Для проведения гостевой авторизации, т.е. идентификации беспроводного устройства, и его последующий допуск доступ в сеть Интернет, вам потребуется хотспот - устройство, на котором производится перенаправление HTTP-сессии Wi-Fi абонента на внешний портал авторизации. Это Таким устройством может быть:
- контроллер беспроводных точек доступа, который имеет соответствующие функции (называемые производителем hostspothotspot/wispr/external captive portal и т.п.): Cisco WLC, Huawei, Ruckus, Bluesocket vWLC, Ruckus, Zyxel NXC, Aruba, UniFi, HP MSM и т.п.;
любая "бытовая" точка доступа с установленной прошивкой OpenWrt/dd-wrt и программным пакетом CoovaChilli;
маршрутизатор с функцией портала перехвата hotspot, возможно, со встроенной точкой доступа: Mikrotik (модели hAP, CCR, CHR, RBxxx и т.п.);
маршрутизатор на основе pfSense (клон FreeBSD) с функцией Captive Portal Portal;
сервер-концентратор доступа BRAS, например Cisco 7200, Cisco ASR, Alcatel-Lucent SR7750, Juniper MX, RDP.RU (требует дополнительной лицензии).
| Warning |
|---|
Внимание! Идентификация устройства производится путём привязки МАС-адреса этого устройства к каким-то верифицированным учётным данным (номер телефона, ваучер, запить из Госуслуг и т.п.). Поскольку МАС-адреса передаются в беспроводной сети в открытом виде, из то их легко прослушать и подменить. Любые способы авторизации, завязанные на использование МАС-адреса мобильного устройства, потенциально являются небезопасными. Тем не менее, действующие сетевые стандарты, и объий похход общий подход к реализации гостевого доступа со стороны производителей сетевых устройств, не оставляют нам других вариантов. |
В первую очередь, вы должны необходимо построить беспроводную сеть доступа для ваших абонентов. В случае контроллерно-управляемых точек доступа, точки должны соответствовать контроллеру. В остальных случаях можно использовать любые точки доступа. Из соображений безопасности крайне желательно разграничить сетевые сегменты открытой (публичной части) , и вашей внутренней сети. Такое разграничение можно обеспечить либо на физическом уровне, либо при помощи VLAN.
В приведенном ниже примере в качестве точек доступа используются Ubiquiti UniFi (открытая сеть без встроенного портала), а в качестве маршрутизатора/хотспота используется Mikrotik.
Для идентификации через СМС-сообщение сервер будет отправлять команды на отправку СМС-сообщения с кодом доступа через шлюз СМС-провайдера (в настоящее время поддерживаются провайдеры SMSC, Websms.By, smstraffic, МТС.Коммуникатор, отправка через локально установленный USB GSM модем (утилита gammu), через установленный в маршрутизатор Mikrotik USB модем, или или через любого провайдера по протоколу SMPP через утилиту kannel). Возможна также отправка голосового вызова на телефон абонента, где автоматически будет продиктован код доступа, через нескольких операторов, а также приём звонка от абонента через шлюз Asterisk.
Если у вас имеется несколько площадок, где вы предоставляете предоставляется доступ пользователям, вы можете можно установить на каждой из них по своему маршрутизатору Mikrotik. В таком случае вам необходимо настроить несколько экземпляров "серверов доступа" и "площадок" в соответствующих разделах интерфейса системы WNAM (внимание: количество площадок лицензируется). Если места предоставления услуги находятся где-тов то в сети Интернете (который предоставляет на месте альтернативный провайдер), вы можете можно связать площадки с центральным узлом (где находится сервер) при помощи VPN (OpenVPN, VPLS, VLAN и т.п.):.
Вы можете Можно также привязать несколько площадок на один маршрутизатор MikroTik (несколько экземпляров HotSpot).
| Warning |
|---|
Перед настройкой сервера системы WNAM и хотспота на беспроводном контроллере/маршрутизаторе вы должны необходимо убедиться, что сама беспроводная сеть настроена правильно. Абоненты должны подключаться к сети, получать IP-адрес (работает DHCP), должна функционировать служба DNS, маршрутизация трафика, служба трансляции адресов (NAT). Без корректно работающей беспроводной сети в режиме "без авторизации" переходить к настойке системы WNAM не следует. |
Для успешной работы сервиса авторизации необходима настройка трёх компонентов: WNAM (портала), WNAM (RADIUS-сервера), службы HotSpot на устройстве.
При первоначальном подключении абонента проводится его идентификация и перенаправление сессии на внешний сайт или рекламу, при последующих - только перенаправление. При идентификации производится привязка МАС-адреса абонентского устройства к номеру мобильного телефона абонента. При этом производится отправка абоненту кода подтверждения, который тот должен необходимо ввести на специальной странице. Таким образом, становится реальным розыск абонента, пользовавшегося вашей использовавшего радио-сетьюсеть, по запросу от соответствующих органов. Схема работы "по шагам" приведена ниже.
