Control de acceso wifi en el IES utilizando PfSense

<div style="text-align: justify;">Aprovechando que algún compañero de otro centro me ha vuelto a preguntar qué control de acceso inalámbrico tengo implantado en mi centro, y que muchos otros compañeros me siguen, voy a explicarlo aquí para que a todo el mundo le sirva de orientación: </div><div style="text-align: justify;">  </div><div style="text-align: justify;">Para controlar el acceso inalámbrico a la Intranet del centro sigo utilizando <b>freeradius</b> directamente. Esto quiere decir que para poder conectarse en esta red, habrá que configurar un acceso <b>WPA2 Enterprise</b> con <b>EAP/TTLS + PAP</b> en lo clientes. En el blog hay un <a href="http://enavas.blogspot.com.es/2012/02/freeradius-en-debian-para-autenticacion.html">post</a> de febrero de 2012 con un documento en el que explicaba cómo instalar y configurar freeradius para lograrlo.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Ahora bien, como en un futuro se pretende implantar el sistema <b>BYOD</b> (Bring Your Own Device), que en castellano quiere decir "Trae tu propio dispositivo", y aún no nos han contando cómo se va a implantar, decidí adelantarme y montar mi propio sistema de control de acceso, en lugar de esperar a que se implante en algún momento, pero, sobre todo, motivado por dos razones:</div><ul style="text-align: justify;"><li>Porque en el centro ya me habían pedido poder conectar dispositivos personales ajenos al mismo vía wifi, algo que no podía realizar por disponer del tiempo suficiente para llevar a cabo un proyecto como éste que requiere bastante trabajo y pruebas. </li><li>Y porque en estos momentos cuento con la ayuda de dos alumnas en prácticas, Raquel y Jennifer, que me están ayudando muchísimo a ponerlo en marcha y probarlo.</li></ul><div style="text-align: justify;">La idea se basa en utilizar <a href="https://www.pfsense.org/">PfSense</a>, un firewall basado en FreeBSD, para crear un portal cautivo que permita a los usuarios acceder a una red privada que les proporcione un acceso a internet.<br /><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgButLXsZnLZitbijPXzMPI-TIxnZATwiEb81VbOG4QdTW3ht2Q9XQ1I1FZcdq2kXG6H9mIJTLSrdIhxK82ix9q5ISTJBNHW-cRBP-hq8zFdpCKoYkbpxlcAUD7aWi1SV-ufwF2azOdvKyu/s1600/PfSense.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="79" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgButLXsZnLZitbijPXzMPI-TIxnZATwiEb81VbOG4QdTW3ht2Q9XQ1I1FZcdq2kXG6H9mIJTLSrdIhxK82ix9q5ISTJBNHW-cRBP-hq8zFdpCKoYkbpxlcAUD7aWi1SV-ufwF2azOdvKyu/s320/PfSense.png" width="320" /></a></div><br />De este modo, los usuarios se podrán conectar a la red mediante diferentes puntos de acceso abiertos y tendrán que iniciar sesión para poder navegar, como puede verse en la siguiente imagen:<br /><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgUv324D3v6AK2CM6ihxuDA1z2DC25fi7Ak_B1zWDfTsOBpx6tMFLjeyDq1dGNtaIRFmX7wma5WGv893cQRRUwsxSAb81LlbfnB2-gzSmTEmJD8qti15E_0hgor7o4d1eLyRMkNWrywus1d/s1600/Screenshot_2015-05-22-14-29-03.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="320" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgUv324D3v6AK2CM6ihxuDA1z2DC25fi7Ak_B1zWDfTsOBpx6tMFLjeyDq1dGNtaIRFmX7wma5WGv893cQRRUwsxSAb81LlbfnB2-gzSmTEmJD8qti15E_0hgor7o4d1eLyRMkNWrywus1d/s320/Screenshot_2015-05-22-14-29-03.png" width="200" /></a></div><br />Se podrá acceder de dos modos:<br /><ul><li>Mediante el usuario y la contraseña con que está dado de alta en el servidor ldap del centro.