Uživatelský modul. Captive Portal

Uživatelský modul Captive Portal APLIKAC NÍ PR ÍRUC KA

POUŽITÉ SYMBOLY Použité symboly Nebezpečí důležité upozornění, které může mít vliv na bezpečí osoby nebo funkčnost přístroje. Pozor upozornění na možné problémy, ke kterým může dojít ve specifických případech. Informace, poznámka informace, které obsahují užitečné rady, nebo zajímavé poznámky. GPL licence Zdrojové kódy, na které se vztahuje GPL licence, jsou dostupné bez poplatku po zaslání žádosti na adresu: info@conel.cz. Conel s.r.o., Sokolská 71, 562 04 Ústi nad Orlicí, Česká Republika Příručka byla vydána v ČR, 6. října 2014 i

OBSAH Obsah 1 Popis uživatelského modulu 1 2 Konfigurace 2 2.1 Global......................................... 2 2.2 Welcome page.................................... 4 2.3 QoS.......................................... 4 3 Jak vytvořit vlastní uvítací stránku 6 3.1 Jednoduchá stránka................................. 6 3.2 Stránka s autentizací................................. 6 3.3 Ban stránka..................................... 7 3.4 Úprava původní URL................................. 7 3.5 Příklad......................................... 7 4 Přehled o aktuálním stavu 9 5 Doporučená literatura 10 ii

SEZNAM OBRÁZKŮ Seznam obrázků 1 Webové rozhraní................................... 1 2 Konfigurační formulář Global............................ 4 3 Konfigurační formulář Welcome page........................ 4 4 Konfigurační formulář QoS............................. 5 iii

SEZNAM TABULEK Seznam tabulek 1 Dostupné služby................................... 9 2 Připojení zákazníci.................................. 9 iv

1. POPIS UŽIVATELSKÉHO MODULU 1. Popis uživatelského modulu Uživatelský modul Captive Portal není součástí standardního firmware routeru. Způsob, jakým jej lze nahrát, je popsán v Konfiguračním manuálu (viz [1, 2]). Upozorňujeme, že tento modul je u routerů v2 kompatibilní pouze s firmwarem 4.0.0 a novějším! Uživatelský modul je kompatibilní s routery v3. Modul je navržen tak, aby routerům fungujícím jako klasický Wi-Fi hotspot, zprostředkoval službu zvanou captive portál. To znamená, že zákazníci připojující se k internetu prostřednictvím těchto Wi-Fi sítí jsou před běžným použitím internetu přesměrování na speciální webovou stránku. Na tuto stránku lze umístit formulář pro autentizaci zákazníka nebo jakékoliv informační sdělení. Je-li vyžadována autentizace, získá zákazník přístup k internetu až po zadání správných přihlašovacích údajů (uživatelské jméno a heslo). K přesměrování na speciální webovou stránku dochází pouze v případě prvního přístupu k internetu. Captive Portal je určen především pro provozovatele veřejně přístupných sítí (bezplatných Wi-Fi hotspotů), kteří vyžadují počáteční interakci (komunikaci) se svými zákazníky před tím, než jim udělí přístup do veřejné sítě (k internetu). Zákazníci tak musí nejprve kontaktovat provozovatele, aby jim poskytl autentizační údaje. Využití modulu Captive Portal je také způsob, jak uživatele přimět k přečtení a především odsouhlasení podmínek pro využívání sítě. V neposlední řadě je přihlašovací stránka captive portálu vhodným místem pro umístění reklamních bannerů a jiných informačních sdělení. Pro konfiguraci tohoto modulu je k dispozici webové rozhraní, které vyvoláte kliknutím na jméno modulu na stránce User modules webového rozhraní příslušného routeru. V levé části webového rozhraní modulu je umístěno menu s nabídkou stránek pro sledování stavu (Status), konfiguraci (Configuration) a správu uživatelského modulu (Customization), přičemž v bloku Customization se nachází pouze položka Return, která přepíná z rozhraní tohoto modulu na rozhraní příslušného routeru. Obrázek 1: Webové rozhraní 1

