Настройка Captive Portal за считанные минуты

Сначала спланируйте гостевую сеть

Портал авторизации работает в вашей собственной сети для ваших гостей и пользователей — вы не устанавливаете его на чье-либо соединение. Прежде чем прикасаться к брандмауэру, решите, к какой сети относится портал: обычно это одна выделенная гостевая сеть (собственный интерфейс или VLAN и собственный SSID на ваших точках доступа), отделенная от локальной сети персонала и офиса. Портал должен захватывать только гостевые устройства. Ваши офисные компьютеры, серверы и принтеры никогда не должны оставаться за гостевой страницей входа.

Установите приложение Captive Portal

Войдите в интерфейс администратора брандмауэра Untangle и откройте представление «Приложения». Найдите приложение Captive Portal, установите его в стойку, если его там еще нет, и включите. Пока не существуют правила захвата, установленный портал ничего не фиксирует — приложение само по себе не меняет чей-либо просмотр. Все, что определяет поведение, происходит на следующих этапах, и этот порядок имеет значение: сначала приложение, потом правила, потом гости.

Напишите правила захвата

Правила захвата — это основа настройки: они сообщают брандмауэру, какой трафик останавливается и отправляется на страницу портала. Напишите правила так, чтобы они соответствовали только гостевой сети — гостевой интерфейс или диапазон гостевых адресов вашего плана из шага 1 отложены. Клиент, соответствующий правилу захвата, видит страницу входа в систему до доступа к Интернету; клиент, который не соответствует, просматривает нормально. Начните с самого узкого правила, охватывающего ваших гостей, затем проверьте правило на тестовом устройстве, прежде чем что-либо расширять.

Выберите тип входа

Далее решите, что гость должен делать на странице портала. Приложение Captive Portal предлагает несколько стилей аутентификации, от самого легкого до самого строгого: простая страница захвата, на которой гость просто принимает условия использования, учетные записи из собственного локального каталога брандмауэра или вход в систему, поддерживаемый внешней службой каталогов, такой как RADIUS или Active Directory, через интеграцию каталогов брандмауэра, а также доступны параметры входа через социальные сети. Выберите самый простой тип, который подходит вашему месту: небольшому кафе обычно нужна страница с условиями или общая гостевая учетная запись, а гостевой сети офиса обычно нужны именованные учетные записи, чтобы можно было отследить и отозвать доступ.

Какой бы тип вы ни выбрали, учетные данные гостя выдаются вами или вашими сотрудниками и передаются гостям напрямую. Они никогда не публикуются на общедоступных веб-страницах и не отмечают, что кто-либо в Интернете может их прочитать, а учетные записи ушедших людей следует удалять, а не оставлять активными навсегда.

Добавить прошедшие хосты

Исключением являются переданные хосты: адреса, к которым клиентам разрешен доступ без входа в систему. Типичное использование — это страницы, которые гостю действительно нужны перед входом в систему — например, страница оплаты или регистрации, от которой зависит ваш процесс входа в систему, или конкретная служба, которую вы намеренно оставляете открытой. Добавляйте по одному только те хосты, которые действительно нужны вашей настройке, и отмечайте, почему каждый из них присутствует.

Протестируйте как настоящий гость

Теперь проверьте, как это показано в видео — в качестве гостя, а не администратора. Возьмите телефон или ноутбук, на котором ни разу не выполнялся вход, присоединитесь к гостевой сети и откройте браузер: страница портала должна появиться до загрузки любого сайта. Завершите вход в систему точно так же, как это сделал бы гость, подтвердите запуск обычного просмотра и убедитесь, что хост, переданный на шаге 5, также открывается без входа в систему. Затем переподключитесь и подтвердите, что поведение соответствует вашему замыслу — некоторые настройки каждый раз запрашивают вход в систему, другие запоминают устройство в течение заданного периода; И то, и другое допустимо, если это выбранное вами поведение, а не случайность.

Что на самом деле означает слово «за несколько минут»

Обещание названия честно для показанной настройки: на уже установленном межсетевом экране одна гостевая сеть, один тип входа в систему и короткий список переданных данных на самом деле — это несколько минут работы консоли. Это не гарантия для каждой сети. Несколько гостевых сетей или SSID, вход в систему с использованием каталога, для которого сначала требуется настроить сам каталог, страница портала с индивидуальным брендом и сайты, связанные через VPN, — все это добавляет реального времени. Сначала спланируйте простую версию, докажите ее с помощью гостевого теста на шаге 6 и только потом расширяйте ее.