Как настроить редирект с httpS на hotspot?

Question

[DenZel]

Добрый вечер!!!
Подскажите какая есть возможность по настройке редиректа с https сайт на hotspot mikrotik для не авторизованного пользователя ?

Answer 1

[Владимир Дубровин]

По-хорошему никак. Но если вы настроите Captive Portal для http трафика и будете редиректить его на страницу авторизации, то большая часть девайсов (актуальные версии Windows, iOS, Android, MacOS X) будет обнаруживать его и автоматически открывать страницу авторизации сразу при подключении к сети, не дожидаясь пока пользователь сам запустит браузер.

Comments

[DenZel]

Задача в том,чтоб клиент попытавшись зайти на сайт по https был направлен на хотспот авторизации.А вы написали про http трафик...

[Владимир Дубровин]

Денис: я вполне понимаю вашу задачу. В общем случае она не решается. Но и вы постарайтесь понять комментарий. Обычно вашу задачу и не требуется решать, т.к. она уже решена на уровне операционной системы. Прежде чем зайти на сайт по https клиент подключается к вашей сети. В этот момент в большинстве девайсов срабатывает механизм обнаружения Captive Portal, который покажет вашу страницу авторизации до того, как клиент успеет зайти на какой-либо сайт.

[DenZel]

Владимир,так я про это и спрашиваю,как сделать так что. При обращении к сайту https клиенту показался Captive Portal, а не ошибка в браузере ...смотрел видео как настраивают с помощью OpenSSL (создают сертификаты, ставят галочку в хотспоте https...

[Владимир Дубровин]

Денис: Денис, при подключении к сети (установке WiFi соединения) устройства делают обращение на некий статический ресурс (например Windows на www.msftncsi.com). Это обращение делается по http:// а не по https://. Если от ресурса приходит ответ отличный от ожидаемого, то СРАЗУ при подключении, не дожидаясь пока пользователь сам запустит браузер и попытается что-то в нем сделать или любое другое сетевое приложение и попытается что-то открыть, показывается та страница, на которую был перенаправлен запрос к известному ресурсу, т.е. страница авторизации. Ничего специально для HTTPS как правило делать не требуется.

[DenZel]

Всмысле?если я обращаюсь а ресурс (сайт) который доступен только по https,то и запрос у меня идет соответствующий...тогда объясните мне пожалуйста роль сертификатов ssl,которые заливаются в микротик ?

[ТыжСисАдмин]

Денис: Вам человек говорит о самом процессе подключения "мобельного Девайса" к хотспот сети. Механика такая у них - телефон сам предлагает пройти авторизацию на хостпоте, как он узнает о её необходимости Владимир Дубровин описал.

Как правило на хотспотах проблемы возникают только у людей с ноутами, винда к примеру хоть и говорит о необходимости авторизироватся но работает далеко не всегда.
Повесьте бумажку "для авторизации с ноутбука перейдите по адресу auth.free" , ну и в ДНС тика стат. запись на auth.free с ip тика :)

Answer 2

[Александр]

надо сертификат, потому что при подключении на 443 порт клиент ожидает https протокол, - естественно он будет не подписанный, а когда откроется соединение там уже будет редирект на корректный сервер. У hot-wifi.ru нормально редиректится.

Comments

[DenZel]

А как этот сертификат получить?подскажи а, какие нужно осуществить настройки в микротике ?спасибо

[Владимир Дубровин]

Не надо приучать пользователей принимать неподписанные сертификаты, это сводит на нет весь HTTPS. К тому же сейчас большая часть серверов использует HSTS и их сертификаты подменить не получится.

[Александр]

да по сути достаточно лишь блокировать https до авторизации, без всяких подмен сертификатов. Пусть заходят по http и авторизуются.

[hasper]

Александр: скажите пожалуйста,как это сделать

Answer 3

[Леонид]

Все проблемы с https решить не получится. Я поступил так:

- сделал сертификат на домен hotpsot.mydomen.ru и подписал его у startSSL на 3 года бесплатно;
- установил этот сертификат на микротике;
- прописал в микротике dns имя хотспота hotpsot.mydomen.ru и включил https.

Редирект для большинства https сайтов отрабатывает без предупреждений. Конечно, чтобы получить подписанный сертификат, вам нужно контролировать какой-то домен.

Comments

[DenZel]

Леонид Спасибо Вам за развернутый ответ, так я и поступлю!

[hasper]

с яндекса и гугла у вас сработал такой вариант?я сделал сертификат на старт ссл, но предупреждение все равно выходит.а в гугл вообще зайти не могу

[Леонид]

hasper:
1. У вас ругается на всех сайтах? Пропишите chain. Сейчас у меня /certificate print выдает нечто вот такое:

/certificate print
# NAME COMMON-NAME SUBJECT-ALT-NAME
0 KLT certfilename wifi.mydomen.ru DNS:wifi.mydomen.ru
1 LT certfilename StartCom Class 1 DV Server CA
2 T certfilename StartCom Certification Authority

Взять эти сертификаты можно здесь https://www.startssl.com/root

2. И гугл, и яндекс у меня работают нормально. Переход на некоторые сайты, действительно, не редиректится. Например, meduza.io. Я не разбирался, но вероятно это связано с использованием HPKP.

[hasper]

Леонид: видимо у меня чтото не то
[admin@MikroTik] > certificate print
Flags: K - private-key, D - dsa, L - crl, C - smart-card-key, A - authority, I - issued, R - revoked,
E - expired, T - trusted
# NAME COMMON-NAME SUBJECT-ALT-NAME FINGERPRINT
0 K L T mydom... mydom.ru DNS:mydom.ru a533bcace7dc88

[hasper]

Леонид: а 2 и 3й что за сертификаты у вас?

[hasper]

и работает ли у вас данная схема при выключенном аплинке?или обязательно нужен интернет

[Леонид]

hasper: у вас сейчас прописан сертификат, который вы подписали у StartSSL. Вам нужно добавить еще цепочку корневых сертификатов. Цепочка, обычно, уже прописана в бандле, который вы скачиваете (например, для nginx). Так же вы можете собрать ее самостоятельно, скачав необходимые сертификаты по ссылке, которую я привел.

Нактнулся на статью, со StartSSL не все гладко https://geektimes.ru/post/281188/ и вероятны проблемы с новыми сертификатами.

[hasper]

Леонид: а сколько корневых нужно? и какие именно. я скачал ca.crt(pem) , но всё равно его нужно подтверждать при переходе на стр

[Леонид]

hasper: стукнитесь в аську 236455950 или на мыло [e-mail]

[Леонид]

Дополнение. Это не решает проблему с варнингом браузера, который возникает из-за того, что пользователь пытается открыть, например, https://ya.ru, а отвечает ему хост с сертификатом на другой домен. Как избавиться от этой ошибки я не знаю. Предполагаю, что это нереально.