ketiga, jangan pernah menguji perubahan besar pada jam sibuk.

Selain tiga kebiasaan dasar itu, dua area berikut layak mendapat perhatian khusus karena dampaknya langsung terasa pada kestabilan layanan.

Mengamankan Jalur dan Port RADIUS

Buka port 1812 dan 1813 UDP di sisi server hanya untuk alamat router Anda, bukan untuk seluruh internet. Server yang membuka port itu secara luas akan menerima ribuan percobaan dari pemindai otomatis dalam hitungan hari. Pembatasan berbasis alamat sumber merupakan pertahanan paling murah sekaligus paling efektif.

Di sisi router, tutup port 3799 dari semua alamat kecuali server, persis seperti contoh firewall pada bagian CoA. Perlu Anda ingat bahwa router tidak perlu membuka 1812 maupun 1813 pada chain input, karena router bertindak sebagai pengirim, bukan penerima. Kesalahpahaman soal arah trafik ini sering membuat orang membuka port yang justru tidak dibutuhkan.

Langkah pengamanan terkuat tetap memakai tunnel privat sebagai jalur. Trafik otentikasi yang melintas di dalam tunnel terenkripsi tidak bisa dibaca pihak lain meski melewati jaringan publik. Pilihan WireGuard maupun L2TP dengan IPsec sama-sama layak; pilih yang paling Anda kuasai perawatannya.

Menyiapkan Fallback agar Jaringan Tidak Mati Total

RouterOS memeriksa daftar secret lokal lebih dulu sebelum bertanya ke server. Sifat tersebut bisa Anda manfaatkan dengan menyimpan beberapa akun darurat secara lokal, misalnya akun teknisi, akun monitoring, dan akun pelanggan penting. Ketika server bermasalah, akun-akun itu tetap bisa terhubung.

/ppp secret
add name=teknisi-darurat password=rahasia123 service=pppoe \
    profile=profil-radius comment="Akun cadangan saat server bermasalah"

/radius
add service=ppp,hotspot address=203.0.113.20 secret=rahasia123 \
    authentication-port=1812 accounting-port=1813 timeout=2s \
    comment="Server cadangan"

Entri server kedua pada contoh di atas berfungsi sebagai cadangan. Router mencoba entri pertama, dan jika tidak ada balasan sampai batas waktu, router beralih ke entri berikutnya sesuai urutan daftar. Susunlah urutan entri dengan sadar, karena router mengikuti nomor baris apa adanya.

Terakhir, jadwalkan pencadangan basis data setiap hari dan simpan salinannya di tempat berbeda. Server otentikasi yang hilang datanya jauh lebih menyakitkan daripada router yang rusak, sebab semua pelanggan bergantung padanya. Uji juga proses pemulihan sesekali, karena backup tanpa uji berkala sering gagal justru saat Anda paling membutuhkannya.

Troubleshooting Masalah Umum RADIUS Mikrotik

Sebagian besar keluhan integrasi RADIUS Mikrotik berputar pada empat gejala yang itu-itu saja. Mengenali polanya membuat Anda bisa menebak penyebab hanya dari pesan di log. Tabel ringkas berikut membantu Anda memetakan gejala ke arah pemeriksaan.

Invalid Username or Password Padahal Data Benar

Pesan ini paling sering menyesatkan karena terdengar seperti masalah kredensial. Kenyataannya, router menampilkan pesan serupa ketika server membalas Access-Reject dengan alasan apa pun, termasuk secret yang tidak cocok. Periksa dulu apakah secret di kedua sisi benar-benar identik sebelum menyalahkan data pelanggan.

Penyebab kedua datang dari format nama pengguna. Beberapa dialer menambahkan domain di belakang nama, sehingga akun budi terkirim sebagai budi@example.com dan tidak cocok dengan catatan di basis data. Parameter radius-default-domain pada profil hotspot atau penyesuaian di sisi server bisa menyelesaikan perbedaan ini.

