Re: Portail d'authentification RADIUS
Fabien LE LEZ
>Comment ils font, les g�rants d'h�tels ou de cybercaf�s ?
Ils ne font pas : ils font faire, ou ils ach�tent un syst�me entier
d�j� configur�.
Dominique ROUSSEAU
> Bonjour,
>
> On me demande de s�curiser notre r�seau Wifi autrement que par un mot de
> passe WPA global. Notre r�seau est constitu� exclusivement de PAs
> DLINK DWL3200.
>
> Ce qui est souhait�, c'est le m�me principe que les acc�s qu'on trouve
> dans les hotels, par exemple : tant que l'utilisateur ne s'est pas
> authentifi�, il n'a acc�s qu'� une page Web lui demandant de rentrer son
> identifiant personnel. J'ai install� FreeRadius sur une passerelle
> FreeBSD, je suppose qu'il sait faire �a, au moins en ce qui concerne
> l'authentification, puisqu'il y a une option RADIUS dans les DLink. Par
> contre, en ce qui concerne le portail d'authentification, je n'ai aucune
> id�e de ce qu'il faut faire.
Christophe Bachmann
> Le mer, 02 d�c 2009 at 10:14 GMT, Xavier <xav...@groumpf.org> a �crit :
>> Ce qui est souhait�, c'est le m�me principe que les acc�s qu'on trouve
>> dans les hotels, par exemple : tant que l'utilisateur ne s'est pas
>> authentifi�, il n'a acc�s qu'� une page Web lui demandant de rentrer son
>> identifiant personnel. J'ai install� FreeRadius sur une passerelle
>> FreeBSD, je suppose qu'il sait faire �a, au moins en ce qui concerne
>> l'authentification, puisqu'il y a une option RADIUS dans les DLink. Par
>> contre, en ce qui concerne le portail d'authentification, je n'ai aucune
>> id�e de ce qu'il faut faire.
>
> http://www.chillispot.info/features.html
>
Vous n'auriez-pas une solution similaire pour un serveur Windows ? Par
ce que l� vous m'avez donn� des id�es...
--
Greetings, Salutations,
Guiraud Belissen, Ch�teau du Ciel, Drachenwald,
Chris CII, Rennes, France
GuiGui
>
> Bon, ben c'est pas tr�s r�jouissant, tout �a. Et en plus mon chef
> voudrait qu'on s'�vite la contrainte de mettre � jour l'annuaire LDAP
> pour 150 �tudiants qui vont et viennent....
Chez nous, on fonctionne avec un boitier Cisco ASA. Le WiFi est open,
mais ne permet que la connexion � l'ASA. Une fois authentifi� sur l'ASA
(via Radius), le boitier pousse une applet java qui monte un tunnel VPN.
C'est super efficace, et les utilisateurs du WiFi sont isol�s les uns
des autres (pas de sniff possible).
Par contre, Cisco c'est pas donn� :-(
Il y a aussi la solution ucopia, qui est une solution de portail captif
packag�e, avec gestion compl�te (jusqu'� l'�dition des tickets de
connexion ou l'envoi d'identifiants via SMS).
>
> Je vais lui dire qu'avec le cahier des charges qu'il m'a donn� je ne
> peux rien faire dans les d�lais impartis. On va rester sur pf + proxy
> transparent + logging arp, et acc�s WPA2. Faut juste que je voie dans la
> doc DLink si un des AP peut servir de ma�tre pour l'authentification
> WPA2, ou s'il faut se palucher les 20 qu'on a install�s.
>
Il existe l'AP manager de D-Link, qui permet de pousser des param�tres
sur tous les AP en m�me temps, mais ne fonctionne que sous windows.
Sinon on peut tr�s facilement �crire un script qui se connecte sur les
AP en telnet ou SSH et fait le boulot.
Une autre solution serait de partir sur un nouvel �quipement WiFi, avec
bornes passives et switch WiFi qui g�re les bornes. Certains mod�les de
switchs int�grent d�j� le portail captif. En plus, ce genre d'�quipement
permet le roaming natif m�me en WPA2 (tr�s pratique pour les t�l�phones
WiFi, par exemple, ou encore pour l'�quilibrage de charge, la connexion
pouvant �tre rejet�e de fa�on transparente sur une borne moins charg�e).
Dans le genre, les �quipement motorola (ex-symbol) sont les moins chers
et tr�s efficaces.
FU2 fcs qui me semble le plus appropri