...
При первом подключении клиента никто не знает о нём. Клиентский Весь клиентский трафик блокируется, кроме:
...
Клиент обращается на HTTP ресурс. ТД перехватывает его запрос и отправляем клиенту ссылку на гостевой портал, который был задан в настройках SSID (portal-profile). Клиент переходит на портал . Полученной по полученной ссылке, которая содержит в себе:
- switch_ur URL url – URL куда перенаправить клиента после авторизации на портале
- ap_mac -– MAC адрес ТД к которой подключен клиента
- client_ma - ma – MAC адрес клиента
- wlan - wlan – Имя SSID к которому подключен клиент
- redirect - – URL который запрашивал клиент
...
После саморегистрации пользователя на гостевом портале через форму портала, по присланному логину и паролю, клиенту возвращается ссылка редиректа на ТД, содержащая в себе:
...
. Возможные параметры:
- username – имя пользователя;
- password – пароль пользователя;
- redirect_url – адрес URL, на который клиент хотел попасть изначально, портал портал может подменил адрес, так как . В нашем примере клиент пытался подключиться к http://www.msftconnecttest.com но его перенаправили на https://eltex-co.ru;
- error_url – адрес URL, куда будет переадресован клиент в случае ошибки авторизации. В нашем примере этот параметр не используется
| Подсказка |
|---|
Имена параметров можно переопределить в конфигурации ap-profile |
Пример ссылки:
| Блок кода |
|---|
http://redirect.loc:10081/?username=60336144&password=3hMYEPEW0tdb&buttonClicked=4&redirect_url=https://eltex-co.ru/ |
Клиент переходит по этой ссылке. ТД вычитывает из нее username и password, подставляет их в атрибуты User-Name и User-Password запроса Access-Request. Отправляет запрос на RADIUS сервер. После успешной авторизации клиента на RADIUS сервер, ТД снимает ACL ограничения на доступ и редиректит перенаправляет клиента на redirect_url.
После отключения от ТД и подключения к текущей или другой ТД (к тому же SSID), авторизация будет проходить по MAC адресу, но так как NAC система уже знает клиента на на запрос Access-Request запрос Request MAB авторизации вернется Access-Accept (так-как этот сценарий реализован в логике ТД "external portal" и срабатывает при подключении к SSID, , так как RADIUS сервер знает клиента ( MAB авторизация запрашивается при подключение клиента к ТД, если ТД не "помнит" клиента). Перенаправления пользователя клиента на портал происходить не будет, до тех пор, пока MAC адрес клиента не будет удален из базы БД.
Конфигурация WLC
Пример настроек будет выполнен на factory конфигурации WLC
...
Создаем белый список URL, он будет содержать URL и RegExp, доступ к этим адресам будет разрешён
Блок кода object-group url white_url url eltex-co.ru regexp '(.+\.)eltex-co\.com' exit
Создаем белый список IP адресов, доступ к этим адресам будет разрешён
Блок кода object-group network white_ip ip prefix 192.168.0.0/24 ip prefix 192.168.1.0/24 ip prefix 100.110.0.0/23 exit
Создаем portal-profile
Описание параметров:
redirect-url -url – адрес aдрес портала;
age-timeout - временной timeout – временной интервал в течении которого точка доступа "помнит" клиента;
verification-mode - mode – режим работы портала;
white-list - list – белый список URL;
white_ip - ip – белый список IP адресов.Блок кода portal-profile portal-pr redirect-url https://eltex-co.ru age-timeout 10 verification-mode external-portal white-list domain white_url white-list address white_ip exit
Создаем radius-profile
Блок кода radius-profile portal_radius auth-address 192.168.4.5 auth-password ascii-text encrypted 92BB3C7EB50C5AFE80 auth-acct-id-send acct-enable acct-address 192.168.4.5 acct-password ascii-text encrypted 92BB3C7EB50C5AFE80 acct-periodic acct-interval 300 exit
Создаем ssid-profile
Блок кода ssid-profile portal_test ssid portal_test portal-enable portal-profile portal-pr vlan-id 3 band 5g enable exit
Добавляем ssid-profile в ap-location
Блок кода ap-location default-location description default-location mode tunnel ap-profile default-ap ssid-profile portal_test exit
...