Konfiguracja portalu przechwytującego w kilka minut

Najpierw zaplanuj sieć dla gości

Portal przechwytujący działa w Twojej własnej sieci, dla Twoich gości i użytkowników — nie jest to coś, co instalujesz na łączu kogokolwiek innego. Zanim dotkniesz firewalla, zdecyduj, do której sieci ma zastosowanie portal: zwykle jedna dedykowana sieć dla gości (własny interfejs lub VLAN i własny identyfikator SSID w punktach dostępowych), oddzielona od sieci LAN personelu i biura. Portal powinien przechwytywać tylko urządzenia gości. Twoje biurowe komputery, serwery i drukarki nie mogą nigdy znaleźć się za stroną logowania gościa.

Zainstaluj aplikację Captive Portal

Zaloguj się do interfejsu administracyjnego zapory sieciowej Untangle i otwórz widok Aplikacje. Znajdź aplikację Captive Portal, zainstaluj ją w stojaku, jeśli jeszcze jej nie ma, i włącz ją. Dopóki nie zostaną wprowadzone reguły przechwytywania, zainstalowany portal niczego nie przechwytuje — sama aplikacja nie wpływa na sposób przeglądania. Wszystko, co decyduje o zachowaniu, pojawia się w kolejnych krokach i ta kolejność ma znaczenie: najpierw aplikacja, potem zasady, na końcu goście.

Napisz zasady przechwytywania

Reguły przechwytywania stanowią serce konfiguracji: informują zaporę sieciową, który ruch zostanie zatrzymany i wysłany na stronę portalu. Zapisz reguły tak, aby pasowały tylko do sieci gościnnej — interfejs gościa lub zakres adresów gościa, który masz w planie z kroku 1, odłóż na bok. Klient pasujący do reguły przechwytywania widzi stronę logowania przed uzyskaniem dostępu do Internetu; klient, który nie pasuje, przegląda normalnie. Zacznij od najwęższej reguły obejmującej Twoich gości, a następnie sprawdź regułę na urządzeniu testowym, zanim cokolwiek poszerzysz.

Wybierz typ logowania

Następnie zdecyduj, co gość ma robić na stronie portalu. Aplikacja Captive Portal oferuje kilka stylów uwierzytelniania, od najprostszego do najsurowszego: prosta strona przechwytywania, na której gość akceptuje warunki użytkowania, konta z lokalnego katalogu zapory lub logowanie wspierane przez zewnętrzną usługę katalogową, taką jak RADIUS lub Active Directory, poprzez integrację katalogów z zaporą ogniową, z dostępnymi również opcjami logowania społecznościowego. Wybierz najlżejszy typ, który pasuje do Twojego miejsca: mała kawiarnia zwykle potrzebuje strony z warunkami lub wspólnego konta gościa, podczas gdy sieć dla gości w biurze zwykle wymaga nazwanych kont, aby można było prześledzić i wycofać dostęp.

Niezależnie od tego, jaki rodzaj wybierzesz, dane uwierzytelniające gościa są wydawane przez Ciebie lub Twoich pracowników i przekazywane bezpośrednio gościom. Nigdy nie są one publikowane na publicznej stronie internetowej ani nie są informowane, że każdy w Internecie może czytać, a konta osób, które opuściły, powinny zostać usunięte, a nie pozostawione aktywne na zawsze.

Dodaj przekazane hosty

Przekazane hosty stanowią wyjątek: adresy, do których klienci mogą dotrzeć bez logowania. Typowe zastosowania to strony, których gość naprawdę potrzebuje przed zalogowaniem się — na przykład strona płatności lub rejestracji, od której zależy proces logowania, lub konkretna usługa, którą celowo pozostawiasz otwartą. Dodaj tylko te hosty, których faktycznie potrzebuje Twoja konfiguracja, po jednym na raz i zanotuj, dlaczego każdy z nich się tam znajduje.

Testuj jak prawdziwy gość

Teraz przetestuj sposób, w jaki przedstawia to film — jako gość, a nie administrator. Weź telefon lub laptop, który nigdy się nie logował, dołącz do sieci gościnnej i otwórz przeglądarkę: strona portalu powinna pojawić się przed załadowaniem jakiejkolwiek witryny. Dokończ logowanie dokładnie tak, jak zrobiłby to gość, potwierdź rozpoczęcie normalnego przeglądania i sprawdź, czy host przekazany w kroku 5 również otwiera się bez logowania. Następnie podłącz się ponownie i potwierdź, że zachowanie jest zgodne z zamierzeniami — niektóre konfiguracje proszą o logowanie za każdym razem, inne zapamiętują urządzenie przez określony czas; jedno i drugie jest w porządku, pod warunkiem, że jest to wybrane przez Ciebie zachowanie, a nie wypadek.

Co naprawdę oznacza „w minutach”

Obietnica tytułu jest uczciwa, jeśli chodzi o pokazaną konfigurację: na już zainstalowanej zaporze sieciowej, jednej sieci gościnnej, jednym typie logowania i krótkiej liście zaliczonych naprawdę zajmuje to kilka minut pracy konsoli. Nie jest to gwarancja dla każdej sieci. Wiele sieci gościnnych lub identyfikatorów SSID, logowanie oparte na katalogach, które wymaga najpierw skonfigurowania samego katalogu, strona portalu z niestandardową marką i witryny połączone za pośrednictwem sieci VPN — wszystko to zapewnia czas rzeczywisty. Najpierw zaplanuj prostą wersję, udowodnij ją testem gościa w kroku 6, a dopiero potem ją rozwijaj.