Integração MK-Auth com MikroTik: passo a passo atualizado (RouterOS 7)

Seu MK-Auth roda numa VPS da Mega Dedicados, dentro do data center. O MikroTik continua onde sempre esteve: na borda do seu provedor, autenticando os assinantes. Para os dois conversarem, você liga o MikroTik ao MK-Auth por uma VPN (ela já vem pronta na VPS), cadastra o roteador no MK-Auth, cria o usuário que o MK-Auth usa para mandar comandos e aponta o RADIUS para o servidor. Com tudo em mãos, leva uns 15 minutos.

Este guia foi feito agora, em outubro de 2026, com o MK-Auth 26.02 e o RouterOS 7.25. Todas as telas abaixo são de uma integração real que montamos em bancada para escrever o passo a passo.

Antes de começar

• O e-mail de entrega da VPS: IP do servidor, acesso ao painel do MK-Auth e os usuários de VPN.
• Acesso ao seu MikroTik pelo Winbox ou pelo WebFig (navegador), com usuário administrador. No WebFig do RouterOS 7, depois do login, clique em Advanced no topo para ver o menu completo.
• RouterOS 7 atualizado, de preferência a versão estável mais recente (7.24.2 ou superior). As versões anteriores têm uma falha grave no SSH, corrigida em setembro de 2026. Atualize em System › Packages › Check For Updates.

O que é da Mega e o que é seu. A Mega entrega o MK-Auth instalado, a VPS no ar, a VPN pronta e o acesso ao servidor. A configuração do MikroTik, dos planos e dos clientes dentro do MK-Auth fica com você ou com o seu técnico. Este guia é o caminho que recomendamos para essa parte.

1. Conecte o MikroTik à VPN do MK-Auth

A VPS já vem com o servidor de VPN ligado e com 10 usuários, listados no e-mail de entrega. Use um usuário diferente para cada MikroTik: dois roteadores com o mesmo usuário derrubam um ao outro.

1. Abra Interfaces, clique em + (ou New) e escolha PPTP Client.
2. Em Name, dê um nome, por exemplo MK-Auth-Nuvem.
3. Em Dial Out: Connect To = IP público da sua VPS; User e Password = um dos usuários de VPN do e-mail; Profile = default-encryption.
4. Clique em OK. Em segundos o status fica CONNECTED.

Abra a seção Status e anote os dois endereços. O Remote Address é o MK-Auth dentro da VPN (172.31.255.2, igual em todas as VPS). O Local Address é o seu MikroTik: cada usuário de VPN tem o seu IP fixo, de 172.31.255.3 a 172.31.255.13.

Pelo terminal do MikroTik, o mesmo passo:

/interface/pptp-client/add name=MK-Auth-Nuvem connect-to=IP_DA_VPS user=USUARIO_VPN password=SENHA_VPN profile=default-encryption disabled=no
/interface/pptp-client/monitor MK-Auth-Nuvem

2. Cadastre o MikroTik no MK-Auth

No MK-Auth cada MikroTik é um ramal. Entre no painel do MK-Auth, abra o menu Conexões e clique em Ramais. Na lista, clique em + para inserir um novo.

Aba Cadastro:

• IP do MK: o Local Address que você anotou no passo 1 (o IP do MikroTik dentro da VPN).
• Nome: um nome para o roteador.
• Senha mkauth: crie uma senha forte. Ela vai no usuário mkauth que você cria no passo 3.
• SSH Ativo: Sim. Porta SSH: a do seu MikroTik (22, se você não mudou).
• Community (SNMP): public ou a que você usar no MikroTik.

Agora abra a aba Radius e preencha o Secret com outra senha forte. Atenção: o Secret fica nessa aba separada, e é o campo que mais se esquece. Sem ele o RADIUS não funciona. Depois clique em Gravar.

De volta à lista de ramais, abra Detalhes do roteador. No fim da página, em Comandos, clique em Chave SSH: o navegador baixa a chave que o MK-Auth usa para entrar no MikroTik.

3. Crie o usuário mkauth no MikroTik

O MK-Auth entra no MikroTik por SSH para bloquear, liberar e mandar o cliente para a página de aviso. O usuário tem que se chamar exatamente mkauth, tudo minúsculo.

1. Em Files, envie o arquivo da chave que você baixou (no Winbox, é só arrastar para a janela).
2. Em System › Users, clique em +: Name = mkauth, Group = full, Password = a senha do passo 2. Em Allowed Address, ponha 172.31.255.2 para que só o MK-Auth use esse usuário.
3. Na aba SSH Keys, clique em Import SSH Key, escolha o usuário mkauth e o arquivo da chave.

/user/add name=mkauth group=full password=SENHA_DO_PASSO_2 address=172.31.255.2/32
/user/ssh-keys/import public-key-file=NOME_DO_ARQUIVO_DA_CHAVE user=mkauth

4. Aponte o RADIUS para o MK-Auth

1. Abra RADIUS e clique em +. Em Service, marque ppp (e hotspot se você usa). Address = 172.31.255.2. Secret = o do passo 2. Timeout = 900 ms.
2. Importante no RouterOS 7: em Require Message Auth, escolha no. Desde a versão 7.15 o MikroTik descarta respostas do RADIUS que não trazem esse atributo, e o assinante não conecta mesmo com usuário e senha certos. É a causa número um de “a integração não funciona” em roteador novo.
3. Ainda em RADIUS, clique em Incoming, marque Accept e use a porta 3799. É por ela que o MK-Auth derruba a conexão de quem foi bloqueado.
4. Em PPP, abra PPP Authentication & Accounting (no WebFig fica no painel Configuration da aba Secrets): marque Use Radius e Accounting, com Interim Update de 00:03:00.

/radius/add service=ppp,hotspot address=172.31.255.2 secret=SEU_SECRET timeout=900ms require-message-auth=no comment="MK-Auth Nuvem"
/radius/incoming/set accept=yes port=3799
/ppp/aaa/set use-radius=yes accounting=yes interim-update=3m

5. PPPoE, SNMP e horário

Se o seu concentrador já está montado, confira só os pontos abaixo. Se está começando do zero, este é o mínimo:

• Pools (IP › Pool): um para o lado do servidor e um para os clientes. No exemplo, Local-1 = 100.64.0.1–100.64.7.254 e Remoto-1 = 100.65.0.1–100.65.7.254.
• Perfil (PPP › Profiles): pppoe, com Local Address Local-1, Remote Address Remoto-1 e DNS da sua escolha.
• Servidor PPPoE (PPP › PPPoE Servers): na interface dos clientes, Max MTU/MRU 1480, perfil pppoe, autenticação CHAP e uma sessão por host.
• SNMP (IP › SNMP): ligado. É assim que o MK-Auth lê o tráfego e o sinal.
• Horário (System › NTP Client): ligado, com a.ntp.br e b.ntp.br. Relógio errado no MikroTik causa queda de sessão e relatório estranho no MK-Auth.

/ip/pool/add name=Local-1 ranges=100.64.0.1-100.64.7.254
/ip/pool/add name=Remoto-1 ranges=100.65.0.1-100.65.7.254
/ppp/profile/add name=pppoe local-address=Local-1 remote-address=Remoto-1 dns-server=1.1.1.1,8.8.8.8
/interface/pppoe-server/server/add service-name=servidor-pppoe interface=INTERFACE_DOS_CLIENTES max-mtu=1480 max-mru=1480 default-profile=pppoe authentication=chap one-session-per-host=yes disabled=no
/snmp/set enabled=yes
/system/ntp/client/set enabled=yes servers=a.ntp.br,b.ntp.br

6. Teste a integração

1. No MK-Auth, em Conexões › Ramais, abra Detalhes do roteador e clique em Teste SSH. Aparece o aviso “Comando de teste … enviado para MikroTik”.
2. No MikroTik, abra IP › Firewall › Filter Rules: tem que aparecer uma regra desativada com o comentário “TESTE DO MK-AUTH PARA USO COM SSH” seguido de um código. Se ela apareceu, o SSH está funcionando. Pode apagá-la depois.
3. Cadastre um cliente de teste no MK-Auth e conecte por PPPoE. No MikroTik, /radius/monitor 0 mostra os pedidos aceitos e PPP › Active Connections mostra o cliente conectado.

Quando não funciona

O que eu faria no seu lugar

Atualizaria o RouterOS para a versão estável antes de qualquer coisa, faria a integração com um cliente de teste e só depois mudaria os assinantes de verdade. E deixaria o SSH e o SNMP do MikroTik abertos só para o IP do MK-Auth (172.31.255.2): é a forma mais simples de não virar alvo.

Se o seu MK-Auth ainda roda num servidor dentro do provedor, vale conhecer o MK-Auth na nuvem da Mega: VPS no data center, VPN pronta e backup, sem depender do seu link nem da sua energia.

Perguntas frequentes

Preciso de IP fixo no meu MikroTik?
Não. Quem abre a VPN é o MikroTik, então funciona com IP dinâmico.

Posso ligar mais de um MikroTik ao mesmo MK-Auth?
Sim. Para cada roteador, use um usuário de VPN e cadastre um ramal no MK-Auth com o IP que aquele usuário recebe.

A Mega faz essa configuração para mim?
A Mega mantém a VPS, o MK-Auth e a VPN funcionando. A configuração do MikroTik e do sistema fica com você ou com o seu técnico, seguindo este guia.