2. KONFIGURACE 2. Konfigurace Konfigurace uživatelského modulu Captive Portal se provádí prostřednictvím stránek Global, Welcome page a QoS, které jsou dostupné v bloku Configuration webového rozhraní tohoto modulu. 2.1 Global První položka Enable Captive Portal service slouží k aktivaci modulu. Následuje kolonka Welcome Page URL specifikující, kde je uložena stránka, na kterou bude uživatelský modul přesměrovávat zákazníky při jejich prvním přístupu k internetu. Pokud tato položka není vyplněna, předpokládá se, že je stránka dostupná interně. Modul tak očekává soubor se jménem index.shtml nebo index.html. Místo, kde je soubor uložen, hledá router takto: 1. USB flash disk Preferované umístění. Jestliže v kořenové složce USB flash disku existuje adresář captive_portal s index souborem, je tento soubor považován za welcome page (uvítací stránka, na kterou jsou zákazníci přesměrováváni). Flash disk je připojen automaticky při spuštění služby. 2. Souborový systém routeru Není-li USB flash disk k dispozici, může být využit souborový systém routeru. Velkou nevýhodou je však malý prostor na disku pouze cca 300 kb. 3. Defaultní stránka Pokud soubor nelze nalézt na USB flash disku ani v souborovém systému routeru, pak se použije defaultní stránka. Ta je značně jednoduchá a není možné ji upravit. K dosažení dynamického obsahu na stránce lze využít technologii Server Side Includes. Druhou dostupnou skriptovací technologií je CGI. Jiné možnosti nejsou podporovány. Je-li položka Welcome Page URL vyplněna, pak je jako uvítací stránka (welcome page) použita externí stránka. Jediný správný formát, ve kterém musí být stránka zadána, má tento tvar: http://full.domain.name/ (prefix http:// ani sufix / není možné vynechat). V tomto případě se interní HTTP server chová jako proxy server a předává všechny požadavky externímu (cílovému) HTTP serveru. Je možné použít jakoukoliv technologii pro dynamický obsah stránky, kterou podporuje server, na kterém je stránka uložena. Je třeba dát pozor na přístup k jiným doménám ze stránky index, nebot povolen je pouze přístup ke specifikované doméně. Ve druhé části konfiguračního formuláře na stránce Global lze pomocí zaškrtávacího boxu Require authentication povolit/zakázat autentizaci zákazníků před povolením přístupu k internetu. Je-li autentizace vyžadována, nastavují se přihlašovací údaje pomocí položek Username (jméno) a Password (heslo). Tato autentizace má smysl pouze v případě, že je použita interní uvítací stránka (tzn. není vyplněna položka Welcome Page URL). Způsob, jak lze vytvořit 2

2. KONFIGURACE stránku s autentizačním formulářem je popsán v kapitole 3 Jak vytvořit vlastní uvítací stránku. Pokud je jako uvítací stránka používána externí stránka, je možné autentizační proces implementovat nezávisle na uživatelském modulu na vzdáleném HTTP serveru. V takovém případě by položka Require authentication neměla být zaškrtnuta. Následuje část, v níž lze provést konfiguraci posílání statistických dat na zvolený server. Odesílaná data jsou zpravidla určena pro systém R-WebDog, který lze považovat za nadstavbu captive portálu. Definovat je však možné libovolný uživatelský server (není nutná přítomnost systému R-WebDog). Zasílání statistik se aktivuje zaškrtnutím boxu Send statistics. Zároveň je potřeba specifikovat adresu serveru, na který budou data posílána (Server Address), a příp. upravit periodu odesílání (Send Period). Z uživatelského modulu Captive Portal se statistická data posílají pomocí protokolu HTTPS metodou POST. Data jsou rozdělena do třech zpráv: cust-list (zpráva o připojených klientech), domain-list (přehled navštívených domén) a utilization-list (přehled používaných služeb). V poslední části konfiguračního formuláře na stránce Global je k dispozici položka Automatic disconnect after, pomocí níž lze automaticky odpojit každého zákazníka po uplynutí nastavené doby. Je možné zvolit ze dvou následujících způsobů odpojení: Inactivity K odpojení dojde, nejsou-li přenesená žádná data od/k zákazníkovi po specifikovanou dobu. Dejte si pozor na aplikace, které přenášejí data na pozadí bez zásahu zákazníka a které mohou způsobit dlouhé úseky připojení. Using Zákazník je natvrdo odpojen po uplynutí nastaveného času i přesto, že probíhá přenos dat. V některých případech může být vhodné oddálit opětovné připojení zákazníka poté, co byl automaticky odpojen. To se provádí pomocí položky Customer reconnect delay, kde je možné nastavit dobu, po kterou bude zákazníkovi dočasně zakázáno se znovu připojit. Je-li zadána nula, mohou se zákazníci bez prodlevy znovu připojit (tzn. funkce Customer reconnect delay je zakázána). Jednotliví zákazníci jsou rozeznáváni na základě MAC adresy WiFi. 3

