MikroTik Hotspot 认证页被浏览器拦截的解决办法

## 现象 客户的小店装了一套 MikroTik Hotspot 认证，手机连上 Wi-Fi 应该弹出登录页输密码上网。实际表现是：能连上 Wi-Fi，但**不弹登录页**，手动打开浏览器也只提示"不安全"，证书报错后拒绝访问。安卓机稍好，苹果设备基本全军覆没。 这个问题和 HTTPS 普及直接相关，记录一下处理过程。 ## 为什么现在弹不出来了 Hotspot 登录页默认是 HTTP 服务。早年浏览器会主动把任何 HTTP 请求重定向到登录页，所以能弹出来。但现代浏览器和操作系统都做了两件事： 1. **不再自动跟随 HTTP 重定向**。Chrome、Safari 检测到 captive portal 风格的跳转，会直接拦截或忽略。 2. **系统级探测要求 HTTPS**。安卓的 `connectivitycheck.gstatic.com`、苹果的 `captive.apple.com` 这类探测都走 HTTPS，如果探测返回的不是预期内容，系统就判定"此网络无法访问互联网"，连"登录 Wi-Fi"的横幅都不弹。 所以只在路由器上开 Hotspot 服务已经不够了，必须把登录页本身做成 HTTPS，且证书被系统信任。 ## 处理步骤 ### 1. 先让登录页支持 HTTPS 在 RouterOS 里给 Hotspot 配置 SSL 证书： ```rsc /ip hotspot profile set [find name=hsprof1] login-by=https,http,ssl-certificate=hotspot-cert ``` 没有证书会报错，先往下看。 ### 2. 证书从哪来 Hotspot 登录页绑定在路由器 IP 上，需要一个能被设备信任的证书。三条路： - **Let's Encrypt + DNS 验证**：有域名和 DNS 控制权时最正规，配合 RouterOS 的脚本自动续期。但证书只对域名有效，路由器 IP 不是域名，这里要用域名反代到路由器。 - **把登录页挂到域名后面**：在 Nginx 上反代 Hotspot 登录服务，用正规域名证书，再让 Hotspot 的 walled garden 放行该域名。 - **购买 IP 证书**：给公网 IP 签的证书极少见且贵，一般不推荐。 小店场景最快的是第二条：路由器公网有 IP 的话，用域名反代；没有公网 IP 就退而求其次，至少把登录页的证书换成"看起来正常"的证书，并教会客人手动点"继续访问"。 ### 3. 放行系统探测 wall garden 里要把系统探测域名放行，否则设备会一直认为没网： ```rsc /ip hotspot walled-garden add dst-host=captive.apple.com add dst-host=connectivitycheck.gstatic.com add dst-host=www.gstatic.com add dst-host=clients3.google.com ``` 苹果还要求探测返回 200 且带特定内容，放行域名通常就够了。 ### 4. 让登录页尽量自动弹出 即使用了 HTTPS，iOS 17 之后默认也不会自动弹出 portal。务实做法： - 把登录页地址做成二维码，贴在桌上和墙上，扫码直达； - 在 walled garden 里放行一个引导页，用户随便打开任何网站都会被引导到登录页； - 关闭路由器的"强制弹出"类功能，它现在只会让浏览器报错。 ## 顺带记录的小坑 **登录页样式不生效**：Hotspot 的页面文件放在 `/hotspot` 的 Files 里，改完要等一会儿或重启服务才刷新。 **MAC 绑定账号容易失效**：客户手机系统级 MAC 随机化会让绑定白名单失效，别依赖 MAC 做免认证。 **超时时间设太短**：`idle-timeout` 和 `session-timeout` 建议给足，否则客人看个视频就被踢回登录页。 ## 小结 Hotspot 的问题本质是"HTTP 时代的交互方式撞上了 HTTPS 时代的安全策略"。路由器侧能做的是支持 HTTPS 登录、放行系统探测域名；剩下的引导工作交给二维码和提示牌，比强行追求自动弹窗靠谱得多。