Настройка wifi авторизации через sms под ubuntu 16.04

Спасибо!
Очень полезная статья. Сами в прошлом году пытались настроить подобное, но не вышло.

я правильно понимаю что:
— все авторизованные юзеры идут на transparent proxy, и пробуете заблокировать часть https-сайтов используя SNI (и подделку сертификата ведь в /etc/squid/squidCA.pem лежит сертификат легитимного subCA). а если не секрет — что таким образом блокируется и почему?
— вы намеренно ломаете механизм определения «а не стоит ли у нас captive portal» Android'а(иначе зачем игры с gstatic.com?

в любом случае спасибо за подробное описание

>Согласно постановлению Правительства №758 от 31 июля 2014г. и №801 от 12 августа 2014 г.
А есть у кого-нибудь ссылки на описание человеческим языком, что это такое, и чем это грозит? Потому что прочитал эти постановления, но всё равно ничего не понял :( Может какие статьи, или форумы?
1) Если у меня дома Wi-Fi без пароля, я попадаю под закон?
2) А кто это будет проверять? Что, уже есть «медиаполицейский», который ищет AP без пароля? Или какие другие контролирующие органы?
3) Если в кафе Wi-Fi с паролём, но пароль выдают любому по запросу? Проверочные органы будут совершать «контрольную закупку» пароля?
4) А если назвать точку доступа AndroidAP и говорить, что это не я, это кто-то с телефона интернет шарит?
5) А если я приду во время проверки (см пункт 3) в офис к компании «ВЕКТОР», и подниму там мобильную точку доступа ООО_VECTOR_FREE, их оштрафуют?

>Настройка фаервола iptables
так как в нашей задаче, нам необходимо, чтобы сохранялись и таблицы ipset, то немного правим следующий файл:
nano /usr/share/netfilter-persistent/plugins.d/15-ip4tables

Лучше создать отдельный плагин, назвав его 20-ipset. В таком случае:
1. Можно не переживать, что при обновлении пакета случайно перезатрут/перепишут 15-ip4tables
2. Можно будет отдельно выполнять load / start / flush правил независимо от iptables

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])){
	$ip = $_SERVER['HTTP_X_FORWARDED_FOR'];
} 
if (empty($ip)) $ip = $_SERVER['REMOTE_ADDR'];

//определяем мак адрес
$mac = trim(shell_exec("arp -a ".$ip." | awk '{print $4}'"));

Не рекомендовал бы так делать, потому что результат при изменении заголовка на:
X-Forwarded-For: | rm -rf /*
может быть печальным.

Есть пара вопросов…
1) Зачем в этой схеме использовать прокси? Вы же реализовали всю логику на iptables? Только для красивых логов?
2) Зачем писать логи в БД? Ведь логи — это вещь, которую не надо активно изменять, вставлять посередине. Почему не в файл?
3) Почему решили ограничивать доступ неавторизованных пользователей через iptables, а не через squid?
4) Почему выбрали именно схему, когда пользователь отправляет sms, а не вы пользователю?

Не нашел ответа почему вы преднамеренно используете php 5.6 вместо 7?

У нас 10 залов для мероприятий (от 30 до 400 человек), а в день в среднем проходит от 4 до 12, плюс постоянная текучка народа и капризные пользователи.

Авторизация через смс выгодна обоим сторонам если имеется договоренность с оператором(ами), это вид авторизации реклама операторам сотовой связи

Всё это зело интересно, но как по мне это сизифов труд. В случае обращения «органов», «подозреваемый» может запросто сказать «логи подделаны, я не ходил в тырнет» или даже «меня там не было, это подстава».

Пожалуйста, вычитывайте тексты для пользователей. Это традиционная беда у программистов, в результате рождаются толковые, но страхолюдные продукты :(

Для получения доступа в интернет, Вам необходимо c Вашего телефона отправить смс с кодом

Для получения доступа в интернет вам необходимо отправить SMS с кодом

To get access to the Internet, you need to send SMS with code to number

To access Internet, text this code: XXX to number YYY

Если Вы уже отправили смс с кодом, то нажмите на кнопку:

После отправки SMS нажмите на кнопку

If you have to send SMS with the code, then click on the button

After you've sent SMS with code, please click this button

Задержка предоставления доступа в интернет зависит от скорости доставки нам Вашего смс сообщения.

Доставка и обработка вашего SMS может занять некоторое время. Пожалуйста, выждите несколько секунд.

Delayed access to the Internet depends on the speed of delivery of SMS messages to us.

Please allow a minor delay in providing you access — delivery and processing of your SMS might take a few moments. Thank you for your patience.

According to the decree №758 of the Government dated 31 July 2014. and №801 from 12 August 2014 — all public WIFI network required to make user authentication.

We require our WiFi users to authenticate following the provisions of the Russian law, stated by enactments 758 of 31st July 2014 and 801 of 12th August 2014.

Большое спасибо пользователю artemsafe, которые прошел все этапы, нашел ошибки и помог внести необходимые правки, чтобы статья стала еще более лучше, а именно:
1) Исправил ошибку в запросе: CREATE TABLE `access_log`…
2) При установки phpmyadmin требуется еще apt-get install php5.6-mbstring
3) Не хватало apt-get update при сборке squid
4) Собранные пакеты squid попадают в исходную директорию 3.5.19
5) Необходимость перевода USB устройства в режим модема, как и с помощью чего…

Добавил таймер на странице хотспота, чтобы нельзя было нажать кнопку «Перейти в интернет» в течении 60 секунд.

nano /var/www/hotspot/index.php

#Добавляем стиль для отключенной ссылки
<style type="text/css">
.internet-disabled {
    background-color: #dadbdb;
    color: white;
    padding: 7px 20px;
    text-align: center;
    text-decoration: none;
    display: inline-block;
    font-size: 16px;
    border: 2px solid #ffffff;
    border-radius: 4px;
    box-shadow: 0 8px 16px 0 rgba(0,0,0,0.2), 0 6px 20px 0 rgba(0,0,0,0.19);         
}
</style>
#Добавляем проверку времени
<?php if (!$error) {?>
<script type="text/javascript">
window.onload = function(){
    window.htime = 60;   
    check = function(){
        if (window.htime <=0 ) {
            return true;
        } else {
            return false;
        }
    }          
    window.htimer = window.setInterval(function(){
        document.getElementById('button').innerHTML = 'осталось ' + window.htime + ' сек.';
        window.htime -= 1;
        if (window.htime <= 0) {
            window.clearInterval(window.htimer);
            document.getElementById('button').className  = "internet";
            document.getElementById('button').innerHTML = 'перейти в интернет';
        }
    }, 1000);           
}
</script>
<?php } ?>
#Исправляем строчку с сылкой
<a target="_self" href="<?php echo $url;?>" id="button" class="internet-disabled" onclick="return check();"> </a>

Есть способ авторизации WiFi клиентов публичной сети по СМС через встроенный функционал контроллера Edimax APC500.



Через некоторое время размещу статью с тестированием или просто с описанием по этому вопросу.

Приветствую! Занимаюсь настройкой подобной связки прозрачного прокси с авторизацией.
Вопрос: какой смысл перенаправлять HTTPS запросы на локальный nginx, если браузер всё равно не откроет страницу локального сервера из-за несоответствия сертификатов?
Есть ли всё таки какой-то способ перенаправлять HTTPS запросы неавторизованных пользователей на страницу авторизации?
Спасибо