PfSense : Portail Captif, quelques questions.

Plipou

Coucou,

Pour l'historique des utilisateurs j'ai trouvé ceci :
Aller dans 'Diagnostics' puis 'States'.
Ici vous pouvez voir les sites visités (les IPs des sites).
Je sais pas encore combien de temps sa dure (peut-être jusqu'au prochaine reboot du serveur).

Pour limiter la bande passante par utilisateur je suis en train de me tourner vers les Firewall de Pfsense voir si il y a des options intéressantes, je vous tiens au courant si je trouve quelque chose.

Cependant pour la redirection de uniquement un des SSID de ma borne vers l'authentification du portail captif, je cherche toujours. Si quelqu'un à des infos, je suis preneur.

A bientôt.

Edit : Petite érreur de ma part, en faite les 'States' ne restent que le temps où l'utilisateur est sur la page, pour voir par exemple quels sites sont visités par l'utilisateur.

ccnet

Cependant pour la redirection de uniquement un des SSID de ma borne vers l'authentification du portail captif, je cherche toujours. Si quelqu'un à des infos, je suis preneur.

Vous avez deux vlans, donc une interface (physique ou non) par Vlan sur Pfsense, avec deux numéros de réseaux distincts et comme vous spécifiez sur quelle interface le portail captif est activé … le problème est réglé. Ensuite vous ajustez vos règles pour que les utilisateurs du portail captif ne fassent que ce que vous souhaitez.
Désolé mais dans ma réponse précédente cela me semblait "évident".

Plipou

Je vois à peu près ce que vous voulez dire cependant je reste un peu bloqué.

J'ai deux interface physique (deux cartes réseaux) sur pfsense :

LAN : 10.34.5.250, passerelle 10.34.5.1 - Vlan 40. (DHCP Sever activé sur pfsense de 10.34.5.10 à 10.34.5.100)
WAN : 10.34.6.150/24, passerelle 10.34.6.1 - Vlan 35. (Vlan limité à internet uniquement)

SSID Interne : VLAN 20 (ouvert à l'intranet et internet), WPA AES.
SSID Invité : VLAN 35 (ouvert à internet uniquement), Ouvert.

Ce qui fait :
WAN (VLAN 35)–- PfSense --- LAN (VLAN 40) --- AP (2 SSID VLAN 20 et 35)---

Ce qu'il faut modifier est dans Interface -> Assign -> Vlan ? Comment le paramétrer ?
Dans mon portail captif je ne peux que spécifier l'interface LAN pour le portail captif.

Je vous remercie grandement de votre aide.

A bientôt.

ccnet

Ce qui fait :
WAN (VLAN 35)–- PfSense --- LAN (VLAN 40) --- AP (2 SSID VLAN 20 et 35)---

Non ce n'est pas correct. Le vlan 35 doit être derrière Pfsense (vu d'internet)

|–- LAN (VLAN 40)
WAN --- PfSense -----| AP --- WifiGuest (1 SSID VLAN 35)
| AP --- WifiSecure (1 SSID VLAN 20)

Si vous n'avez pas besoin de séparer LAN et WifiSecure supprimez un des deux Vlans. Il vous faut un switch qui gère les vlans bien sur.

Vous allez créer vos interfaces vlan sur la carte Lan : Intefaces -> Assign -> Vlan. Nommer vos interfaces, WifiGuest et WifiSecure par exemple, placer vos id Vlan (35 et 20).
Il faudrat redémarrer Pfsense ensuite (conseillé), puis vous activez les interfaces et vous leur donnez une ip 10.34.8.254/24 et 10.34.7.254/24 par exemple.
Et là vous pourrez activer le portail captif sur wifiGuest.

Si, à ce stade vous ne vous en sortez pas, il faut retravailler sur vos connaissances réseaux et sur la doc Pfsense (MonoWall).

Plipou

Bonjour,

Merci beaucoup, j'ai compris. Ce que j'avais peur c'est que lorsque j'assigne deux vlans logique sur la carte physique lan que je perde l'accès à l'administration si je ne suis pas sur un des deux vlan définis.

Je vous remercie.

A bientôt.

Plipou

Je ne peux pas supprimer le LAN.

Voici maintenant ma configuration :

J'ai configuré le portail captif sur le VLAN 35.

Seulement sa ne marche pas.

Je pense que le problème viens de la configuration des DHCPs.
Avant pour avoir le portail captif uniquement sur le lan j'avais configurer le DHCP du lan avec comme passerelle et dns l'adresse du lan et cela fonctionné correctement. Le problème vient du fait que je ne peux pas activer le DHCP (dans pfsense) sur les VLAN 35 et 30 car ils en ont déjà un sur leurs réseaux.

ccnet

Dans ce schéma je ne comprend pas la présence du vlan 35 de chaque coté de Pfsense.
Vous pouvez activer un dhcp par réseau sans problème, chacun avec sa plage ainsi que les autres paramètres.

le DHCP (dans pfsense) sur les VLAN 35 et 30 car ils en ont déjà un sur leurs réseaux.

Vous voulez dire un autre serveur dhcp qui tourne sur ces numéros de réseaux ? Pour chaque réesau la passerelle doit être l'interface connectée à ipcop et pour les dns mettez ceux de votre fai dans la config dhcp de chaque réseau.

