4.3.6. Portail captif
4.3.6.1. Description
Le serveur KWARTZ propose une solution de portail captif qui permet d'authentifier les utilisateurs avant d'accéder au réseau.
Pour cela, le serveur bloque tous les accès au réseau jusqu'à ce que l'utilisateur ouvre son navigateur et essaie d'accéder à Internet. Le navigateur est alors redirigé vers une page web qui peut demander à l'utilisateur son login et son mot de passe.
Cette solution peut être utilisée pour les accès WIFI sans utiliser l'authentification via le Serveur RADIUS mais aussi pour l'accès à des réseaux filaires.
Remarque: L'utilisation pour les accès WIFI ne permet cependant pas le chiffrement des connexions sans fil.
Une fois connectés au portail captif, les utilisateurs auront accès aux mêmes ressources que les utilisateurs des autres réseaux. La mise en œuvre de cette fonction nécessite peu voire aucune configuration des postes clients.
4.3.6.2. Option de licence
ATTENTION: Vous devez disposer d'une licence permettant d'activer cette fonction.
Si vous n'avez pas saisi une clé KWARTZ permettant l'activation de l'option radius, le menu Réseau/Portail captif n'est pas proposé dans KWARTZ~Control. Veuillez vous rapprocher de votre revendeur habituel ou du service commercial d'IRIS Technologies pour obtenir une nouvelle Clé KWARTZ.
Cette fonction est aussi disponible pendant la période d'évaluation de KWARTZ.
4.3.6.3. Configuration du portail captif
Le portail captif doit être activé sur une carte réseau ou un VLAN dédiée. Cette carte ne peut pas être
- la carte réseau 1 dédiée au réseau local par défaut.
- la carte réseau utilisée pour l'accès à internet.
Vous devez configurer cette carte dans le menu Réseau/Réseaux.
Vous pouvez aussi indiquer
- de limiter les connexions à la navigation web (par défaut l'accès complet au réseau est autorisé)
- un nom qui sera affiché dans la page d'accueil du portail (voir Utilisation du portail captif)
- une adresse vers laquelle sont redirigés les utilisateurs après la page d'accueil (optionnel)
- le délai de déconnexion automatique des utilisateurs inactifs (valeur par défaut 10 minutes)
- d'activer le proxy transparent (sans configuration par l'utilisateur). Seul le trafic HTTP sur le port 80 est intercepté. Ce mode peut être utile pour les postes clients ne gérant pas la configuration automatique du proxy comme certaines tablettes.
- d'autoriser les connexions directes en HTTPS. Cela permet aux postes clients de se connecter en HTTPS sans passer par le proxy, notamment en complément du proxy transparent qui ne peut être utilisé sur des connexions sécurisées comme le HTTPS.
ATTENTION: aucun filtrage n'est appliqué si vous autorisez les connexions directes en HTTPS. Ces connexions sont cependant enregistrées et consultables via un rapport dédié.
Vous pouvez indiquer un planning d'activation du service:
- pour chaque jour et /ou chacun des jours de la semaine vous pouvez préciser la plage horaire hors de laquelle le service n'est pas activé.
- une plage horaire définie pour Chaque jour sera appliquée même si une autre plage est définie pour le jour de la semaine en cours.
Remarque: si aucune plage horaire n'est cochée, cela équivaut "tous les jours de 0h à 24h"
Les postes connectés sur cette carte recevront automatiquement leur configuration IP par DHCP. Vous devez donc indiquer la plage d'adresse qui sera utilisée pour ces postes. Celle-ci doit impérativement être contenue dans un masque inférieur ou égal à 255.255.0.0 et faire partie du réseau de la carte sur laquelle le portail captif sera activé.
4.3.6.4. Liste des points d'accès
La définition des points d'accès n'est pas obligatoire pour le fonctionnement du service.
Cela vous permet cependant d'avoir un aperçu de la configuration du réseau utilisant le service et des adresses utilisées hors de la plage d'adresse des postes.
Si une adresse MAC est indiquée, le point d'accès peut être configuré en client DHCP du serveur KWARTZ.
Le parefeu est également assoupli pour ces points d'accès afin de permettre leur administration depuis le réseau local par la carte réseau 1 (ex administration sur une console web ).
4.3.6.5. Personnalisation du portail captif
Vous avez enfin la possibilité de personnaliser l'interface du portail en transférant des fichiers pour remplacer les pages ou images par défaut. Pour obtenir les modèles des fichiers utilisés, cliquez le lien Obtenir l'interface par défaut. Si vous transférez un fichier zip, il sera alors décompressé.
4.3.6.6. Utilisation du portail captif
Un poste connecté au serveur via la carte sur laquelle le portail captif est activé reçoit automatiquement sa configuration IP par DHCP.
Pour s'authentifier, l'utilisateur doit ouvrir son navigateur. Ce navigateur doit être configuré pour utiliser la configuration automatique du proxy (voir Configuration du navigateur). Sinon vous pouvez également
- utiliser l'url de configuration auto http://wpad/wpad.dat
- configurer manuellement le proxy
- adresse wpad
- port 3128
- exception adresse IP du kwartz sur l'interface du portail captif
- utiliser le mode proxy transparent
Le navigateur doit également autoriser les fenêtres popup au minimum sur l'adresse IP de la carte réseau du serveur KWARTZ sur laquelle est installée le portail captif.
Le navigateur est alors redirigé vers la page d'accueil du portail. L'utilisateur doit d'abord accepter le certificat malgré l'avertissement ou l'alerte affiché par le navigateur.
Cette page invite l'utilisateur à saisir son compte et son mot de passe. L'utilisateur doit alors entrer son identifiant d'ouverture de session sur le serveur KWARTZ ainsi que son mot de passe tels que définis dans la Gestion des comptes.
Remarque: on retrouve sur cette page le Nom à afficher saisi lors de la configuration. (Ici IRIS).
Une fois authentifié, une fenêtre popup s'affiche:
Cette fenêtre permet d'indiquer au serveur que l'utilisateur est toujours connecté. Si elle est fermée, l'ordinateur sera déconnecté du réseau au bout du délai de déconnexion choisi (par défaut 10 minutes). Le bouton Déconnexion permet de fermer la connexion sur le portail captif.
Le navigateur affiche également une page confirmant à l'utilisateur qu'il est bien connecté.
Cette page est affichée pendant 5 secondes, puis le navigateur est automatiquement redirigé vers la page initialement demandée. Elle contient également un lien permettant d'accéder à cette dernière avant ce délai.
Le serveur proxy récupère automatiquement le compte utilisé. Il est alors en mesure d'appliquer les règles d'accès à internet et d'alimenter les rapports sur l'utilisation internet pour l'utilisateur.
L'utilisateur a alors accès à internet ainsi qu'au réseau KWARTZ conformément aux droits qui lui ont été affectés.
Si un utilisateur essaye de se connecter hors des plages horaires définies, il obtient le message suivant
