Версия документа	Дата выпуска	Содержание изменений
Версия 1.0	17.02.2023	Первая публикация.

1. Общая архитектура

Портальная авторизация предназначена для аутентификации гостевых пользователей. Аутентификация и авторизация пользователя выполняется через web-портал SoftWLC.

1.1 Общая схема интеграции контроллера

В SoftWLC.EMS добавить географический домен для целевого филиала.
Контроллер Cisco добавить в этот домен.
В конструкторе порталов создать портал для гостевой авторизации (по умолчанию есть один портал с дефолтными настройками, можно использовать один портал в различных SSID).
В Личном кабинете создать тариф пользователя (по умолчанию есть один тариф).
В SoftWLC.EMS создать гостевой SSID в соответствующем сервисном домене, указать портал и ссылку на него.
В SoftWLC.EMS создать привязку SSID к соответствующему географическому домену. Привязка так же может быть создана к определенному контроллеру Cisco по его мак-адресу.
По данным привязок SoftWLC может получить сведения о сервисном домене для каждого SSID и зарегистрировать пользователя именно в этом домене.
Сгенерировать ссылку портальной авторизации, которую надо будет указать в настройках контроллера Cisco в "Redirect URL".
Настроить SSID на Cisco WLC с портальной аутентификацией (WEB Auth), указав ранее сгенерированную ссылку портальной авторизации.

1.2 Механизмы аутентификации и авторизации пользователей гостевых сетей

Для реализации портальной авторизации в настройках SSID (WLAN) на контроллере CiscoWLC требуется указать строку редиректа, которой пользователь WiFi будет направляться на портал. Для создания ссылки редиректа в EMS реализован механизм, который позволяет на основании привязки SSID с портальной авторизацией сгенерировать ссылку портальной авторизации для контроллера Cisco и сохранить ее в отдельную таблицу. Таким образом для каждой привязки SSID генерируется уникальная ссылка, которая позволяет однозначно определить портал, который требуется показать клиенту WiFi.

На основании информации о положении в дереве доменов контроллера Cisco, ссылки редиректа отдаваемой контроллером Cisco клиенту WiFi и привязки гостевого SSID в ссылку определяется портал, который надо показать пользователю и сервисный домен пользователя, который будет использоваться при регистрации. Поддержаны два режима аутентификации при выполнении портальной авторизации: с поддержкой мак-авторизации пользователя и без нее. Если поддержка мак-авторизации не включена - клиент WiFi при подключении к контроллеру Cisco будет всегда перенаправляться на портал, не зависимо от того регистрировался он ранее или нет на этом SSID.

Ниже приведена диаграмма портальной авторизации на контроллере Cisco.

Клиент WiFi подключается к SSID с портальной авторизацией.
Контроллер CiscoWLC отправляет запрос Access-Request, в котором в качестве UserName указан мак-адрес клиента WiFi на PCRF.
PCRF определяет в каком домене находится контроллер CiscoWLC, по привязанному к домену SSID определяет домен пользователя и добавляет полученную в радиус-пакет в виде AVP Eltex-AP-Domain, Eltex-Domain, Eltex-Group и отправляет запрос на Radius.
Radius, получив Access-Request выполняет поиск пользователя в БД.
Не найдя пользователя - отправляет Access-Reject, который передается через PCRF на контроллер CiscoWLC.
К SSID прикреплена ACL, в которой разрешается без аутентификации получить IP-адрес по DHCP, выполнить DNS запрос и перейти на портал.
Клиент WiFi после подключения к SSID получает IP-адрес, и пытается открыть сайт в Интернете установив HTTP-сессию.
В ответ на попытку установить HTTP-сессию контроллер CiscoWLC, используя HTTP заголовок Location передает клиенту WiFi ссылку редиректа на портал.
Клиент переходит на портал, вводит номер телефона, получает SMS (или иным способом подтверждает введенный номер телефона, процесс опущен на схеме).
Пройдя процесс аутентификации и авторизации, клиент выполняет POST-запрос на виртуальный интерфейс CiscoWLC, который включает в себя логин и пароль пользователя.
После получения запроса от клиента, CiscoWLC выполняет radius запрос Access-Request на сервис PCRF, который содержит логин и пароль, а так же NAS-IP-адрес, мак-адрес пользователя и имя SSID.
Используя полученные данные, PCRF определяет в каком домене находится контроллер CiscoWLC, по привязанному к домену SSID определяет домен пользователя и добавляет полученную в радиус-пакет в виде AVP Eltex-AP-Domain, Eltex-Domain, Eltex-Group и отправляет запрос на radius.
Radius выполняет проверку пользователя в БД, и в случае если логин/пароль, домен пользователя и имя SSID совпадает - формирует ответ Access-Accept, заполняя его при наличии дополнительными атрибутами из тарифного плана пользователя.
PCRF получив ответ Access-Accept перенаправляет его на контроллер CiscoWLC.
Контроллер CiscoWLC, получив Access-Accept авторизует клиента WiFi, применяет к нему полученные в дополнительных атрибутах ограничения и выпускает в сеть Интернет.