</li><li>Mediante un ticket que se podrá generar para dar un acceso limitado en tiempo a usuarios ajenos al centro.</li></ul>El servidor <b>pfSense</b> tendrá dos interfaces:<br /><ul><li>Una interfaz <b>LAN</b> para dar servicio a clientes inalámbricos en la red 192.168.0.0</li><li>Una interfaz <b>WAN</b> que servirá para dar acceso a internet a los equipos que se conecten a través de la LAN.</li></ul><br /><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhCnBVBSrV6xfWMGY51mXYgFG5i_ssvXkdmFg0GnwLbHQHbphBBY6tuFmP81Oxc833Ez65WFtKX4EsHqKF71un4YGTpqQiRS_sFFHmcGsm8r4yHQX6f2MlsDYqYLdKslAIO8HJ2YsijdX_i/s1600/AccesoWifi+-+Pfsense.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="212" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhCnBVBSrV6xfWMGY51mXYgFG5i_ssvXkdmFg0GnwLbHQHbphBBY6tuFmP81Oxc833Ez65WFtKX4EsHqKF71un4YGTpqQiRS_sFFHmcGsm8r4yHQX6f2MlsDYqYLdKslAIO8HJ2YsijdX_i/s320/AccesoWifi+-+Pfsense.png" width="320" /></a></div><br />El servidor <b>pfSense</b>, al que hemos llamado <b>firewall</b>, contactará con el servidor <b>freeradius</b> para autorizar a los usuarios que intenten conectar vía wifi. A su vez, el servidor <b>freeradius</b> contactará con el servidor <b>ldap</b> del centro para validar dichos usuarios. Ésto quiere decir que dispondremos de un sistema de control de acceso freeradius+pfsense combinado, pudiendo establecer reglas de control en freeradius y en pfsense.<br /><br />Por ejemplo, podríamos hacer que los usuarios de un determinado grupo tuvieran acceso durante el horario de mañana y los de otro grupo durante el horario de tarde mediante controles en freeradius y limitar el tiempo que pueden estar conectados mediante el portal cautivo de pfsense.<br /><br />El firewall pfSense tiene configurado un servidor DHCP que proporciona IP's a los clientes conectados en la LAN 192.168.0.0<br /><br />Y os preguntaréis: ¿Cómo hago para que los puntos de acceso presten servicio en la red 192.168.0.0 si en el centro tan sólo tengo una red 172.x.x.x? Muy sencillo: Aprovechando que los switches disponen de soporte de VLAN, crearemos una VLAN a través de los switches de nuestro centro a la que se encontrará conectado el firewall en la interfaz LAN.<br /> Ésto es algo que requerirá un cierto trabajo por vuestra parte, puesto que probablemente no tendréis un mapa de red de vuestro centro en el que se identifiquen al menos los puertos que interconectan los switches, pero tampoco es difícil de identificar si examináis las tablas de enrutamiento de vuestros switches y disponéis de un tester de red. En mi caso hice un mapa de red cuando estuve configurando la telefonía IP con nuestro compañero Javi, de telecomunicaciones.<br /><br />Por otra parte, he aprovechado que la mayoría de los puntos de acceso de que dispongo tienen soporte de VLAN para hacer que un mismo punto de acceso preste servicio en la VLAN por defecto del centro, por un lado y en la VLAN para dispositivos ajenos por el otro.</div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

• 
• 
• 

1. 1
2. 2
3. 3

• Previous
• Next

Control de acceso wifi en el IES utilizando PfSense

Aprovechando que algún compañero de otro centro me ha vuelto a preguntar qué control de acceso inalámbrico tengo implantado en mi centro, y que muchos otros compañeros me siguen, voy a explicarlo aquí…

Leer más »