...
Настройка RADIUS-сервера на контроллере:
Создание группы серверов кластера WNAM2:
Настройки беспроводной сети (SSID) в контроллере:
| Note | ||
|---|---|---|
| ||
| Прежде, чем настраивать и проверять работу гостевой авторизации, вы должны убедиться, что ваш SSID работает в открытом режиме без авторизации: происходит подключение, назначение IP адреса в нужном VLAN, маршрутизация, DNS, NAT работают без ошибок. |
...
В настройках сетевого устройства (NAS) необходимо указать имя устройства, тип устройства "WIRELESSCONTOLLER", вендора "RFNETWORKS", IP адрес контроллера и ключ RADIUS:
Настройка правил аутентификации и авторизации
...
Первым шагом нужно создать правило авторизации, которое будет отправлять беспроводному контроллеру два RADIUS-атрибута (выбрать из справочника):
WISPr-Redirection-URL-
содержит
URL
перенаправления (в данном случае )перенаправления. Может быть указан динамический URL с использованием переменных %HOSTNAME% и %HOSTIP%. Описание использования данных переменных имеется в разделе "Отказоусточивая конфигурация" данного документа
NAS-Filter-Rule(IETF)-
содержит
список
разрешенных
до
авторизации
ресурсов
Для этого в разделе "NAC - Авторизация" создаем правило:
При срабатывании правила необходимо указать условие: не создавать эндпоинт (на этой стадии его создавать пока рано; он создастся позже, в момент подтверждения доступа).
Затем нужно настроить правило аутентификации в разделе "Главная - NAC - Аутентификация - Беспроводный MAB"
Уже авторизованные гостевые пользователи
...
Для этого в разделе "NAC - Аутентификация - Беспроводный MAB", нужно создать второе правило, для уже существующих эндпоинтов:
В результирующее правило авторизации должно разрешать доступ и опционально может отправлять дополнительные атрибуты (например ограничение скорости, таймаут сессии)
| Note |
|---|
Если ваш контроллер находится за пределами локальной сети (т.е. его IP адрес находится за пределами сетей
|
Отказоусточивая конфигурация
Для обеспечения отказоустойчивости рекомендуется использовать кластерную конфигурацию как контроллера WiCo, так и WNAM 2. Ознакомится с документацией по кластерной конфигурации контроллера можно в документации на контролер WiCo.
В кластерной конфигурации WNAM 2 для обеспечения отказоустойчивости гостевого сервиса в атрибутах WISPr-Redirection-URL и NAS-Filter-Rule(IETF) нужно указывать не адреса сервера WNAM 2, а специальные переменные:
- %HOSTNAME% - возвращает имя сервера на который пришел RADIUS пакет (только имя хоста, без имени домена, если нужно полное имя, то доменную часть нужно указывать самому, либо переопределить через параметры сервера)
- %HOSTIP% - возвращает IP адрес сервера на который пришел RADIUS пакет
В результате в правиле авторизации должны быть такие значения атрибутов:
WISPr-Redirection-URL- https://%HOSTNAME%/portal?%URL%NAS-Filter-Rule(IETF)- %HOSTIP%
Решение необходимо ли добавлять имя домена к параметру %HOSTNAME% в атрибуте WISPr-Redirection-URL принимает пользователь исходя из дизайна и конфигурации своей сети
Если имя хоста гостевого портала WNAM 2 отличается от имени хоста RADIUS сервиса (например гостевой сервис работает на другом сетевом интерфейсе с отдельным IP адресом), WNAM 2 позволяет вручную переопределить значение переменных %HOSTNAME% и %HOSTIP%. Для этого нужно в меню "Настройки - Параметры" указать нужные значения в полях "Имя хоста Гостевого сервиса" (guest_service_ip) и "IP Гостевого сервиса" (guest_service_hostname).
| Note |
|---|
| Обратите внимание, что данные переменные действуют только на один, текущий узел кластера, поэтому данные параметры должны быть переопределены для каждого из узлов |
Проверка работоспособности
Успешное подключение и авторизация гостевого пользователя приведет к появлению записи об его устройстве (эндпоинте) в списке, с типом GUEST.
Обратите внимание на две сессии подключения, первая с редиректом, вторая с авторизацией полного доступа:
