Então em termos operacionais a rede teria a seguinte característica, rede aberta para a conexão de qualquer usuário, porém com todas as conexões controladas e filtradas de modo que nenhum acesso é garantido ao usuário, a menos que ele abra um navegador web, a partir do qual será redirecionado para uma página de autenticação, e a partir desta página o usuário poderá cadastrar-se ou usar suas credenciais caso já possua.

O uso desta estrutura é bem flexível e pode se adaptar a diversas situações.

Diagrama lógico

• Fedora Core 6, instalado sem DNS;
• Micro com 2 interfaces LAN;
• 01 AP (access point);
• 01 cartão de acesso wireless.

Instalação Nocat

O projeto NoCat (http://nocat.net) transforma um gateway de acesso em uma ferramenta de “Captive portal”, esta tecnologia é baseada em um firewall (iptables) que bloqueia toda conexão TCP/UDP a partir da rede local, capturando toda sessão http e redirecionado para um portal de login, este portal é protegido por uma sessão SSL, a partir do login no portal o NoCat aplica regras ao firewall liberando acesso ao usuário conforme definições de uso.

Para o perfeito funcionamento de nosso gateway será necessário a instalação de alguns serviços e configurações adicionais, conforme segue:

OBS: No caso do Bind acho interessante remover qualquer instalação anterior para evitar complicações, mas se souber o que esta fazendo apenas o configure.

Configuração das placas de rede

Use o utilitário do FC6 ou “ifconfig”:

# system-config-network

• eth0 = internet (configure com ip dinâmico ou fixo de modo a ter acesso à internet);
• eth1 = LAN (configure com ip fixo e sem gateway, no nosso caso ip = 10.34.122.1/24, se for alterado este endereço deve também ser alterado no dhcpd.conf)

Servidor DHCP

# yum install dhcp
# cp /usr/share/doc/dhcp-3.0.5/dhcpd.conf.sample /etc/
(sujeito a atualizações, caso não encontre este diretório verifique a ver)

# mv /etc/dhcp.conf.sample /etc/dhcpd.conf # vi /etc/dhcpd.conf (edite o arquivo conforme segue)

Iniciando o serviço, o mesmo pode ser feito com o script (rc.d”n”) conforme comentado anteriormente:

# /etc/init.d/dhcpd start

OBS: A instalação do Bind proposta é basicamente para encaminhar as requisições para o servidor DNS1 / DNS2, de sua escolha.

Instalação servidor DNS (BIND)

# yum install bind-chroot
# yum install system-config-bind
# chmod 755 /var/named/
# chmod 775 /var/named/chroot/
# chmod 775 /var/named/chroot/var/
# chmod 775 /var/named/chroot/var/named/
# chmod 775 /var/named/chroot/var/run/
# chmod 777 /var/named/chroot/var/run/named/
# cd /var/named/chroot/var/named/
# ln -s ../../ chroot
# chkconfig –levels 235 named on
# system-config-bind (só iniciar para criar as configurações padrões e depois fechar)

Edite o named.conf conforme segue:

# vi /var/named/chroot/etc/named.conf

Incluir as seguintes linhas:

Inicie o servidor:

# /etc/init.d/named start

OBS: Para se tornar mais prático você pode criar um script de inicialização e colocar no runlevel adequado 3 ou 5, conforme sua definição.

OBS: ** comentários

# vi /etc/sysctl.conf

Alterar a linha:

“net.ipv4.ip_forward = 0”

Para:

Salve.

# vi /etc/rc.d/rc.local

Acrescentar a linha abaixo ao final do arquivo:

Isso fará o nat para eth0.

Desabilite as funções de segurança, execute:

# system-config-securitylevel

Desabilite o firewall e o SELinux.

Remova as configurações do iptables:

# rm -r /etc/sysconfig/iptables*

Reinicie o iptables:

# /etc/init.d/iptables restart

# yum install gnupg2
(ferramenta usada para criptografar)

# perl -MCPAN -e ‘install Digest::MD5’
(mecanismo de autenticação)

# perl -MCPAN -e ‘install Net::Netmask’

Instalação de pacotes adicionais

É bem provável que o Digest-MD5 já esteja instalado, de qualquer forma será retornada a mensagem de que já está instalado “UP”, caso seja a primeira vez que esteja executando o instalador “perl MCPAN”, serão feitas várias perguntas, deixe todas como padrão, observando que quando for questionado sua localização responda de acordo, ainda que se utilizar Proxy para web e FTP, no momento em que for requisitado entre com o(s) Proxy.

Com as configurações realizadas até este momento já será possível acessar a internet tendo como gateway nosso servidor, para isso confira inicialmente se os serviços estão marcados para arranque automático:

# system-config-services

Verifique se estão marcados o http, bind (named) e dhcpd.

