MikroTik CAPsMAN: gestire più access point da un solo controller

Con due access point si convive ancora configurandoli a mano. Con cinque, ogni cambio di password Wi-Fi diventa mezz'ora di lavoro e una fonte di errori. CAPsMAN (Controlled Access Point system Manager) è il controller integrato in RouterOS che risolve il problema: gli AP diventano dispositivi senza configurazione propria e ricevono tutto dal controller.

Come funziona

L'architettura ha due ruoli:

• CAPsMAN: gira su un RouterBOARD, un CHR o anche sul router di bordo. Tiene le configurazioni, decide canali e potenze, gestisce le associazioni client.
• CAP (Controlled Access Point): l'AP vero e proprio. All'avvio cerca il controller in broadcast sulle interfacce indicate o su un IP esplicito, si registra e scarica la configurazione.

Il traffico dati può seguire due percorsi:

• Local forwarding: il CAP inoltra i pacchetti direttamente sulla propria bridge/VLAN locale. Il controller gestisce solo il piano di controllo. È la modalità consigliata quasi sempre.
• Manager forwarding: tutto il traffico viene incapsulato verso il controller. Utile per centralizzare filtri e captive portal, ma il controller diventa collo di bottiglia e single point of failure.

Attenzione alla versione: CAPsMAN v1 vs wifiwave2/wifi

Su RouterOS 7 esistono due stack Wi-Fi diversi e non interoperabili:

Un controller legacy non gestisce CAP su stack wifi e viceversa. Prima di pianificare un deployment, verifica con /system package print quale pacchetto è attivo su ogni apparato. Mischiare hardware di generazioni diverse significa gestire due controller separati.

Gli esempi qui sotto usano lo stack wifi di RouterOS 7.

Configurazione minima del controller

# Abilita il manager e lascia che generi il certificato CA
/interface wifi capsman set enabled=yes \
    package-path="" require-peer-certificate=no \
    certificate=auto ca-certificate=auto \
    upgrade-policy=suggest-same-version

# Profilo di sicurezza: WPA2+WPA3 in transizione
/interface wifi security add name=sec-corp \
    authentication-types=wpa2-psk,wpa3-psk \
    passphrase="PasswordMoltoLunga2026" \
    ft=yes ft-over-ds=yes   # abilita 802.11r per il roaming veloce

# Datapath: local forwarding sulla VLAN 20
/interface wifi datapath add name=dp-corp \
    bridge=bridge-lan vlan-id=20 local-forwarding=yes

# Canali separati per banda
/interface wifi channel add name=ch-2g band=2ghz-n \
    frequency=2412,2437,2462 width=20mhz
/interface wifi channel add name=ch-5g band=5ghz-ax \
    frequency=5180-5320,5500-5700 width=20/40/80mhz

# Configurazioni finali
/interface wifi configuration add name=cfg-corp-2g \
    ssid=VelixCorp security=sec-corp datapath=dp-corp \
    channel=ch-2g country=italy
/interface wifi configuration add name=cfg-corp-5g \
    ssid=VelixCorp security=sec-corp datapath=dp-corp \
    channel=ch-5g country=italy

Regole di provisioning

Il provisioning associa i CAP che si presentano alle configurazioni giuste, in base a banda, MAC o identity:

# Radio 2.4 GHz -> configurazione 2g
/interface wifi provisioning add \
    supported-bands=2ghz-ax,2ghz-n \
    action=create-dynamic-enabled \
    master-configuration=cfg-corp-2g

# Radio 5 GHz -> configurazione 5g
/interface wifi provisioning add \
    supported-bands=5ghz-ax,5ghz-ac \
    action=create-dynamic-enabled \
    master-configuration=cfg-corp-5g

Con slave-configurations si aggiungono SSID multipli sulla stessa radio, ad esempio una rete ospiti su VLAN 90 con datapath dedicato.

Lato CAP

Sull'access point la configurazione si riduce a poche righe:

/interface wifi cap set enabled=yes \
    discovery-interfaces=bridge-lan \
    certificate=request \
    slaves-datapath=bridge-lan

Se controller e CAP sono su subnet diverse, il discovery in broadcast non passa: va indicato l'indirizzo con caps-man-addresses=10.0.0.1.

Verifica dal controller con /interface wifi registration-table print e /interface wifi radio print: le radio registrate compaiono con il MAC del CAP e la configurazione applicata.

Errori ricorrenti

• Canali sovrapposti in 2,4 GHz: usa solo 1, 6 e 11. Con frequency=auto gli AP possono scegliere canali adiacenti e interferire tra loro.
• Larghezza 40 MHz in 2,4 GHz: occupa metà banda disponibile in Europa. Lascia 20 MHz.
• Potenza al massimo su tutti gli AP: il client resta agganciato a un AP lontano invece di passare al più vicino. Meglio ridurre la TX power e infittire le celle.
• Dimenticare country=italy: senza regulatory domain corretto rischi di usare frequenze DFS non permesse o potenze fuori norma.
• VLAN non taggata sul trunk: se il datapath usa VLAN 20, la porta switch verso il CAP deve avere quella VLAN in tagged, altrimenti i client associano ma non prendono IP.

Roaming: cosa aspettarsi davvero

CAPsMAN non "sposta" i client tra AP. La decisione resta al dispositivo. Quello che il controller può fare è renderla più rapida e informata:

• 802.11r (fast transition): riduce la ri-autenticazione da centinaia di millisecondi a poche decine. Fondamentale per il VoIP su Wi-Fi.
• 802.11k/v: forniscono al client la lista degli AP vicini e suggeriscono il passaggio.
• Access list con soglia di segnale: rifiutare associazioni sotto -80 dBm forza i client più testardi a cercare un AP migliore.

Con questi tre elementi attivi una chiamata VoIP sopravvive al passaggio tra celle senza buchi audio percepibili.