2. Настройка EMS для портальной авторизации CiscoWLC

2.1 Добавление лицензии

Для работы с контроллером Cisco требуется лицензия

cp licence.xml /usr/lib/eltex-ems/conf/licence/licence.xml

После установки лицензии требуется перезапустить сервис eltex-ems

systemctl restart eltex-ems

2.2 Включение интеграции с CiscoWLC

Включение режима

Открыть меню "Администрирование"→ "Настройки сервера"→ "Системные модули"
Перейти на вкладку "Multi-Vendor"
Включить "Включить интеграцию"
Нажать кнопку "Принять"
На вопрос "Хотите сохранить измененные параметры модуля ''MultiVendor" нажать кнопку "Yes"

2.3 Добавление CiscoWLC в дерево объектов EMS

Добавление устройства в дерево объектов EMS

Выбрать узел, в который требуется добавить устройство
Нажать кнопку "Добавление объекта в дерево"
Ввести имя устройства
Выбрать тип устройства "CiscoWLC"
Указать IP-адрес устройства
Нажать кнопку "Добавить"

Изменение ключа RADIUS устройства в EMS

Открыть меню "RADIUS"→ "Управление точками доступа"
Выбрать устройство (если отсутствует - нажать кнопку "Добавить" )
Указать:
- IP устройства
- домен расположения
- тип устройства CiscoWLC
- Secret Key для работы RADUIS
Нажать кнопку "Принять"
Нажать кнопку "Закрыть"

SECRET KEY ДОЛЖЕН БЫТЬ ОДИНАКОВЫЙ НА ВСЕЙ ЦЕПОЧКЕ CiscoWLC -> PCRF -> eltex-radius

Аналогичным способом изменить ключ для взаимодействия с Radius-сервером.

2.4 Настройка SSID

Добавление SSID Настройка SSID не отличается от традиционной настройки SSID для ТД Eltex. SSID может быть одновременно использован в привязках для любых типов устройств (ТД Eltex и CiscoWLC) Открыть меню "Wireless"→ "Менеджер SSID"→ "База SSID" Нажать кнопку "Добавить SSID" В открывшемся окне выбрать: Тип: "hotspot" Имя: указать имя SSID Domain: выбрать домен SSID enable: включить в разделе "Captive portal" В раскрывшихся после включения настройках "RADIUS" указать: RADIUS IP Address: указать адрес Radius-сервера (если используются несколько серверов - указать все). В разделе "Captive portal" указать: Virtual portal name: выбрать портал (по умолчанию default) External URL: http://<IP-адрес:Порт портала>/eltex_portal/ Нажать кнопку "Принять" Для взаимодействия с контроллером CiscoWLC значимыми полями являются: "Тип", "Имя", "Virtual portal name", "External URL".
Добавление привязки SSID Открыть меню "Wireless"→ "Менеджер SSID"→ "База SSID" Выбрать SSID Нажать кнопку "Добавить SSID привязку" Выбрать домен, в который ранее был добавлен контроллер CiscoWLC Ключ привязки - "DOMAIN" Нажать кнопку "Создать привязку" Нажать кнопку "Принять" На вопрос "Исправить привязки SSID" нажать кнопку "Нет" Домен привязки (ключ NAS) должен совпадать с доменом, куда добавлен контроллер CiscoWLC. Привязка может выполняться только к домену (ключ DOMAIN).
Создание ссылки портальной авторизации, которая будет указана на контроллере CiscoWLC Открыть меню "Wireless"→ "Менеджер SSID"→ "Привязки SSID" Выбрать созданную привязку Нажать кнопку (Сгенерировать URL для портальной авторизации оборудования сторонних вендоров) В открывшемся окне нажать кнопку "Копировать ссылку" - данная ссылка будет использоваться при настройке SSID с портальной авторизацией на контроллере Cisco
Работа с ссылками портальной авторизации Управление ссылками портальной авторизации выполняется в меню "Wireless"→ "Менеджер SSID"→ "Привязки внешних устройств" Кнопка "Редактировать" позволяет отредактировать и исправить параметры ссылки, если они были случайно изменены Кнопка "Показать URL" позволяет просмотреть URL портальной авторизации и скопировать его

