Limitation du nombre de connexion pour les utilisateurs sur une journée
-
Bonjour, je suis un étudiant en stage dans une bibliothèque, on m'a donné comme projet la reconfiguration de l'epn (espace public numérique). C'est un lieu ou toute personne inscrite peut se connecter à internet pour ses besoins. Actuellement , l'accès au bureau des pc est verrouillé, les utilisateurs doivent s'identifier via un serveur maelys. Comme l'accès wi-fi va être ajouter au réseau. Un portail captif semble la meilleur solution.
Comme on m'a fourni un rack avec pfsense dessus, j'ai opté pour son portail captif. Tout fonctionne, l'authentification se fait via freeradius qui va interroger un annuaire ldap. Que cela soit sur le réseau lan ou wlan(wi-fi), toutes personnes qui est authentifiée peut accéder à internet selon le timeout fourni par l'annuaire ldap selon l'utilisateur.
Mais mes besoins sont plus poussées. Un utilisateur qui à dépassé son temps d'accès ne doit pas pouvoir se reconnecter sur le réseau que cela soit d'une autre machine ou via wi-fi.
ex: Pierre se connecte sur la machine A sur le portail captif. Après une heure sa session est fini, il retente de se reconnecter mais l'accès lui est interdit.Donc ma question est de savoir si il était possible de limiter le nombre d'accès sur une journée ou un laps de temps défini pour un utilisateur?
Je vous remercie d'avance, si vous avez besoin de plus de détails, veuillez me dire lesquels.
Pour info, j'utilise la version 2.2.2 de pfsense.
-
Salut salut
A mon avis cela n'est pas du coté de pf qu il faut chercher, mais plus du coté couple proxy avec ces plugin qui vont biens d'un coté ainsi que d'un autre outil qui gère les droits des utilisateurs et accès genre AD si vous êtes avec un domaine windows (ou radius pour les autres environnement) de l'autre coté.
Je ne dois pas être loin de la bonne idée bien que je ne vous donne pas la manière de faire, plus l'axe de recherche.Bon courage, et par pitié ne partez pas avec l'ajout de proxy que pf qui est à mon sens une fausse bonne idée, et déjà mainte fois explicités pourquoi.
Cordialement.
-
Salut salut
A mon avis cela n'est pas du coté de pf qu il faut chercher, mais plus du coté couple proxy avec ces plugin qui vont biens d'un coté ainsi que d'un autre outil qui gère les droits des utilisateurs et accès genre AD si vous êtes avec un domaine windows (ou radius pour les autres environnement) de l'autre coté.
Je ne dois pas être loin de la bonne idée bien que je ne vous donne pas la manière de faire, plus l'axe de recherche.Bon courage, et par pitié ne partez pas avec l'ajout de proxy que pf qui est à mon sens une fausse bonne idée, et déjà mainte fois explicités pourquoi.
Cordialement.
Jai sans doute fait le mauvais choix d'avoir installer le proxy sur pfsense. Vu que je ne trouvais pas de solution propre au portail captif de pfsense, je pensais me pencher à écrire un script afin de bloquer tout reauthentification d'un utilisateur dans la même journée. Vu que j'utilise freeradius et un ldap, je me dis que c'est possible.
Donc pour résumer le portail captif de pfsense n'offre aucune solution d'origine pour gérer le nombre d'accès d'un utilisateur sur un laps de temps donner?Merci en tout cas pour la réponse.
-
Salut salut.
C'est sur tout qu il n'est pas fait pour cela, c'est un pare-feu/router pas une machine à tout faire. votre choix comme celui d'autre découle de la même non connaissance de la fonction du produit.
Pf pour faire un router avec l'action de portail captif est bien pour cela, y rajouter autre chose est le meilleur moyen de se rajouter des emmerdes supplémentaire et de surcroit inutiles.
Il est préférable d'avoir le proxy et le couple radius/ldap sur une machine en arrière de Pf, (voir les différents postes traitant du sujet).
Cordialement.
-
Puisque je l'ai rédigé, cela m'évite de me répéter : https://forum.pfsense.org/index.php?topic=90750.msg501996#msg501996
Par ailleurs la solution, une solution en tout cas, se trouve du côté de Squid.
http://www.squid-cache.org/mail-archive/squid-dev/201104/0009.html
http://www.squid-cache.org/Doc/config/external_acl_type/ -
Puisque je l'ai rédigé, cela m'évite de me répéter : https://forum.pfsense.org/index.php?topic=90750.msg501996#msg501996
Par ailleurs la solution, une solution en tout cas, se trouve du côté de Squid.
http://www.squid-cache.org/mail-archive/squid-dev/201104/0009.html
http://www.squid-cache.org/Doc/config/external_acl_type/Bonjour, une des autres solutions pour gérer le temps des connexions se trouve dans radius si je me trompe pas. Je vais suivre cette piste. vu que c'est déjà via radius que je gère le timeout de chaque utilisateur individuellement mais je vais voir si c'est possible pour des groupes.
Le gros problème est que pour la suite je devrais laisser l'administration de la base des utilisateurs à des employés de bibliothèque. J'ai trouvé un moyen pour qu'ils puissent ajouter des utilisateurs à ldap via une interface graphique mais impossible pour eux de gèrer leur temps de connexion.
Merci en tout cas pour la piste sur squid.
