Thiết lập cổng cố định trong vài phút

Lên kế hoạch cho mạng khách trước tiên

Một cổng bị khóa chạy trên mạng riêng của bạn, dành cho khách và người dùng của chính bạn — đó không phải là thứ bạn đưa vào kết nối của bất kỳ ai khác. Trước khi chạm vào tường lửa, hãy quyết định xem cổng này áp dụng cho mạng nào: thông thường là một mạng khách chuyên dụng (giao diện riêng hoặc Vlan và SSID riêng trên các điểm truy cập của bạn), tách biệt với mạng LAN của nhân viên và văn phòng. Cổng thông tin chỉ nên chụp các thiết bị của khách. Máy tính văn phòng, máy chủ và máy in của bạn không bao giờ được kết thúc ở trang đăng nhập của khách.

Cài đặt ứng dụng Captive Portal

Đăng nhập vào giao diện quản trị của tường lửa Untangle và mở chế độ xem Ứng dụng. Tìm ứng dụng Captive Portal, cài đặt nó vào giá nếu nó chưa có ở đó và bật nó lên. Cho đến khi các quy tắc thu thập tồn tại, một cổng được cài đặt sẽ không thu thập được gì — bản thân ứng dụng không thay đổi hoạt động duyệt web của bất kỳ ai. Mọi thứ quyết định hành vi đều được thực hiện ở các bước tiếp theo và thứ tự đó rất quan trọng: ứng dụng trước, quy tắc thứ hai, khách cuối cùng.

Viết quy tắc chụp

Quy tắc ghi lại là trọng tâm của quá trình thiết lập: chúng cho tường lửa biết lưu lượng truy cập nào sẽ bị dừng và gửi đến trang cổng thông tin. Viết các quy tắc sao cho chúng chỉ khớp với mạng khách — giao diện khách hoặc phạm vi địa chỉ khách mà kế hoạch của bạn được đặt từ Bước 1 sang một bên. Một khách hàng phù hợp với quy tắc chụp sẽ nhìn thấy trang đăng nhập trước khi truy cập internet; một khách hàng không phù hợp sẽ duyệt bình thường. Bắt đầu với quy tắc hẹp nhất dành cho khách của bạn, sau đó kiểm tra quy tắc từ thiết bị thử nghiệm trước khi mở rộng bất kỳ quy tắc nào.

Chọn loại đăng nhập

Tiếp theo, hãy quyết định xem khách phải làm gì trên trang cổng thông tin. Ứng dụng Captive Portal cung cấp một số kiểu xác thực, từ nhẹ nhất đến nghiêm ngặt nhất: một trang chụp đơn giản trong đó khách chỉ chấp nhận các điều khoản sử dụng, tài khoản từ thư mục cục bộ của tường lửa hoặc đăng nhập được hỗ trợ bởi dịch vụ thư mục bên ngoài như RADIUS hoặc Active Directory thông qua tích hợp thư mục của tường lửa, với các tùy chọn đăng nhập xã hội cũng có sẵn. Chọn loại nhẹ nhất phù hợp với địa điểm của bạn: một quán cà phê nhỏ thường muốn có trang điều khoản hoặc tài khoản khách dùng chung, trong khi mạng khách văn phòng thường muốn các tài khoản được đặt tên để có thể truy tìm và rút quyền truy cập.

Cho dù bạn chọn loại nào, thông tin xác thực của khách đều do bạn hoặc nhân viên của bạn cấp và giao trực tiếp cho khách. Chúng không bao giờ được xuất bản trên một trang web công cộng hoặc không được thông báo rằng bất kỳ ai trên internet đều có thể đọc được và các tài khoản dành cho những người đã rời đi phải bị xóa chứ không được để hoạt động mãi mãi.

Thêm máy chủ đã qua

Các máy chủ đã vượt qua là những trường hợp ngoại lệ: địa chỉ mà khách hàng được phép truy cập mà không cần đăng nhập. Cách sử dụng điển hình là các trang mà khách thực sự cần trước khi đăng nhập — ví dụ: trang thanh toán hoặc trang đăng ký mà luồng đăng nhập của bạn phụ thuộc vào hoặc một dịch vụ cụ thể mà bạn cố tình giữ mở. Chỉ thêm các máy chủ mà thiết lập của bạn thực sự cần, mỗi lần một máy chủ và lưu ý lý do tại sao mỗi máy chủ lại ở đó.

Thử nghiệm như một vị khách thực sự

Bây giờ hãy kiểm tra cách hiển thị video — với tư cách là khách chứ không phải với tư cách quản trị viên. Lấy điện thoại hoặc máy tính xách tay chưa bao giờ đăng nhập, tham gia mạng khách và mở trình duyệt: trang cổng thông tin sẽ xuất hiện trước khi tải bất kỳ trang web nào. Hoàn tất đăng nhập chính xác như khách sẽ làm, xác nhận bắt đầu duyệt bình thường và kiểm tra xem máy chủ đã vượt qua từ Bước 5 cũng mở mà không cần đăng nhập. Sau đó, kết nối lại và xác nhận hành vi là hành vi bạn dự định — một số thiết lập yêu cầu đăng nhập mọi lúc, một số thiết lập khác ghi nhớ thiết bị trong một khoảng thời gian nhất định; cũng được miễn là đó là hành vi bạn đã chọn chứ không phải là tai nạn.

"Trong vài phút" thực sự có ý nghĩa gì

Lời hứa của tiêu đề là trung thực đối với thiết lập được hiển thị: trên tường lửa đã được cài đặt, một mạng khách, một loại đăng nhập và một danh sách thông qua ngắn thực sự là một vài phút hoạt động của bảng điều khiển. Nó không phải là một sự đảm bảo cho mọi mạng. Nhiều mạng khách hoặc SSID, đăng nhập dựa trên thư mục trước tiên cần cấu hình chính thư mục đó, trang cổng thông tin mang nhãn hiệu tùy chỉnh và các trang web được liên kết qua VPN, tất cả đều thêm thời gian thực. Trước tiên hãy lập kế hoạch cho phiên bản đơn giản, chứng minh nó bằng thử nghiệm của khách ở Bước 6, sau đó mới phát triển nó.