WLAN Hotspot mit Chillispot(DD-WRT), Freeradius und MySQL unter Ubuntu

Heute mal ein etwas außergewöhnliches Tutorial. Wir richten einen WLAN-Hotspot ein, wie er zum Beispiel in einem Café, oder ähnlichem, zur Versorgung der Kunden mit drahtlosem Internet dienen könnte.

Für dieses Tutorial gehe ich von folgenden Vorraussetzungen aus:

Hardware:

• Ein Router auf dem DD-WRT v2.4 (standard) lauffähig ist (Liste der unterstützten Geräte)
• Ein Rechner (auch gerne etwas älter) auf dem die Ubuntu Server Edition läuft. Netzwerkzugang sollte er natürlich auch haben.

Netzwerk:

• Getrennte Netze für das Gäste-WLAN (192.168.182.0/24) und das interne LAN (192.168.1.0/24)
• Internet-Zugang erfolgt direkt über den Router, der auch das WLAN bereitstellt
• IP-Adressen:
  • Router/Access-Point (Gateway, DNS): 192.168.1.1
  • Radius/Webserver: 192.168.1.254

Software:

• DD-WRT v24 standard auf dem Router; Chillispot ist darin integriert
• Freeradius (RADIUS-Server) zur Verwaltung der Gastzugänge (für Zeitbasierte Zugänge z.B.)
• Apache 2 zur Anzeige der Login-Seite
• MySQL zum halten der Daten die Freeradius verwendet

Einrichtung des Routers

Auf die Grundeinrichtung des Routers werde ich hier nicht eingehen, nur die Einstellungen für unser Setup werden kurz erwähnt.

Generelles Setup

Über den Tab „Setup“->“Basic Setup“ muss der DHCP-Server ausgeschaltet werden, da dieser sonst mit dem Chillispot-internen kollidiert

WLAN Setup

Über den Tab „Wireless“ das W-LAN einrichten, allerdings sollte die Verschlüsselung deaktiviert werden, da wir unsere Zugänge ja von Chillispot und Freeradius verwalten lassen.

Chillispot Setup

Unter dem Tab „Services->HotSpot“ finden wir die Chillispot-Konfiguration.

Erklärung der Optionen:

• Chillispot – Aktivieren der Chillispot-Funktionalität auf dem Router
• Seperate Wifi from LAN Bridge – Läßt zu, dass das Ethernet per Kabel, ohne Anmeldung genutzt werden kann.
• Primary Radius Server – IP-Adresse des Radius-Servers
• Backup Radius Server – wenn nur ein Radius-Server selbe IP wie oben
• DNS IP – IP des DNS-Servers der an die Nutzer verteilt werden soll (i.d.R. der lokale Router)
• Remote Network – Das Netz aus dem die Clients IP-Adressen bekommen (192.168.182.0/24 heißt 192.168.182.1 bis 192.168.182.254 – siehe http://de.wikipedia.org/wiki/Subnetz)
• Redirect URL – Hierher werden die Nutzer umgeleitet um sich am HotSpot anzumelden
• Shared Key – Damit wird die Verbindung zum Radius-Server verschlüsselt
• DHCP-Interface – Netzwerkschnittstelle an die Chillispot gebunden werden soll (i.d.R. wl0 oder eth1, sollte auf jeden Fall das W-LAN-Interface sein)
• Radius NAS ID – Name des AccessPoints (frei wählbar)
• UAM Secret: Mit diesem Schlüssel wird die Verbindung zur der Seite verschlüsselt auf der die Nutzer Benutzername und Passwort angeben müssen
• UAM Any DNS – legt fest ob der Nutzer einen selbst definierten DNS-Server benutzen darf (sollte man aus Sicherheitsgründen bei 0 belassen; nur auf 1 setzen, wenn man weiß was man tut)
• UAM allowed – Hier können Domains eingetragen werden, die auch ohne Anmeldung zugänglich sein sollen (wichtig zum Beispiel wenn man die Bezahlung des Zugangs über einen externen Anbieter löst)
• MACauth – legt fest ob die Authentifizierung der Nutzer über deren MAC-Adresse(http://de.wikipedia.org/wiki/MAC-Adresse) erfolgen soll. Wollen wir hier aber nicht
• Additional Chillispot Options – Hier können weitergehende Optionen, wie z.B. Begrenzung der verteilten IP-Adressen („dynip 192.168.182.128/26“ für 192.168.182.128 bis 192.168.182.191) oder das Festlegen eines zweiten DNS-Servers („dns2 8.8.8.8), für Chillispot angegeben werden, die aber für den Basisbetrieb nicht notwendig sind.