Plipou

En faite, les VLANs sont configuré dans la borne Wifi par ssid et assignés aussi dans pfsense.
Lorsque je me connecte à la borne sur l'un des SSIDs je suis bien renvoyé sur le réseau du VLAN mais pour le 35 je n'ai pas le portail captif qui s'ouvre.

Pour les DHCP je veux dire que sur chaque réseaux des VLANs il y à déjà un DHCP qui distribue les adresses. (Normalement les utilisateurs de la bornes se voit affectés une adresse lorsqu'il se connecte, je veux juste qu'un portail captif s'interpose pour les utilisateurs du vlan 35)

Plipou

Configuration :
AP - Lan - Pfsense - Wan

AP :
Dans l'AP il y à deux SSIDs. Un sur le VLAN 35 et l'autre sur le 20.
Chacun de ces VLANS à un serveur DHCP qui lui est propre et distribue les adresses aux utilisateurs se connectant sur ceux-ci.

L'AP est configuré avec une IP fixe et passerelle qui est sur le même réseau (même vlan) que le LAN de Pfsense.

LAN :
Une des cartes physique de la machine.
Sur le VLAN 40.
Sur ce VLAN pas de serveur DHCP. J'ai donc activer le DHCP dans Pfsense et définis une plage d'adresses. J'ai mis comme passerelle et DNS pour ce DHCP l'adresse IP du LAN.

PFsense
Dans Pfsense j'ai assigné deux VLAN à la carte réseau LAN.
Le VLAN 20 et le VLAN 35.
Et je les ai configuré pour qu'il prennent leurs adresses sur les serveurs DHCPs présent sur les réseaux de ces VLANs.

J'ai activer le portail captif et je l'ai configuré pour qu'il utilise le WifiGuest (Interface du VLAN 35).

WAN :
En sortie de ma machine j'ai une autre carte réseau que j'ai finalement connecté à un nouveau VLAN sans serveur DHCP. (je ne sais pas si cette carte est vraiment nécessaires mais peut-être pour faire la transition avec internet).

Si je ne rajoute pas de VLAN et que je configure mon portail captif sur l'interface LAN, le portail captif fonctionne.
Si je met ces VLAN, lorsque l'on se connecte à l'un des SSIDs on obtient bien une adresse IP du VLAN que l'on à choisis, mais pas de portail captif pour le VLAN 35.

J'espère que c'est un peu plus claire.

Merci beaucoup à vous.

A bientôt.

ccnet

Je crains un problème de configuration réseau. Vous avez des switchs ?
Un autre utilisateur à reporté le même problème alors qu'un autre fait fonctionner ce type de configuration normalement :
http://forum.pfsense.org/index.php/topic,8719.0.html

Plipou

Oui j'ai des switchs.
Un problème réseau ? C'est à dire ?
Je pensais que celà venait des DHCPs comme pour un SSID sans VLAN j'avais du configurer le DHCP du lan avec lui même comme passerelle.

Plipou

J'ai ma petite idée, je test sa sous peu et je vous tiens au courant, effectivement c'est peut-être un problème réseau du au VLAN configuré dans le Switch.

Plipou

Je pensais que le problème venait de ma configuration des VLANs à l'intérieur de mon port où est brancher ma borne. En effet celui-ci était configuré avec tous les VLANs de la borne. Hors si un utilisateur se connecte sur le vlan 35 il ne passera pas part pfsense mais directement sur ce vlan.
J'ai donc supprimé le VLAN 35 du port. Maintenant il faut que je trouve comment lorsqu'un utilisateur se connecte au SSID de la borne possédant le vlan 35 celui-ci se voit redirigé vers pfsense. J'ai bien assigné au LAN un vlan 35, mais lorsque l'on se connecte au SSID Wifiguest, pas d'adresse ip reçus par l'utilisateur. Peut-être en fonction des rules ?

ccnet

Possible en effet. Activez les logs sur toutes les règles de rejet. Si pas d'ip c'est donc que UDP 68 et, ou 67 est bloqué quelque part. Le DHCP Request est émis par le client sur le port 68.

Plipou

Pas l'impression que sa vienne de la. J'ai définis une règle pour que tout le trafic entrant soit sortant.

ccnet

@Plipou:

pour que tout le trafic entrant soit sortant.

Je ne sais pas comment il faut comprendre cela ?!!
Essayez en mettant une ip statique pour commencer.

Plipou

En faite j'ai mis : any et any à tous :)

Je vais essayé avec une IP statique.

Plipou

Finalement j'ai décidé de faire autrement et plus simple :

Je n'utilise que l'interface lan.
Ma borne est configuré sur le même réseau que le LAN. Un de mes SSID est VLAN 20 et l'autre (qui était WifiGuest en 35) je l'ai mis en 40 (vlan du lan).
En se connectant sur le SSID du VLAN 20 on est directement dirigé vers le vlan 20 (sans passé par pfsense).
En se connectant sur le SSID du VLAN 40 on est envoyé sur pfsense interface LAN.
Sur le LAN j'ai activé le DHCP. J'ai mis comme passerelle l'adresse du LAN
Le WAN je l'ai configuré sur le VLAN 35 (Réseau des WifiGuest à l'origine).

L'utilisateur du VLAN 40 aura une IP du LAN, sera intercepté par le portail captif, et aura l'accès à internet et les règles du VLAN 35.

Voila voila !

Merci de votre aide.

A bientôt.

Ps : Je vais quand même essayé de voir du coté des interfaces, mais sinon j'ai cette alternative.