Captive-портал позволяет авторизовать неизвестных пользователей (Unknown users) с помощью методов авторизации с использованием каталогов Active Directory, RADIUS, TACACS+, SAML IDP, Kerberos, NTLM или локальной базы пользователей. Кроме этого, с помощью Captive-портала можно настроить самостоятельную регистрацию пользователей с подтверждением идентификации через SMS или e-mail.
Следует помнить, что:
-
Идентифицированные пользователи, например, у которых в свойствах пользователя явно указан IP-адрес, идентифицированные с помощью агентов авторизации терминальных серверов или для систем Windows, не авторизуются на Captive-портале. Такие пользователи уже относятся к типу Known users и не требуют дополнительной идентификации.
-
Авторизация с помощью Captive-портала возможна только для протоколов HTTP и HTTPS. Например, если вы создали правило межсетевого экрана, разрешающее доступ в интернет по протоколу FTP только для пользователя Known users, то пользователи не смогут получить доступ в интернет по этому протоколу до тех пор, пока они не станут идентифицированными, то есть не запустят у себя браузер и не пройдут авторизацию на Captive-портале.
-
Для авторизации пользователей, работающих по протоколу HTTPS, необходимо настроить инспектирование SSL, иначе авторизация работать не будет.
-
Если Captive-портал использует метод авторизации Active Directory, то пользователь должен указывать в качестве логина свое доменное имя в формате DOMAIN\username или username@domain.
Настройка Captive-портала сводится к следующим шагам:
|
Наименование |
Описание |
|---|---|
|
Шаг 1. Создать метод авторизации, например, авторизация с помощью домена Active Directory. |
В консоли UserGate в разделе Пользователи и устройства --> Серверы авторизации нажать на кнопку Добавить и создать сервер авторизации. |
|
Шаг 2. Создать профиль авторизации, в котором указать необходимые методы авторизации. |
В консоли UserGate в разделе Пользователи и устройства --> Профили авторизации нажать на кнопку Добавить и создать профиль авторизации, используя созданный ранее метод авторизации. |
|
Шаг 3. Создать Captive-профиль, в котором указать необходимые профили авторизации. |
В консоли UserGate в разделе Пользователи и устройства --> Captive-профили нажать на кнопку Добавить и создать Captive-профиль, используя созданный ранее профиль авторизации. |
|
Шаг 4. Создать правило Captive-портала. |
Правило Captive-портала определяет трафик, к которому должны быть применены методы идентификации пользователей, указанные в Captive-профиле. В консоли UserGate в разделе Пользователи и устройства --> Captive-портал нажать на кнопку Добавить и создать правило Captive-портала. |
|
Шаг 5. Настроить DNS для доменов auth.captive и logout.captive. |
Служебные доменные имена auth.captive и logout.captive используются UserGate для авторизации пользователей. Если клиенты используют в качестве DNS-сервера сервер UserGate, то ничего делать не надо. В противном случае необходимо прописать в качестве IP-адреса для этих доменов IP-адрес интерфейса сервера UserGate, который подключен в клиентскую сеть. Альтернативное решение - настроить параметры Домен auth captive-портала и Домен logout captive-портала. Более детально эти параметры описаны в разделе Общие настройки. |
Создание методов авторизации подробно рассматривалось в предыдущих главах. Рассмотрим более подробно создание Captive-профиля и правил Captive-портала.
