Access-list e Connect-list: controllo accessi, signal-range e steering su MikroTik

Su una rete PtMP, controllare CHI si connette e a QUALE segnale è cruciale per la stabilità. RouterOS legacy usa due liste: l'access-list sull'AP (decide quali station accettare) e la connect-list sulla station (decide a quale AP/frequenza agganciarsi). Sono lo strumento principale per fare MAC filtering, escludere client con segnale scarso e ottimizzare il roaming.

Access-list (lato AP): accettare/rifiutare per MAC e segnale

Ogni regola in access-list viene valutata in ordine: la prima che combacia decide. Puoi filtrare per mac-address, per signal-range (intervallo di segnale ammesso) e applicare parametri per-client (limiti di banda, AP forwarding, ecc.).

/interface/wireless/access-list
# Accetta solo client con segnale tra -75 e 0 dBm (segnale buono)
add interface=wlan1 signal-range=-75..0 authentication=yes forwarding=yes \
  comment="Client con buon segnale -> ammessi"

# Tutto il resto (segnale peggiore di -75) viene rifiutato
add interface=wlan1 signal-range=-120..-76 authentication=no \
  comment="Segnale scarso -> rifiuta (eviti client instabili)"

# Esempio per-MAC con limite di banda dedicato (per-client)
add interface=wlan1 mac-address=AA:BB:CC:DD:EE:FF \
  ap-tx-limit=20M client-tx-limit=5M comment="Cliente Rossi - profilo 20/5"

Connect-list (lato station/CPE): a quale AP agganciarsi

/interface/wireless/connect-list
# Connettiti SOLO a questo AP (per MAC) finche il segnale e accettabile
add interface=wlan1 \
  mac-address=11:22:33:44:55:66 \
  ssid="WISP-BTS-Nord" \
  signal-range=-80..0 \
  connect=yes comment="AP primario"

# AP di backup: aggancia solo se il primario non e disponibile
add interface=wlan1 mac-address=77:88:99:AA:BB:CC ssid="WISP-BTS-Nord-2" \
  signal-range=-83..0 connect=yes comment="AP secondario"

# Lascia l'AP se il segnale scende sotto la soglia (roaming verso backup)
# (la station si disconnette dagli AP fuori dal signal-range)

Default authentication e ordine

• Sull'AP, disabilita default-authentication/default-forwarding sull'interfaccia per far decidere SOLO all'access-list (whitelist rigorosa).
• Le regole sono valutate top-down: metti prima le eccezioni specifiche (per MAC), poi le regole generali (per signal-range).
• forwarding=no impedisce ai client di parlarsi tra loro (client isolation) — utile su hotspot pubblici.
• Su wifiwave2 l'equivalente è /interface/wifi/access-list con logica analoga (match per MAC, signal-range, azione accept/reject).

/interface/wifi/access-list
add interface=wifi1 signal-range=-75..0 action=accept \
  comment="Buon segnale -> accetta"
add interface=wifi1 action=reject comment="Resto -> rifiuta"

Roaming e steering

• Su legacy il roaming è 'client-driven': la station decide quando cambiare AP in base al signal-range della connect-list.
• Su wifiwave2/CAPsMAN puoi usare 802.11k/v (neighbor report + BSS transition) e 802.11r (fast roaming) per spostare i client in modo più rapido e pulito tra AP indoor.
• Per il PtMP outdoor la regola d'oro resta: un CPE = un AP fisso ben puntato; il roaming è raro e va gestito con connect-list e soglie nette per evitare 'ping-pong' tra settori.