3. Настройка Личного Кабинета для работы с контроллером CiscoWLC

3.1 Включение интеграции

Открыть "Личный Кабинет"
Перейти в левой панели в раздел "Настройки"
Открыть вкладку "Система"→ "Интеграция"
Включить настройку "Включить интеграцию с Cisco"
Нажать кнопку "Сохранить"

После включения интеграции:

Станут доступны настройки CiscoWLC атрибутов в настройках тарифного плана

Контроллер CiscoWLC станет доступен как тип устройства в меню "Точки доступа"

3.2 Включение хранения паролей пользователей в зашифрованном виде

Открыть "Личный кабинет"
Перейти в левой панели в раздел "Настройки"
Перейти во вкладку "Система"→ "Система"
Промотав вниз в настройке "Хранение паролей пользователей" выбрать "NT хеширование"
Нажать вверху страницы на кнопку "Сохранить"

Данная настройка не является обязательной для корректной работы портальной авторизации через контроллер CiscoWLC

Пароли пользователей, сохраненные до включения настройки останутся в открытом виде. Их изменение возможно только через изменение пароля пользователя в "Пользователи WiFi" или при повторной регистрации на портале

3.3. Настройка атрибутов CiscoWLC в тарифных планах

Открыть "Личный кабинет"
Перейти в левой панели в раздел "Сервисы и тарифы"
Нажать кнопку "Добавить"
В открывшемся окне указать:
- "Наименование": наименование тарифного плана
- "Код тарифа": код тарифного плана
- "Домен": домен тарифного плана
- "Портальная аутентификация": включить
- "Атрибуты Cisco": включить
- Откроются доступные для настройки атрибуты Cisco
Нажать кнопку "Сохранить"

4. Настройка портала

4.1 Включение хранения паролей в зашифрованном виде

При регистрации пользователя можно выбрать в настройках портала способ хранения пароля. Выбор может осуществляться индивидуально для каждого портала.

Открыть "Конструктор порталов"
Выбрать портал
Открыть вкладку "Общие настройки" → "Безопасность"
"Хранение паролей пользователей": "NT хеширование"
Нажать кнопку "Сохранить"

После этого пароли при регистрации пользователей на выбранном портале будут сохраняться в хешированом виде.

В остальном настройка выполняется обычным способом и не имеет специфичных требовании при интеграции с контроллером CiscoWLC

Работа с конструктором порталов описана в разделе: v1.33_Конструктор порталов

5. Настройка контроллера CiscoWLC 3

5.1 Добавление интерфейсов в настройки контроллера

В рамках описания настройки предполагается, что административный интерфейс управления контроллером CiscoWLC и для взаимодействия с сервисом PCRF уже создан.

Настройка виртуального интерфейса, используемого при портальной авторизации

Открыть в браузере GUI CiscoWLC
Перейти в раздел "Controller" → "Interfaces"
Открыть интерфейс типа "Static" с именем "virtual"
"IP Address": ввести любой валидный IP-адрес
Нажать кнопку "Apply"

Добавление интерфейса, используемого в настройках SSID

Перейти в раздел "Controller" → "Interfaces"
Нажать кнопку "New"
"Interface Name": ввести имя интерфейса
"VLAN Id": вести VLAN Id
Нажать кнопку "Apply", откроются полные настройки интерфейса
"IP Address": IP-адрес интерфейса
"Netmask": маска IP-адреса
"Gateway": IP-адрес шлюза подсети
"DHCP Proxy Mode": "Global"
Нажать кнопку "Apply"

5.2 Добавление RADIUS-сервера в настройки контроллера

Добавление сервера для аутентификации

Перейти в раздел "Security" → "RADIUS" → "Authentication"
Нажать кнопку "New"
В открывшемся окне ввести:
"Server IP Address (Ipv4/Ipv6)": IP-адрес RADIUS-сервера
"Shared Secret": пароль для обращения к серверу RADIUS
"Confirm Shared Secret" подтверждение пароля для обращения к серверу RADIUS
"Port Number": порт для обращения к серверу RADIUS
Нажать кнопку "Apply"

RADIUS взаимодействие контроллера CiscoWLC выполняется с сервисом SoftWLC.Eltex-PCRF, который по умолчанию использует auth порт 31812 !

Добавление сервера для отправки аккаунтинга

Перейти в раздел "Security" → "RADIUS" → "Accounting"
Нажать кнопку "New"
В открывшемся окне ввести:
"Server IP Address (Ipv4/Ipv6)": IP-адрес RADIUS-сервера
"Shared Secret": пароль для обращения к серверу RADIUS
"Confirm Shared Secret" подтверждение пароля для обращения к серверу RADIUS
"Port Number": порт для отправки аккаунтинга на сервер RADIUS
Нажать кнопку "Apply"

RADIUS взаимодействие контроллера CiscoWLC выполняется с сервисом SoftWLC.Eltex-PCRF, который по умолчанию использует auth порт 31813 !

