Организация сети предприятия с разграниченным доступом к Интернет?

Question

[sekoles]

Доступ к Интернет-у осуществляется через программный шлюз pfSense+Squid + 2 провадера.
Контроль доступа по IpAddress. Это устраивало пока были статические адреса. С ростом пользователей естественно все стали получать по DHCP. С авторизацией доменных пользователей в Squid проблем нет. А вот каким образом перестроить/перенастроить/реализовать доступ мобильным (не доменным) пользователям (Linux, iOS, Windows), а таких бывает +-50, к Интернету и к некоторым локальным ресурсам?

Answer 1

[Дмитрий Шицков]

Все мобильные устройства в выделенный vlan.
Если предполагаются беспроводные сети с полным интернет-доступом, то должны быть отдельные SSID для ипользования "ограниченными" клиентами.

Comments

[Сайпутдин Омаров]

+1 Дмитрий Шицков
А что значит "размещаются в своих"? если не ограничение в использование в т.ч. ЛВС достаточно оставить их в одной сети

[Дмитрий Шицков]

Сайпутдин Омаров: Да. изложил мысль чёрти-как. Имелось ввиду, что если предполагаются беспроводные сети с полным интернет-доступом, то должны быть отдельные SSID для пользования ограниченными клиентами.

[sekoles]

Уточню. ЛВС на данный момент настроена через одно место, поэтому и возникло много вопросов. Этот один из них.
Не доменные пользователи - это и гости, и пользователи перемещающиеся по территории с гаджетами.
По поводу basic-аутентификации, то руководство не устраивает.

[sekoles]

Сайпутдин Омаров: Wifi-сетей - десятка два

[Сайпутдин Омаров]

sekoles: если ЛВС через одно место, нужно с него и начать :) а вайфай после. У вас под контролем ЛВС несколько организаций, что ли? тогда надо разносить по влан

[Дмитрий Шицков]

Если у вас ~100 хостов в локалке - тоже надо разносить их по vlan...

Answer 2

[SergeySL]

Для недоменных пользователей существует basic-аутентификация Squid.

Answer 3

[Сайпутдин Омаров]

Нужно не много расширить вопрос!
Что такое не доменный пользователь, это гаджет который пользователя имеющий доступ также в домене или это гости приехавшие на встречу?

Comments

[Сайпутдин Омаров]

Captive Portal в другом vlan и ssid для не пользователей домена, только если ограничить от локальных ресурсов

[sekoles]

Не доменные пользователи - это и гости, и пользователи перемещающиеся по территории с гаджетами.
По поводу basic-аутентификации, то руководство не устраивает.

[Сайпутдин Омаров]

Вещания в радиусе -20 SSID или подконтрольные?
присмотритесь в captive portal! авторизировать и заводить учетки каждого гемор, если одни раз то куда не шло, можно и скриптом вогнать и в радиусе\домене вывести в другую группу.
Нужно точнее понять что вам нужно и решение вы увидите самостоятельно.