RouterOS 7 Device-Mode: Kenapa Hotspot Tidak Jalan dan Cara Membukanya

Pernah naik mobil yang pintu belakangnya tidak mau terbuka dari dalam? Pintunya tidak rusak. Mobil itu hanya memakai child lock, pengunci kecil yang sengaja menahan pintu sampai seseorang membukanya dari luar. Hal yang sama terjadi pada RouterOS 7 device-mode. Fitur hotspot, scheduler, atau fetch Anda tidak rusak. Namun, RouterOS menguncinya, dan kuncinya hanya bisa Anda buka dengan menyentuh router secara fisik.

Pada tutorial ini kami membahas device-mode dari pengalaman nyata mengelola router MikroTik milik beberapa ISP kecil. Pertama, kita mengenali gejalanya. Kemudian kita membaca status lewat /system device-mode print, melihat fitur apa saja yang terkunci, lalu membukanya dengan /system device-mode update beserta konfirmasi tombol atau cold reboot. Selain itu, kami menyertakan tiga contoh kasus, termasuk satu percobaan yang gagal karena sesi terputus.

Apa Itu RouterOS 7 Device-Mode?

Device-mode adalah lapisan keamanan yang MikroTik tambahkan di RouterOS 7. Tujuannya sederhana. Jika seseorang berhasil mencuri password admin, ia tetap tidak bisa menyalakan fitur berbahaya seperti proxy, SOCKS, atau scheduler untuk menjadikan router Anda bagian dari botnet. Oleh karena itu, setiap perubahan device-mode menuntut bukti bahwa Anda berdiri di depan router.

Menurut dokumentasi resmi MikroTik, ada empat mode: home, basic, advanced (dulu bernama enterprise), dan rose. Mulai RouterOS 7.17, router baru keluar pabrik dengan mode bawaan sesuai jenisnya. Seri CCR dan 1100 memakai advanced, router rumahan memakai home, sedangkan perangkat lain memakai basic. Sebelum versi 7.17, semua perangkat memakai advanced sehingga hampir tidak ada fitur yang terkunci.

Akibatnya, masalah ini paling sering muncul pada router yang baru keluar dari kotak, baru Anda upgrade, atau baru Anda reset. Konfigurasi lama yang dulu berjalan mulus tiba-tiba menolak sebagian perintah tanpa pesan error yang jelas di Winbox.

Gejala Hotspot Tidak Jalan karena Device-Mode

Gejala paling umum muncul di menu hotspot. Server hotspot memang ada, tetapi tidak pernah aktif. Misalnya, perintah berikut menampilkan flag I (invalid) beserta keterangannya.

/ip hotspot print detail
# Flags: X - disabled, I - invalid, S - HTTPS
#  0 I  ;;; inactivated, not allowed by device-mode
#       name="hotspot1" interface=bridge-hotspot address-pool=pool-hotspot
#       profile=hsprof1 idle-timeout=5m addresses-per-mac=2

Baris komentar inactivated, not allowed by device-mode adalah petunjuk utamanya. Kami menulis output di atas dengan nama interface dan pool contoh, namun pesannya persis seperti yang kami temui di router pelanggan.

Gejala kedua lebih menipu. Karena server hotspot tidak aktif, RouterOS juga tidak membuat aturan NAT dinamis untuk captive portal. Banyak teknisi lalu mengira masalahnya ada di firewall.

/ip firewall nat print where dynamic
# hotspot normal: muncul aturan jump ke chain hotspot,
# redirect port 53 dan 80, serta chain hs-unauth dan hs-auth
# hotspot terkunci device-mode: daftar ini KOSONG

Selain itu, fitur lain menolak dengan pesan failure: not allowed by device-mode. Pesan ini muncul saat Anda menambah scheduler, menjalankan /tool fetch, atau membuat proxy. Jadi, setiap kali melihat pesan itu, langsung periksa device-mode sebelum mencurigai hak akses user.

Cek Status dengan /system device-mode print

Perintah pertama yang wajib Anda jalankan adalah perintah baca berikut. Perintah ini aman karena sama sekali tidak mengubah apa pun.

/system device-mode print

# cek satu fitur saja, hasilnya true atau false
:put [/system device-mode get hotspot]
:put [/system device-mode get scheduler]

Baris pertama menampilkan mode aktif dan status semua fitur. Kemudian dua baris :put berguna di skrip atau saat Anda hanya butuh jawaban singkat. Berikut output asli dari router RB5009 milik ISP mitra kami, kami ambil lewat RouterOS API.

Perhatikan bahwa router ini memakai mode home, tetapi hotspot dan scheduler bernilai true. Hal ini terjadi karena kami pernah membuka kedua fitur itu satu per satu. Sementara itu, fetch, proxy, dan email tetap false.

Arti Kolom Penting

Fitur yang Terkunci di Mode Home dan Basic

Tabel berikut kami ringkas dari dokumentasi resmi MikroTik. Namun, ingat bahwa setiap fitur tetap bisa Anda buka satu per satu tanpa mengganti mode dasarnya.

