✎ chillispot [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

{{tag>wi-fi réseau sécurité}}
----

====== Chillispot : portail captif ======

===== Présentation =====

<note tip>Le projet Chillispot est abandonné le développeur principal étant partit, cependant il existe un fork très actif nommé [[:coovachilli|CoovaChilli]]</note>

Chillispot est un portail captif. Il a pour rôle dans un premier temps de distribuer les adresses IP aux clients qui se connectent sur le Hotspot, puis dans un second temps de capturer toutes les requêtes à destination du web. Il force ainsi le client à passer par la page de demande d’authentification. Il n’est pas possible de passer outre, seuls les sites de dimension iT et la page d’authentification de Chillispot sont autorisés sans être, au préalable, authentifié sur le serveur Radius. Chillispot peut à la fois être installé sur une machine, via les paquets téléchargeables sur le site officiel, mais peut également être flashé dans un routeur compatible (du type Linksys WRT-54G) au moyen d’un firware spécifique (DD-WRT).

===== Installation =====

==== Pré requis ====

* Deux cartes réseau (interface LAN et publique)
  * serveur web apache2
  * générateur de certificats
  * freeradius (authentification)
  * iptables (pare-feu)

Installez les paquets :
<code>apt-get install apache2 apache-ssl phpmyadmin  mysql-server  freeradius  freeradius-mysql</code>

==== Configuration Réseau (module TUN/TAP) ====
Vous avez besoin du module **tun.o** (inclus dans les sources du kernel depuis les versions >= 2.4.7). Ubuntu/Debian ne crée pas le périphérique "tun" automatiquement. Taper les commandes suivantes pour la création d'une interface « tun » : <code>
mkdir /dev/net
mknod /dev/net/tun c 10 200
modprobe tun
</code>

==== Installation de la partie applicative ====
Vérifier que le fichier **/etc/modules.conf** contient la ligne suivante : <file>alias char-major-10-200 tun</file>
  * [[:tutoriel:comment_installer_un_paquet|installez le paquet]] chillispot
  * Configuration du cgi
On copie le fichier cgi fourni dans le répertoire adéquat :
<code>
cp /usr/share/doc/chillispot/hotspotlogin.cgi.gz /usr/lib/cgi-bin/
cd /usr/lib/cgi-bin
gunzip hotspotlogin.cgi.gz
chmod a+x hotspotlogin.cgi.gz
</code>
(vous pourrez éditer ce fichier une fois chillispot fonctionnel afin de personnalisez l'installation)

==== Configuration ====
  * Dans le fichier **/usr/lib/cgi-bin/hotspotlogin.cgi**, décommenter et modifier le paramètre suivant :
<file>$uamsecret = "secretchilli" /* secret partagé entre le CGI hotspotlogin.cgi et le daemon chilli */</file>
  * Dans le fichier **/etc/chilli.conf**, décommenter et modifier les paramètres suivants :

|  net 192.168.1.0/24  |  ou laisser commenter pour utiliser la configuration par défaut 192.168.182.0/24  |
|  dns1 10.187.36.3  |  (le DNS de mon Fournisseur d’accès) ou laisser commenté pour utiliser la configuration par défaut ( les DNS spécifiés dans votre /etc/resolv.conf)  |
|  radiuslisten 127.0.0.1  |  Décommenter sinon l’adresse 0.0.0.0 (NAS-IP-Address) apparaît dans les logs de freeradius  |
|  radiusserver1 127.0.0.1  |  IP du serveur d’authentification  |
|  radiusserver2 127.0.0.1  |  IP du serveur d’authentification Radius  |
|  radiussecret secretradius  |  secret partagé entre le serveur Radius et le daemon chilli  |
|  Radiusnasid portail  |  identifiant de votre chillispot  |
|  radiuslocationid  |  isocc=fr,cc=33,ac=87000,network=MonESSID  |
|  dhcpif eth1  |  nom de l’interface reliée au point d’accès  |
|  uamserver https://ipdevotreserveur/cgi-bin/hotspotlogin.cgi  |  ou mettre https://192.168.182.1/cgi-bin/hotspotlogin.cgi si vous utilisez la configuration par défaut.  |
|  Uamsecret secretchilli  |  mettre le même secret que dans le fichier /usr/lib/cgi-bin/hotspotlogin.cgi  |
|  Uamlisten 192.168.1.1  | adresse écoutée   |
|  uamallowed localhost www.yahoo.fr  |  Url autorisée  |

=== Configuration du firewall ===
<code>cp /usr/share/doc/chillispot/firewall.iptables /etc/chilli.iptables
chmod u+x /etc/chilli.iptables</code>

Vous devez avoir à l'intérieur :
<file>EXTIF="eth0" /* interface reliée à Internet */
INTIF="eth1" /* interface reliée au point d'accès */</file>

