Captive Portal mehrere Fragen

TheFragger

Hi Community,

ich hätte da ein paar Fragen zum Captiv Portal.

1. Wenn CP aktiv ist, wird dann der gesamte Traffic geblockt, sprich Windows Updates, Java Updates etc ? Oder haben diese noch die Möglichkeit sich upzudaten ?
2. Wenn ich im CP Seiten freigeben möchte, geht dies ja nur mit Seiten, die immer die gleiche IP haben. Ansonsten müsste ich ja einen Proxy benutzen, nur was mich hier stört, ist das Login Popup von Windows.
Ich würde es lieber so haben wie beim CP mit einer Website. Gibt es da eine Möglichkeit ? Denn sobald ein Programm im Hintergund nach Updates sucht, das noch nicht in der Whitelist ist, erscheint dieses Popup zum Einloggen (was ziemlich nervig ist).

Das wärs fürs Erste ;D

Danke schon mal für eure Antworten !

Nachtfalke

Hallo,

das CP blockt den gesamten Tarffic. Erst wenn sich ein Benutzer mittels Benutzername und Kennwort oder Voucher anmeldet, wird der Verkehr für diesen Client freigeschaltet. Der Verkehr, der dann freigeschaltet ist kann durch einen proxy (squid) im transparenten oder nicht-transparenten Modus bzw. proxy filter (squidguard oder dansguardian) als auch durch die Firewall (Ports und/oder Host Alias) beschränkt werden.

Die MAC oder IP whitelists im CaptivePortal sorgen nur dafür, dass für diese Clients oder Destination-Hosts keine Aufforderung zum Kennwort etc. kommt.

Zu deiner Frage mit den Windows Updates:
Wenn du die Windows Update server nicht in der Whitelist des CPs hast, dann werden auch diese geblockt solange der Benutzer keine gültigen Zugangsdaten eingegeben hat.

Zu deiner zweiten Frage:
Webseiten, die wechselnde IPs haben oder mehrere IPs unter der gleichen Domain, können in einem "Host Alias" zusammengefasst werden. Zum Beispiel:
google.de
maps.google.de

Ich weiss nicht, was dein Ziel ist, das du erreichen möchtest. Möchtest du Webseiten sperren/einschränken oder möchtest du ein Gastportal einrichten?

Wenn es nur darum geht, dass Clients nur bestimmten Webseiten aufrufen sollen, dann würde ich das mit einem Proxy (squid) und proxy filter (squidguard) lösen. In squidguard eine Whitelist erstellen und fertig.

Das CP ist nicht dafür gedacht, einzelne Webseiten zu sperren, sondern den Zugang zum Netz zu reglementieren. Die Whitelist des CP dient dazu, wenn man die CP login page auf einem externen server gehostet hat, oder einen DNS Server freigeben will etc. pp.

TheFragger

Hallo Nachtfalke,

danke für deine schnelle und ausführliche Antwort.
Also Ziel ist einfach, der Kunde möchte, dass nur bei bestimmten Websites KEINE Athentifizierung kommt. Momentan hat er einen Proxy der auch genau dies macht, nur das Problem ist, sobald irgendetwas auf das Internet zugreift, erscheint das Login-Fenster des Proxys und das nervt den Kunden. Deshalb wäre es cool, wenn anstatt des Login-Fensters, eine Website wie bei CP erscheinen würde (also nur wenn der User auf eine gesperrte Seite möchte. Es soll natürlich kein IE aufpoppen wenn ein Programm ins Internet möchte). Hoffe ich hab das jetzt verständlich ausgedrückt ??? ::) ;D

Ist die Athentifizierung denn so machbar ?

traxxus

Ein Proxy sollte mit Ausnahmen umgehen können, so dass für bestimmte Websites kein Proxy nötig ist.
Ich würde das nicht per Captive Portal lösen, sondern weiterhin via Proxy.

Nachtfalke

Das funktioniert so nicht, denke ich.

Wenn sich der Anwender einmal erfolgreich angemeldet hat, für www.youtube.de, dann ist der komplette Rechner freigeschaltet. Der proxy oder das CP fragen nicht für jede neue Seite nach.

Ich würde es über squid und squidguard lösen. Eine Whitelist erstellen für Systemupdates und gewünschte Seiten. Wenn eine Seite gesperrt ist, dann zeigt squidguard (sgerror.php) eine Fehlerseite an. Diese gestaltet man so, dass der User die gesperrte URL angezeigt bekommt und diese beim Admin melden muss zur Freischaltung.

Du kannst natürlich auch einen Alias erstellen, welcher alle "Whitelist" URLs beinhaltet. Diesen Alias fügst du by "Bypass proxy server" ein und alle anderen Seiten sperrst du. So sperrt der Proxy also per default alle Webseiten und die, die erlaubt sind, bei denen umgeht er den Proxy. Ich tendiere aber zu ersterer Lösung mit squidguard.

TheFragger

OK, alles klar.

Dann werde ich das mal testen. Danke für die Hilfe !