# ping localhost

Verifique se retorna ping, se não retornar configure o /etc/hosts acrescentando a linha:

Reinicie o servidor, conecte um micro na interface eth1, configure para obter o endereço ip/dns dinâmico, teste se os clientes da interface LAN podem acessar a internet, só passe para os próximos passos depois de concluir esta etapa.

# cd /home/root/src
# wget http://nocat.net/downloads/NoCatAuth/NoCatAuth-nightly.tgz
# tar zxvf NoCatAuth-nightly.tgz
# cd NoCatAuth-nightly

IMPORTANTE: O Nocat não vem configurado para detectar firewall para kernel 2.6, portanto é preciso alterar manualmente este parâmetro, conforme segue.

# cd bin/
# vi detect-fw.sh

Substitua:

test X”`uname -sr | cut -d. -f-2`” = X”Linux 2.4″; then

Por:

Salve.

# cd .. (retorne para diretório principal dos fontes do Nocat)

Crie o diretório principal para o Nocat e execute a instalação conforme segue.

# mkdir /usr/local/nocat
(cria diretório padrão)

# make PREFIX=/usr/local/nocat/gw gateway
(instala o gateway)

# make PREFIX=/usr/local/nocat/authserv authserv
(instala o módulo autenticador)

O Nocat já vem por padrão com uma chave para assinatura digital, vamos apagar e criar uma nova:

# rm -rf /usr/local/nocat/gw/pgp/trustedkeys.pgp
# rm -rf /usr/local/nocat/authserv/pgp/trustedkeys.pgp

E agora criar uma chave nova:

# make PREFIX=/usr/local/nocat/authserv pgpkey

Algumas perguntas serão feitas, responda conforme segue.

• Escolha DSA (opção 1);
• Escolha chave com 1024;
• Expira deixe com 0 , confirme nunca expira;
• Responda as perguntas de nome, e-mail, conforme necessários;
• Confirme suas opções.

Agora será solicitada uma senha, importante, não coloque nada, tecle apenas enter e novamente será solicitado para confirmar, tecle enter novamente.

Sua chave será gerada em alguns instantes, procure usar o micro normalmente, como por exemplo acessar alguma página e etc, para que sejam coletados dados aleatórios para a geração da chave.

Depois de concluído a geração da chave copie-a para:

# cp /usr/local/nocat/authserv/trustedkeys.pgp /usr/local/nocat/gw/pgp/
# cp /usr/local/nocat/authserv/trustedkeys.pgp /usr/local/nocat/authserv/pgp/

Para que o servidor Apache possa utilizar, altere o dono destes arquivos:

# chown -R apache:apache /usr/local/nocat/authserv/pgp
# chown -R apache:apache /usr/local/nocat/gw/pgp

Mude as permissões:

# chmod 755 /usr/local/nocat/authserv/pgp
# chmod 755 /usr/local/nocat/gw/pgp

Esta instalação do Nocat está utilizando o MySQL para armazenar os usuários e senhas, posteriormente pode-se utilizar outras bases para a autenticação, como servidor radius, ldap, arquivo texto e etc, para tanto iremos agora iniciar o MySQL, em services (system-config-services) marque para que o mysql seja iniciado no boot.

Inicie o mysql:

# /etc/init.d/mysqld start

Crie uma senha para o mysql:

# mysqladmin password senha

Criar o banco Nocat:

# mysqladmin create nocat -p

Ainda de dentro da pasta principal dos fontes do mysql, copie a base padrão do Nocat, conforme segue:

# mysql nocat < etc/nocat.schema -p

Entre com a senha definida anteriormente.

Entre no modo root no mysql:

# mysql -u root -p
(entre com a senha)

Dê privilégios para o usuário nocat, com senha nocatauth:

mysql> grant all on nocat.* to nocat@localhost identified by ‘nocatauth’;
mysql> flush privileges;
mysql> quit;

Acesse o mysql com o usuário nocat e senha nocatauth, configurados anteriormente para conferir se as tabelas foram criadas.

# mysql -u nocat -pnocatauth
mysql> use nocat
mysql> show tables;

Você deve ver as tabelas do nocat:

mysql> quit

Pronto, o nocat está instalado, vamos às configurações.

Em /usr/local/nocat/authserv/nocat.conf, altere as seguintes linhas:

No final do arquivo existe uma série de mensagens, podem ser traduzidas conforme necessário:

Em /usr/local/nocat/gw/nocat.conf altere as seguintes linhas:

# yum -y install openssl

Crie uma pasta ssl, por exemplo. Vá até esta pasta e siga os procedimentos abaixo.