Si ce n’est pas déjà fait, activer le forwarding entre les interfaces réseau. Vérifier que la ligne suivante existe dans le fichier **/etc/network/options** : <file>ip_forward=yes</file>

relancez ensuite les interfaces réseaux <code>/etc/init.d/networking restart</code>

Dans le fichier **/etc/freeradius/clients.conf**, modifier le paramètre suivant :
<file>client 127.0.0.1 {
#secret = testing123
secret = secretradius /* mettre le même secret partagé que dans le fichier /etc/chilli.conf */</file>

=== Configuration de Freeradius ===
  * modifier le fichier **/etc/freeradius/sql.conf**:
<file>
server = "localhost" (ou x.x.x.x l'ip de votre serveur mysql) 
login = "radius" 
password = "xxxx"
</file>

* mettre dans **/etc/freeradius/radiusd.conf** (après le sql.conf) :
<file>
authorize {
        preprocess
        chap
        suffix
        eap
        #files
        sql
}
authenticate {
        Auth-Type PAP {
          pap
        }
        Auth-Type CHAP {
          chap
        }
        eap
}
accounting {
        detail
        radutmp
        sql
}
session {
        sql
}
		radutmp {
				filename = ${logdir}/radutmp
				username = %{User-Name}
		case_sensitive = yes
				check_with_nas = yes		
		perm = 0600
		callerid = "yes"
	}
		radutmp sradutmp {
		filename = ${logdir}/sradutmp
		perm = 0644
		callerid = "no"
	}
		attr_filter {
		attrsfile = ${confdir}/attrs
	}
	counter daily {
		filename = ${raddbdir}/db.daily
		key = User-Name
		count-attribute = Acct-Session-Time
		reset = daily
		counter-name = Daily-Session-Time
		check-name = Max-Daily-Session
		allowed-servicetype = Framed-User
		cache-size = 5000
	}
	always fail {
		rcode = fail
	}
	always reject {
		rcode = reject
	}
	always ok {
		rcode = ok
		simulcount = 0
		mpp = no
	}
		expr {
	}
		digest {
	}
		exec {
		wait = yes
		input_pairs = request
	}
		exec echo {
				wait = yes
				program = "/bin/echo %{User-Name}"
				input_pairs = request
				output_pairs = reply
			}
	ippool main_pool {
		range-start = 192.168.1.1
		range-stop = 192.168.3.254
		netmask = 255.255.255.0
				cache-size = 800
		session-db = ${raddbdir}/db.ippool
		ip-index = ${raddbdir}/db.ipindex
		override = no
		maximum-timeout = 0
	}	
}
instantiate {	
	exec
		expr
	}
authorize {
		preprocess
		auth_log	
		chap
		mschap
		suffix
		eap
		files
		sql
}
authenticate {
		Auth-Type PAP {
		pap
	}
		Auth-Type CHAP {
		chap
	}
		Auth-Type MS-CHAP {
		mschap
	}
	unix
	eap
}
preacct {
	preprocess
	acct_unique
	suffix
	files
}
accounting {
	detail	
	unix
	radutmp
}
session {
	radutmp
}
post-auth {
	sql
}
pre-proxy {
}
post-proxy {
	eap
}
</file>

=== Configuration de MySQL ===
On s'occupe ensuite de notre base de données :
<code>
echo "create database radius;" mysql -u root -p
echo "grant all on radius.* to radius@'%' identified by 'motdepasse_sql'; flush privileges;" mysql -u root -p
zcat /usr/share/doc/freeradius/examples/mysql.sql.gz mysql -u root -p radius
#ou bien
zcat /usr/share/doc/freeradius/examples/db_mysql.sql.gz | mysql -u root -p radius
</code>

Pour ajouter des utilisateur dans la base il faut ajouter un **login + password** dans la table **radcheck** de la base radius , un login plus le type d'authentification dans la table **radgroupcheck** et enfin un login associé à un nom de groupe dans la table **usergroup**

== Table radcheck  ==

id
UserName
Attribute
Op
Value
1
utilisateur
Password
==
passuser
2
prof1
Password
==
passprof
3
élève1 
Password
==
passeleve

Table radgroupcheck

id
GroupName
Attribute
op
Value
1
groupe
Auth-Type
:=
Local
2
professeurs
Auth-Type
:=
Local
3
élèves
Auth-Type
:=
Local

==== Liens et sources ====
  * **(fr)** ébauche, inspiré du livre blanc http://www.guellec.fr/ressources/rapports/documentation_hotspot.pdf

----
//Auteur : [[utilisateurs:erwik666]] / Contributeur : [[:utilisateurs:Herrleiche]].//

Merci de recopier le code ci-contre pour prouver que vous êtes humain : Y T A Y E Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported