No se le puede poner openwrt, la dejamos como bridge y delegamos en una raspberry
Fuente: https://pimylifeup.com/raspberry-pi-captive-portal/
Hotspot con el wifi de Raspberry haciendo de AP y conectada por cable a internet
Imagen: 2020-02-13-raspbian-buster-lite.img
sudo dd if=2020-02-13-raspbian-buster-lite.img of=/dev/mmcblk0
Tarda 12 minutos con dell latitude E5470 y 5 minutos con dell latitude 5400:
3612672+0 records in 3612672+0 records out 1849688064 bytes (1.8 GB, 1.7 GiB) copied, 760.353 s, 2.4 MB/s
Modificamos la tarjeta para poder acceder sin monitor:
Ponemos IP fija cambiando el fichero /etc/dhcpcd.conf añadiendo al final:
interface eth0 static ip_address=192.168.1.13/24 static routers=192.168.1.1 static domain_name_servers=192.168.1.1
Habilitamos ssh dejando un fichero en la partición boot que se llame ssh (da igual el contenido o si está vacio)
Ya podemos acceder por ssh
Login: pi Password: raspberry
Si queremos cambiar el teclado a español:
sudo raspi-config
4 Localisation Options Set up language and regional settings to match your location I3 Change Keyboard Layout Set the keyboard layout to match your keyboard
Keyboard model:
Generic 105-key PC (intl.)
Keyboard layout:
Other
Country of origin for the keyboard:
Spanish
Ahora ya nos aparece una lista de todos los teclados Spanish. Cogemos el primero por ejemplo.
Keyboard layout:
Spanish
Key to function as AltGr:
The default for the keyboard layout
Compose key:
No compose key
Actualizamos paquetes:
sudo apt-get update sudo apt-get upgrade
Instalamos vim
sudo apt-get install -y vim
Configuramos vim, añadimos a los ficheros:
echo "set mouse-=a" > /home/pi/.vimrc sudo su -c "echo 'set mouse-=a' > /root/.vimrc"
Si queremos poner ip fija a eth0:
sudo vim /etc/dhcpcd.conf
Y al final del fichero añadimos:
interface eth0 static ip_address=192.168.1.13/24 static routers=192.168.1.1 static domain_name_servers=192.168.1.1 8.8.8.8
Para configurar el wifi primero tenemos que poner el pais.
Si nos fijamos, al arrancar la raspberry sale el mensaje:
Wi-Fi is currently blocked by rfkill. Use raspi-config to set the country before use.
Al hacer un iwconfig no aparece Tx-Power
wlan0 IEEE 802.11 ESSID:off/any
Mode:Managed Access Point: Not-Associated
Retry short limit:7 RTS thr:off Fragment thr:off
Power Management:on
Habilitamos country en wifi
sudo raspi-config
4 Localisation Options Set up language and regional settings to match your location I4 Change Wi-fi Country Set the legal channels used in your country ES Spain
Ahora al hacer iwconfig si vemos Tx-Power
iwconfig
wlan0 IEEE 802.11 ESSID:off/any
Mode:Managed Access Point: Not-Associated Tx-Power=31 dBm
Retry short limit:7 RTS thr:off Fragment thr:off
Power Management:on
Ahora configuramos el wifi de la raspberry como access point:
sudo apt-get install -y hostapd dnsmasq
sudo systemctl stop hostapd sudo systemctl stop dnsmasq
Añadimos al final de la configuración de DHCP:
sudo vim /etc/dhcpcd.conf
interface wlan0
static ip_address=192.168.220.1/24
Reiniciamos dhcp:
sudo systemctl restart dhcpcd
sudo vim /etc/hostapd/hostapd.conf
interface=wlan0 driver=nl80211 hw_mode=g channel=6 ieee80211n=1 wmm_enabled=0 macaddr_acl=0 ignore_broadcast_ssid=0 auth_algs=1 wpa=0 # This is the name of the network ssid=raspberry
Modificamos estos 2 ficheros:
sudo vim /etc/default/hostapd
Cambiamos esta línea:
#DAEMON_CONF=""
