1

Имеется система, которая с помощью iptables маркирует и переадресовывает все соединения на 80 порт веб-сервера, веб-сервер в свою очередь через команду /usr/sbin/arp -an IP получает MAC пользователя и предлагает авторизоваться или выполнить какое-либо действие.

Но есть проблема с HTTPS, т.е. если пользователь откроет http то шлюз перенаправит его на свой ip на порт 80, а если пользователь откроет https://google.com то перенаправление произойдет на 443 порт. Вот тут и начинается проблема с сертификатами, т.е. происходит проверка сертификата google с доменом шлюза, и выходит ошибка несоответствия.

Как избежать такой проблемы? есть ли возможность сделать это через iptables, dns или nginx?

3
  • вот тут и начинается проблема с сертификатами… Как избежать такой проблемы? — насколько мне известно — никак. // ваш вопрос слишком всеобъемлющ. разбейте его, пожалуйста, на отдельные вопросы. Commented 26 авг. 2016 в 17:06
  • @alexander barakin Вопрос касается одной темы, сложно будет разбить его на несколько вопросов, а если и удастся то будет почти тоже самое, на счет сертификатов, есть идея работать с dns а не маркировать порты, но дедлайн =((( Commented 26 авг. 2016 в 17:10
  • все вопросы на этом сайте «касаются одной темы». у вас же как минимум два обширнейших подвопроса. я всего лишь рекомендую разбить, чтобы избежать закрытия вопроса как «невозможно дать краткий ответ». кстати, ничто не мешает делать ссылку на другой свой вопрос как источник более подробного описания картины. Commented 26 авг. 2016 в 17:14

1 ответ 1

2

вот тут и начинается проблема с сертификатами, т.е. происходит проверка сертификата google с доменом шлюза, и выходит ошибка несоответствия... Как избежать такой проблемы?

насколько мне известна — никак. ведь в этом и смысл https-соединения: чтобы никто не мог «прикинуться» настоящим сайтом.

вероятно, наиболее «честным» путём обхода данной проблемы является просто отклонение таких подключений (reject в терминах netfilter-а) — чтобы браузер сразу же сообщил пользователю что-нибудь вроде «не удалось подключиться к серверу».


вот даже в википедийной статье про captive portal этот момент отмечают (выделено мною):

Поскольку сценарий работы с captive portal корректно себя ведёт только в браузере при обращении к не-https сайту

Возможны проблемы с перенаправлением пользователей, подключающихся с устройств не распознающих captive portal и открывающих сайты, форсирующие использование https (например, с включенной технологией HSTS). По данным разработчиков Chrome, около 5 % сообщений об ошибках SSL/TLS вызвано Captive порталами.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.