5.3 Настройка списка доступа (ACL) для портальной авторизации

Для корректной работы портальной авторизации требуется, что бы клиент WiFi мог после подключения к SSID до прохождения аутентификации мог получить IP-адрес по DHCP, выполнить DNS запрос и открыть страницу портальной авторизации.

Перейти в раздел "Security" → "Access Control lists"
Нажать кнопку "New"
"Access Control List Name": имя списка доступа
"ACL type": "IPv4"
Нажать кнопку "Apply"
Открыть созданный список доступа
Нажать кнопку "Add New Rule", откроется окно настройки правила
"Sequence": номер правила
"Source": IP-адрес источника
"Destination": IP-адрес назначения
"Protocol": тип протокола передачи данных
"Source port": порт источника
"Destination port": порт назначения
"Action": "Permit"
Нажать кнопку "Apply"
Повторять операцию "Add New Rule", пока не будут добавлены все необходимые разрешения

5.4 Настройка SSID

Перейти в раздел "WLANs"
Выбрать в меню "Create New"
Нажать кнопку "Go", откроется окно настроек
- "Type": "WLAN"
- "Profile Name": имя профиля
- "SSID": имя SSID, должно совпадать с тем, что настроено в EMS
- "ID": номер SSID
Нажать кнопку "Apply", откроется окно настроек SSID
На странице "General" указать:
- "Status": включить enable
- "Interface/Interface Group(G)": выбрать ранее настроенный интерфейс
- "NAS-ID": IP-адрес контроллера, с которым он добавлен в EMS
На странице "Security"→ "Layer 2" указать:
- "Layer 2 Security": "None"
- "MAC Filtering": включить
На странице "Security"→ "Layer 3" указать:
- "Layer 3 Security": "Web Policy"
- "On MAC Filter Failure" - выбрать
- "Preauthentication ACL": выбрать ранее настроенный для портальной авторизации список доступа
- "Override Global Config": включить Enable
- "Web Auth type": "External(Re-direct to external server)"
- "Redirect URL": вставить ранее созданную в EMS ссылку портальной авторизации
На странице "Security"→ "AAA Servers" указать:
- "Authentication Servers": выбрать ранее настроенный сервер для аутентификации
- "Accounting Server": выбрать ранее настроенный сервер для отправки аккаунтинга
- "Interim Update": включить
- "Interim Interval": указать интервал отправки аккаунтинга
На странице "Advanced" указать:
- "Allow AAA override": включить enable
- "Enable Session Timeout": отключить

Если требуется не выполнять MAC-авторизацию пользователя (путем отправки запроса Access-Request сразу после подключения пользователя) необходимо в настройках SSID:

На странице "Security"→ "Layer 2" указать:
- "Layer 2 Security": "None"
- "MAC Filtering": не включать (отключить)
На странице "Security"→ "Layer 3" указать:
- "Authentication" - выбрать

В этом случае для неавторизованного на контроллере CiscoWLC клиента всегда будет выполняться редирект на портал.

Имя SSID в настройках контроллера CiscoWLC и в настройках EMS должны совпадать!

После нажатия кнопки "Go"

Страница "General"

Страница "Security"→ "Layer 2"

Страница "Security"→ "Layer 3"

Страница "Security"→ "AAA Servers"

Страница "Advanced"

5.5. Настройка группы для SSID

Группа (AP Group) необходима для обозначения локации, используется в настройках SSID и при подключении ТД. Определяет какие SSID на какую группу ТД будут назначены.

Перейти в раздел "WLANs" → "Advanced"→ "AP Groups"
Нажать кнопку "Add Group"
"AP Group Name": имя группы
Нажать кнопку "Add"

5.6 Добавление SSID в группу

Перейти в раздел "WLANs"
Открыть "Advanced" → "AP Groups"
Открыть ранее созданную группу
Перейти на вкладку "WLANS"
Нажать кнопку "Add New"
"WLAN SSID": выбрать SSID
"Interface /Interface Group(G)": выбрать интерфейс
Нажать кнопку "Add"

5.7 Добавление ТД в группу

Перейти в раздел "WLANs"
Открыть "Advanced" → "AP Groups"
Открыть ранее созданную группу
Перейти на вкладку "APs"
Выбрать нужную ТД и нажать кнопку "Add APs"
Спустя несколько минут ТД появиться в новой группе, на ней будет изменена конфигурация SSID в соответствии с указанными в группе.