Installation des Servers:

Ich verwende Ubuntu Server Edition 10.04 als Basis. Wenn ihr eine andere Version benutzt, achtet bitte darauf, das ihr Freeradius in der Version 2.x zu benutzen, mit Version 1 wird dieses Tutorial nicht funktionieren.

Installation der Pakete

Apache/MySQL

sudo tasksel install lamp-server

Damit werden in einem Rutsch Apache, MySQL und PHP installiert.

Freeradius

sudo apt-get install freeradius freeradius-mysql

Chillispot (wird benötigt für die Anmeldeseite)

sudo apt-get install chillispot

Die Fragen die bei der Installation einfach ohne Eingabe mit Enter bestätigen. Chillispot muss hier nicht konfiguriert werden, da wir nur das Login-Script brauchen.

Konfiguration

Konfiguration von Apache

Für das Zusammenspiel mit Chillispot ist es nötig, dass der Webserver eine per SSL verschlüsselte Verbindung anbietet. Problematisch dabei ist, dass bei der Verwendung eines selbst signierten Zertifikats beim Aufrufen der Login-Seite der Browser eine Warnung anzeigen wird. Um das zu umgehen sollte man die Login-Seite hinter ein ‚offiziell‘ signiertes Zertifikat legen. Darauf werde ich allerdings hier nicht eingehen, da das den Rahmen sprengen würde.

Also generieren wir uns unser SSL-Zertifikat erstmal selbst:

sudo openssl req -new -x509 -days 365 -nodes -out /etc/apache2/apache.pem -keyout /etc/apache2/apache.pem

Die Option ‚-days‘ besagt wie lange das Zertifikat gültig sein soll. Bitte den eigenen Vorlieben anpassen. Die geforderten Eingaben sind beliebig zu wählen. Lediglich bei ‚Common Name‘ sollte der Hostname des Servers benutzt werden.

Damit Apache das Zertifikat findet, muss noch ein Symlink angelegt werden. Dabei darauf achten, das in Zeile 3 keine normalen Apostrophe, sondern so genannte Backticks (Akzent-Zeichen) verwendet werden müssen. da sonst der Befehl fehlschlägt:

sudo ln -sf /etc/apache2/apache.pem /etc/apache2/`/usr/bin/openssl x509 -noout -hash < /etc/apache2/apache.pem`.0
sudo chmod 600 /etc/apache2/apache.pem

Anschließend aktiviert man das SSL-Modul mit einem

sudo a2enmod ssl

aktiviert die Standard Apache SSL-Site

sudo a2ensite default-ssl

Zu guter Letzt wird das Login-Formular entpackt und an die passende Stelle gelegt:

sudo zcat /usr/share/doc/chillispot/hotspotlogin.cgi.gz > /usr/lib/cgi-bin/hotspotlogin.cgi
sudo chmod 755 /usr/lib/cgi-bin/hotspotlogin.cgi

In dieser Datei müssen noch eine Option angepasst werden, das Passwort dafür habt ihr bei der Konfiguration von Chillispot bei „UAM Secret“ festgelegt:

$uamsecret = "nochmalgeheim";

Danach die Apache-Konfiguration neu laden,

sudo /etc/init.d/apache2 force-reload

und testen ob man die Seite https://[server-ip]/cgi-bin/hotspotlogin.cgi erreichen kann. (Dort sollte die Meldung „Chillispot Login failed“ erschienen, was aber normal ist, da wie nicht von Chillispot auf diese Seite umgeleitet wurden.)

