Les exigences de l'établissement d'un serveur de portail externe (au-dessus du contrôleur SDN Omada 5.0.15)

Convient au contrôleur Omada 5.0.15 ou supérieur.

Pour Omada Controller 4.1.5 à 4.4.6, veuillez vous référer à la FAQ 2907

Pour Omada Controller 2.6.0 à 3.2.17, veuillez vous référer à la FAQ 2274

Par rapport à Omada SDN Controller v4, les principaux changements sont les suivants :

1. Ajoutez l’ID du contrôleur à l’URL pour la connexion au point d’accès et la soumission des informations client.

2. Ajoutez l’en-tête HTTP, qui contient le jeton CSRF.

Remarque : les mots-clés en italique gras indiquent les paramètres qui sont automatiquement renseignés par EAP ou Gateway et qui doivent être correctement identifiés et transmis par votre serveur de portail externe. La signification des paramètres est indiquée lors de la première apparition.

Ce document décrit les exigences pour établir un serveur de portail externe ( Portail en abrégé). L'image ci-dessous illustre le flux de données entre les périphériques réseau, ce qui peut aider à mieux comprendre le mécanisme de fonctionnement.

Étapes 1 et 2.

Lorsqu'un client est connecté au réseau sans fil ou filaire lié à un portail activé et tente d'accéder à Internet, sa requête HTTP sera interceptée par EAP ou Gateway, respectivement, puis redirigée vers le contrôleur SDN Omada ( Controller en abrégé) avec les informations de connexion renseignées automatiquement par EAP ou Gateway dans l'URL.

Étapes 3 et 4.

Après cela, le client enverra une requête HTTP GET avec les informations de connexion au contrôleur et sera redirigé vers le portail par la réponse du contrôleur avec une réponse HTTP avec le code d'état 302. La réponse HTTP inclut l'URL du portail dans le champ d'emplacement ainsi que les informations de connexion.

URL pour EAP :

http(s):// PORTAIL? clientMac= CLIENT_MAC &apMac= AP_MAC &ssidName= NOM_SSID &t= TEMPS_DEPUIS_L'ÉPOQUE &radioId= ID_RADIO &site= NOM_SITE &redirectUrl= PAGE_D'ACCUEIL .

URL de la passerelle :

http(s):// PORTAIL? clientMac= CLIENT_MAC &gatewayMac= PASSERELLE_MAC &vid= VLAN_ID &t= TEMPS_DEPUIS_L'ÉPOQUE &site= NOM_SITE &redirectUrl= PAGE_D'ACCUEIL .

Étapes 5 et 6.

Le client enverra une requête HTTP GET au portail avec l'URL ci-dessus. Le portail doit être capable de reconnaître et de conserver les informations de connexion dans la chaîne de requête de la requête HTTP GET et de renvoyer la page Web pour l'authentification.

Étapes 7, 8 et 9.

The client will submit authentication information to Portal, which will be delivered to the authentication server, and be verified. Then the authentication server returns the authentication result to Portal.

You can decide how Portal obtains the client's authentication information and how Portal communicates with the authentication server, according to your own requirements, which is beyond the scope of this article.

NOTE: In the figure above, the Portal and authentication server are separated. You can install them on the same server as you wish. The authentication method is also up to you. Just make sure Portal can know the authentication result from the authentication server.

Steps 10 and 11.

If the authentication request is authorized, Portal should send the client information to the Controller by calling its API.

First, it must log in Controller by sending an HTTP POST request. The request’s URL should be https://CONTROLLER:PORT/CONTROLLER_ID/api/v2/hotspot/login and it should carry the operator account information in JSON format in the HTTP message body: {"name": "OPERATOR_USERNAME","password": "OPERATOR_PASSWORD"}.

Note that the account and password here are the operator added in the hotspot manager interface, rather than the account and password for the controller account.

