Portail Captif pfSense avec authentification RADIUS
Sommaire
Hello, nous allons voir dans cet article comment mettre en place un portail captif sous pfSense avec un serveur d’authentification RADIUS (Remote Authentication in Dial-In User Service) sous Windows Server 2016.
Un portail captif permet de mettre en place un point d’accès Wifi (ou câblé) pour les utilisateurs afin qu’ils puissent se connecter sur internet avec leur smartphone, tablette…etc. La dernière version de pfSense permet d’activer le portail captif sur plusieurs interfaces réseau.
Dés qu’un utilisateur tente de se connecter à ce réseau, une page de connexion (personnalisable) s’affiche l’invitant à s’authentifier avec son compte Active Directory. Une fois connecté, il est possible de rediriger l’utilisateur vers n’importe quelle page Web (Google, site public de l’entreprise…etc.).
Ce qu’il vous faut :
- Firewall pfSense : Portail Captif
- Windows Server 2016 : Contrôleur de domaine
- Windows 10/8/7 : Utilisateur
Tout est expliqué ici : machine-virtuelle-pixelabs/
Documentation (EN) :
- Service Portail Captif : docs.netgate.com/pfsense
- RADIUS Authentication with Windows Server : docs.netgate.com/pfsense
Schéma portail Captif
Voici le schéma et la configuration réseau du firewall pfSense :
- Interface WAN
- 192.168.1.73/24
- GW : 192.168.1.254
- DNS : 192.168.1.254
- Interface LAN
- 172.16.1.254
- Interface WIFI
- 192.168.2.254
La borne Wifi est branchée sur l’interface WIFI du routeur (firewall) pfSense. Pour que les utilisateurs puissent se connecter sur internet, il faut que le réseau WIFI soit joignable depuis le réseau LAN. Il faut donc mettre en place des règles firewall pour autoriser la connexion internet.
Mode Réseau sous VirtualBox
Windows Server 2016 : Configuration > Réseau Windows 10 (machine de test) : Configuration > Réseau Vous devez installer et configurer Windows Serveur 2016. Voir l’article suivant (j’utilise la même machine) : windows-server-2016/ Allez dans le gestionnaire de serveur et cliquez sur Outils > Utilisateurs et ordinateurs Active Directory Nous allons en profiter pour créer un utilisateur dans /Users et l’affecter à ce groupe de sécurité. Faisons cette opération rapidement avec PowerShell. Voici le script à ouvrir avec Windows PowerShell ISE : Modifier la ligne selon votre configuration : Allez dans le gestionnaire de serveur et cliquez sur Outils > Utilisateurs et ordinateurs Active Directory Nous allons maintenant installer le rôle NPS pour Network Policy Server = Services de stratégie et d’accès réseau. Une fois l’installation du rôle terminé, lancez la console d’administration du serveur NPS. Nous allons commencer par mettre en place un nouveau client RADIUS. Nous allons maintenant donner l’autorisation aux utilisateurs. Dans notre cas, il faut donc ajouter le groupe de sécurité CaptivePortal et tous les utilisateurs appartenant à ce groupe auront l’autorisation. Passons à la configuration de pfSense. Voici les tâches que nous allons réaliser sous pfSense : Pour le moment, nous allons tout autoriser comme sur l’interface LAN. Il faut donc copier la règle IPv4 qui autorise le LAN à joindre toutes les autres interfaces et l’appliquer à l’interface WIFI. Pour que les utilisateurs puissent se connecter sur internet, il faut leur attribuer une adresse IP. Nous allons donc activer le serveur DHCP sur l’interface WIFI. Allez dans le menu Services > Serveur DHCP > WIFI Allez dans le menu Services > Résolveur DNS > Paramètres généraux Allez dans le menu : Système > Gestionnaire d’usagers > Serveurs d’authentification Allez dans le menu Services > Portail Captif > Ajouter Prenez en compte le message au dessous : N’oubliez pas d’activer le serveur DHCP sur la même interface que le portail captif! Assurez-vous que la valeur par défaut/maximale du bail DHCP est plus grande que celle du hard timeout référencée dans cette page. Assurez-vous également que les Forwarders et Resolvers DNS sont actifs pour que les requêtes émises depuis des clients non authentifiés soient honorées. Voici la configuration de ma machine de test (considérée comme un smartphone/tablette ou un PC portable). lancer une invite de commande et lancez ces deux commandes : Le service DHCP doit distribuer une adresse IP à votre machine. Lancez votre navigateur internet et tapez une adresse en HTTP et non HTTPS. http://google.fr La redirection HTTPS vers HTTP ne peut pas fonctionner. Nous n’avons pas sécurisé la page de connexion du portail captif, il faut un certificat valide pour que la redirection se fasse sans problème. Cliquez ici pour voir une démonstration en vidéo La page de connexion de votre portail captif est totalement personnalisable. Depuis l’interface pfSense, dans les paramètres du portail captif (Services > Portail Captif), vous pouvez : Si vous souhaitez modifier le texte “Made with love by Netgate”, connectez-vous en FTP sur votre serveur pfSense depuis votre machine physique (même identifiant que l’interface web et la connexion se fait sur le WAN) et modifier le fichier suivant : (ligne 167 et 169) Remarque : ne pas oublier d’activer le SSH depuis le menu pfSense pour pouvoir se connecter en FTP. Si vous souhaitez changer le nom qui apparaît dans l’onglet du navigateur et si votre logo est flou. Dans le même fichier, modifier les éléments suivant : Une fois le texte modifié, allez dans les options de votre portail captif et activer l’option suivante : Pour sécuriser votre portail captif pfSense au maximum : Je vous laisse explorer les paramètres, il est possible de limiter le débit, de bloquer les clients par adresse MAC, et bien d’autres…etc. C’est terminé les amis. N’hésitez pas si vous avez des questions. Amusez-vous bien. Bonne journée et à très bientôt.Configuration Windows Server 2016
$NewUser = Read-Host "Nom de session"
$PrincipalName = Read-Host "Nom de session principal"
$FirstName = Read-Host "votre nom"
$LastName = Read-Host "votre prénom"
$NewName = "$FirstName $LastName"
$Path = "CN=Users,DC=PIXELABS,DC=LAN"
New-ADUser -SamAccountName $NewUser -UserPrincipalName $PrincipalName -Name $NewName -GivenName $FirstName -Surname $LastName -Path $Path -AccountPassword (Read-Host "Password" -AsSecureString) -PasswordNeverExpires $true -Enabled $true
$Path = "CN=Users,DC=PIXELABS,DC=LAN"
Installation Serveur RADIUS
Configuration Serveur RADIUS
Configuration pfSense 2.4.4
Règle Firewall Interface WIFI
Activer le serveur DHCP
Activer le DNS Resolver
Authentification RADIUS
Configuration Portail Captif
Test Portail Captif
C:\Users\PC-PIXEL#> ipconfig /release
C:\Users\PC-PIXEL#> ipconfig /renew
Personnaliser la page Login
Vous aimez pixelabs ? 
