+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Страница перенаправления/скрипт?

Страница перенаправления/скрипт?, RouterOS

bjohns

Guest

20.03.2006 01:13:00

У меня проблема: не могу заставить точку доступа RouterOS 2.8.28 принимать ответ об авторизации от бэкенд-сервера. Сервер использует https://routeros_gateway/login.cgi?blahblah, а RouterOS ожидает https://routeros_gateway/login?blahblah. Изменить URL, используемый сервером, никак нельзя (глупо, конечно, но он зафиксирован в закрытом коде). Есть ли способ сообщить RouterOS, чтобы он принимал запросы к login.cgi или перенаправлял их на login? Спасибо.

normis Guest	#2 0 20.03.2006 08:20:00 Боюсь, что тебе не удастся заставить CGI-файлы работать на роутере с точкой доступа.

bjohns

Guest

20.03.2006 12:39:00

Я попробовал простую страницу перенаправления cgi (login.cgi, которая перенаправляет на login), но не сработало. Даже не знаю, где найти perl/python или поддерживает ли веб-сервер это. Пытался сделать перенаправление с помощью JavaScript, которое работает в браузере, но сервер не поддерживает JavaScript (забавно, ведь это jboss сервер, но вполне объяснимо). Остаётся либо переименовать ‘login’ в ‘login.cgi’, либо перенаправлять запросы для login.cgi на login. То же самое касается ‘logout’.

normis Guest	#4 0 20.03.2006 13:39:00 Единственный способ это сделать — использовать JavaScript. Просто нет возможности сказать роутеру, чтобы он воспринимал CGI как обычную страницу входа.

bjohns

Guest

20.03.2006 14:13:00

Похоже, я не могу донести свою мысль. Сервер отправляет URL на RouterOS с точными параметрами, необходимыми для аутентификации через RADIUS для конкретного пользователя. Он просто думает, что NAS должен иметь там .cgi для обработки этого – в RouterOS его нет, он просто использует логин, но принимает те же URL-параметры. Это практически соответствует тому, что написано в руководстве по авторизации на удаленном сервере, за исключением URL возврата. Так что мне не нужно запускать CGI на точке доступа, мне нужно просто запустить существующий ‘login’, но сообщить серверу, что это и есть “ловушка”. Я договорился получить соответствующий исходный код сервера по NDA. Попробую создать новый профиль контроллера доступа, подходящий для MT Router. Сейчас есть поддержка AC от Gemtek, Colubris и Nomadix.

eflanery

Guest

20.03.2006 20:42:00

Для подобных ситуаций мы делаем так: МТ перенаправляет клиента на сервер авторизации, передавая необходимые переменные. Сервер выполняет необходимые задачи аутентификации и настройки, включая создание корректной записи на серверах RADIUS. Затем он отвечает клиенту небольшим фрагментом JavaScript, содержащим необходимые параметры для передачи обратно в МТ. Клиент выполняет этот JavaScript (если он не включен, ему предлагается его включить, или обратиться к нам). Этот JavaScript отправляет необходимую информацию для входа обратно в МТ. МТ, получив запрос от клиента, аутентифицирует его на сервере RADIUS (используя информацию, настроенную сервером авторизации в первую очередь) и предоставляет доступ (в случае успеха). Это не идеально, но нам кажется, что работает довольно хорошо. Мы можем настроить сервер авторизации для выполнения любых действий для фактической аутентификации, даже предварительной проверки внешних систем аутентификации (например, проверки по университетским записям, прежде чем разрешать вход в общежитие). Можно даже пойти дальше и ограничить время действия сессии с помощью временной записи RADIUS (и скрипта исключения) и добавить дополнительный уровень безопасности, передавая между всеми участвующими системами отслеживаемый и проверяемый хеш. —Эрик

bjohns

Guest

20.03.2006 23:52:00

Отлично, eflanery! Я тоже думал о том, чтобы использовать клиента в качестве перенаправленца, когда мне понадобился JavaScript. Не слишком ли много просить пример скрипта, который отправляется обратно клиенту? Сервер позволяет добавлять кастомный контент «для каждого расположения», можно незаметно вставить JavaScript после стадии логина.

eflanery

Guest

21.03.2006 03:50:00

Вот простой пример, используемый как login.html на MT. Этот вариант не совсем работает так, как я описывал; в этом случае клиентская переадресация происходит только по ссылке MT → сервер, не задействует RADIUS, и сервер не возвращает дополнительный JavaScript. Фактическое включение осуществляется через постоянную SSH-сессию на MT, отключая точку доступа и настраивая её на стандартное обслуживание (полупостоянная активация уникальных VLAN для квартир). Описанный мной выше вариант потребует некоторого времени на исправление, я займусь этим утром.

<html>
<head>
<title> Пожалуйста, подождите... </title>
<form name="redir" action="http://www.fsr.com/XXXXXXX/signup.asp" method="post">
<input type="hidden" name="VLan">
<input type="hidden" name="MTIP">
</form>
<script language="JavaScript">
re = /(.*)\.(.*\..*\..*\..*)/;
res = re.exec("$(hostname)");
document.redir.VLan.value = res[1];
document.redir.MTIP.value = res[2];
document.redir.submit();
</script>
</head>
<body>
Для использования системы автоматической регистрации JavaScript должен быть включён в вашем браузере.
<p>
Если вы не можете или не хотите включать JavaScript,
пожалуйста, позвоните в First Step по номеру (XXX)XXX-XXXX для ручной активации услуги.
</html> Я также использую переменную “$(hostname)”, предоставляемую точкой доступа, для передачи дополнительной информации обратно клиенту. Вот пример поля “DNS name” из одного из профилей точки доступа, которое разделяется регулярным выражением в JavaScript: 1105WestA-Apt407.64.126.xxx.yyy Часть до первого “.” — это имя интерфейса VLAN, с которым нужно возиться, а остальное — IP-адрес MT, с которым нужно возиться с VLAN (который сервер использует в качестве ссылки на COM-объект, который представляет собой постоянную SSH-сессию на MT. "безопасный режим" используется как блокировка, чтобы предотвратить одновременную работу нескольких серверов с MT, а также сделать изменения атомарными). Ох, византийское хакерство, как же это здорово. –Eric

normis Guest	#9 0 21.03.2006 09:14:00 Мы заставим это работать с login.cgi и logout.cgi – в следующей версии будет поддержка.

bjohns Guest	#10 0 21.03.2006 11:06:00 Спасибо, Normis (и всему остальному персоналу Mikrotik, если уж на то пошло). Могу переслать тебе документ, в котором описано взаимодействие конкретного сервера, который я использую, и контроллеров доступа, если хочешь.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры