История страницы

Введение

Начиная с версии ПО WLC 1.39.2 поддержан функционал external-portal-manager, который позволяет обрабатывать входящие HTTP-запросы от внешнего портала , для авторизации беспроводных клиентов.

...

Схема взаимодействия при первом подключении клиента

...

draw.io Diagram
border true diagramName Диаграмма без названия-1785911265130Схема первичного подключения клиента simpleViewer false width links auto tbstyle top lbox true diagramWidth 1636 height 1702 revision 191

Описание схемы взаимодействия при первичном подключении клиента

...

:

1. Установка соединения клиента с ТД.
2. ТД выполняет MAB для клиента на RADIUS-сервере.
3. Проверка наличия УЗ клиента для MAB
авторизации
4. в БД.
Т.к
5. Так как клиент подключается впервые, УЗ клиента для MAB отсутствует в БД.
6. ТД получает Access-Reject от RADIUS-сервера.
7. Клиент пытается посетить какой-либо ресурс, через HTTP GET-запрос.
8. ТД перехватывает запрос клиента, подставляет значения
wildcard 
9. wildcard-параметров из redirect-url-custom и перенаправляет
на страницу
10. запрос на страницу портала.
11. Клиент попадает на страницу редиректа, проходит процесс авторизации и отправляет учетные данные на внешний портал.
12. Внешний портал проверяет и сохраняет учетные данные клиента в БД.
13. Внешний портал, получив учетные данные клиента, обрабатывает их и после отправляет HTTP POST-запрос к WLC. Куда отправить ответный HTTP-запрос, внешний портал узнает из параметра LOGIN_URL, который содержится в redirect-url-custom.
14. WLC валидирует наличие обязательных параметров в HTTP POST-запросе для аутентификации клиента. В случае,
в случае
15. если все обязательные параметры
присутствует
16. присутствуют,
проверяет
17. проверяется наличие информации по клиенту, и к какой ТД он подключен
и
18. , затем
отправляет
19. отправляется запрос на ТД для аутентификации клиента.
20. ТД отправляет RADIUS
запроса
21. -запрос Acess-Request, подставляя в RADIUS-атрибуты значений User-name и User-Password
значения
22. , которые были переданы от внешнего портала в виде параметров username и password в http-запросе на шаге №4. После отправки RADIUS-запроса запускается таймаут, который задается через
параметр: radius
23. параметрradius-response-timeout (10 секунд по умолчанию).
24. RADIUS-сервер проверяет наличие УЗ клиента в БД.
25. RADIUS-сервер получает результат проверки наличия УЗ клиента в БД. 
26. RADIUS-сервер отправляет ответ Access-Accept на запрос ТД на шаге
#12
27. 12.
28. ТД отправляет уведомление на WLC, что клиент успешно авторизован. Запись сохраняется в журнале клиентов.
29. WLC отправляет HTTP RESPONSE на HTTP REQUEST, который был отправлен на шаге
#4
30. 4 от внешнего портала.
31. Внешний портал сохраняет УЗ клиента для MAB. Каждый раз при подключении к новой ТД либо роуминге, ТД будет выполнять
MAB  и т.к
32. MAB и, так как УЗ клиента уже будет храниться в БД, клиент будет аутентифицирован
 без
33. без взаимодействия со
страницой
34. страницей портала.
35. ТД перенаправляет клиента на изначально запрошенный ресурс.

Схема взаимодействия повторного подключения клиента

...

draw.io Diagram
border true diagramName Copy of Диаграмма без названия-1785911265130Диаграмма повторного подключения клиента simpleViewer false width links auto tbstyle top lbox true diagramWidth 1636 height 740 revision 62

Описание схемы взаимодействия

...

при повторном подключении клиента

...

или роуминге между ТД.

1. Установка соединения клиента с ТД.
2. ТД выполняет MAB для клиента на RADIUS-сервере.
3. Проверка наличия УЗ клиента для MAB авторизации в БД.Т
4. .к УЗ клиента присутствует в БД, так как клиент подключается повторно к новой ТД , либо совершает роуминг, УЗ клиента для MAB присутствует в БД.
5. ТД получает Access-Accept от RADIUS-сервера.
6. Клиент пытается посетить какой-либо ресурс , через запрос HTTP GET запрос.
7. ТД разрешает предоставляет доступ клиенту на запрошенный внешний ресурс.

Структура запроса от внешнего портала

Данные передаются в теле запроса HTTP POST запроса в строке вида: <ключ>=<значение>, разделенных знаком &.

Пример тела HTTP-запроса:

cmd=login&client-mac=60a5e22c74be&ip-address=10.25.229.12&username=eltex-user&password=0i10EGAKP0TAHkratgWKKZEzOk9HL2ZMAyEH5luq

Таблица описание параметров:

Структура ответа внешнему порталу от WLC

Данные передаются  передаются в теле HTTP-ответа в формате xml.

Пример HTTP-ответа от WLC:

<?xml version="1.0"?><response><client-mac>7a:c5:b8:80:07:eb</client-mac><ip-address>10.25.229.12</ip-address><result>success</result><errcode>0</errcode></response>

Пошаговая настройка

Настройка external-portal-manager

Для того, чтобы WLC начал обрабатывать входящие http HTTP-запросы от внешнего портала, необходимо:

1. Включить external-portal-manager с помощью настройки enable.
2. Задать параметр ip-address, который будет использоваться для приема входящих http HTTP-запросов. Если используется схема failover, необходимо использовать vrrp VRRP-адрес , для обеспечения отказоустойчивости.

...

1. Параметр login-url, который задает значение у параметра <LOGIN_URL> в произвольной строке редиректа: redirect-url-custom. Это необходимо, чтобы передать внешнему порталу dns имя контроллера , вместо ip-adress+port (по умолчанию).
2. Параметр port, который будет использоваться для приема входящих http HTTP-запросов.   По умолчанию используется порт: 8045.
3. Параметр radius-response-timeout - , который задает время ожидания авторизации клиента на RADIUS-сервере.

external-portal-agent
  enable
  ip-address 100.139.31.1
exit

Настройка portal-profile

Настраиваем portal-profile.

...

• <ORIGINAL_URL>

• <CLIENT_IP>

• <CLIENT_MAC>

• <LOGIN_URL>

Тип

...

проверки:

...

external-portal

  portal-profile eltex-external-portal
    redirect-url-custom http://eltex-co.ru/?redirect-url=<ORIGINAL_URL>&user-ip=<CLIENT_IP>&user-mac=<CLIENT_MAC>&login-url=<LOGIN_URL>
    verification-mode external-portal
  exit

Настройка radius-profile

Необходимо создать и настроить radius-profile, чтобы задать на ТД адрес RADIUS-сервер, который будет выполнять авторизацию беспроводного клиента.

В целевой схеме указывается адрес WLC, который проксирует запрос на RADIUS-сервер. Подробнее в статье Настройка проксирования на внешний RADIUS.

При необходимости можно задать адрес RADIUS-сервера для взаимодействия между ТД и внешним порталомс внешним сервером, минуя WLC.

  radius-profile default-radius
    description "default-radius"
    auth-address 100.139.31.1
    auth-password ascii-text encrypted 8CB5107EA7005AFF
    domain default
  exit

Настройка ssid-profile

Необходимо создать ssid-profile, включить в нём портальную авторизацию и привязать portal-profile и radius-profile на предыдущих шагах и , затем привязать его к необходимой локации либо переопределить в  в индивидуальном профиле точки доступа.

...