Configuration du portail captif en quelques minutes

Planifiez d'abord le réseau invité

Un portail captif fonctionne sur votre propre réseau, pour vos propres invités et utilisateurs ; ce n'est pas quelque chose que vous mettez sur la connexion de quelqu'un d'autre. Avant de toucher au pare-feu, décidez à quel réseau le portail s'applique : normalement un réseau invité dédié (sa propre interface ou VLAN et son propre SSID sur vos points d'accès), séparé du LAN du personnel et du bureau. Le portail doit capturer uniquement les appareils invités. Vos PC, serveurs et imprimantes de bureau ne doivent jamais se retrouver derrière une page de connexion invité.

Installer l'application Captive Portal

Connectez-vous à l'interface d'administration du pare-feu Untangle et ouvrez la vue Applications. Recherchez l'application Captive Portal, installez-la dans le rack si elle n'y est pas déjà et allumez-la. Tant que des règles de capture n'existent pas, un portail installé ne capture rien : l'application en elle-même ne modifie pas la navigation de quiconque. Tout ce qui détermine le comportement se déroule dans les étapes suivantes, et cet ordre est important : l'application en premier, les règles en second, les invités en dernier.

Écrire les règles de capture

Les règles de capture sont au cœur de la configuration : elles indiquent au pare-feu quel trafic est arrêté et envoyé vers la page du portail. Écrivez les règles de manière à ce qu'elles correspondent uniquement au réseau invité : l'interface invité ou la plage d'adresses invité de votre plan à l'étape 1 est mise de côté. Un client qui correspond à une règle de capture voit la page de connexion avant tout accès à Internet ; un client qui ne correspond pas navigue normalement. Commencez par la règle la plus étroite qui couvre vos invités, puis vérifiez la règle à partir d'un appareil de test avant d'élargir quoi que ce soit.

Choisissez le type de connexion

Ensuite, décidez ce qu'un invité doit faire sur la page du portail. L'application Captive Portal propose plusieurs styles d'authentification, du plus léger au plus strict : une simple page de capture où l'invité accepte simplement les conditions d'utilisation, les comptes du propre répertoire local du pare-feu, ou une connexion soutenue par un service d'annuaire externe tel que RADIUS ou Active Directory via l'intégration d'annuaire du pare-feu, avec des options de connexion sociale également disponibles. Choisissez le type le plus léger qui correspond à votre lieu : un petit café souhaite généralement la page de conditions ou un compte invité partagé, tandis qu'un réseau invité de bureau souhaite généralement des comptes nommés afin que l'accès puisse être tracé et retiré.

Quel que soit le type que vous choisissez, les identifiants des clients sont délivrés par vous ou votre personnel et remis directement aux clients. Ils ne sont jamais publiés sur une page Web publique ni signalés que quiconque sur Internet peut lire, et les comptes des personnes qui ont quitté doivent être supprimés et non laissés actifs pour toujours.

Ajouter des hôtes transmis

Les hôtes transmis sont les exceptions : les adresses que les clients sont autorisés à atteindre sans se connecter. Les utilisations typiques sont les pages dont un invité a réellement besoin avant de se connecter – par exemple une page de paiement ou d'inscription dont dépend votre flux de connexion, ou un service spécifique que vous gardez délibérément ouvert. Ajoutez uniquement les hôtes dont votre configuration a réellement besoin, un à la fois, et notez pourquoi chacun d'eux est là.

Testez comme un vrai invité

Testez maintenant la façon dont la vidéo la présente : en tant qu'invité et non en tant qu'administrateur. Prenez un téléphone ou un ordinateur portable qui ne s'est jamais connecté, rejoignez le réseau invité et ouvrez un navigateur : la page du portail doit apparaître avant le chargement de tout site. Terminez la connexion exactement comme le ferait un invité, confirmez le démarrage normal de la navigation et vérifiez qu'un hôte réussi à l'étape 5 s'ouvre également sans connexion. Ensuite, reconnectez-vous et confirmez que le comportement est celui que vous souhaitiez : certaines configurations demandent une connexion à chaque fois, d'autres mémorisent un appareil pendant une période définie ; l'un ou l'autre est bien tant que c'est le comportement que vous avez choisi, pas un accident.

Ce que signifie réellement « en quelques minutes » 

La promesse du titre est honnête pour la configuration présentée : sur un pare-feu déjà installé, un réseau invité, un type de connexion et une courte liste passée représentent véritablement quelques minutes de travail sur console. Ce n’est pas une garantie pour tous les réseaux. Plusieurs réseaux invités ou SSID, une connexion basée sur un annuaire qui nécessite d'abord la configuration de l'annuaire lui-même, une page de portail personnalisée et des sites liés via des VPN ajoutent tous du temps réel. Planifiez d'abord la version simple, prouvez-la avec le test invité à l'étape 6, puis développez-la seulement.