Zugangsbeschränkung / Internet-Cafe

Computer: Software & Programmierung UNIX & Linux
#1

Hi zusammen!

Folgende Prblematik :

In einem Internet-Cafe sollen sich Kunden auch mit ihrem Laptop „anstöpseln“ und sürfen können.
Also bezahlen sie und bekommen einen Zugangscode, der für einen bestimmten Zeitraum den Zugang zum Internet ermöglicht.
Wenn sie den Browser aufmachen soll unsere Startseite mit Eingabemöglichkeit für den Zugangscode erscheinen. Ist dieser korrekt eingegeben worden, ist der Zugang zum Internet offen.
Die Zugangsdaten sollen in einer Datenbank gespeichert sein.
Außerdem sollen weitere Daten während des Betriebs angelegt werden können.

Die Kunden sollten aber nicht gezwungen werden, irgendwelche Programme auf ihren Laptops zu installieren.

Wie bewerkstellige ich das am besten? Mit Proxy ? Es sollte auf einem Linux-Rechner laufen.

Ganz großer Dank im voraus
Timo Engel

#2

Ist nicht ganz einfach…

Grundlegende Idee:
Die Benutzer müssen Ihren Laptop auf DHCP stellen , dabei wird Ihnen vom Deinem DHCP Server ein Proxy zugewiesen.

Dann müsstet Du auf dem Proxy Du Zeitbeschränkung vornehmen und die Startseite setzen.

Ich bin aber nur ein Vorschlagsmensch, frag mich bitte nicht nach Details… :wink:

#3

Grundlegende Idee:
Die Benutzer müssen Ihren Laptop auf DHCP stellen , dabei wird
Ihnen vom Deinem DHCP Server ein Proxy zugewiesen.

Kann sein, dass ich mich irre, aber m. W. kannst du per DHCP keinen Proxy zuweisen. Schliesslich wird der Proxy nicht in den Konfigurationsdateien des Betriebssystems, sondern in denen des Browsers konfiguriert. Den DHCP-Server brauchst du natürlich trotzdem, schliesslich sollen die Leute nicht grossartig in ihrer Netzwerkkonfig. herumspielen müssen.

Dann müsstet Du auf dem Proxy Du Zeitbeschränkung vornehmen
und die Startseite setzen.

Hier sehe ich das Problem, dass z. B. der Squid als in Frage kommender Proxy seine Regeln statisch lädt und jede Regeländerung (Freigabe/Sperre) per reconfigure-Direktive dynamisch nachgeladen werden müsste. Ich weiss nicht, wie sich das auf die Performance auswirkt. Ausserdem, s. o., müssten die User dann ihre Browser entspr. manuell konfigurieren.

Alternativ bietet sich eine Paketfilterung mit dynamischen Regeln an. Netfilter http://www.netfilter.org/ z. B. müsste das können. Den Aufwand, entspr. Scripts zu basteln, halte ich für überschaubar.

Gruss,
Schorsch

#4

Hi zusammen!

Hallo,

In einem Internet-Cafe sollen sich Kunden auch mit ihrem
Laptop „anstöpseln“ und sürfen können.

Damit hast Du schon ein grundlegendes Problem: untrusted roots im eigenen Netzwerk. Du solltest Dir immer bewuszt sein: wenn die Dir ans Bein pissen wollen, schaffen sie es auch.

Also bezahlen sie und bekommen einen Zugangscode, der für
einen bestimmten Zeitraum den Zugang zum Internet ermöglicht.
Wenn sie den Browser aufmachen soll unsere Startseite mit
Eingabemöglichkeit für den Zugangscode erscheinen.

Kein Problem: DHCP musz (leider[1]) sein, darueber nameserver und default gateway setzen (Konfiguration haengt vom verwendeten DHCP server ab). Beides mueszen lokale Rechner sein. Auf dem gw wird jede Verbindung erstmal weggeworfen, alle Verbindungen auf port 80 werden umgeleitet (DNAT mit netfilter/iptables) zu einem Authentifizierungsserver (irgendein selbst gebasteltes webfrontend), der das Eingegebene mit der Datenbank abgleicht. Anschlieszend wird MAC und IP# im netfilter auf dem gw eingetragen.[2] cron ueberprueft regelmaszig die DB und wirft abgelaufene Regeln wieder raus. IIRC gab es auch ein time-patch fuer iptables, mal im patch-o-matic stoebern.

Außerdem sollen weitere Daten während des Betriebs angelegt
werden können.