Kemungkinan ketiga adalah status akun. Pelanggan yang masa aktifnya habis atau berada di grup isolir memang seharusnya ditolak, dan pesan yang muncul sama persis. Bacalah log FreeRADIUS untuk melihat alasan penolakan yang sebenarnya.

Router Belum Terdaftar sebagai NAS Client

Server sengaja mengabaikan paket dari alamat yang tidak dikenal, biasanya sambil mencatat peringatan tentang klien tidak dikenal. Dari sisi router, gejalanya terlihat seperti timeout biasa karena tidak ada balasan sama sekali. Perbedaannya baru jelas ketika Anda membaca log di server.

Akar masalahnya hampir selalu alamat sumber yang berubah. Router dengan dua jalur internet bisa mengirim paket lewat jalur cadangan saat jalur utama terganggu, dan alamat publiknya berbeda. Menetapkan src-address ke alamat tunnel menghilangkan ketidakpastian tersebut secara permanen.

Pastikan juga entri NAS di server memakai secret yang sama dengan entri di router. Saya biasa memberi secret berbeda untuk tiap router agar kebocoran satu perangkat tidak membahayakan yang lain. Konsekuensinya, Anda harus lebih teliti mencatat pasangan alamat dan secret.

Accounting Tidak Masuk ke Database

Gejala khasnya adalah pelanggan bisa online normal tetapi laporan pemakaian kosong. Otentikasi dan akuntansi memakai port berbeda, jadi satu bisa lolos sementara yang lain tersendat. Mulailah pemeriksaan dari parameter accounting=yes pada menu PPP AAA dan radius-accounting=yes pada profil hotspot.

Kalau kedua parameter sudah benar, periksa firewall di sisi server untuk port 1813 UDP. Aturan yang hanya mengizinkan 1812 merupakan kesalahan klasik yang menghasilkan gejala persis seperti ini. Perhatikan pula apakah modul sql di FreeRADIUS aktif pada bagian accounting, bukan hanya pada bagian authorize.

Penyebab lain yang lebih jarang adalah tabel radacct yang membengkak sampai penulisan melambat. Jaringan dengan interim update satu menit dan ratusan pelanggan bisa menghasilkan jutaan baris dalam sebulan. Jadwalkan pembersihan data lama dan pastikan indeks tabel tetap sehat.

Timeout karena Rute yang Salah

Timeout muncul ketika paket router tidak pernah sampai ke server, atau balasan server tidak pernah kembali. Langkah pertama selalu sama, yaitu memastikan router bisa menjangkau alamat server memakai ping. Ping yang gagal langsung menunjuk masalah rute atau tunnel, bukan masalah protokol.

Situasi yang lebih licik terjadi ketika ping berhasil tetapi paket otentikasi tetap timeout. Kondisi tersebut biasanya berarti router mengirim paket lewat jalur berbeda dari yang Anda kira, misalnya karena ada rute lebih spesifik menuju server. Perintah /tool traceroute 203.0.113.10 membantu memastikan jalur yang benar-benar dipakai.

Naikkan juga nilai timeout jika server berada jauh atau jalur sedang padat. Nilai bawaan 300 milidetik terlalu ketat untuk tunnel lintas kota, sedangkan 2 detik memberi ruang yang wajar. Nilai terlalu besar juga bukan solusi, karena pelanggan akan menunggu lama sebelum router mencoba server cadangan.

/ping 203.0.113.10 count=5
/tool traceroute 203.0.113.10
/radius set 0 timeout=2s

FAQ Seputar RADIUS Mikrotik

Apakah RADIUS Mikrotik Membutuhkan Lisensi RouterOS Tertentu?

Fitur otentikasi terpusat tersedia pada semua level lisensi RouterOS, bahkan level 3 sekalipun. Yang membatasi justru jumlah sesi PPPoE aktif, karena level lisensi menentukan berapa tunnel yang boleh berjalan bersamaan. Untuk jaringan RT-RW Net, perangkat dengan lisensi level 4 atau 5 umumnya sudah lebih dari cukup.

Berapa Jumlah Pelanggan yang Layak Pindah ke RADIUS Mikrotik?

Ambang praktisnya berada di sekitar 80 sampai 100 pelanggan, atau lebih cepat lagi jika Anda sudah memakai dua router. Di bawah angka itu, secret lokal masih terasa efisien dan biaya server belum sebanding. Pertimbangkan juga rencana pertumbuhan, karena migrasi lebih mudah dikerjakan sebelum jaringan terlanjur besar.

Apa Bedanya Secret Lokal dengan User di Server?

Router menyimpan secret lokal di dalam perangkatnya sendiri sehingga secret itu hanya berlaku di sana, sedangkan user di server berlaku untuk semua router yang Anda daftarkan. RouterOS memeriksa daftar lokal lebih dulu, lalu bertanya ke server hanya jika akun tidak ditemukan. Sifat ini membuat kedua metode bisa berjalan berdampingan tanpa konflik.

Bisakah Hotspot dan PPPoE Memakai Satu Server yang Sama?

Bisa, dan itu justru praktik yang paling umum. Cukup Anda sebutkan kedua layanan pada satu entri dengan menulis service=ppp,hotspot, lalu aktifkan opsi terkait di masing-masing menu. Server membedakan asal permintaan melalui atribut seperti NAS-Port-Type dan Service-Type.

Port Apa Saja yang Perlu Saya Buka?

Sisi server perlu membuka UDP 1812 untuk otentikasi dan UDP 1813 untuk akuntansi, lalu batasi keduanya hanya untuk alamat router Anda. Sisi router perlu membuka UDP 3799 jika Anda memakai CoA atau Packet of Disconnect, juga dibatasi ke alamat server. Selain ketiga port itu, tidak ada yang perlu Anda buka.

Apa yang Terjadi Jika Server RADIUS Mikrotik Mati?

Pelanggan yang sedang online umumnya tetap terhubung sampai sesi mereka berakhir, sedangkan percobaan login baru akan gagal. Dampak paling terasa muncul saat listrik padam lalu menyala serentak, karena semua modem mencoba dial pada waktu bersamaan. Server cadangan dan akun darurat lokal merupakan penangkal utama untuk skenario ini.

Bagaimana Cara Memberi IP Statis untuk Pelanggan Tertentu?

Tambahkan atribut Framed-IP-Address pada tabel radreply untuk akun bersangkutan, lalu isi dengan alamat yang Anda inginkan. Pastikan alamat tersebut berada di luar rentang pool dinamis supaya tidak bentrok dengan pelanggan lain. Sesi berikutnya akan langsung memakai alamat tetap tersebut tanpa konfigurasi tambahan di router.

Kesimpulan

Memindahkan otentikasi pelanggan dari router ke server RADIUS Mikrotik terpusat merupakan langkah kedewasaan bagi setiap pengelola jaringan yang serius. Protokol ini menyatukan tiga kebutuhan sekaligus lewat konsep AAA: memastikan identitas, menentukan hak akses, dan mencatat pemakaian. Ketiganya bekerja dalam satu alur paket yang ringkas dan sudah terbukti selama puluhan tahun.

Sisi RouterOS sebenarnya hanya menuntut beberapa perintah pada menu /radius, /ppp aaa, dan /ip hotspot profile, ditambah /radius incoming jika Anda ingin memutus sesi seketika. Pekerjaan yang lebih menuntut justru ada di sisi server dan disiplin operasional, mulai dari pengamanan port, pemilihan jalur tunnel, sampai penyiapan cadangan. Kerjakan bertahap dan uji setiap langkah sebelum melangkah ke berikutnya.

Kalau jaringan Anda sudah menyentuh angka seratus pelanggan atau memakai lebih dari satu router, waktu terbaik untuk memulai integrasi RADIUS Mikrotik adalah sekarang. Investasi belajar selama beberapa hari akan terbayar setiap awal bulan, ketika penagihan dan pemutusan berjalan sendiri tanpa Anda perlu membuka Winbox satu per satu. Referensi parameter terbaru bisa Anda telusuri melalui basis pengetahuan resmi Mikrotik sebagai pelengkap panduan ini.