2. KONFIGURACE Obrázek 2: Konfigurační formulář Global 2.2 Welcome page V konfiguračním formuláři na stránce Welcome page je k dispozici jediná položka New Welcome Page (GZIP file). Ta umožňuje pomocí tlačítek Vybrat soubor a Update zvolit a následně nahrát novou uvítací stránku (welcome page). Soubor se stránkou musí být ve formátu TAR/GZIP. Je-li připojen USB flash disk, soubor se po nahrání rozbalí sem. V opačném případě se rozbalí do souborového systému routeru. Obrázek 3: Konfigurační formulář Welcome page 2.3 QoS Tento konfigurační formulář umožňuje omezit přenosovou rychlost a objem přenesených dat. Omezení přenosové rychlosti se aktivuje zaškrtnutím boxu Limit transfer rate. Položky Total max. download rate a Total max. upload rate nastavují maximální rychlost přenosu pro download, resp. upload v rámci používané technologie. Doporučené hodnoty jsou o 10 % nižší než je udávané maximum zvolené technologie. Customer max. download rate a Customer max. upload rate pak určují maximální rychlost downloadu a uploadu pro jednotlivé zákazníky 4

2. KONFIGURACE připojující se přes daný router k internetu. Vynásobíme-li tuto hodnotu počtem současně připojených zákazníků, neměli bychom dostat vyšší hodnotu, než je udávané maximum (Total max. download/upload rate). V této části je k dispozici také volba Use predefined values for, pomocí níž je možné výše zmíněné položky automaticky vyplnit předdefinovanými hodnotami. Tyto hdnoty jsou o 10 % nižší než je udávané maximum zvolené technologie. Hodnoty Customer max. download rate a Customer max. upload rate jsou vypočítávány pro tři současně připojené zákazníky. Přednastavené hodnoty je obvykle nutné lehce doladit podle konkrétních podmínek, aby byl výsledek pro danou situaci optimální. Ve druhé části konfiguračního formuláře QoS lze nastavit omezení objemu přenesených dat. Aktivuje se zaškrtnutím boxu Limit transfer volume. Položky Customer max. download volume a Customer max. upload volume udávají objem dat, který může každý zákazník stáhnout a odeslat. Po překročení limitu dojde k okamžitému odpojení. Objem přenesených dat je kontrolován jednou za minutu. Omezení se nevstahuje na komunikaci po WiFi mezi zákazníkem a routerem. Obrázek 4: Konfigurační formulář QoS 5

3. JAK VYTVOŘIT VLASTNÍ UVÍTACÍ STRÁNKU 3. Jak vytvořit vlastní uvítací stránku Uvítací stránka (welcome page) je speciální stránka, jež se zobrazí každému zákazníkovi, který se pokouší poprvé připojit k internetu. Po zadání jakéhokoliv URL do adresního řádku prohlížeče dojde k přesměrování na uvítací stránku. 1 Tato stránka musí být pojmenována index.shtml nebo index.html. Vždy by měla obsahovat odkaz, který zákazníkovi umožňuje plný přístup k internetu. Tento odkaz může vypadat npříklad takto: <p>you can continue <a href="/captive_portal/index2.sh">here</a>...</p> Interní stránka /captive_portal/index2.sh povolí přístup k internetu pro IP adresu připojujícího se zákazníka a přesměruje ho na původní URL (ze kterého byl přesměrován na uvítací stránku). V závislosti na dalších nastaveních vzniká více možností, na jakou uvítací stránku je zákazník přesměrován. 3.1 Jednoduchá stránka Není-li v konfiguračním formuláři Global povolena autentizace (Require authentication) ani není nastavena prodleva pro opětovné připojení (Customer reconnect delay), je zákazník přesměrován na jednoduchou stránku, která může vypadat tak, jak je naznačeno v příkladu výše (jméno bude mít index.shtml nebo index.html). Obsah stránky může být jakýkoliv. Povinným prvkem je pouze odkaz, který zákazníkovi umožňuje plný přístup k internetu. Bez tohoto odkazu zákazník nikdy nezíská přímý a plný přístup k internetu. Dostupný by pro něj byl pouze interní a externí webový server. 3.2 Stránka s autentizací Pokud je v konfiguračním formuláři Global povolena autentizace (Require authentication), je zákazník přesměrován na stránku pojmenovanou login.shtml nebo login.html. Na ní by měl být formulář vyžadující uživatelské jméno a heslo, které po vyplnění předá webovému serveru k autentizaci. Existují dvě možnosti, jak předávat autentizační údaje: 1. Prostý text Jednodušší řešení, jehož nevýhodou však je přenos autentizačních údajů v nešifrované podobě. Předávání údajů může vypadat takto: /captive_portal/index2.sh?auth_name=user&auth_pass=secret 2. Hashovaný text Komplikovanější řešení, ve kterém se však autentizační data přenáší šifrovaná. Předávání údajů může vypadat takto: /captive_portal/index2.sh?auth_hash=a621b9c2130bdf72ebc81aa382eb7309 1 Přesměrováván je pouze protokol HTTP, protokol HTTPS je v této fázi zcela blokován 6

