Dotaz: iptables - přesměrování na login (captive portal)

[mr.M]

Zdravím, vytvořil jsem si vlastní captive portal na bázi iptables. Viz. níže...

(předcházejí ještě pravidla, pro povelní portu SSH, atp.)
iptables -t nat -A PREROUTING -i eth1 -p tcp -j DNAT --to 192.168.1.1:80
iptables -t nat -A PREROUTING -i eth1 -p udp -j DNAT --to 192.168.1.1:80

iptables -t nat -N internet
iptables -t nat -A PREROUTING -j internet
iptables -t nat -A internet -j ACCEPT

na té IP je pak login form, kde se pustí exec.. v důsledku to vyvolá

iptables -t nat -I PREROUTING -m mac --mac-source [mac_adresa] -j NET

vše funguje docela v pohodě, ale to přesměrování na tu login page zrovna 2x ne.. jednou to přesměruje, jednou ne ... jak se takovéhle věci řeší? Pokud možno aniž bych musel instalovat nějakou další věc (DNS, atp.)

Díky M.

Odpovědi

[NN]

Resi se diagnostikou problemu.

[mr.M]

A pod tím si mám představit co? Mně přijde, že 1. request to přesměruje a zbytek ne...

[Michal Kubeček]

Jsou ti klienti na stejném segmentu? Co je v chainu NET?

[mr.M]

Pardon tam jsem se upsal, má tam být samozřejmě "internet" ...

Jak to myslíte s tím segmentem?

[Michal Kubeček]

Pokud nejsou na stejném segmentu, tak jako zdrojovou MAC adresu uvidíte MAC adresu posledního hopu před vámi, takže jakmile jednou nějakou povolíte, jsou automaticky povoleni i všichni, kdo jsou "za ní".

[mr.M]

Snad Vás chápu dobře.. No na tom stroji běží DHCP na eth1, za ním je switch a pak APčka .. vše dostává IP od toho dhcp serveru, tj. že by to v jednom segmentu mělo být - aspoň jestli jsem to dobře pochopil. (Nebylo by, kdyby bylo na každém AP ještě dhcp - je to tak?). Když jsem to testoval (pustil jsem si arp), tak tam byla skutečně moje mac.

[j]

To zalezi nikoli na tom, zda dhcp dostavaji od AP, ale jestli se to AP chova jako bridge. DHCP lze forwardovat stejne jako libovolny jiny provoz.

[Michal Kubeček]

Takže když klient zkusí navázat TCP spojení třeba na nějaký IMAP(S) server, vy ho přesměrujete na TCP port 80 vašeho stroje a tam tomu IMAP klientovi Apache pošle HTTP odpověď s kódem 400 (Bad Request)? A když nedej bože někdo pošle ven nějaký UDP paket (DNS, SIP, …), tak ho přesměrujete na UDP port 80 svého stroje, kde na něj odpoví kdo?

Proboha, lidi, Internet opravdu není jen web…

[mr.M]

Tak já hledal nejjednodušší a nejbližší řešení. Dalším řešením je tam dát --dport 80 a co ten zbytek portů? Je hezké si mě dobírat a chápu, že se Vám to nelíbí, ale tak mi poraďte, jak se tohle řeší...

[Michal Kubeček]

ale tak mi poraďte, jak se tohle řeší...

Těžko říct, když nevíme, co je tohle, tj. co se vlastně snažíte řešit.

[mr.M]

Aha jasně. Omlouvám se, no mám tím namysli login do takového captive portalu. Respektive jak přesměrovat správně odkudkoliv na můj "login page" a ideálně aby i systém psal, že jsou potřeba dodatečné přihlašovací informace.

[Michal Kubeček]

To jste nám toho ale pořád moc neprozradil - ani slovo o tom, jak vlastně vypadá ta síť (wi-fi? ethernet? jeden segment? složitější topologie?), co jsou zač ti klienti (náhodní kolemjdoucí? hosté v internetové kavárně (na hodinu až dvě)? hosté v hotelu (na pár dnů)? zaměstnanci firmy (na pár let)?

[mr.M]

Tak tedy.. server 1, eth0-přístup do internetu, eth1-LAN síť, Běží zde dhcp, přes maškarádu v iptables dávám přístup k internetu, za eth1 je 1 switch a za ním APčka (tj. wi-fi).., vše má IP od dhcp právě ze serveru 1 a jedná se o síť ve škole tj. studenti.

[NN]

Dobre, mohli by jsi to udelat tak ze na konec firewallu das neco jako:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dports 80,443 -j DNAT --to 192.168.1.1:80

Potom zaridis pres formular,ze se pred to presmerovani prida povoleni MAC/IP, kterou si ale musis nejak zjistit..

Nebo muzes nakonfigurovat proxy..

Nebo udelat portal na AP-ckach pokud to umi..