Falls die Seite angezeigt wird, kann direkt mit der Einrichtung von Freeradius weitergemacht werden, falls nicht, nochmal alles checken und gegebenenfalls berichtigen.

Konfiguration von Freeradius

Zuerst muss unser Access-Point (mit der IP 192.168.1.1) als Client akzeptiert werden. Dazu bearbeitet man die Datei ‚/etc/freeradius/clients.conf‘ und fügt folgende Zeilen am Ende der Datei ein:

client captive-portal {
    ipaddr = 192.168.1.1
    secret = ultrageheim
    nastype = other
}

Der Name hinter „client“ sollte der selbe sein, den ihr im Feld Radius NAS ID in der Chillispot-Konfiguration verwendet habt sein. „ipaddr“ sollte die IP-Adresse des Access-Points sein, „secret“ der in der Chillispot-Konfiguration festgelegte „Shared Key“. „nastype“ sollte wie hier auf ‚other‘ gesetzt werden.

Anbindung von Freeradius an die MySQL-Datenbank

Datenbank anlegen

mysql -u root -p
Enter password:

mysql> CREATE DATABASE radius;
mysql> quit

Tabellen für Freeradius aus den Vorlagen importieren

mysql -u root -p radius < /etc/freeradius/sql/mysql/schema.sql
mysql -u root -p radius < /etc/freeradius/sql/mysql/nas.sql

Benutzer anlegen und ihm Rechte an den Tabellen geben

mysql -u root -p
Enter password:

GRANT ALL PRIVILEGES ON radius.* TO 'radius'@'localhost' IDENTIFIED BY 'sicherespasswort';
FLUSH PRIVILEGES;
quit

Radius für MySQL konfigurieren

In Datei ‚/etc/freeradius/radiusd.conf‘ müssen die Zeilen ‚$INCLUDE sql.conf‘ und ‚$INCLUDE sql/mysql/counter.conf‘ vom Kommentarzeichen befreit werden. Sollte dann hinterher so aussehen:

...
$INCLUDE sql.conf
...
$INCLUDE sql/mysql/counter.conf
...

Die erste Zeile aktiviert die generelle Nutzung der SQL Datenbank, die zweite aktiviert die Nutzung von SQL zur Verwaltung der Zeitbasierten Zugänge. In der Datei ‚counter.conf‘ werden die MySQL-Abfragen definiert die das Verwalten der Zeitkonten regeln. Mit geeigneten SQL-Kenntnissen kann man sich hier gerner mal umschauen.

In der Datei ‚/etc/freeradius/sql.conf‘ die folgenden Zeilen ensprechend ändern um Freeradius die Zugangsdaten für den MySQL-Server mitzugeben:

server = "localhost"
login = "radius"
password = "sicherespasswort"

Außerdem müssen in der Datei ‚/etc/freeradius/sites-available/default‘ Änderungen gemacht werden. Die Datei ist in Sektionen unterteilt die jeweils mit einem ’name {‚ beginnen.
In der Sektion ‚authorize‘ muss es heißen:

...
#files
sql
...

In der gleichen Sektion müssen am Ende diese drei Optionen hinzugefügt werden. Sie werden für die Zeitbasierten Zugänge gebraucht.

noresetcounter # Zuständig für zeitlich begrenzte Zugänge (dieser wird von uns verwendet)
dailycounter   # Zuständig für Tageslimits, die aber jeden Tag zurückgesetzt werden
monthlycounter # Zuständig für Monatslimits, die aber jeden Monat zurückgesetzt werden

Wir werden zwar nur den ’noresetcounter‘ brauchen, aber wenn wir schonmal hier sind, kann es nicht schaden, die anderen beiden auch einzutragen. Kurz zur Beachtung: Wir verwenden nicht den ‚dailycounter‘, da dessen „Zähler“ jeden Tag zurückgesetzt wird, und der Zugang so dauerhaft aktiv bleibt, was wir in unserem Café natürlich nicht wollen (Die Sätze nach den # müsst ihr übrigens nicht mit eintragen 😉 ).

In der Sektion ‚accounting‘:

...
sql
...

In der Sektion ’session‘:

...
sql
...

