История страницы

Введение

Начиная с версии ПО WLC 1.39.2 поддержан функционал external-portal-manager, который позволяет обрабатывать входящие HTTP-запросы от внешнего портала , для авторизации беспроводных клиентов.

...

Схема взаимодействия при первом подключении клиента

...

Описание схемы взаимодействия при первичном подключении клиента.:

1. Установка соединения клиента с ТД.
2. ТД выполняет MAB для клиента на RADIUS-сервере.
3. Проверка наличия УЗ клиента для MAB в БД.
Т.к
4. Так как клиент подключается впервые, УЗ клиента для MAB отсутствует в БД.
5. ТД получает Access-Reject от RADIUS-сервера.
6. Клиент пытается посетить какой-либо ресурс, через HTTP GET-запрос.
7. ТД перехватывает запрос клиента, подставляет значения
wildcard 
8. wildcard-параметров из redirect-url-custom и перенаправляет
на страницу
9. запрос на страницу портала.
10. Клиент попадает на страницу редиректа, проходит процесс авторизации и отправляет учетные данные на внешний портал.
11. Внешний портал проверяет и сохраняет учетные данные клиента в БД.
12. Внешний портал, получив учетные данные клиента, обрабатывает их и после отправляет HTTP POST-запрос к WLC. Куда отправить ответный HTTP-запрос, внешний портал узнает из параметра LOGIN_URL, который содержится в redirect-url-custom.
13. WLC валидирует наличие обязательных параметров в HTTP POST-запросе для аутентификации клиента. В случае,
в случае
14. если все обязательные параметры
присутствует
15. присутствуют,
проверяет
16. проверяется наличие информации по клиенту, и к какой ТД он подключен
и
17. , затем
отправляет
18. отправляется запрос на ТД для аутентификации клиента.
19. ТД отправляет RADIUS
запроса
20. -запрос Acess-Request, подставляя в RADIUS-атрибуты значений User-name и User-Password
значения
21. , которые были переданы от внешнего портала в виде параметров username и password в http-запросе на шаге №4. После отправки RADIUS-запроса запускается таймаут, который задается через
параметр: radius
22. параметрradius-response-timeout (10 секунд по умолчанию).
23. RADIUS-сервер проверяет наличие УЗ клиента в БД.
24. RADIUS-сервер получает результат проверки наличия УЗ клиента в БД. 
25. RADIUS-сервер отправляет ответ Access-Accept на запрос ТД на шаге
#12
26. 12.
27. ТД отправляет уведомление на WLC, что клиент успешно авторизован. Запись сохраняется в журнале клиентов.
28. WLC отправляет HTTP RESPONSE на HTTP REQUEST, который был отправлен на шаге
#4
29. 4 от внешнего портала.
30. Внешний портал сохраняет УЗ клиента для MAB. Каждый раз при подключении к новой ТД либо роуминге, ТД будет выполнять
MAB  и т.к
31. MAB и, так как УЗ клиента уже будет храниться в БД, клиент будет аутентифицирован
 без
32. без взаимодействия со
страницой
33. страницей портала.
34. ТД перенаправляет клиента на изначально запрошенный ресурс.

Схема

...

взаимодействия повторного подключения клиента

...

1. Установка соединения клиента с ТД.
2. ТД выполняет MAB для клиента на RADIUS-сервере.
3. Проверка наличия УЗ клиента для MAB в БД.
4. УЗ клиента присутствует в БД, т.к так как клиент подключается повторно к новой ТД , либо совершает роуминг.
5. ТД получает Access-Accept от RADIUS-сервера.
6. Клиент пытается посетить какой-либо ресурс , через запрос HTTP GET запрос.
7. ТД предоставляет доступ клиенту на запрошенный внешний ресурс.

Структура запроса от внешнего портала

Данные передаются в теле запроса HTTP POST запроса в строке вида: <ключ>=<значение>, разделенных знаком &.

Пример тела HTTP-запроса:

cmd=login&client-mac=60a5e22c74be&ip-address=10.25.229.12&username=eltex-user&password=0i10EGAKP0TAHkratgWKKZEzOk9HL2ZMAyEH5luq

...

Структура ответа внешнему порталу от WLC

Данные передаются  передаются в теле HTTP-ответа в формате xml.

Пример HTTP-ответа от WLC:

<?xml version="1.0"?><response><client-mac>7a:c5:b8:80:07:eb</client-mac><ip-address>10.25.229.12</ip-address><result>success</result><errcode>0</errcode></response>

Пошаговая настройка

Настройка external-portal-manager

Для того, чтобы WLC начал обрабатывать входящие http HTTP-запросы от внешнего портала, необходимо:

1. Включить external-portal-manager с помощью настройки enable.
2. Задать параметр ip-address, который будет использоваться для приема входящих http HTTP-запросов. Если используется схема failover, необходимо использовать vrrp VRRP-адрес , для обеспечения отказоустойчивости.

...

1. Параметр login-url, который задает значение у параметра <LOGIN_URL> в произвольной строке редиректа: redirect-url-custom. Это необходимо, чтобы передать внешнему порталу dns имя контроллера , вместо ip-adress+port (по умолчанию).
2. Параметр port, который будет использоваться для приема входящих http HTTP-запросов.   По умолчанию используется порт: 8045.
3. Параметр radius-response-timeout - , который задает время ожидания авторизации клиента на RADIUS-сервере.

external-portal-agent
  enable
  ip-address 100.139.31.1
exit

Настройка portal-profile

Настраиваем portal-profile.

...

• <ORIGINAL_URL>

• <CLIENT_IP>

• <CLIENT_MAC>

• <LOGIN_URL>

Тип

...

проверки:

...

external-portal

  portal-profile eltex-external-portal
    redirect-url-custom http://eltex-co.ru/?redirect-url=<ORIGINAL_URL>&user-ip=<CLIENT_IP>&user-mac=<CLIENT_MAC>&login-url=<LOGIN_URL>
    verification-mode external-portal
  exit

Настройка radius-profile

Необходимо создать и настроить radius-profile, чтобы задать на ТД адрес RADIUS-сервер, который будет выполнять авторизацию беспроводного клиента.

...

При необходимости можно задать адрес RADIUS-сервера для  взаимодействия  для взаимодействия ТД с  с внешним сервером, минуя WLC.

  radius-profile default-radius
    description "default-radius"
    auth-address 100.139.31.1
    auth-password ascii-text encrypted 8CB5107EA7005AFF
    domain default
  exit

Настройка ssid-profile

Необходимо создать ssid-profile, включить в нём портальную авторизацию и привязать portal-profile и radius-profile на предыдущих шагах и , затем привязать его к необходимой локации либо переопределить в  в индивидуальном профиле точки доступа.

...