Configurao de duas LANs com Captive Portal

Introduo

Mais ou menos de se esperar que uma empresa para fornecer alguma forma de acesso Internet sem fio para convidados, clientes e parceiros que visitam suas instalaes. Esse acesso pode representar um risco de segurana se voc usar apenas um ponto de acesso sem fio diretamente ligado a sua rede interna, LAN. Uma prtica altamente recomendada isol-los em um segmento de rede separado. Para isso vamos usar uma interface opcional eo recurso Captive Portal do PFSense 2.0 RC3.

Cenrio

Voc precisa fornecer a seus clientes, fornecedores e parceiros acesso Internet usando um nico ponto de acesso sem fio, mas voc quer impedi-los de enxergar seus servidores, impressoras e estaes de trabalho. Pior, os visitantes ainda podem estar infectados com algum cdigo malicioso e poderiam facilmente derrubar seus servios de rede e acesso. Voc provavelmente j viu que algumas empresas de solues coorporativas tem essa funcionalidade para oferecer, mas o preo dessas solues proibitivo para implementar para pequenas e mdias empresas. . Neste post, vamos fazer a configurao do Captive Portal , um recurso do pfSense, e implementar um cenrio bsico com autenticao exigida aos convidados que, para ter o acesso a internet vo necessitar de um usurio e senha, e serem isolados de sua rede interna.

Configurao

Ns temos uma configurao simples de pfSense 2.0 RC3 com trs interfaces de rede. A WAN com acesso Internet, e a interface LAN, onde residem nossos servidores, impressoras e estaes de trabalho. Vamos adicionar os convidados por trs da interface adicional que iremos criar e assim isolar nossa rede. Veja no exemplo abaixo.

Se seu servidor tiver apenas duas interfaces de rede, voc pode usar um switchcom suporte a Vlan. Eele ser capaz a LAN e os convidados em VLANs separadas. D uma olhada no diagrama de rede abaixo para referncia. Lembrando que suas placas de rede instaladas no seu firewall tem que ter suporte a Vlan.

Configurao Configure a interface para os convidados. Se voc no tiver configurado a interface de rede adicional ainda, vamos configur-la agora.

V em Interface> (Assign) e clique no boto +, e em seguida clique no boto Salvar para salvar a configurao.

V para interface criada. O nome padro OPT1.

Clike em Enable Interface para ativar e clique em Salvar.

Vamos inserir um nome para esta interface, no nosso exemplo usaremos Guest .

Selecione o tipo de interface como Static. Na seo de configurao de IP esttico, digite o endereo IP para a interface e uma mscara de sub-rede. No nosso exemplo usaremos 192.168.0.1/24.

Em seguida, clique no boto Salvar para aplicar as alteraes.

Configurar um servidor DHCP para esta interface V para Services > DHCP Server,

Na Aba da Interface Guest, marque a opo Ativar servidor DHCP. Escolha um Range que ser entregue pelo firewall aos convidados, no nosso exemplo: 192.168.0.10 192.168.0.20. Digite 192.168.0.1 como valor para o servidor DNS e um gateway, ento Salve a configurao.

Aplicar as regras de Firewall na Interface Guest. Como explicado na seo Cenrio, queremos proporcionar aos nossos convidados somente acesso internet, e sem acesso a nossos recursos de rede interna. Ttambm impedindo-os de acessar a Web GUI do pfSense uma boa idia. Ento, aqui esto nossas regras:

1, 2 e 3 Regras: Bloquear a propagao de NetBIOS entre as redes. 4 Regra: Bloqeuar convidado de acessar a interface de gerenciamento do pfSense da rede sem fio. Veja que foi bloqueado o protocolo HTTPS. Caso o convidado queria acessar um destino legitimo voce poder liberar. 5 e 6 Regra: Bloquear o convidado de acessar todos os dispositivos conectados diretamente em nossa interface WAN no caso de termos algo como um modem ou qualquer outra coisa que possa ser configurado atravs da web ou outra interface. 7 Regra: Aqui a regra de liberao do acesso a internet para os convidados aps o uso de suas respectivas credencias de acesso ( Usurio e Senha ).

Configurar Captive Portal V para Services> Captive Porta. Clike em Enable Captive Portal, e selecione a interface Guest. Voc pode configurar os valores padres de Nmero Mximo conexes simultneas (Maximum concurrent connections) e Tempo Limite Ocioso (Idle timeout ). Para o tempo limite da conexo estabelecida voc tambm pode escolher um perodo de tempo, dependendo da mdia de permanncia de seus convidados, para nosso exemplo usuaremos o tempo limite de 60 minutos.

Uma caracterstica muito interessante a restrio de largura de banda por usurio. Podemos limitar a quantidade de largura de banda que cada convidado poder consumir. Esta opo poder baixar a velocidade de conexo dos convidados mais abre a opo de um nmero maior de convidados simultaneos. Cabe a voc decidir se quer usar ou no. Habilitamos essa funo para fins de teste, e os resultados foram muito satisfatrios.

.

V at o final da pgina e clique em Salvar. Em System > User Manager Vamos criar um novo susurio convidados para acesso.

No nosso exemplo usaremos o nome de usurio: Guest e senha: guest. Coloque tambm o nome completo desse novo usurio ou alguma descrio que o identifique.

Explicao O objetivo do Captive Portal forar os usurios convidados a visitar uma pgina. Essa pgina cotem os campo de Usurio e Senha para identificao do novo usurio e posterior liberao de seu respectivo acesso.

Teste Nessa etapa voce j deve estar com os pontos de acesso configurados na sua nova interface GUEST do PFSense, e configurou um SSID para convidados. Agora, quando voc abrir um navegador e digitar algum endereo de site, voc ser redirecionado para a pgina do Captive Portal e sera obrigado a digitar nome de usurio e senha. Use a conta de convidado criado anteriormente para testar as configuraes feitas. Aps a autenticao bem sucedida, voc ser redirecionado de volta para o endereo original do Web site que voc digitou.

Essa pgina de autenticao poder ser personalizada ao seu gosto.

Concluso

Agora voc pode conectar um ou mais pontos de acesso sem fio interface Guest de seu PFSense. Crie e distribua os usurios conforme sua necessidade. Tente usar as opes avanadas como limitar os servios para o horrio comercial normal, ou limitar a largura de banda para cada usurio, bloqueios de contedo, etc. Use a sua imaginao.

Espero ter ajudado a galera com essa traduo e melhoria do tutorial do Captive Portal

ATT

Breno Alencar