3. JAK VYTVOŘIT VLASTNÍ UVÍTACÍ STRÁNKU Pro výpočet hashovaného textu je použita kryptografická funkce MD5, která je aplikována na součet sůl + uživatelské jméno + heslo, kde sůl je náhodně generovaná hodnota dostupná na straně serveru prostřednictvím SSI a proměnné MINICP_AUTH_SALT. 3.3 Ban stránka Je-li v konfiguračním formuláři Global nastavena prodleva pro opětovné připojení (Customer reconnect delay) a zákazník se během doby dočasného zákazu pokusí připojit, dojde k přesměrování na stránku se jménem ban.shtml nebo ban.html. Je možné použít SSI a proměnnou prostředí MINICP_BAN_LEFT, která obsahuje počet sekund zbývajících do vypršení dočasného zákazu. Ban stránka by neměla obsahovat odkaz umožňující přístup k internetu, protože by i tak byl nepoužitelný. 3.4 Úprava původní URL Odkaz, který zákazníkovi umožňuje plný přístup k internetu, může být rozšířen o parametr origin_url. Tímto způsobem je možné zákazníka přesměrovat na jiné URL, než původně požadoval. Na příkladu níže je znázorněna situace, kdy zákazník není přesměrován na původně požadované URL, ale na http://full.domain.name/. /captive_portal/index2.sh?origin_url=http%3a%2f%2ffull.domain.name%2f Povšimněte si, že se rezervované znaky v hodnotě parametru origin_url kódují. Tento parametr musí být uveden jako poslední. 3.5 Příklad Komplexní příklad, jak vytvořit uvítací stránku, je uveden v souboru wp.tar.gz. Tento příklad využívá technologie SSI pro vytvoření dynamického obsahu. Archiv obsahuje následující soubory (řazeno abecedně): ban.shtml Vrací informaci, že je zákazníkovi dočasně zakázán přístup k internetu. example.jpg Společný obrázek pro všechny stránky. footer.shtml Společná patička pro všechny stránky. header.shtml Společná hlavička pro všechny stránky. index.shtml Hlavní uvítací stránka (welcome page) pro situace, kdy není vyžadována autentizace zákazníků. login.shtml Hlavní uvítací stránka (welcome page) pro situace, kdy je vyžadována autentizace zákazníků. 7

3. JAK VYTVOŘIT VLASTNÍ UVÍTACÍ STRÁNKU md5.js Pomocný javascript pro aplikaci kryptografické funkce MD5 (využívá se pouze, je-li vyžadována autentizace s šifrováním posílaných údajů) Celý archiv je možné nahrát do routeru pomocí formuláře na stránce Welcome page webového rozhraní tohoto modulu. Příklad je velmi malý a tudíž jej lze použít jako interní stránku umístěnou v souborovém systému routeru. 8

4. PŘEHLED O AKTUÁLNÍM STAVU 4. Přehled o aktuálním stavu Přehled o aktuálním stavu lze zobrazit kliknutím na položku Overview v hlavním menu webového rozhraní modulu. Zobrazí se okno, v jehož úvodu je seznam služeb a informace o tom, zda je příslušná služba aktivní. Jedná se o tyto služby: Služba Cron service Web service Firewall QoS on LAN QoS on WAN Popis Služba, která automatizovaně spouští v určitý čas nějaký příkaz resp. proces (skript, program apod.) Služba umožňující interakci dvou strojů na síti. Řídí a zabezpečuje sít ový provoz mezi sítěmi. Služba používaná pro rezervaci a řízení datových toků v síti LAN. Služba používaná pro rezervaci a řízení datových toků v síti WAN. Tabulka 1: Dostupné služby Následuje tabulka, ve které jsou uvedené informace týkající se připojených uživatelů. K dispozici jsou postupně tyto parametry: Parametr MAC IP Download Upload Since URL User agent Popis MAC adresa zákazníka IP adresa zákazníka Objem stažených dat Objem odeslaných dat Čas, od kdy je uživatel připojen Vyžadované URL Retězec, který se skládá z těchto částí: název a verze prohlížeče (používaný daným uživatelem), operační systém a některé další komponenty nainstalované s prohlížečem či systémem. Tabulka 2: Připojení zákazníci Na konci stránky Overview je pak tabulka, v níž jsou informace týkající se zákazníků, kteří mají dočasně zakázán přístup k internetu. Jedná se o stejné parametry jako v případě připojených zákazníků. Pouze položka Since je nahrazena položkou Expire, ve které je uveden čas, kdy vyprší dočasný zákaz přístupu k internetu. 9

5. DOPORUČENÁ LITERATURA 5. Doporučená literatura [1] Conel: Konfigurační manuál pro v2 routery [2] Conel: Konfigurační manuál pro v3 routery 10