Connecter votre premier routeur MikroTik (mode Agent)
Aucune adresse IP publique, aucun port à ouvrir : le routeur appelle 403Shield tout seul, toutes les 45 secondes. Derrière l'Internet Orange CI, en CGNAT ou en Starlink, l'installation tient en 30 secondes.
C'est quoi ?
Le « mode Agent » est la façon standard de raccorder un routeur MikroTik à 403Shield : un petit script installé sur le routeur établit la connexion VERS le cloud, uniquement en sortant (HTTPS sortant, TLS vérifié). Le cloud ne se connecte jamais à votre routeur.
Le script survit aux redémarrages (scheduler RouterOS) : débranchez le routeur, il revient « En ligne » tout seul dès que le réseau revient. À chaque check-in (45 s en activité, 240 s en veille — le pas est décidé par le cloud), le routeur remonte son état et reçoit jusqu'à 10 commandes en attente (file FIFO priorisée : actions d'abord, lectures d'état ensuite).
Quelle différence avec…
vs Le mode Réel (LAN)
Le mode Réel connecte le cloud AU routeur via l'API RouterOS (IP + port ouverts). Réservé aux tests sur votre réseau local — inutile en production derrière un FAI domestique.
vs Le mode Simulé
Routeur virtuel pour découvrir la console sans matériel. Aucun client réel ne s'y connecte.
vs L'import
« Importer les données du routeur » reprend profils et utilisateurs d'un routeur DÉJÀ raccordé — ce n'est pas une façon de connecter, c'est une migration (menu ⋯ de la fiche routeur).
vs Le renfort WireGuard (routeur)
Le renfort WG est un tunnel optionnel entre le routeur et le cloud (deuxième chemin, clé privée qui ne quitte jamais le routeur). Il se pose APRÈS le mode Agent, jamais à la place.
Que recevez-vous ?
- Le routeur reçoit : un script d'installation (.rsc) + un token d'agent (affiché une seule fois, jamais stocké en clair côté serveur, haché).
- Le cloud reçoit : l'identité du routeur (modèle, version RouterOS, uptime, interfaces, débits) à chaque check-in.
- La console reçoit : le statut temps réel — « En ligne · vu il y a X s », le trafic par interface, la liste des sessions, et les commandes passent dans l'autre sens (kick, profils, walled-garden, protections…).
- Le routeur télécharge aussi sa page de portail captif personnalisée (votre marque) depuis le cloud.
Comment l'utiliser ?
Routeurs → Ajouter un routeur
Dans la console, ouvrez Infrastructure → Routeurs puis « Ajouter un routeur ». Choisissez « Agent 403Shield (recommandé) » : seul le nom est requis. Renseignez éventuellement l'URL de connexion hotspot (page de login MikroTik, ex. http://192.168.88.1/login) pour que les QR des vouchers ouvrent la page avec le code pré-rempli.
Astuce — L'URL de connexion peut rester vide : le QR contiendra alors le code en texte clair. Vous pourrez la renseigner plus tard via « Modifier ».
Le dialogue de création — mode Agent sélectionné. Générer puis copier le script
Cliquez « Créer et générer le script » : le script d'installation .rsc s'affiche avec son bouton Copier. Si vous perdez ce script, le menu ⋯ de la fiche routeur → « Script d'installation » le régénère — mais un NOUVEAU token est créé et l'ancien agent cesse de fonctionner (un routeur = un agent actif).
Le script d'installation — note : le token agent n'est jamais stocké en clair. Winbox → New Terminal → coller
Sur le routeur : ouvrez Winbox, menu New Terminal. Collez le script (clic droit → Paste) et appuyez sur Entrée. L'exécution est silencieuse : le scheduler d'agent est posé, le routeur effectue son premier check-in dans la seconde.
Cette étape se fait sur le routeur (Winbox), pas dans 403Shield — comptez 30 secondes en tout.
Vérifiez « En ligne » dans la console
Revenez sur Routeurs : au premier check-in (≤ 45 s), la carte du routeur passe au vert « En ligne · vu il y a X s ». La fiche complète (bouton sur la carte) montre le mode Agent, le modèle RouterOS et l'uptime.
Le parc routeurs — le premier check-in confirme le raccordement. Explorez la fiche routeur
Cliquez sur la carte pour ouvrir la fiche : débits en temps réel par interface, onglets Trafic / QoS / IP Bindings / Outils / Système, bouton « Tester la connexion », et le menu ⋯ (import de données, réparation du walled-garden, script, modification, suppression).
Astuce — « Tester la connexion » force un check-in immédiat au lieu d'attendre le prochain cycle de 45 s.
La fiche routeur — supervision et outils au même endroit. Test de bout en bout
Générez 3 vouchers « 1 Heure » (guide Vouchers) : ils apparaissent sur le routeur au check-in suivant. Un client se connecte au hotspot et saisit son code → sa session remonte dans Supervision → Sessions. Le circuit est fermé : console → routeur → client → console.
Quels usages ?
Cybercafé derrière Orange CI
Pas d'IP publique, CGNAT : l'agent passe, car tout est sortant. C'est LE cas d'usage d'Abidjan.
Starlink / zones rurales
Même principe : le routeur appelle, personne n'a besoin de le joindre.
Multi-sites
Répétez l'opération par site — chaque routeur porte son site, la comptabilité ventile toute seule (voir le guide Sites).
Pièges & astuces
RouterOS antérieur à 7.19 — La validation TLS stricte échoue (certificats racine absents). Mettez à jour RouterOS (possible depuis la console, fiche routeur ou flotte) — le cloud refuse l'inscription sinon.
« Hors ligne » ≠ panne 403Shield — Routeur débranché, coupure Internet ou veille prolongée : il revient « En ligne » tout seul. Vérifiez l'horodatage « vu il y a X s » avant de conclure.
Ré générer le script coupe l'ancien agent — Chaque régénération crée un token neuf. Si le routeur tourne avec l'ancien script, il sera rejeté : recollez le NOUVEAU script sur le routeur.
check-in échoue (reseau ?) dans le log RouterOS — Blocage HTTPS sortant (port 443 fermé, proxy, firmware ancien). Testez depuis un navigateur sur le routeur (fetch url=…) pour isoler.