- Пользователь подключает свое беспроводное устройство (ноутбук, смартфон, планшет) к беспроводной сети (без авторизации), построенной на основе UniFi или иного радио-оборудования, получает IP-адрес от маршрутизатора (DHCP).
- Пользователь открывает какую-либо страницу в сети Интернет (либо его устройство само открывает страницу).
- Маршрутизатор или контроллер (компонент HotSpot) считает идентифицирует сессию пользователя "не авторизованной" и производит перенаправление сессии пользователя "на себя".
- HotSpot отображает пользователю собственную страницу авторизации (например, rlogin.html для Mikrotik). Указанная страница (шаблон) должны должна быть предварительно загружена в маршрутизатор, и в ней должна быть указана автоматическая отправка формы на внешний сервер системы WNAM. Производители контроллерно-управляемого радио-оборудования имеют такую функцию в настройках контроллера.
- Форма содержит ссылку на встроенный в системе WNAM веб-сервер, который показывает пользователю страницу СМС-идентификации.
- Пользователь вводит номер своего телефона.
- При получении номера телефона система WNAM генерирует случайный (4 или 6-циферный) код активации, и через СМС-шлюз отправляет его на указанный телефон. Альтернативным способом является запрос пользователя отправить отправки с этого телефона СМС-сообщения на указанный вами номер - в таком случае, оплата за СМС перекладывается на абонента.
- Пользователь вводит код подтверждения.
- При совпадении система WNAM производит редирект (средствами HTTP redirect) сессии пользователя в сторону HotSpot маршрутизатора, либо открывает доступ пользователю иным способом.
- HotSpot производит проверку МАС-адреса пользователя путём отправки RADIUS-запроса серверу WNAM.
- RADIUS-сервер, встроенный в систему WNAM, обрабатывает на авторизацию (MAC-адрес абонентского устройства пользователя, идентификаторы площадки, текущий IP-адрес и т.п.).
- Система WNAM авторизует такое обращение, создает в своей базе учётную запись абонента (пользователя) по МАС-адресу (если такого адреса ещё не было).
- RADIUS-сервер возвращает ответ маршрутизатору.
- Маршрутизатор авторизует на своем портале HotSpot сессию пользователя, открывая ему доступ в Internet.
- Одновременно с этим маршрутизатор отправляет RADIUS-серверу запрос начала сессии (Accounting-Start).
- RADIUS-сервер в системе WNAM создаёт запись о новой сессии. Периодически получая сообщения о статусе сессии, система WNAM ведет статистику о переданном абонентом трафике.
- При настройке на маршрутизаторе или контроллере отправки детальных сведений о трафике абонента в сторону системы WNAM, производится привязка получаемой статистики к текущей сессии абонента , и хранение её в базе данных для возможного последующего розыска абонента.
- По завершении сессии (тайм-аут) сессий сессия закрывается, а пользователь, если ещё не отключился и активен, снова перенаправляется на страницу подтверждения.
На один номер К одному номеру телефона можно привязать несколько устройств (МАС-адресов), в том числе тех, которые не имеют SIM-карты. Время жизни такой авторизации определяется в параметрах (меню "Конфигурация" - → "Общие настройки" - → "Авторизация" - → "Длительность авторизации телефонного номера"), либо в индивидуальных настройках площадки . (рекомендуется выставлять это время в 180 дней). При повторных подключениях того же пользователя, если с момента авторизации не прошло указанное выше время, производится безусловная (без подтверждений и СМС-cсообщений) авторизация сессии.
Беспроводная сеть никак не может защититься от ситуации с подменой МАС-адресов беспроводных устройств, система WNAM также не сможет обеспечить такой защиты. В случае автоматической смены МАС-адреса на устройства устройстве (т.н. "рандомизация MAC-адреса"), система WNAM узнаёт идентифицирует это устройство как новое, ранее не авторизованное в сети. Это не недоработка WNAM, а издержки технологииявляется ошибкой в работе системы WNAM.
Настройки административного интерфейса системы WNAM позволяют установить содержимое страниц, отображаемых абонентам при первоначальном подключении (авторизации) и при каждом последующем подключении к сети. Помимо демонстрации рекламных материалов , и формы согласия с условиями предоставления услуги, возможно безусловно перенаправлять HTTP-сессию абонента на указанный вами сайт. Во всех случаях производится учёт числа показов и переходов по страницам каждого из типов , с возможностью получить детальную статистику в административном интерфейсе системы WNAM.
При поступлении запроса от вышестоящего провайдера или компетентных органов о сведениях об абоненте, посетившем определенный ресурс в сети Интернет в заданный промежуток времени, система WNAM позволяет при помощи простой формы запроса получить информацию о потоках трафика, сессиях, параметрах абонента, вплоть до его номера телефона, и выгрузить все эти сведения в файл для предоставления запрашивающим органам.