Criando uma nova chave:

# openssl genrsa -out nocat.key 1024

Criando assinatura para certificado:

# openssl req -new -key nocat.key -out nocat.csr

Criando um certificado assinado:

# openssl x509 -days 365 -req -in nocat.csr -signkey nocat.key -out nocat.crt

Vamos mover este certificado e chave para a pasta padrão do apache:

# mv nocat.crt /etc/pki/tls/certs/nocat.crt
# mv nocat.key /etc/pki/tls/private/nocat.key

Desta forma só precisamos alterar o nome do arquivo de certificado e chave no arquivo de configuração em /etc/http/conf.d/ssl.conf, conforme será mostrado abaixo.

Edite:

# vi /etc/httpd/conf/httpd.conf

Edite este arquivo conforme segue.

# vi /etc/httpd/conf.d/ssl.conf

Edite este arquivo conforme segue:

A instalação do AP deve ser de modo a permitir acesso fácil à rede wireless, para tanto configure-o de forma abera, ou seja, sem restrição de acesso. Em geral é assim que todos os equipamentos vem de fábrica, mas de qualquer forma consulte a documentação do fabricante.

O gateway configurado até este ponto é bastante seguro quanto a liberação de acesso e controle de que tipo de serviços baseado em portas tcp/udp podem passar, porém não há nenhuma preocupação com a segurança entre os clientes desta rede, ou seja, controlar o que um cliente desta rede acesse ou tente acessar outros micros também no mesmo lado da lan. Para isso alguns cuidados básicos devem ser tomados :

• Primeiramente na página inicial deveremos colocar um aviso orientando os usuários a utilizarem VPN caso acessem conteúdos críticos.
• De um modo geral todos os bons AP´s oferecem o recurso de “lan isolation”, que impede que um cliente wireless acesse outro (via acl). Caso você esteja usando um access point mais modesto, esse recurso pode ser implementado no NoCat, mostrarei mais adiante.
• Colocar um endereço de IP no AP em rede diferente do que está sendo publicado no DHCP, não que isso irá impedir qualquer acesso mas dificulta bastante.
• Em alguns equipamentos é possível restringir o acesso ao seu gerenciamento via rede wireless e também restringir o IP que pode acessar o gerenciamento.

Esta medidas visam basicamente a segurança do AP e do acesso indevido entre os clientes da rede.

Copie da pasta /etc que está dentro da pasta onde estão os fontes do nocat (NoCatAuth-nightly/etc) o arquivo “nocat.rc” para a pasta /etc/rc.d/, para ficar padrão com os demais arquivos. Mude seu nome para “rc.nocat”, edite este arquivo e altere conforme segue.

Edite agora o arquivo /etc/rc.d/rc.local, onde colocamos regra para gateway, vamos agora comentar esta regra e acrescentar uma linha para carregar o script do nocat, o objetivo de termos colocado inicialmente a linha para encaminhamento era para testarmos se a ponte de rede estava ok.

Edite então o arquivo /etc/rc.d/rc.local, conforme segue:

Seu portal de acesso wireless está pronto! Este portal também pode ser usado para redes wired, caso encontre uma aplicação.

O NoCat permite várias configurações adicionais, tipo, caso você queira liberar alguns sites para navegação mesmo que os usuários não tenham sido logados. Tipo em aeroportos você tem acesso aos sites dos possíveis provedores para se cadastrar.

Após o login com sucesso você é direcionado a página que tentou acessar inicialmente e um popup será aberto informando que você terá acesso durante determinado tempo (este período você pode configurar em nocat.conf), caso feche este pop-up por descuido, nada acontecerá, seu login permanecerá pelo tempo estipulado, logo após será novamente redirecionado à tela de login (você pode definir tempo de validade de um login, assim quando tentar logar-se novamente não terá sucesso, se for o caso).

E tela de cadastro, fornece uma interface para os usuários se cadastrarem automaticamente.

• Página de login protegida com certificado digital, ou seja, usa ssl criptografando toda a sessão de login, contudo após a autenticação a criptografia para e os dados passarão sem criptografia e como no AP também não é usado criptografia, por este motivo se indica que para acesso a conteúdo crítico deva se usar VPN (da mesma forma que na maioria dos HotSpot);
• Não há criptografia de dados na rede wireless;
• Controle de acesso por portas e por domínio rigoroso, ou seja, você pode restringir facilmente quais portas e quais domínios podem ser acessados através do gateway com NoCat.

Tenho certeza de que o NoCat pode se adequar as necessidades específicas de de cada projeto neste contexto.

Espero que minha contribuição seja útil e fico a disposição para ajudar.