PHP Code Template:

public static function login()

{

$loginInfo = array(

"name" => OPERATOR_USER,

"password" => OPERATOR_PASSWORD

);

$headers = array(

"Content-Type: application/json",

"Accept: application/json"

);

$ch = curl_init();

// post

curl_setopt($ch, CURLOPT_POST, TRUE);

// Set return to a value, not return to page

curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);

// Set up cookies. COOKIE_FILE_PATH defines where to save Cookie.

curl_setopt($ch, CURLOPT_COOKIEJAR, COOKIE_FILE_PATH);

curl_setopt($ch, CURLOPT_COOKIEFILE, COOKIE_FILE_PATH);

// Allow Self Signed Certs

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE);

curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FALSE);

// API Call

curl_setopt($ch, CURLOPT_URL, "https://" . CONTROLLER . ":" . PORT . "/" . CONTROLLER_ID . "/api/v2/hotspot/extPortal/auth");

curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);

curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($loginInfo));

$res = curl_exec($ch);

$resObj = json_decode($res);

//Prevent CSRF. TOKEN_FILE_PATH defines where to save Token.

if ($resObj->errorCode == 0) {

// login successfully

self::setCSRFToken($resObj->result->token);

}

curl_close($ch);

}

private static function setCSRFToken($token)

{

$myfile = fopen(TOKEN_FILE_PATH, "w") or die("Unable to open file!");

fwrite($myfile, $token);

fclose($myfile);

return $token;

}

If the login authentication passes, the Controller will reply with the following JSON in the HTTP body. Note that the token inside result is the CSRF-Token, which should be added to the HTTP Header of the following steps.

{

"errorCode": 0,

"msg": "Hotspot log in successfully.",

"result": {

"token": "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

}

}

Steps 12 and 13.

After successful login, Portal can send the client authentication result to https://CONTROLLER:PORT/CONTROLLER_ID/api/v2/hotspot/extPortal/auth with HTTP POST method.

The client information should be encapsulated in JSON format in the HTTP message body, and must contain the following parameters.

For EAP: {"clientMac":"CLIENT_MAC","apMac":"AP_MAC","ssidName":"SSID_NAME","radioId":"RADIO_ID","site":"SITE_NAME","time":"EXPIRE_TIME","authType":"4"}

For Gateway:

{" clientMac ":" CLIENT_MAC "," gatewayMac ":" GATEWAY_MAC "," vid ":" VLAN_ID "," site ":" SITE_NAME "," time ":" EXPIRE_TIME "," authType ":" 4 "}

Modèle de code PHP pour EAP :

fonction statique publique autoriser ($clientMac, $apMac, $ssidName, $radioId, $milliseconds)

{

// Envoyer l'utilisateur à autoriser et le temps autorisé

$authInfo = tableau(

'clientMac' => $clientMac,

'apMac' => $apMac,

'ssidName' => $ssidName,

'radioId' => $radioId,

'time' => $millisecondes,

'authType' => 4

);

$csrfToken = self::getCSRFToken();

$en-têtes = tableau(

'Type de contenu : application/json',

'Accepter : application/json',

« Jeton Csrf : ». $csrfToken

);

$ch = curl_init();

// poste

curl_setopt($ch, CURLOPT_POST, TRUE);

// Définir le retour à une valeur, pas le retour à la page

curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);

// Configurer les cookies.

curl_setopt($ch, CURLOPT_COOKIEJAR, CHEMIN_FICHIER_COOKIE);

curl_setopt($ch, CURLOPT_COOKIEFILE, CHEMIN_FICHIER_COOKIE);

// Autoriser les certificats auto-signés

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FAUX);

curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FAUX);

// Appel d'API

curl_setopt($ch, CURLOPT_URL, "https://" . CONTROLLER . ":" . PORT . "/" . CONTROLLER_ID . "/api/v2/hotspot/login");

curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($authInfo));

curl_setopt($ch, CURLOPT_HTTPHEADER, $headers);

$res = curl_exec($ch);

écho $res;

$resObj = json_decode($res);

si ($resObj->errorCode == 0) {

// autorisé avec succès

}

curl_close($ch);

}

fonction statique publique getCSRFToken()

{

$myfile = fopen(TOKEN_FILE_PATH, "r") ou die("Impossible d'ouvrir le fichier !");

$token = fgets($monfichier);

fclose($monfichier);

retourner $token;

}

Si la demande d'authentification est acceptée, le contrôleur répondra avec le JSON suivant :

{

"code d'erreur": 0

}

Remarque : le portail doit pouvoir répondre aux deux exigences suivantes :

1. Autorisez les certificats auto-signés . Ou vous téléchargerez votre propre certificat HTTPS sur Controller.

2. Lisez et enregistrez le « TPEAP_SESSIONID » dans le Cookie et envoyez une demande d'authentification avec le Cookie.

* Pour Controller v5.11 et supérieur, le nom du cookie est « TPOMADA_SESSIONID » .