5.8 Сохранение настроек

После выполнения настроек необходимо сохранить их энергонезависимую память устройства.

Нажать кнопку "Save Configuration" вверху справа

6. Настройка контроллера CiscoWLC Catalyst 9800-CL

В рамках описания настройки предполагается, что административный интерфейс управления контроллером CiscoWLC и для взаимодействия с сервисом PCRF уже создан.

6.1 Настройка параметров Web Auth

Настройка Global параметра Web Auth

Открыть в браузере GUI CiscoWLC
Перейти в раздел "Configuration" → "Security" → "Web Auth"
Открыть настройки global параметра (глобальные настройки применяемые ко всем созданным в будущем параметрам):
- Sleeping Client Status: Enabled
- Sleeping Client Timeout (minutes): 720
- Virtual IPv4 Address: ввести любой валидный IP-адрес
- Trustpoint: выбрать (если отсутствует) сертификат
- Enable HTTP server for Web Auth: Enabled
- Disable HTTP secure server for Web Auth: Enabled
Нажать кнопку "Update & Apply to device"

Настройка параметра Eltex-portal Web Auth

Перейти в раздел "Configuration" → "Security" → "Web Auth"
Нажать кнопку "Add" для создания нового параметра:
- Parameter-map name: eltex-portal
- Maximum HTTP connections: 200
- Init-State Timeout: 3600
- Type: webauth
Нажать кнопку "Apply to device"
Открыть настройки Eltex-portal параметра
Перейти на вкладку General:
- Banner Type: None
- Captive Bypass Portal: Disabled
- Disable Success Window: Enabled
- Disable Logout Window: Enabled
- Disable Cisco Logo: Enabled
- Sleeping Client Status: Enabled
- Sleeping Client Timeout: 720
Перейти на вкладку Advanced:
- Redirect for log-in: Ссылка портальной авторизации, полученная из EMS SoftWLC (см. Создание ссылки портальной авторизации, которая будет указана на контроллере CiscoWLC)
- Redirect On-Success: Оставляем пустым
- Redirect On-Failure: Ссылка портальной авторизации, полученная из EMS SoftWLC
- Redirect Append for AP MAC Address: ap_mac
- Redirect Append for Client MAC Address: client_mac
- Redirect Append for WLAN SSID: wlan
- Portal IPV4 Address: ip-адрес SoftWLC
Нажать кнопку "Update & Apply to device"

6.2 Настройка параметров AAA

Добавление сервера Перейти в раздел "Configuration" → "Security" → "AAA" → "Servers / Groups" → "RADIUS" → "Servers" Нажать кнопку "Add": Name: eltex-radius Server Address: ip-адрес eltex-radius (SoftWLC) Key Type: Clear text Key: ключ radius (см Изменение ключа RADIUS устройства в EMS) Confirm Key: ключ radius Auth Port: 31812 Acct Port: 31813 Server Timeout: 10 Retry Count: 3 Support for CoA: Disabled Нажать кнопку "Apply to device" RADIUS взаимодействие контроллера CiscoWLC выполняется с сервисом SoftWLC.Eltex-PCRF, который по умолчанию использует auth порт 31812 и acct порт 31813 !
Добавление группы серверов Перейти в раздел "Configuration" → "Security" → "AAA" → "Servers / Groups" → "RADIUS" → "Server Groups" Нажать кнопку "Add": Name: eltex-radius-group Group Type: RADIUS MAC-Delimiter: hyphen MAC-Filtering: none Assigned Servers: eltex-radius Нажать кнопку "Apply to device"
Перейти в раздел "Configuration" → "Security" → "AAA" → "AAA Method List" → "Authentication" Нажать кнопку "Add": Method List Name: eltex-portal-auth Type: login Group Type: Group Assigned Server Groups: eltex-radius-group Нажать кнопку "Apply to device"
Перейти в раздел "Configuration" → "Security" → "AAA" → "AAA Method List" → "Accounting" Нажать кнопку "Add": Method List Name: eltex-portal-acct Type: Identity Assigned Server Groups: eltex-radius-group Нажать кнопку "Apply to device"
Перейти в раздел "Configuration" → "Security" → "AAA" → "AAA Advanced" Нажмите "Show Advanced Settings" и настройте следующие параметры одинаково для Accounting и Authentication: Call Station ID: ap-macaddress-ssid Call Station ID Case: upper MAC-Delimiter: hyphen Username Case: lower Username Delimiter: none Нажать кнопку "Apply"

6.3 Настройка списка доступа (ACL) для портальной авторизации