Por:
DAEMON_CONF="/etc/hostapd/hostapd.conf"
Y este otro que en mi caso ya estaba cambiado:
sudo vim /etc/init.d/hostapd
Cambiamos esta línea:
DAEMON_CONF=
Por esta:
DAEMON_CONF=/etc/hostapd/hostapd.conf
Ahora configuramos DHCP:
sudo mv /etc/dnsmasq.conf /etc/dnsmasq.conf.orig
sudo vim /etc/dnsmasq.conf
interface=wlan0 # Use interface wlan0 server=1.1.1.1 # Use Cloudflare DNS dhcp-range=192.168.220.50,192.168.220.150,12h # IP range and lease time
Ahora enrutamos el tráfico de wifi a cable, es decir, de wlan0 a eth0
sudo vim /etc/sysctl.conf
Descomentamos:
net.ipv4.ip_forward=1
Añadimos IPTABLES:
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Lo grabamos:
sudo sh -c "iptables-save > /etc/iptables.ipv4.nat"
Para hacer persistente en los reinicios:
sudo vim /etc/rc.local
Añadimos encima de la línea exit 0:
iptables-restore < /etc/iptables.ipv4.nat
Grabamos los servicios:
sudo systemctl unmask hostapd sudo systemctl enable hostapd sudo systemctl start hostapd sudo service dnsmasq start
Si miramos wlan0 vemos que ahora está como Mode:Master
iwconfig
wlan0 IEEE 802.11 Mode:Master Tx-Power=31 dBm
Retry short limit:7 RTS thr:off Fragment thr:off
Power Management:on
Reiniciamos
sudo reboot
Ya nos podemos conectar al wifi de la raspberry y salir por internet
Instalamos paquetes necesarios para portal captivo:
sudo apt install -y git libmicrohttpd-dev
Clonamos el repo de nodogsplash
git clone https://github.com/nodogsplash/nodogsplash.git
Compilamos:
cd nodogsplash make sudo make install
Modificamos estos parámetros de la configuración:
sudo vim /etc/nodogsplash/nodogsplash.conf
GatewayInterface wlan0 GatewayAddress 192.168.220.1 MaxClients 250 AuthIdleTimeout 480
Arrancamos el software:
sudo nodogsplash
Nos dará este error:
libmicrohttpd is out of date, please upgrade to version 0.9.69 or higher
Eso es porque raspbian no está actualizada, podemos forzar a que el hotspot no valide versiones antiguas o compilar a mano la versión que toca:
Saltar versiones antiguas:
sudo vim /etc/nodogsplash/nodogsplash.conf
use_outdated_mhd 1
Compilar nueva versión:
Hay que compilar y despues desinstalar los antiguos:
Descargamos nueva versión y compilamos:
cd ~ wget ftp://ftp.gnu.org/gnu/libmicrohttpd/libmicrohttpd-0.9.70.tar.gz tar zxvf libmicrohttpd-0.9.70.tar.gz mv libmicrohttpd-0.9.70 libmicrohttpd cd libmicrohttpd sudo ./configure sudo make sudo make install
Desinstalamos la versión antigua:
sudo apt-get remove -y libmicrohttpd12 libmicrohttpd-dev
Para que arranque en el principio, modificamos el fichero
sudo vim /etc/rc.local
Y añadimos encima de exit 0 la línea:
nodogsplash
Fichero web entrada:
/etc/nodogsplash/htdocs/splash.html
https://nodogsplashdocs.readthedocs.io/en/stable/ndsctl.html
Con docker, quitar ipv6 de:
/etc/freeradius/3.0/sites-enabled/default
Se crea un usuario de prueba en el fichero users que es un enlaces simbólico a authorize:
/etc/freeradius/3.0/users /etc/freeradius/3.0/mods-config/files/authorize
bob Cleartext-Password := "hello"
Reply-Message := "Hello, %{User-Name}"
Para poder hacer consulta que no sea desde localhost:
/etc/freeradius/3.0/clients.conf
client private-network-1 {
ipaddr = 192.168.1.0/24
secret = probando
}
Hacemos la consulta:
radtest bob hello 192.168.1.13 0 probando
/etc/config/nodogsplash option gatewayinterface 'br-wan'
Delega la autenticación en una web externa.