Чтобы создать Captive-профиль, необходимо в разделе Captive-профили нажать на кнопку Добавить и указать необходимые параметры:
|
Наименование |
Описание |
|---|---|
|
Название |
Название Captive-профиля. |
|
Описание |
Описание Captive-профиля. |
|
Шаблон страницы авторизации |
Выбрать шаблон страницы авторизации. Создавать страницы авторизации можно в разделе Библиотеки --> Шаблоны страниц. Если необходимо настроить самостоятельную регистрацию пользователей с подтверждением по SMS или e-mail, то следует выбрать соответствующий тип шаблона (Captive portal: SMS auth/ Captive portal: Email auth). |
|
Метод идентификации |
Метод, с помощью которого UserGate запомнит пользователя. Возможны 2 варианта:
|
|
Профиль авторизации |
Созданный ранее профиль авторизации, определяющий методы аутентификации. |
|
URL для редиректа |
URL, куда будет перенаправлен пользователь после успешной авторизации с помощью Captive-портала. Если не заполнено, то пользователь переходит на запрошенный им URL. |
|
Разрешить браузерам запомнить авторизацию |
Включает возможность сохранить авторизацию в браузере на указанное время в часах. Для сохранения авторизационной информации используются cookie. |
|
Предлагать выбор домена AD/LDAP на странице авторизации Captive-портала |
Если в качестве метода аутентификации используется авторизация с помощью Active Directory, то при включении данного параметра пользователь сможет выбрать имя домена из списка на странице авторизации. Если данный параметр не включен, пользователь должен явно указывать домен в виде DOMAIN\username или username@domain. |
|
Показывать CAPTCHA |
При включении данной опции пользователю будет предложено ввести код, который ему будет показан на странице авторизации Captive-портала. Рекомендуемая опция для защиты от ботов, подбирающих пароли пользователей. |
|
HTTPS для страницы авторизации |
Использовать HTTPS при отображении страницы авторизации Captive-портала для пользователей. Необходимо иметь корректно настроенный сертификат для SSL Captive-портала. Более подробно о сертификатах смотрите в разделе Управление сертификатами. |
Для настройки самостоятельной регистрации пользователей с подтверждением пароля с помощью SMS или e-mail необходимо настроить параметры на вкладке Регистрация гостевых пользователей. Следует помнить, что в этом случае необходимо использовать соответствующий тип шаблона (Captive portal: SMS auth/ Captive portal: Email auth).
|
Наименование |
Описание |
|---|---|
|
Профиль оповещения |
Профиль оповещения, который будет использоваться для отсылки информации о созданном пользователе и его пароле. Может использоваться 2 типа - SMS и email. Более подробно о создания профиля оповещения смотрите в главе Профили оповещений. |
|
От |
Указать, от имени кого будут отправляться оповещения. |
|
Тема оповещения |
Тема оповещения (только для email-оповещений). |
|
Письмо оповещения |
Тело письма сообщения. В письме можно использовать специальные переменные {login} и {password}, которые будут заменены на имя пользователя и его пароль. |
|
Дата и время окончания |
Время, когда учетная запись временного пользователя будет отключена. |
|
Время жизни |
Продолжительность времени с момента первой авторизации временного пользователя, по истечении которого его учетная запись будет отключена. |
|
Длина пароля |
Определяет длину пароля для создаваемого пользователя. |
|
Сложность пароля |
Определяет сложность пароля для создаваемого пользователя. Возможны варианты:
|
|
Группы |
Группа для временных пользователей, в которую будут помещены создаваемые пользователи. О группах для временных пользователей читайте в главе Гостевой портал. |
Чтобы создать правило Captive-портала, необходимо нажать на кнопку Добавить в разделе Captive-портал и указать необходимые параметры:
|
Наименование |
Описание |
|---|---|
|
Название |
Название правила Captive-портала. |
|
Описание |
Описание правила Captive-портала. |
|
Captive-профиль |
Выбрать Captive-профиль, созданный ранее. Доступно действие Не использовать аутентификацию, при выборе которого авторизация не будет требоваться. |
|
Записывать в журнал правил |
При активации данной опции информация о срабатывание правила будет регистрироваться в соответствующем журнале статистики. |
|
Источник |
Адреса источника. В качестве источника можно указать определенную зону, например, зону LAN и диапазон адресов IP. Могут быть использованы IP-адреса стран (GeoIP). Важно! Обработка трафика происходит по следующей логике:
|
|
Назначение |
Адреса назначения. В качестве адресов можно указать определенную зону, например, зону WAN и диапазон адресов IP. Могут быть использованы IP-адреса стран (GeoIP). Важно! Обработка трафика происходит по следующей логике:
|
|
Категории |
Категории URL-фильтрации, для которых будет применяться правило. Для URL-фильтрации необходимо иметь соответствующую лицензию. |
|
URL |
Списки URL, для которых будет применяться правило. |
|
Время |
Время, когда данное правило будет активно. |
Таким образом, создав несколько правил Captive-портала, можно настроить различные политики идентификации пользователей для различных зон, адресов, категорий сайтов и времени.
Примечание
Условия, указанные во вкладках правила, применяются согласно логике "И", то есть требуют совпадения всех указанных условий для того, чтобы правило сработало. Если необходимо использовать логику "ИЛИ", то это достигается путем создания нескольких правил.
Примечание
Правила применяются в порядке, в котором они отображаются в консоли. Вы можете изменить порядок правил с помощью соответствующих кнопок.
Примечание
При обработке правил применяется только первое сработавшее правило.
В случае, если необходимо сменить пользователя после его авторизации в системе или выйти из системы, необходимо перейти на URL http://logout.captive и нажать на кнопку Выйти.