Como bloquear inadimplente automaticamente no MikroTik (sem script na mão)

A inadimplência não avisa. Ela cresce no silêncio: o cliente vence dia 10, ninguém bloqueia, ele segue navegando de graça, e no fim do mês o caixa não fecha. Se você bloqueia na mão pelo Winbox, conhece o problema — funciona com 20 clientes, vira pesadelo com 200. Este guia é honesto sobre as formas reais de bloquear inadimplente no MikroTik, o que cada uma faz de verdade, e como um sistema automatiza o ciclo inteiro pra você não precisar mais tocar no roteador.

As quatro formas reais de bloquear inadimplente no MikroTik

Não existe um botão 'bloquear' universal no RouterOS. Existem quatro técnicas, e cada uma resolve uma parte do problema. As duas primeiras controlam o que o cliente já conectado enxerga; as duas últimas controlam a sessão PPPoE em si. Bloquear cliente inadimplente de forma que realmente funcione quase sempre é combinar mais de uma.

• Address-list + walled-garden (firewall): você marca o IP do cliente numa address-list e cria regras de firewall que bloqueiam tudo, menos um punhado de destinos liberados — a página de aviso, o PIX, o seu WhatsApp. É o 'jardim murado': o cliente ainda abre uma tela dizendo por que caiu e como pagar. Ponto fraco: com IP dinâmico o endereço muda a cada reconexão, então a address-list precisa ser reescrita sozinha.
• Troca de profile PPPoE pra perfil reduzido: em vez de derrubar, você move o secret pra um profile com rate-limit mínimo (tipo 1k/1k) e address-list de bloqueio. Combina bem com o walled-garden. Detalhe que pega muita gente: a troca só vale na PRÓXIMA conexão — a sessão que já está no ar continua no profile antigo até reconectar.
• Desabilitar o PPP secret (/ppp secret set ... disabled=yes): impede login novo. Mas a sessão ativa não cai sozinha, e sem walled-garden o cliente fica no escuro, sem nenhuma tela explicando como pagar. Bom pra cancelamento, ruim pra cobrança — o cliente que só esqueceu de pagar não vê onde pagar.
• RADIUS CoA (RFC 3576): se você usa RADIUS, um Disconnect-Request derruba a sessão ativa na hora e o Change-of-Authorization troca rate/pool ao vivo. É o que falta nas outras três: efeito imediato sobre quem já está conectado. Sem RADIUS, o equivalente no MikroTik é dar kick via API (/ppp active remove).

Na prática, bloqueio que funciona é combinação, não escolha: profile reduzido com pool próprio de bloqueio + walled-garden pra o cliente ver o aviso e o código PIX + um kick na sessão (via API ou CoA) pra valer na hora, não só na próxima reconexão. Bloquear só a banda sem walled-garden gera enxurrada de chamado ('minha internet tá lenta'); bloquear sem derrubar a sessão deixa o inadimplente navegando até ele mesmo reconectar.

Por que bloquear na mão no Winbox não escala

Fazer tudo isso manualmente é viável no começo. O problema não é a dificuldade de um bloqueio isolado — é o volume e a consistência ao longo do mês. Cada bloqueio manual é: abrir o Winbox, achar o secret, trocar o profile, marcar a address-list, dar kick na sessão. E cada DESbloqueio é o caminho inverso, na pressa, com o cliente no telefone jurando que já pagou.

• Erro humano: trocou o profile errado e bloqueou quem pagou; esqueceu o kick e o inadimplente seguiu online.
• Escala: 5 bloqueios por dia é rotina; 50 num dia de vencimento em massa é inviável na mão.
• Sessão ativa: você troca o profile mas esquece que a sessão no ar não cai — o bloqueio 'não funcionou' e você queima tempo procurando o motivo.
• O desbloqueio esquecido: o cliente paga às 22h e fica bloqueado até alguém abrir o Winbox no dia seguinte. Isso é churn e reclamação garantidos.

O ciclo automático: active → pending → suspended

Um sistema de gestão resolve isso tratando o estado do cliente como uma máquina de estados ligada ao vencimento da fatura, não como um clique avulso no roteador. No Meu ISP, cada cliente transita por três estados, e cada estado corresponde a um profile PPPoE criado automaticamente quando você salva o plano — sem você montar profile de bloqueio na mão. É a base da suspensão automática de PPPoE: o vencimento dispara a transição, não um humano.

• active → profile cheio, com a banda do plano. Cliente em dia, nada a fazer.
• pending → profile 'pendente-<plano>': banda reduzida (você define o quão lenta), ainda sem walled-garden. É o empurrãozinho — a internet arrasta e o cliente percebe que tem algo pendente, alguns dias antes do corte de verdade.
• suspended → profile 'bloqueio-<plano>': rate mínimo + address-list de bloqueio + pool próprio de captive. Aqui entra o walled-garden — o cliente abre qualquer site e cai na tela de aviso com o PIX. A sessão ativa leva kick pra o bloqueio valer na hora, não só na próxima reconexão.

Reativação automática: o passo que quase todo mundo esquece

Bloquear é a metade fácil. A que dá dor de cabeça é desbloquear na hora certa. No fluxo automático, quando o pagamento cai — PIX ou boleto — o webhook do gateway dá baixa na fatura e, se não sobra nenhuma mensalidade vencida, o cliente volta pra active e o profile cheio é reaplicado. Sem ninguém abrir o Winbox às 22h de um domingo. Um detalhe honesto que pega muito provedor: se o cliente tem IP dinâmico, o profile de bloqueio PRECISA ter um pool próprio — senão o RouterOS sobe a sessão suspensa em 0.0.0.0, o captive não resolve e o cliente fica sem ver a tela de aviso. O sistema cria esse pool de bloqueio (uma faixa CGNAT reservada) automaticamente; na mão, é o tipo de detalhe que você só descobre com o cliente reclamando que 'paguei e continua sem ver nada'.

Se você está sofrendo com inadimplência agora e bloqueia tudo na mão, esse ciclo — suspensão automática de PPPoE, walled-garden com o PIX na tela e reativação por webhook — é justamente o que o Meu ISP faz por construção, junto com provisionamento atômico no MikroTik e cobrança PIX/boleto multi-gateway com baixa conciliada. Pra quem não usa só MikroTik, o mesmo bloqueio e desbloqueio sai por RADIUS CoA em Cisco, Huawei, Datacom, Nokia e ZTE. É grátis até 30 clientes ativos, sem cartão, e a base atual migra por planilha em 3 a 14 dias. O objetivo é simples: você define o prazo (padrão 10 dias de atraso) e nunca mais toca no roteador pra bloquear ou desbloquear ninguém.