1

Имеется система, которая с помощью iptables маркирует и переадресовывает все соединения на 80 порт веб-сервера, веб-сервер в свою очередь через команду /usr/sbin/arp -an IP получает MAC пользователя и предлагает авторизоваться или выполнить какое-либо действие.

Но есть проблема с HTTPS, т.е. если пользователь откроет http то шлюз перенаправит его на свой ip на порт 80, а если пользователь откроет https://google.com то перенаправление произойдет на 443 порт. Вот тут и начинается проблема с сертификатами, т.е. происходит проверка сертификата google с доменом шлюза, и выходит ошибка несоответствия.

Как избежать такой проблемы? есть ли возможность сделать это через iptables, dns или nginx?

3
  • вот тут и начинается проблема с сертификатами… Как избежать такой проблемы? — насколько мне известно — никак. // ваш вопрос слишком всеобъемлющ. разбейте его, пожалуйста, на отдельные вопросы. 26 авг 2016 в 17:06
  • @alexander barakin Вопрос касается одной темы, сложно будет разбить его на несколько вопросов, а если и удастся то будет почти тоже самое, на счет сертификатов, есть идея работать с dns а не маркировать порты, но дедлайн =((( 26 авг 2016 в 17:10
  • все вопросы на этом сайте «касаются одной темы». у вас же как минимум два обширнейших подвопроса. я всего лишь рекомендую разбить, чтобы избежать закрытия вопроса как «невозможно дать краткий ответ». кстати, ничто не мешает делать ссылку на другой свой вопрос как источник более подробного описания картины. 26 авг 2016 в 17:14

1 ответ 1

2

вот тут и начинается проблема с сертификатами, т.е. происходит проверка сертификата google с доменом шлюза, и выходит ошибка несоответствия... Как избежать такой проблемы?

насколько мне известна — никак. ведь в этом и смысл https-соединения: чтобы никто не мог «прикинуться» настоящим сайтом.

вероятно, наиболее «честным» путём обхода данной проблемы является просто отклонение таких подключений (reject в терминах netfilter-а) — чтобы браузер сразу же сообщил пользователю что-нибудь вроде «не удалось подключиться к серверу».


вот даже в википедийной статье про captive portal этот момент отмечают (выделено мною):

Поскольку сценарий работы с captive portal корректно себя ведёт только в браузере при обращении к не-https сайту

Возможны проблемы с перенаправлением пользователей, подключающихся с устройств не распознающих captive portal и открывающих сайты, форсирующие использование https (например, с включенной технологией HSTS). По данным разработчиков Chrome, около 5 % сообщений об ошибках SSL/TLS вызвано Captive порталами.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.