Bonjour ! Super tuto, un grand merci ! J’ai juste des soucis du côté Access Point, je me perds dans les configurations AP Cisco Catalyst :/
Salut,
Désolé, j’étais absent.
C’est quoi le problème ?
-sysadmin.
Coucou j’ai bien aimé ton exposé, j’ai une question l’adresee du Wi-Fi c’est toi qui l’a choisi par hasard ??
Salut,
Oui, tu peux choisir n’importe quel réseau et n’importe quelle adresse IP pour ton réseau WIFI.
Bonne journée.
sysadmin.
Merci beaucoup.
Est-ce qu’il y un autre moyen de vous contacter pour d’éventuelles questions?
Y a pas de quoi 🙂
Vous pouvez me contacter par mail à l’adresse suivante : https://pixelabs.fr/my-endless-it-project/
il y a également un forum ici : https://pixelabs.fr/forum/
Bonne journée.
-sysadmin
merci pour la presentation de exposer mais est ce que vous expliquer ce que le portail captif fait reellement j’ai pas bien compris
Bonjour Moussa,
Tu t’es déjà connecté (sans doute) à un portail captif sans le savoir. le réseau wifi que l’on trouve au Macdo, Hôtel, Aéroport…etc. Ce sont des portails captif permettant aux gens de se connecter au Wifi (hotspot) de l’entreprise.
J’espère que j’ai répondu à ta question.
Bonne journée.
-Pixel.
Bonjour,
Merci pour ce tutoriel mais j’ai des préoccupations par rapport à ça.
Je constate que le point d’accès et le LAN ne sont pas dans le même réseau, est-ce que ça veut dire que lorsqu’un utilisateur voudra se connecter au Wi-Fi il aura une adresse de type 192.168.2.x ?
Sur le schéma on voit bien que le point d’accès se relie au LAN, est-ce que ça voudrait dire que le point d’accès attribuera par DHCP une adresse de type 172.16.x.x pour que les utilisateurs du LAN puissent accéder à internet par Wi-Fi ?
Merci de me répondre.
Salut,
Le point d’accès WIFI à son réseau à part (192.168.2.0) et isolé du réseau de l’entreprise (172.16.0.0).
Le service DHCP est activé uniquement sur l’interface WIFI. Toutes les personnes connectés sur le WIFI de l’entreprise auront systématiquement une adresse IP 192.168.2.X.
N’hésites pas si besoin.
-sysadmin.
OK, mais est-ce que les utilisateurs qui se connecteront au WiFi pourront s’authentifier via le serveur RADIUS qui est dans le LAN ?
Oui biensur, c’est le firewall pfSense qui fait la liaison entre le portail captif et le serveur Radius AD. Dans pfSense, le portail Captif est activée sur l’interface WiFi.
N’hésite pas si tu as d’autres questions.
-sysadmin.
Je comprends mieux.
J’avoue que j’ai recherché un site qui traite de ce sujet et je suis tombé sur le site qu’il me fallait.
Je crois que je vais vous poser assez de questions.
Est-ce que ça veut dire que les utilisateurs connectés au Wi-Fi feront partie de l’AD ?
Sur les postes clients (LAN et WI-FI) quelle adresse DNS doit-on renseigner (celle de notre contrôleur de domaine ou celle de notre interface Wi-Fi et LAN) pour avoir internet ?
Oui,les utilisateurs font partie de l’AD sinon, il n’ont pas d’autres moyen de se connecter au WiFi (dans cet article).
Oublie le LAN c’est le réseau (avec domaine) de l’entreprise, il est isolé du WiFi.
C’est le DHCP de pfSense qui s’occupe de distribuer la configuration réseau à chaque utilisateur connectés. Le DHCP est activé UNIQUEMENT sur l’interface WIFI et non le LAN.
L’adresse IP de l’interface WIFI est utilisée en tant que passerelle ET DNS.
Bonne journée.
-sysadmin