Also jeweils das Kommentarzeichen vor den ’sql‘-Zeilen entfernen. Das ist nötig damit freeradius SQL zur Konfiguration und zum Steuern der Zeitbasierten Konten benutzt.

anschließend kann man mit dem Befehl

sudo freeradius -XXX

testen ob der Server einwandfrei startet und man keinen Fehler in die Konfiguration gebaut hat. Wenn am Ende die Zeile

Info: Ready to process requests.

erscheint, war die Konfiguration zumindest für den Server selbst in Ordnung.
Falls alles erfolgreich verläuft beendet man den Freeradius Testmodus mit STRG-C und startet freeradius neu:

sudo /etc/init.d/freeradius restart

Danach sollte unser Hotspot fertig zur Benutzung sein.

Ein erster Test

Um unser Setup zu testen legen wir zunächst einen neuen Benutzer an, der den Hotspot nutzen darf. Wir tun das über das Terminal, generell kann man aber auch phpMyAdmin (oder eine Alternative) benutzen.

Benutzer und Zeitkonto anlegen

Die Tabelle für die Benutzerzugänge besteht aus 5 Spalten:

• id (wird automatisch ausgefüllt)
• username (der name unseres Benutzers
• attribute (die Option die wir festlegen wollen
• op (Operator, mit dem die Zuordnung von Attribut und Wert gemacht wird)
• value (Wert gegen den das Attribut verglichen wird)

Dieses Layout erlaubt es in dieser Tabelle nicht nur das Passwort für einen Benutzer festzulegen, sondern zum Beispiel auch die Werte für die Zeitbegrenzung der Zugänge.

mysql -u root -p radius

INSERT into radcheck VALUES ('','test0001','Password',':=','testpasswort');
INSERT into radcheck VALUES ('','test0001','Max-All-Session',':=','3600');

Diese beiden Queries legen einen Benutzer mit Namen ‚test0001‘ und Passwort ‚testpasswort‘ an. Zusätzlich geben wir ihm 3600 Sekunden (1 Stunde) auf sein Zeitkonto. Nach deren Ablauf wird er automatisch ausgeloggt.

Mit diesem Benutzer kann man jetzt testen ob das Setup funktioniert, in dem man einen Client mit dem Drahtlosen Netzwerk verbindet und schaut ob man

1. beim Aufruf einer beliebigen Internetseite auf die Login-Seite umgeleitet wird
2. Sich mit unserem Test-Benutzer einloggen und danach surfen kann

Zum testen kann man das Zeitlimit auch kleiner wählen um zu sehen ob das automatische Rauswerfen auch funktioniert.

Nachbereitung

Einen funktionierenden Hotspot haben wir nun, aber was fehlt noch?
Nun zu erst fehlt natürlich ein komfortabler Weg um die Nutzerzugänge zu verwalten. Leider waren die die ich bisher getestet habe eher mäßig bis nicht zu gebrauchen. In der Richtung müsstet ihr also selbst mal suchen, oder selbst ein kleines Skript oder Interface zusammenschrauben, die SQL-Anbindung macht das ganze eigentlich ganz gut anpassbar.

Zweiter Punkt wäre eine Firewall um euren Gästen zum Beispiel nur den Zugang zu den Ports 80(http) und 443(https) zu erlauben (hier sollte man auch an Ports für VPN-Verbindungen denken), da man sonst ein nicht zu unterschätzendes Sicherheitsrisiko (z.B. durch P2P-Verkehr) eingeht. Anleitungen um das mit DD-WRT zu bewerkstelligen findet ihr im DD-WRT-Wiki.

Als letztes fehlt euch natürlich noch das passende Cafe und die zahlenden Gäste, aber dafür sorgt ihr besser selbst!

Disclaimer

Zum Schluss natürlich noch der Hinweis, das ich dieses Tutorial nach bestem Wissen und Gewissen erstellt und getestet habe, es aber natürlich Fehler enthalten kann, bzw. durch unsachgemäßen Gebrauch zu unvorhersehbaren Folgen führen kann, für die ich natürlich keine Haftung übernehmen kann. Alles auf eigene Gefahr.