Как настроить iptables для Captive Portal?

Question

[Lizard]

Я поднял локальную сеть на своем Wi-Fi адаптере и хочу сейчас добиться того, чтобы каждый запрос от клиента перенаправлял его на мой внутренний сайт, такая вот реализация captive portal.
Все настроено, AP поднимается, клиенты получают адрес, но вот когда я переходу на сайт по 80 порту - идет редирект. А когда я перехожу по 443 порту - редирект не срабатывает.
Конфиг iptables:

iptables -t mangle -N captive
iptables -t mangle -A PREROUTING -i $int -j captive
iptables -t mangle -I captive -m mac --mac-source 00:00:00:00:00:00 -j RETURN
iptables -t mangle -I captive -s 192.168.1.4 -j RETURN
iptables -t mangle -A captive -j MARK --set-mark 1
iptables -t nat -A PREROUTING -i $int -m mark --mark 1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1
iptables -t nat -A PREROUTING -i $int -m mark --mark 1 -p tcp --dport 443 -j DNAT --to-destination 192.168.0.1
iptables -t filter -A FORWARD -i $int -m mark --mark 1 -j DROP
iptables -t filter -A FORWARD -i $int -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o $main_int -j MASQUERADE

С чем это может быть связанно?
Как реализовать идею?

Answer 1

[Александр Карабанов]

А когда я перехожу по 443 порту - редирект не срабатывает.

И не сработает, трафик ведь зашифрован.

Answer 2

[pfg21]

все перенаправляется.
но, при создании секурного соединения, твой локальный сайт не может предъявить заверенного сертификата, подтверждающего что это именно тот сайт, который нужен браузеру.
соответственно сайт откидывается как несекурный.

никак. таких лазеек в секурное соединение не встроили.

Comments

[Lizard]

А как же тогда инструменты типа wifiphisher и проч перенаправляют ?

[Lizard]

Видимо , я могу в настройках сервера прописать самоподписанный сертификат , перейдёт ли клиент на портал в таком случае и как будут обстоять дела с сайтами , которые имеют защиту hsts?

[pfg21]

никак. они перенаправляют только нешифрованные соединения.
шифрованное соединение любое перенаправление на сайт с неподтвержденным сертификатом посчитает за атаку "человек посередине" и откажется от него.

твой самоподписаный сертификат останется самоподписанным и клиент такой фигуленке не доверится, ибо в хранилище сертификатов клиента не будет ни одного сертификата корневого или промежуточного центра сертификации, который подтвердит твою фигуленку :)
hsts немного про другое.

ты должен в хранилище клиента внести корневые сертификаты, которые могут подтвердить добропорядочность твоих сертификатов. тогда перенаправление https пойдет на ура.