Hay varios campos a configurar:
fas_secure_enabled fasremotefqdn fasremoteip faspath fasport faskey
Hay 4 tipos de login:
Petición:
http://portalcaptiu.lobo99.info/login1.html?authaction=http://192.168.220.1:2050/nodogsplash_auth/?clientip=192.168.220.68&gatewayname=NoDogSplash&tok=fe4a245b&redir=http%3a%2f%2fwiki.legido.com%2f
Si vamos a la url que le pasa por GET como variable authaction estamos logados, es decir:
http://192.168.220.1:2050/nodogsplash_auth/?clientip=192.168.220.68&gatewayname=NoDogSplash&tok=fe4a245b&redir=http%3a%2f%2fwiki.legido.com%2f
Se envía la petición sin el token y FAS tiene que pedirlo a nodogsplah
Petición:
http://portalcaptiu.lobo99.info/login2.php?clientip=192.168.220.68&gatewayname=NoDogSplash&redir=http%3a%2f%2fdetectportal.firefox.com%2fsuccess.txt
Envia el token en la variable hid. Si el login es correcto, tiene que devolver la petición concatenando hid con el faskey
Petición:
http://portalcaptiu.lobo99.info/login1.html?clientip=192.168.220.68&gatewayname=NoDogSplash&hid=567c8ad9a0da6759af0c256d75f3031690d78768a370458105ba10bd809b0fd8&gatewayaddress=192.168.220.1:2050&redir=http%3a%2f%2fdetectportal.firefox.com%2fsuccess.txt
Hay hay que devolver el hash 256 del hid concatenado con el faskey como variable tok:
http://192.168.220.1:2050/nodogsplash_auth/?tok=f140c19ec970fd853abc54db46d7bb7152e16c6571f5349a9c0ee8c3bde46872&redir=http%3a%2f%2fwiki.legido.com%2f
Conecta por https.
Nodogsplash:
fas_secure_enabled 3 fasremotefqdn portalcaptiu.lobo99.info fasremoteip 37.132.244.99 faspath /login3.php fasport 443 faskey 1234567890
login3.php
<?php $key="1234567890"; $string=$_GET['fas']; $iv=$_GET['iv']; $cipher="AES-256-CBC"; $decrypted=openssl_decrypt( base64_decode( $string ), $cipher, $key, 0, $iv ); echo $decrypted; ?>
Al conectar al hotspor redirige la petición por https a:
https://portalcaptiu.lobo99.info/index1.php?fas=UElmM3o1a2ljbEQrQlU1L3dOa2RxbXV0RVYxbFF6dDlQM0xuR0pmNXVzZlE3NWVYMUZ6c3NYaUFOMDlmcG9tM3V6S1dtOTBhTTk5L09jRW1PUTNjUFZ4Y2hETG9BN1hBRjA1Z1ZvRmUxRXIzWExBeWhlTG83WVJHalV6blhlaUh0TXYvb0J5R2hYckFWTmNBajBadVo5MjJzT24zcHdpV3FyaXdQdG00R25GZDhhU2RVNEtHNlR4d3pkTnBxTzVuRUJaRjA5amhiMm1zaTdRaXZ3bS9INjVJOFQvUXZmYmlOUDRQSVRqYks5bXltWFdUeUNoNGZ4cjFMeW1ValhZSDJNbHpSRFgxQVZnK05JMytBQzN3bStXRjhNbkhHTUdWQUFkMm9HTDFVQzY2ZWczQmdQRFlha3l3Uy9lU00yRnY=&iv=c8887a287b60c864
Envía por get la variable fas con el contenido encriptado con la shred-key que tenemos configurado en faskey y la variable iv que es una semilla.
Podemos desencriptar el contenido con el comando de php:
openssl_decrypt( base64_decode( $string ), $cipher, $key, 0, $iv );
En este caso el resultado es:
clientip=192.168.220.51, clientmac=30:07:4d:d6:31:f6, gatewayname=NoDogSplash, tok=2861af5d, gatewayaddress=192.168.220.1:2050, authdir=nodogsplash_auth, originurl=http%3a%2f%2fconnectivitycheck.gstatic.com%2fgenerate_204