Dari tabel itu terlihat jelas bahwa hotspot terkunci di home maupun basic. Karena itu, ISP yang menjual voucher hampir pasti menabrak device-mode setelah memasang router RouterOS 7 baru. Container bahkan terkunci di advanced, jadi fitur itu selalu butuh pembukaan khusus.

Cara Membuka Fitur dengan device-mode update

Proses pembukaan terdiri dari tiga langkah: kirim perintah, konfirmasi fisik, lalu verifikasi. Bagian terpenting ada di langkah kedua, karena kesalahan kecil di sana membuat seluruh proses batal.

Langkah 1: Kirim Perintah Update

# buka satu fitur saja (pilihan paling hemat)
/system device-mode update hotspot=yes

# atau buka beberapa fitur sekaligus dalam satu perintah
/system device-mode update hotspot=yes scheduler=yes fetch=yes

# atau pindah ke mode advanced sepenuhnya
/system device-mode update mode=advanced

Pilih salah satu baris saja. Setelah Anda menekan Enter, terminal menampilkan hitung mundur dengan pesan turn off power or reboot by pressing reset/mode button. Perintah ini juga menerima parameter activation-timeout dengan nilai bawaan 5 menit. Selain itu, jangan menjalankan dua update bersamaan, sebab menurut dokumentasi resmi keduanya akan saling membatalkan.

Langkah 2: Konfirmasi Fisik dalam 5 Menit

Selama hitung mundur berjalan, lakukan salah satu dari dua cara berikut di lokasi router:

• Tekan tombol reset atau mode sebentar, cukup satu tekanan singkat. Jangan menahannya lama, karena tekanan panjang bisa memicu reset konfigurasi.
• Cabut lalu colok kembali adaptor daya (cold reboot).

Perintah /system reboot dari Winbox atau terminal tidak berlaku sebagai konfirmasi. RouterOS sengaja menolaknya, karena penyerang jarak jauh pun bisa menjalankan reboot software. Setelah RouterOS menerima konfirmasi, router reboot sendiri. Pada router kami, RouterOS juga berbunyi beep dua kali.

Langkah 3: Verifikasi Setelah Boot

:put [/system device-mode get hotspot]
# true

:put [/system device-mode get attempt-count]
# 0

:put [/ip hotspot get [find name=hotspot1] invalid]
# false

Jika ketiga hasil sesuai komentar di atas, berarti hotspot sudah terbuka. Selanjutnya, RouterOS langsung membuat aturan NAT dinamis captive portal tanpa langkah tambahan. Sebaliknya, jika attempt-count naik tetapi fitur tetap false, berarti konfirmasi Anda tidak tercatat. Kami membahas penyebabnya di contoh kasus kedua.

Lengkapi Hotspot Setelah Reset

Kalau router sebelumnya Anda reset, membuka device-mode saja belum cukup. Pada kasus kami, reset juga menghapus server hotspot dan membuat DNS router menolak permintaan klien. Oleh karena itu, kami menjalankan dua perintah berikut setelah device-mode terbuka.

/ip dns set allow-remote-requests=yes

/ip hotspot add name=hotspot1 interface=bridge-hotspot \
    address-pool=pool-hotspot profile=default disabled=no

Baris pertama membuat router mau menjawab DNS dari klien, sehingga browser bisa menemukan halaman login. Kemudian baris kedua membuat ulang server hotspot pada bridge dan pool yang sudah ada. Ganti bridge-hotspot dan pool-hotspot dengan nama di router Anda. Flag invalid kadang muncul sesaat ketika server baru terbentuk, jadi cek ulang dengan perintah verifikasi di langkah 3.

Contoh Kasus 1: Hotspot Mati Setelah Teknisi Mereset Router

Sebuah ISP mitra memakai RB450Gx4 untuk PPPoE dan hotspot pada satu bridge. Suatu hari teknisi lapangan mereset router, lalu mengembalikan IP, pool, DHCP, dan profil secara manual. PPPoE kembali normal. Namun, pelanggan hotspot tidak pernah melihat halaman login, dan daftar NAT dinamis tetap kosong.

Ternyata ada dua penyebab yang menumpuk. Pertama, device-mode get hotspot bernilai false. Kedua, /ip hotspot print benar-benar kosong karena reset ikut menghapus server hotspot. Teknisi sempat mencoba reset-html dan setup ulang wizard hotspot, tetapi keduanya tidak menolong.

Perbaikannya mengikuti urutan di atas. Kami menyalakan allow-remote-requests, mengirim device-mode update hotspot=yes, lalu teknisi di lokasi melakukan cold reboot. Setelah boot, kami membuat server hotspot baru. Hasilnya, RouterOS langsung membuat aturan NAT captive portal dan pelanggan bisa login kembali. Menariknya, konfigurasi /radius tetap utuh, karena secret dan data NAS tersimpan di sisi FreeRADIUS.

Contoh Kasus 2: Cold Reboot Gagal karena Sesi Terputus

Kasus kedua terjadi di hEX RB750Gr3 dengan RouterOS 7.19.6. Gejalanya identik: mode home, hotspot false, dan server hotspot berstatus invalid. Kami mengirim perintah update lewat RouterOS API dari jarak jauh, sementara pemilik router menunggu di lokasi.

Percobaan pertama gagal. Klien API kami memakai timeout 20 detik, sehingga koneksinya putus jauh sebelum pemilik mencabut daya. Setelah boot, hotspot tetap false dan hanya attempt-count yang naik menjadi 1. Artinya, permintaan update ikut batal begitu sesi pengirimnya mati.

Pada percobaan kedua, kami menaikkan timeout klien menjadi 330 detik agar sesi tetap terbuka selama hitung mundur. Kemudian pemilik menekan tombol reset sebentar, bukan mencabut daya. Router berbunyi beep dua kali, attempt-count kembali 0, dan hotspot menjadi true. Bonusnya, RouterOS membuat ulang seluruh folder HTML hotspot yang sebelumnya hilang, jadi kami tidak perlu menyalin template login secara manual.

Pelajarannya jelas. Biarkan terminal atau Winbox tetap terhubung sampai router benar-benar reboot. Selain itu, tombol reset lebih aman daripada cabut daya, karena sesi tidak ikut terputus sebelum konfirmasi tercatat.

Contoh Kasus 3: Scheduler dan Fetch Ikut Terkunci

Device-mode tidak hanya menyangkut hotspot. Kami pernah memasang skrip cadangan tunnel yang memakai scheduler di beberapa router ISP mitra. Semua user API memakai grup full, tetapi dua router tetap menolak pembuatan scheduler. Begitu pula saat kami menguji port modem pelanggan dengan /tool fetch, semua percobaan gagal dengan pesan yang sama.

Lalu kami membandingkan device-mode di semua router dengan satu perulangan perintah baca. Hasilnya menjelaskan semuanya. Router dengan scheduler: false menolak skrip, sedangkan router RouterOS 6 tidak mengenal pembatasan ini sama sekali.

Untuk router yang tidak bisa kami datangi, kami memilih jalan aman. Skrip failover tetap terpasang, tetapi teknisi mengaktifkannya manual lewat Winbox saat tunnel utama putus. Kami baru membuka scheduler=yes ketika ada teknisi yang bisa menekan tombol di lokasi.

Kesalahan Umum

• Menyalahkan firewall atau wizard hotspot. Jika NAT dinamis hotspot tidak muncul di RouterOS 7, periksa device-mode get hotspot lebih dulu sebelum mengutak-atik firewall.
• Memakai /system reboot sebagai konfirmasi. RouterOS hanya menerima tombol fisik atau putus daya.
• Membiarkan sesi pengirim terputus. Timeout SSH atau API yang pendek membatalkan update dan hanya menambah attempt-count.
• Menahan tombol reset terlalu lama. Tekanan panjang bisa mereset konfigurasi. Cukup tekan sebentar.
• Mencoba update berulang kali. Dokumentasi MikroTik membatasi percobaan. Jika muncul pesan too many unsuccessful attempts, Anda harus melakukan cold reboot atau menekan tombol dulu agar penghitung kembali nol.
• Langsung pindah ke mode advanced. Cara ini memang praktis, namun membuka fitur yang tidak Anda pakai. Buka per fitur saja, misalnya hotspot=yes.
• Mengabaikan flagged=yes. Status ini menandakan RouterOS menemukan konfigurasi mencurigakan. Periksa seluruh konfigurasi, ganti password, dan upgrade sebelum membuka flag.

Kesimpulan

RouterOS 7 device-mode adalah child lock untuk router MikroTik. Fitur seperti hotspot, scheduler, fetch, dan proxy tidak rusak, hanya terkunci sampai pemiliknya membuktikan kehadiran fisik. Oleh karena itu, setiap kali muncul pesan not allowed by device-mode atau server hotspot berstatus invalid, jalankan /system device-mode print lebih dulu.

Untuk membukanya, kirim /system device-mode update hanya untuk fitur yang Anda butuhkan. Kemudian biarkan sesi tetap terhubung dan tekan tombol reset sebentar dalam 5 menit. Terakhir, verifikasi dengan :put dan lengkapi server hotspot jika router sebelumnya Anda reset. Dengan urutan ini, satu kunjungan singkat ke lokasi router sudah cukup untuk menyelesaikan masalah.

Baca Juga

• Cara Akses Proxmox dari Internet Tanpa IP Publik (WireGuard + VPS)
• Keamanan Server Linux: Tutorial Hardening SSH, Firewall UFW, CrowdSec, dan Alarm Telegram
• Cara Membuat Dashboard Monitoring Server (NOC) dengan Uptime Kuma dan Beszel

Referensi: MikroTik Documentation: Device-mode, MikroTik Documentation: HotSpot – Captive portal.