Настройка Web аутентификации для Wi-Fi соединений

Примеры управляющих скриптов.

1. Перенаправление http трафика осуществляется при помощи механизма iptables REDIRECT. При старте системы должны быть разрешены только DNS запросы, и весь www трафик перенаправляться на сервер.
   Первоначальное состояние:

   # iptables -t nat -nL PREROUTING
   Chain PREROUTING (policy ACCEPT)
   target prot opt source destination
   ACCEPT udp - 0.0.0.0/0 0.0.0.0/0 udp dpt:53
   REDIRECT tcp - 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 redir ports 80
   REDIRECT tcp - 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 redir ports 443
   DROP all - 0.0.0.0/0 0.0.0.0/0

   Конфигурационный файл iptables для такого стартового состояния будет выглядеть следующим образом:

   *nat
   :PREROUTING ACCEPT [97569:16395666]
   :POSTROUTING ACCEPT [26991:1834572]
   :OUTPUT ACCEPT [27006:1835736]
   -A PREROUTING -p udp -m udp -dport 53 -j ACCEPT
   -A PREROUTING -p tcp -m tcp -dport 80 -j REDIRECT -to-ports 80
   -A PREROUTING -p tcp -m tcp -dport 443 -j REDIRECT -to-ports 443
   -A PREROUTING -j DROP
   COMMIT

   После успешной аутентификации пользователя, например, с ip 192.168.10.10 правила фильтра должны измениться следующим образом:

   # iptables -t nat -nL PREROUTING
   Chain PREROUTING (policy ACCEPT)
   target prot opt source destination
   ACCEPT all - 192.168.10.10/32 0.0.0.0/0
   ACCEPT udp - 0.0.0.0/0 0.0.0.0/0 udp dpt:53
   REDIRECT tcp - 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 redir ports 80
   REDIRECT tcp - 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 redir ports 443
   DROP all - 0.0.0.0/0 0.0.0.0/0

   Добавление в начало цепочки разрешающего правила (ACCEPT) фактически останавливает просмотр остальных правил для ip 192.168.10.10, и в результате перенаправление и блокировка трафика для него не работают. Для динамического управления правилами iptables необходимы 2 скрипта: script_start, добавляющий разрешающее правило для данного ip в начало цепочки, и script_stop, удаляющий правило.

   script_start:
   #!/bin/bash
   # param $1 - ip
   # param $2 - netmask
   /sbin/iptables -t nat -I PREROUTING 1 -s $1/$2 -j ACCEPT
   script_stop:
   #!/bin/bash
   # param $1 - ip
   # param $2 - netmask
   /sbin/iptables -t nat -D PREROUTING -s $1/$2 -j ACCEPT
   		

2. Помимо динамического управления правилами iptables для корректного начала и завершения пользовательской сессии в БД необходимо поддерживать актуальное соответствие между пользователем и ip адресом, который он использует. Поэтому вышеописанные скрипты нужно немного усложнить. Примеры используемых в решении скриптов: script_start и script_stop.
   Здесь предполагается, что все скрипты размещены в директории /usr/local/billing. Для вызова script_start и script_stop применяется механизм запуска внешних процедру, предусмотренный в АСР. При этом script_start должен совпадать с vg_on (запускатеся при снятии блокировки учетной записи), а script_stop - с vg_off (запускается во время блокировки).

3. WEB-аутентификацию осуществляет PHP скрипт на стороне сервера (authorize.php) Все необходимы файлы для функционирования скрипта можно найти здесь. Скрипт осуществляет проверку логина и пароля. Если такой логин не найден, то пытается активировать карту, рассматривая введенный логин как номер карты. Для удобства все служебные запросы, необходимые для проверки подлинности, вынесены в хранимую SQL процедуру. Если авторизация успешно пройдена, скрипт должен инициировать запуск скрипта script_start. Это можно сделать либо средствами агента, сымитировав разблокирование учетной записи (в этом случае агент запустит vg_on=script_start). Либо запускать script_start непосредственно из скрипта аутентификации(при этом нужно будет пользоваться sudo, т.к. script_start требует root-привилегий). В authorize.php реализован первый способ. Кроме этого у авторизовавшегося пользователя открывается дополнительное окно браузера с формой, позволяющей отправить запрос на завершение сессии (см. п. 5)

4. Настройка apache. Наличие apache требуется для функционирования LANBilling, однако помимо общих инструкций по настройке, описанных в документации АСР, здесь потребуется небольшое дополнение к конфигурации. В httpd.conf нужно добавить строку

   ErrorDocument 404 /authorize.php

   Кроме того поправить DirectoryIndex в директории, описанной как DocumentRoot (в примере /home/www-data):

   
    Options Indexes FollowSymLinks
    DirectoryIndex authorize.php
    AllowOverride None
    Order allow,deny
    Allow from all
   

   Все это необходимо для того, чтобы любой http запрос, перенаправленный на этот сервер, приводил к запуску скрипта аутентификации. Сам скрипт authorize.php должен располагаться в папке DocumentRoot (/home/www-data).

5. Необходимость прерывания пользовательской сессии возникает в следующих случаях:

   • Пользователь исчерпал свой баланс

   • Административный запрос на блокировку

   • Пользовательский запрос на остановку сессии по окончании работы с целью пресечь возможный несанкционированный доступ с использованием его ip адреса

   • Разрыв сессии по таймауту при отсутствии активности с данного ip адреса в течение заданного времени

   Во всех случаях для разрыва сессии необходимо запустить script_stop с нужными параметрами. Первые два случая - это штатная возможность АСР: при блокировке(административной, пользовательской либо по балансу) агент запускает vg_off=script_stop. Пользовательский запрос (3ий случай) инициируется через браузер. Механизм запуска скриптов здесь аналогичен п. 3: можно спровоцировать запуск vg_off=script_stop, либо вызвать скрипт напрямую (в authorize.php реализован первый способ).
   Для обработки 4го случая необходима переодическая проверка активных "сессий". Для этих целей можно воспользоваться следующим скриптом, который должен запускаться с заранее определенным интервалом (через cron).