[RESOLU] Problème redirection web portail captif

[Yannick]

Bonjour à tous,

Je poste aujourd'hui ce topic car je n'arrive pas à comprendre pourquoi mon portail captif ne me permet pas d'accéder au net.

Je m'explique:

J'ai pour projet de mettre en oeuvre un portail captif avec authentification par serveur radius (IAS sous windows serveur 2003)

J'ai donc paramétré mon Pfsense ainsi que mon serveur radius. Lorsque j'ouvre une page web, j'arrive bien sur la page du portail captif. Je rentre mes identifiants et le serveur radius fais correctement son travail, je vois bien les trames access-request et access-accept sur Wireshark, installé sur windows serveur 2003. Cependant une fois l'authentification faite je n'arrive pas à accéder à internet, le navigateur web m'affiche le message si bien connu :" Le délai d'attente est dépassé "

Voici un petit schéma de mon infrastructure:


Vous voila maintenant au courant de mon petit problème, j'espère que vous saurez m'aider, en attendant je continue à chercher de mon côté en gardant un oeil sur le forum
N'hésitez pas à me poser des questions.

Cordialement,

Yannick.

[Franck78]

Salut,

Question bête, car pas précisé, ca fonctionnait correctement avant l'activation de la fonction portail captif bien sûr?

bye

[Yannick]

Salut, désolé de n'avoir mis le sujet à jour plus tôt, mais j'ai réussi à identifier le problème. Maintenant tout fonctionne parfaitement.

Le problème était juste le paramétrage de l'interface WAN, je lui avais précisé l'adresse de mon serveur radius au lieu de lui préciser l'adresse de la passerelle du lycée ^^

[kryboo]

NB : Pour les futurs lecteurs de ce post.

Pour un portail captif il faut veilleur à faire passer le DNS vers l'interface du portail captif.
1) autoriser le bypassDNS sur l'interface du portail captif
2) créer un règle haute autorisant le 53 UDP depuis le network captif vers un DNS (selon les autres interfaces)

Cette solution évite de venir se connecter directement à l'adresse IP du portail sur le port 8080, la redirection vers la page d'authentification sera faite automatiquement avec cette méthode, quelque soit le site web du navigateur.

++

[jdh]

(Je dis peut-être des bêtises : je n'ai jamais testé le portail captif ...)

Cette dernière proposition me surprend !

Le principe du portail captif consiste à autoriser, après validation via un formulaire html, de traverser un firewall.
En clair, la validation du formulaire créé une règle "dynamique" pour l'ip qui a validé.

D'une part, le service dns est un service interne éventuellement au firewall, donc il n'aurait pas besoin de la règle de traversée.
D'autre part, il ne faut pas (jamais ?) autoriser l'usage de dns externe aux PC internes puisqu'on peut créer un tunnel avec un serveur dns "étudié pour".

Ma recommandation est toujours
- de disposer d'un serveur dns interne (le firewall = pfsense ou le contrôleur de domaine windows),
- d'autoriser seulement celui là à requêter en dns vers le/s dns du FAI.

Mais peut-être n'ai je pas toutes les problématiques du portail captif en tête ...

[kryboo]

(Je dis peut-être des bêtises : je n'ai jamais testé le portail captif ...)

Cette dernière proposition me surprend !

Moi aussi.

Voila comment j'ai pu résoudre mon souci/

WIFI --> PFWIFI (CAPTIF) ---> WAN --->DNSGoogle
LAN --> PFLAN --> WAN--->DNSGoogle

Sur mon lan les serveur DNS sont FQDN de mon domaine.home
Sur le PFWIFI je fais tourner le DHCP avec comme option les DNS de mon LAN
J'active le portail captif sur mon wifi
Je créer une règle pour laisser passer le http et le https du wifi au WAN et une qui autorise le UDP 53 du wifinet au srv DNS de mon lan

Je lance une connexion wifi
je tape dans mon navigateur www.google.fr ==> unknow address et pas de redirection vers la page du portail
Je tape dans mon navigateur IP du PFWIFI:8080 hop identification et acces WEB
Donc si on connais pas le socket du PF pas de redirection possible.....

Petite recherche du pourquoi sur le net forums pf entre autre ....

Activer le DNS forwarder et mettre une règle DNS "haute" je m’exécute

déconnexion de mon portail captif
je tape dans un navigateur www.free.fr ==> hop redirection vers la page du portail captif ==> identification ==> connexion a free.fr