Firmware 5.3.3 ITALIANO

[pedros]

Ascolta.....forse dovresti leggere più sopra cosa stavo cercando di fare, ovvero le regole del firewall...
L'autenticazione viene fatta fare dal browser al server web tramite HTTPS, poi il server elabora la richiesta di autenticazione da inviare al server radius....
Forse ommetterò qualche cosa, sicuramente sarai più bravo di me ad illustrarmi cosa!

P.S. è il firewall che si occupa di riconoscere un certo tipo di "richiesta/pacchetto" e decidere cosa fare....è questo appunto che avviene in un hotspot. Il firewall controlla la direzione di un pacchetto e il tipo, e in caso il client non sia autenticato lo rimanda alla pagina dell'hotspot

[admin]

Ascolta.....forse dovresti leggere più sopra cosa stavo cercando di fare, ovvero le regole del firewall...
L'autenticazione viene fatta fare dal browser al server web tramite HTTPS, poi il server elabora la richiesta di autenticazione da inviare al server radius....
Forse ommetterò qualche cosa, sicuramente sarai più bravo di me ad illustrarmi cosa!

P.S. è il firewall che si occupa di riconoscere un certo tipo di "richiesta/pacchetto" e decidere cosa fare....è questo appunto che avviene in un hotspot. Il firewall controlla la direzione di un pacchetto e il tipo, e in caso il client non sia autenticato lo rimanda alla pagina dell'hotspot

Non hai risposto... eseguita tutta la proceduta (una sola volta, al login) poi, esattamente, il firewall cosa discrimina? E' importante questo per capire la facile vulnerabilità di un captive portal...
Non è questione di essere più bravi, ma di vedere la procedura al più basso (non dico bit...).

[pedros]

Penso di averti illustrato tutto......magari dici tu qualcosa???

[pedros]

Aspettavo una risposta....comunque....illustro quello che sto facendo, magari così evitiamo di girarci intorno e magari mi dici quali altri problemi di sicurezza potrebbero esserci:

HOTSPOT:
Viene creata una pagina per il login e gli script necessari per inviare le richieste al server radius, in più lo script che rileva le autenticazioni riuscite e logga l'account (IP+MAC).
Il firewall controlla gli ip e i mac address dei client connessi alla porta lan, verifica se sono loggati e in caso fa passare il traffico. Altrimenti li rimanda alla pagina di login.
Qui si devono prevedere dei casi: un client connesso ma non loggato potrebbe sniffare il traffico...quindi servono delle regole mirate ad "isolare" i client (cosa non troppo difficile)....questo mi permettebbe anche di evitare che un client faccia uno scan degli indirizzi e veda quali client siano connessi alla rete per potergli rubare ip e mac.
Per maggiore sicurezza poi posso utilizzare la tecnica di zeroshell per evitare questo tipo di attacco, ovvero mandare dei pacchetti authenticator crittografati in AES al browser ogni minuto, in modo da poter verificare chi si è davvero loggato.
Se qualcuno del mestiere vuole darmi una mano, è ben accetto!

Ciao

[admin]

In alcuni casi usare un IP e un MAC autorizzato consente a un client di forzare l'hotspot se non ci sono altri meccanismi di verifica. Intendevo questo.

[elettrovox]

Cos'è apriamo un ring ? Cmq ciao a tutti e 2

[Medianet]

Ciao Pedro,

Io un suggerimento da dare lo avrei, mi capita da sempre che sulle NS5 prima e sulla NS M5 ora non posso aprire più porte o un range di porte contemporaneamente verso un solo IP, se riesci ad integrare questa cosa è magnifico in quanto al momento puoi solo aprire una sola porta ed è una grossa limitazione.

Grazie

[admin]

Ciao Pedro,

Io un suggerimento da dare lo avrei, mi capita da sempre che sulle NS5 prima e sulla NS M5 ora non posso aprire più porte o un range di porte contemporaneamente verso un solo IP, se riesci ad integrare questa cosa è magnifico in quanto al momento puoi solo aprire una sola porta ed è una grossa limitazione.

Grazie

Basta inserire delle regole di IPTABLE...

[Medianet]

Come le inserisci queste regole????

[pedros]

Intato ciao Elettrovox....no, non è un ring...solo che era come se ci fosse un tono di "io so tutto ed ho esperienza invece tu no" nei post dell'admin, comunque non mi interessa. Non penso di sapere tutto, accetto le critiche, ma le domande che mi venivano poste erano banali e quasi "offensive" da uno che i presenta la forum con le pretese di realizzare un firmware e di averne già fatto uno con la traduzione in italiano....comuqnue...
...ottima risposta Medianer....magari avresti potuto spiegare come si fa a mettere le regole di iptables....purtroppo non c'è un metoto ne via web ne via ssh...l'unico metodo che uso è questo:

Supponiamo di voler aprire le porte dalla 2000 alla 2011 all'ip 192.168.1.234
creo un forward della porta 2000 sull'ip 192.168.1.234, salvo e poi faccio il backup della configurazione.
Dopo apro il file e modifico, cerco la parte relativa al forward:

Codice: Seleziona tutto

iptables.6.cmd=-t nat -A PORTFORWARD -p tcp -s 0.0.0.0/0 --dport 2000 -j DNAT --to 192.168.1.234:2000

e la modifico così:

Codice: Seleziona tutto

iptables.6.cmd=-t nat -A PORTFORWARD -p tcp -s 0.0.0.0/0 --dport 2000:2011 -j DNAT --to 192.168.1.234

In pratica aggiungo il range. Poi salvo il file e carico la configurazione.
Comunque aggiungerò la possibilità di inserire un range nel firmware che sto facendo, grazie per il consiglio.

ciao