MySQL setzt da AFAIK keine Grenzen. Global solltest Du nur sehr bestimmte Anwendungen (ports) oeffnen: transparenter proxy per DNAT auf einen squid, DNS geht nur zu Deinem server (und der loggt (anonym!) alle Namensaufloesungen mit), Klartextprotokolle (so weit moeglich) sperren.

Wie bewerkstellige ich das am besten? Mit Proxy ? Es sollte
auf einem Linux-Rechner laufen.

So ungefaehr wuerde ich das machen. Ist zwar keine genaue Anleitung, aber ein grober Fahrplan.

HTH,
Gruss vom Frank.
===footnotes===
Gefaehrdungspotential:
[1] Jeder Deiner Nutzer kann in dem wahrscheinlich geswitchten Netz einen DHCP-server aufstellen und damit Schabernack treiben. Sowas zu finden ist moeglich, aber nicht trivial.
[2] MAC und IP# lassen sich beliebig veraendern.

#5

Kann sein, dass ich mich irre, aber m. W. kannst du per DHCP
keinen Proxy zuweisen. Schliesslich wird der Proxy nicht in
den Konfigurationsdateien des Betriebssystems, sondern in
denen des Browsers konfiguriert. Den DHCP-Server brauchst du
natürlich trotzdem, schliesslich sollen die Leute nicht
grossartig in ihrer Netzwerkkonfig. herumspielen müssen.

Stimmt, ich mache das indirekt:
Die Rechner bekommen den Proxy über eine Gruppenrichtlinie vom Server zugewiesen, dafür müssen sie natürlich in der Domöne sein.
Nur die Netzwerkeinstellungen kommen natürlich per DHCP.

Diese Lösung fällt natürlich flach, wenn auf den Laptops wirklich nichts geändert werden soll.

In diesem Fall kommst Du aber IMHO um aktive Kommonenten nicht herum, sonst trägt der Benutzer den Proxy einfach nicht ein und surft fröhlich herum.
Oder Du versteckst den Default-Gateway und hoffst, dass der Benutzer ihn nicht findet und einfach mit „route add“ hinzufügt.

#6

In diesem Fall kommst Du aber IMHO um aktive Kommonenten nicht
herum, sonst trägt der Benutzer den Proxy einfach nicht ein
und surft fröhlich herum.
Oder Du versteckst den Default-Gateway und hoffst, dass der
Benutzer ihn nicht findet und einfach mit „route add“
hinzufügt.

Nö. Ich will ihn ja eben nicht über einen Proxy leiten, sondern direkt übers Gateway. Und da liegt ja dann der Paketfilter. Solange die ihm zugewiesene IP-Adresse dort nicht mittels einer iptable-Regel freigeschaltet ist, müsste schon ein anderer Gast sein Notebook selbst als Router oder Proxy einrichten und anbieten, um unauthorisiert surfen zu können.

Gruss,
Schorsch

#7

Nö. Ich will ihn ja eben nicht über einen Proxy leiten,
sondern direkt übers Gateway. Und da liegt ja dann der
Paketfilter. Solange die ihm zugewiesene IP-Adresse dort nicht
mittels einer iptable-Regel freigeschaltet ist, müsste schon
ein anderer Gast sein Notebook selbst als Router oder Proxy
einrichten und anbieten, um unauthorisiert surfen zu können.

Na dann hast Du ja eine aktive Komponente! :wink:
Ich verstand unter „Gateway“ jetzt einfach ein DSL-Modem oder was auch immer. Wenn das eine Linuxkiste ist bist Du ja gänzlich frei, was Du zulassen kannst.

Also NAT laufen lassen, und über den Webserver auf dem Proxy über PHP oder was auch immer ipchains verändern .

Klar, geht, und ist eigenlich sogar recht einfach…

Was fragst Du überhaupt wenn Du die Antwort eh schon kennst… :wink:

#8

offtopic

Was fragst Du überhaupt wenn Du die Antwort eh schon kennst…
:wink:

Ich frag doch nicht, sondern der Timo. Evtl. Namensgleichheiten zw. Timo und Schorsch sind rein zufällig und nicht beabsichtigt :wink:

Gruss,
Schorsch

#9

Ich frag doch nicht, sondern der Timo. Evtl.
Namensgleichheiten zw. Timo und Schorsch sind rein zufällig
und nicht beabsichtigt :wink:

Hätte ja sein können, Du kennst Dich mit den realen Gegegenheiten dort ja anscheinend recht gut aus. :smile: