SATELLITE - ‹votre site› — Guide d'exploitation du hotspot

Vue d'ensemble

WiFi : réseau ouvert « SATELLITE - ‹votre site› » (sans mot de passe — l'accès est contrôlé par le portail).
Portail captif : tout client non payant qui ouvre une page web voit la page d'accueil avec la grille tarifaire.
Vente : à la caisse, le gestionnaire appuie sur un bouton tarifaire → un QR code s'affiche → le client le scanne → il est connecté immédiatement pour la durée achetée.
Routeur : MikroTik L009UiGS-2HaxD, adresse 192.168.88.1, admin admin / mot de passe défini à la mise en service.
Internet : le routeur est client WiFi du réseau « ‹réseau amont› » (interface wifi-amont), sur la même radio que le SSID SATELLITE.

Grille tarifaire

Forfait	Durée	Prix
Pass Journée	24 h	500 FCFA
Pass 3 Jours	3 jours	1 000 FCFA
Pass Semaine	7 jours	1 500 FCFA
Pass 2 Semaines	15 jours	2 500 FCFA
Pass 3 Semaines	21 jours	3 500 FCFA
Pass Mois	30 jours	5 000 FCFA

La durée est du temps d'utilisation cumulé : un client qui se déconnecte ne perd pas son temps restant. Un voucher = un seul appareil à la fois. Débit par client : 10 Mbit/s descendant, 5 Mbit/s montant.

Caisse — application Android (principale)

APK : ``caisse-android/app/build/outputs/apk/debug/app-debug.apk (à compiler, voir README) — installer sur le téléphone de caisse (adb install ou transfert + installation manuelle, sources inconnues à autoriser).
Le téléphone de caisse doit être connecté au réseau du MikroTik (WiFi « SATELLITE - ‹votre site› » ou Ethernet via passerelle).
PIN caisse : ‹PIN caisse› (modifiable dans MainActivity.kt, constante PIN, puis recompiler).
Écran VENTE : appuyer sur le forfait demandé → QR code géant à présenter au client.
Écran RAPPORT : totaux jour / 7 jours / 30 jours / total, liste des ventes, bouton Annuler (désactive le voucher sur le routeur).
Écran CLIENTS : sessions actuellement connectées et vouchers présents sur le routeur, chacun marqué application ou hors application (comparaison avec la base locale du téléphone). Le bouton Migrer attribue à un utilisateur historique un nouveau code au forfait choisi ; la migration est enregistrée à 0 F et n'entre pas dans le chiffre d'affaires.
Authentification SSH : l'application se connecte au routeur en mot de passe (utilisateur caisse). Elle ne peut pas utiliser la clé ed25519 : les implémentations Ed25519 de JSch sont livrées dans META-INF/versions/15/ (JAR multi-release), que le compilateur D8/R8 d'Android ignore. Prérequis côté routeur, sans quoi toute vente échoue avec Auth fail for methods 'publickey,password' :

/ip ssh set always-allow-password-login=yes

Chaque téléphone de caisse doit être en bypass du portail (sinon ConnectException). Lier le bypass à la seule adresse MAC, jamais à une IP : le bail DHCP change et le bypass tomberait. Attention aussi à la randomisation d'adresse MAC d'Android — la garder désactivée pour le réseau SATELLITE sur les téléphones de caisse, sinon le bypass devient caduc :

/ip hotspot ip-binding add mac-address=<MAC> type=bypassed comment="telephone caisse"

Caisse — application web (secours)

Tourne sur ce PC en service automatique : http://192.168.88.2:8080 depuis n'importe quel appareil du réseau.
Même PIN (‹PIN caisse›, modifiable dans caisse-web/app.py).
Gestion du service : systemctl status|restart satellite-caisse.

Opérations courantes

Vérifier les clients connectés (Winbox/WebFig ou SSH) :

/ip hotspot active print

Voir tous les vouchers :

/ip hotspot user print

Désactiver un voucher manuellement :

/ip hotspot user remove [find name=CODE]

Changer les débits clients (ex. 20M/10M) :

/ip hotspot user profile set [find] rate-limit=20M/10M

Changer les prix/durées : modifier les profils (/ip hotspot user profile), les tables de prix dans portail/login.html (ré-uploader par FTP), et les listes PALIERS dans l'appli web (caisse-web/app.py) et Android (MainActivity.kt).

Vouchers épuisés : purge automatique chaque nuit à 03h17 (script purge-vouchers sur le routeur).

Liaison Internet — client WiFi « ‹réseau amont› »

Le routeur reçoit Internet par sa propre radio, en station, tout en continuant à diffuser le SSID SATELLITE. Configuration en place :

/interface wifi security add name=sec-amont authentication-types=wpa2-psk,wpa3-psk passphrase="‹clé du réseau amont›"
/interface wifi add name=wifi-amont master-interface=wifi1 configuration.mode=station \
    configuration.ssid="‹réseau amont›" security=sec-amont
/interface wifi set wifi1 channel.frequency=‹canal amont› channel.width=20mhz
/ip dhcp-client add interface=wifi-amont use-peer-dns=yes add-default-route=yes
/interface list member add list=WAN interface=wifi-amont

Le joker DNS a été retiré (/ip dns static remove [find comment~"JOKER"]) : les clients utilisent désormais le vrai DNS.

Contrainte importante : une radio ne tient qu'un seul canal. Le SSID SATELLITE est donc verrouillé sur le canal du réseau amont (‹canal amont›). Si ‹réseau amont› change de canal, la station décroche tant que wifi1 n'est pas réaligné :

/interface wifi scan wifi-amont duration=8          # relever le canal de ‹réseau amont›
/interface wifi set wifi1 channel.frequency=<canal>

La radio partage son temps entre le rôle station et le rôle point d'accès : le débit disponible pour les clients est mécaniquement réduit. Une liaison Internet sur ether1 (répéteur externe, fibre, autre routeur) libérerait la radio et resterait préférable en exploitation.

Vérifications :

/interface wifi registration-table print     # station associée à ‹réseau amont›
/interface wifi monitor wifi1 once           # AP SATELLITE en state: running
/ip dhcp-client print                        # bound
/ping 8.8.8.8 count=3

Repli sur ether1 : le client DHCP sur ether1 est toujours configuré. Brancher un câble Internet suffit ; ajouter alors ether1 à la liste WAN si besoin et désactiver wifi-amont pour rendre la radio au seul point d'accès.

Points d'attention

Passerelles en aval : les configurer en mode pont/point d'accès (pas de NAT). En mode NAT, tous leurs clients apparaissent comme un seul utilisateur et un seul voucher couvrirait tout le monde.
Le PC d'admin (192.168.88.2) est en bypass : il n'est jamais intercepté par le portail.
Sauvegarde de la configuration routeur : fichier sauvegarde-config.backup dans les fichiers du routeur (avant mise en service). Refaire après tout changement : /system backup save name=sauvegarde-config.
HTTPS : comme tout portail captif, la redirection automatique passe par la bulle de détection du téléphone ; taper un site HTTPS ne redirige pas (comportement normal).
L'APK contient le mot de passe SSH de l'utilisateur caisse (constante SSH_PASS dans MainActivity.kt) : ne pas le distribuer en dehors du personnel de caisse. La clé privée cle_caisse, inutilisable sur Android, a été retirée des assets de l'application ; elle ne sert plus qu'à la caisse web sur le PC.
L'API de la caisse web écoute sur 0.0.0.0:8080 et n'oppose qu'un PIN à 4 chiffres, sans limitation de tentatives : tout appareil du réseau peut en théorie l'énumérer et émettre des vouchers.

Modèle SATELLITE — documentation générique. Les valeurs entre ‹chevrons› sont propres à chaque site ; aucun identifiant réel ne figure dans ces pages.