[GeorgeWH]

alebo sa na to radsej vykaslat... :)

[Max]

Jinak bych připomněl ještě jednu věc. Některá APéčka neumí transparentně přenášet MAC adresy. Pokud tedy tazatel disponuje wifi sítí a chce identifikovat klienty podle MAC, tak bych si nejdřív ověřil, zda si to ty AP krabky dávají, či nikoli.
Zdar Max

[Jendа]

Těžko říct, když nevíme, co je tohle, tj. co se vlastně snažíte řešit.

Staví Captive Portal.

ale tak mi poraďte, jak se tohle řeší...

No pro začátek bys nemusel přesměrovávat na port 80 všechno, ale jenom to, co i předtím šlo na port 80. I tak je to ale nečisté řešení, což je ale captive portal tak nějak z definice.

[Michal Kubeček]

Těžko říct, když nevíme, co je tohle, tj. co se vlastně snažíte řešit.

Staví Captive Portal.

To už je koncepce řešení, ne zadání.

[Jendа]

To už je koncepce řešení, ne zadání.

Jo takhle. No jak bys třeba řešil wifinu ve škole?

(rád si nechám poradit; 802.1x prostě na na různých klientech nefunguje nebo se alespoň musí nastavovat „komplikovaně“)

[l4m4]

WPA2 (bez WPS) etc. Sice to není žádný zázrak, ale oproti captive portal je dobré řešení skoro všechno...

Zcela běžná situace (alespoň u mne): Nepotřebuji a nechcni žádné surfování webu. Potřebuji se akorát někam ssh-čknout. Captive portal je věc zcela mimo, kterou musím projít jaksi extra.

Navíc když už spustím ten www prohlížeč, tak captive portal rozesírá velmi zábavnými způsoby cache v prohlížečích, protože přesměrovává všechny requesty kamsi, kde slunce nesvítí. Teoreticky to sice lze provést tak, aby se cache nerozesraly, ale nevšiml jsem si, že by to v praxi někdo dělal.

[Jendа]

WPA2 (bez WPS) etc.

Jako jedno PSKčko, které rozditribuuješ mezi všechny uživatele? Jak uděláš třeba vyřazení uživatele?

Zmiňované problémy CP znám.

[Jose.D]

klíčové slovo, které hledáš, je WPA + radius server

[Jendа]

GOTO #19

[Michal Kubeček]

Jestli dobře vidím, komentář 19 je o (ne)podpoře 802.1x. Jak to souvisí s příspěvkem, na který reaguješ?

[Jendа]

Myslel jsem tím nepodporu řešení typu Eduroam (802.1x + RADIUS auth).

[Michal Kubeček]

Nějak se míjíme. Otázka zněla, jak bych řešil školní wi-fi, odpověď (sice ne moje, ale na tom nesejde) zněla, že pomocí WPA2. Jediný, kdo se do toho stále snaží z nějakého důvodu zatáhnout 802.1x, jsi ty.

[Jendа]

A myslíš tím WPA2 PSK nebo nějakou jinou formu?

[Michal Kubeček]

Například WPA2-PSK.

[Jendа]

Na to jsem odpověděl:

Jako jedno PSKčko, které rozditribuuješ mezi všechny uživatele? Jak uděláš třeba vyřazení uživatele?

[Michal Kubeček]

Já vím, já umím číst. Na to jsi dostal odpověď, že samozřejmě ne, že bude mít každý uživatel své heslo a pro správu lze použít např. radius. Načež jsi z nějakého záhadného důvodu reagoval tím podivným odkazem zpátky na začátek komentář o problémech s implementacemi 802.1x - o kterém tu ale celou dobu nikdo jiný než ty nemluvil.

[Jendа]

Aha, nevěděl jsem, že se dá na jedné síti provozovat mnoho uživatelů, každý s jiným PSK.

[Michal Kubeček]

Nevím, nakolik je to obvyklé a jestli to nabízejí nějaká hotová řešení (SoHo krabičky určitě ne), ale čistě z hlediska protokolu v tom problém nevidím.

[pavlix]

Kryštof Klíma tohle hodně propaguje na Mikrotiku.

[scott]

Z jakých důvodů potřebuješ capative portal? Z 90% je to k ničemu..

[Jendа]

Z jakých důvodů potřebuješ capative portal?

Řekl bych, že chce udělat login uživatelů do sítě v roce 2012, kdy mnohá zařízení stále mají problémy s 802.1x.

[rADOn]

To by se melo tesat. Hlavne nekterym lidem na celo.

Kdyz uz bych takovou zvracenost musel delat, tak

1) dam zachytavani na proxy a do sitovy vrstvy se neseru

nebo prinejhorsim

2) zachytavam jenom port 80 a na ostatni vracim deny nebo je uplne povolim. Stejne tam neni zadnej provoz kterej by melo smysl zachytavat.

[Jendа]

1) dam zachytavani na proxy a do sitovy vrstvy se neseru

Nelze použít, když klientovi nemáš jak sdělit, že existuje proxy.

nebo je uplne povolim

Smyslem CP je většinou nepustit uživatele ven, dokud ti neobětuje ťaťavu.

[rADOn]

Ale máš: http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol

IMO skutečným smyslem CP je zajistit aby wifi nefungovala nikde jinde než při prezentaci na jednom pečlivě vybraném zařízení. V provozu je to mnohem lepší – nemusí se řešit žádný shaping, izolace klientů etc. Stačí naučit obsluhu přesvědčive rozhodit rukama, zahlásit "já nevím proč vám to nefunguje, máte to ňák rozbitý" a je to.

[Jendа]

Ale máš: http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol

Dámy a pánové, nechci se vás dotknout, ale kdo z vás to má zapnuté?

IMO skutečným smyslem CP je zajistit aby wifi nefungovala nikde jinde než při prezentaci na jednom pečlivě vybraném zařízení.

Mně naopak přijde, že CP je jeden z nejlépe „podporovaných“ způsobů „přihlašování“ do sítě. Funguje vlastně všude kromě embedded krabiček bez browseru.

[l4m4]

Leda houby.

Použití CP téměř bezvýhradně, ačkoli to samozřejmě není nutné v principu, znamená, že namísto přístupu k internetu dostaneš po proskákání všemi příslušnými ohnivými kruhy najenvýš limitovaný přístup k webu. K internetu ani náhodou.

[Jendа]

znamená, že namísto přístupu k internetu dostaneš po proskákání všemi příslušnými ohnivými kruhy najenvýš limitovaný přístup k webu. K internetu ani náhodou.

Fakt? Já jsem zatím vždycky, když se mi nějak podařilo dostat MAC adresu do whitelistu (proskočil jsem hořícím kruhem), mohl používat všechny služby.

[pavlix]

Použití CP téměř bezvýhradně, ačkoli to samozřejmě není nutné v principu, znamená, že namísto přístupu k internetu dostaneš po proskákání všemi příslušnými ohnivými kruhy najenvýš limitovaný přístup k webu. K internetu ani náhodou.

Nepleť si korelaci s kauzalitou. Nicméně tam, kde jsem se s CP potkal, nebyla ani ta korelace a po přihlášení už jsem se s tím portálem nijak nepotkával. Takže nemám úplně pocit, že bych ti mohl dát za pravdu.

[rADOn]

Ale máš: http://en.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol

Dámy a pánové, nechci se vás dotknout, ale kdo z vás to má zapnuté?

To by ses možná divil. Telefony a tablety to AFAIK umí běžně, spíš se o tom neví pacz tomu výrobci říkají různě. (Na mé N900 je položka v nastavení popsána jako "proxy z dhcp".)

Stejně důležité ale je že je to robustnější – i na zařízeních které neumí ten protokol lze nastavit proxy ručně a bude to fungovat. Položka na proxy je ve všech wifi zařízeních. OTOH když se stroječek nepohodne s CP, máš smůlu. Bez intimních znalostí o tom jakým způsobem zrovna tahle implementace CP kurví IP prostě nic nenaděláš.

Mně naopak přijde, že CP je jeden z nejlépe „podporovaných“ způsobů „přihlašování“ do sítě. Funguje vlastně všude kromě embedded krabiček bez browseru.

To je hezká teorie, ale v praxi mi to často nefunguje. Asi nejsem dost "všude". IMO hlavní problém není že by to nešlo udělat dobře, ale že "dobře" je složitější než co zvládnou cvičené opice v php. Lidi kteří toho o IP ví dost aby to uměli rozchodit bez vedlejších efektů se s tím právě proto nebudou srát a nastaví si radius. Takže Captive portály staví zoufalci jako je tazatel, kterým jde hlavně o to aby, cituji: Pokud možno aniž bych musel instalovat nějakou další věc (DNS, atp.).

[Jendа]

To by ses možná divil. Telefony a tablety to AFAIK umí běžně, spíš se o tom neví pacz tomu výrobci říkají různě.

A je to na Windows v IE, FF a Chrome defaultně zapnuté?

To je hezká teorie, ale v praxi mi to často nefunguje. Asi nejsem dost "všude".

Já jsem se ještě nesetkal s CP, který by mi nechodil. Asi 10 různých CP, Linux s Firefoxem.

[l4m4]

Smyslem CP je většinou nepustit uživatele ven, dokud ti neobětuje ťaťavu.

Oprava: Smyslem CP je většinou nepustit uživatele ven.

[mr.M]

Tak už to fugnuje.. Akorát jsem se nějak zamotal do těch pravidel iptables... jak dropnu všechny pakety odcházející z eth1 a přitom mac adresa zařízení, ze kterého paket jde není v chainu internet?

[mr.M]

někdo nějaký nápad?

[Michal Kubeček]

Pořád stejný - ale ten vy slyšet nechcete.