You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 8 Next »

Для работы гостевой авторизации в настройках контроллера указывается RADIUS-сервер (или несколько адресов если WNAM2 работает в кластерном режиме) согласно документации на контроллер WiCo

В качестве примера возьмем конфигурацию кластера WNAM2 состоящего из двух узлов:
wnam2d1 - 10.241.200.35
wnam2d2 - 172.16.133.35

Базовые настройки контроллера беспроводной сети

Настройка RADIUS-сервера на контроллере:

Создание группы серверов кластера WNAM2:

Настройки беспроводной сети (SSID) в контроллере:


Внимание!

Прежде, чем настраивать и проверять работу гостевой авторизации, вы должны убедиться, что ваш SSID работает в открытом режиме без авторизации: происходит подключение, назначение IP адреса в нужном VLAN, маршрутизация, DNS, NAT работают без ошибок. 

Настройка системы сетевой авторизации WNAM 2


На стороне системы авторизации WNAM 2 вы настраиваете взаимодействие с контроллером (RADIUS-клиентом) и правила аутентификации/авторизации вне зависимости от того, какой способ гостевой авторизации (ваучер, смс, звонок и т.п.) вы применяете.

Добавление/настройка сетевого устройства (NAS)

В первую очередь необходимо добавить контроллер в систему WNAM 2 в разделе "Объекты - Сетевые устройства", нажав на кнопку Новое устройство

В настройках сетевого устройства (NAS) необходимо указать имя устройства, тип устройства "WIRELESSCONTOLLER", вендора "RFNETWORKS", IP адрес контроллера и ключ RADIUS:

Настройки сетевого устройства

Настройка правил аутентификации и авторизации

Следующим шагом необходимо определить правила аутентификации и авторизации гостевых пользователей беспроводной сети.

При гостевой авторизации у нас есть две категории гостевых пользователей:

  1. Ранее неизвестные/просроченные
  2. Уже авторизованые
Ранее неизвестные/просроченные гостевые пользователи

Для ранее неизвестных/просроченных гостевых пользователей аутентификация должна заканчиваться успехом с авторизацией типа Access-Accept и обязательным назначением двух атрибутов: ссылки редиректа на портал, и имени разрешающего портальный трафик ACL (в примере: wnam2_redirect).

Первым шагом нужно создать правило авторизации, которое будет отправлять беспроводному контроллеру два RADIUS-атрибута (выбрать из справочника):

  • WISPr-Redirection-URL - содержит URL перенаправления
  • NAS-Filter-Rule(IETF) - содержит список разрешенных до авторизации ресурсов

Для этого в разделе "NAC - Авторизация" создаем правило:

При срабатывании правила необходимо указать условие: не создавать эндпоинт (на этой стадии его создавать пока рано; он создастся позже, в момент подтверждения доступа).


Затем нужно настроить правило аутентификации в разделе  "Главная - NAC - Аутентификация - Беспроводный MAB"

Уже авторизованные гостевые пользователи

Для авторизованных гостевых пользователей CWA аутентификация должна заканчиваться успехом с авторизацией типа Access-Accept и опциональным назначением атрибутов тайм-аута сессии, лимита скорости.

Для этого в разделе "NAC - Аутентификация - Беспроводный MAB", нужно создать второе правило, для уже существующих эндпоинтов:

В результирующее правило авторизации должно разрешать доступ и опционально может отправлять дополнительные атрибуты (например ограничение скорости, таймаут сессии)


Если ваш контроллер находится за пределами локальной сети (т.е. его IP адрес находится за пределами сетей 127.0.0.1, 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) необходимо таже добавить его адрес или сеть в список допустимых сетей для работы с RADIUS сервером. Сделать это можно путем изменения параметра "Допустимые сети RADIUS-клиентов для работы с сервером" (ключ radiusd_networks) из меню "Настройки - Параметры"


Отказоусточивая конфигурация

Для обеспечения отказоустойчивости рекомендуется использовать кластерную конфигурацию как контроллера WiCo, так и WNAM 2. Ознакомится с документацией по кластерной конфигурации контроллера можно в документации на контролер WiCo.

В кластерной конфигурации WNAM 2 для обеспечения отказоустойчивости гостевого сервиса в атрибутах WISPr-Redirection-URL и NAS-Filter-Rule(IETF) нужно указывать не адреса сервера WNAM 2, а специальные переменные:

  • %HOSTNAME% - возвращает имя сервера на который пришел RADIUS пакет (только имя хоста, без имени домена, если нужно полное имя, то доменную часть нужно указывать самому, либо переопределить через параметры сервера)
  • %HOSTIP% - возвращает IP адрес сервера на который пришел RADIUS пакет

В результате в правиле авторизации должны быть такие значения атрибутов:

Решение необходимо ли добавлять имя домена к параметру %HOSTNAME% в  атрибуте WISPr-Redirection-URL принимает пользователь исходя из дизайна и конфигурации своей сети

Если имя хоста гостевого портала WNAM 2 отличается от имени хоста RADIUS сервиса (например гостевой сервис работает на другом сетевом интерфейсе с отдельным IP адресом), WNAM 2 позволяет вручную переопределить значение переменных %HOSTNAME% и %HOSTIP%. Для этого нужно в меню "Настройки - Параметры" указать нужные значения в полях "Имя хоста Гостевого сервиса" (guest_service_ip) и "IP Гостевого сервиса" (guest_service_hostname).

Обратите внимание, что данные переменные действуют только на один, текущий узел кластера, поэтому данные параметры должны быть переопределены для каждого из узлов

Проверка работоспособности

Успешное подключение и авторизация гостевого пользователя приведет к появлению записи об его устройстве (эндпоинте) в списке, с типом GUEST.

Обратите внимание на две сессии подключения, первая с редиректом, вторая с авторизацией полного доступа:


  • No labels