El Wi-Fi gratuito para los visitantes de cafeterías, restaurantes, centros comerciales y muchos otros espacios públicos ya se ha convertido en un estándar obligatorio de buen servicio. Hace apenas unos años, para acceder a internet desde una tablet o teléfono era necesario utilizar datos móviles, pero ahora el Wi-Fi gratuito está disponible prácticamente en todos lados: en el transporte público, en los parques, en las cafeterías y en los centros comerciales. Sin embargo, cada vez más redes Wi-Fi requieren autorización para conectarse — ¿para qué sirve y cómo se implementa?
Quién es responsable de la identificación
Existen 3 métodos principales para organizar la identificación:
- Instalación de equipo especial (un router o servidor proxy) en la red Wi-Fi del establecimiento. Este método es utilizado con mayor frecuencia por los propietarios de hoteles, donde la identificación del huésped en la red se realiza mediante el número de habitación, al que están vinculados sus datos del pasaporte.
- Uso de una solución lista de una empresa intermediaria que proporciona equipos y servicios de identificación por número de teléfono. Este método puede ser utilizado por propietarios de pequeñas cafeterías y restaurantes, pero tiene limitaciones de escalabilidad y requiere la firma de un contrato por separado y el pago de una tarifa mensual por el servicio.
- Prestación del servicio de identificación por el operador de telecomunicaciones con el que se ha celebrado el contrato de acceso a internet. Es la opción más universal y accesible, ya que no requiere costos adicionales en equipos, puede incluirse en el contrato principal de acceso a internet y no tiene límites en cuanto al número de suscriptores de Wi-Fi gratuito.
Identificación por número de teléfono
Este método de identificación es el más extendido.
La secuencia de acciones que debe seguir el usuario para acceder a la red Wi-Fi gratuita es la siguiente:
- El abonado se conecta a la red Wi-Fi del establecimiento.
- Aparece la página de bienvenida del establecimiento con la información de que el abonado debe abrir un navegador e identificarse (en algunos dispositivos, como el iPhone, la identificación directamente desde la página de bienvenida no guarda las cookies).
- En el navegador, al intentar acceder a cualquier URL, el abonado es redirigido a la página de identificación.
- El abonado introduce su número de teléfono y solicita un código de acceso.
- El código de acceso es enviado al número de teléfono ingresado mediante SMS.
- El abonado introduce el código de acceso recibido en la página de identificación.
- Se registra una cookie de sesión en el dispositivo del abonado y se almacena durante 24 horas (esto es necesario para permitir el reacceso a la red sin necesidad de volver a identificarse), y el abonado es redirigido a la URL que solicitó originalmente.
El propietario del establecimiento solo necesita instalar y configurar el equipo Wi-Fi, conectarlo a la línea del operador de telecomunicaciones y pagar el plan tarifario elegido. El proceso de identificación del usuario se lleva a cabo en el equipo del operador de telecomunicaciones. Veamos cómo funciona utilizando como ejemplo el sistema Stingray de la empresa VAS Experts.
Esquema de identificación del operador por número de teléfono
Además del equipo estándar para proporcionar acceso a internet a los abonados (conmutadores, routers, router de borde, puntos de acceso Wi-Fi), el operador debe disponer de:
- El sistema Stingray;
- Un servidor DHCP para la asignación centralizada de direcciones IP a los abonados (en la misma red que el DPI), con capacidad para ejecutar un script shell al asignar una nueva dirección IP;
- Una máquina virtual con un servidor web Apache instalado (httpd) y un módulo de visualización de estadísticas e informes (nfsen);
- Acceso a un servicio de envío de mensajes SMS;
- NAT para reducir el número de direcciones IPv4 utilizadas, con registro de las traducciones IP↔IP y PORT (opcional);
- Radius para la autenticación en la red mediante el identificador del abonado (opcional).
La secuencia de operaciones en este esquema:
- Un dispositivo de abonado (smartphone, tablet o laptop) se conecta al router Wi-Fi del establecimiento (la red gratuita);
- El router Wi-Fi solicita una nueva dirección IP al servidor DHCP del operador de telecomunicaciones;
- Al asignar una nueva IP, el servidor DHCP ejecuta un script shell y envía los datos al router Wi-Fi;
- El script shell activa el servicio de lista blanca y una tarifa con restricciones de acceso en el DPI Stingray para la IP asignada;
- El servidor web recibe una solicitud para la página de bienvenida; el abonado activa el navegador y navega a cualquier URL;
- El servidor web recibe una solicitud para la página de identificación (y verifica la cookie); el abonado introduce su número de teléfono y hace clic en «obtener código de acceso»;
- El servidor web recibe la solicitud de código de acceso, genera un número aleatorio y lo envía al teléfono del abonado a través del servicio externo; el abonado introduce el código en el formulario y hace clic en «confirmar»;
- El servidor web recibe la solicitud de confirmación del código de acceso; si el código es correcto, ejecuta un script shell para eliminar el servicio de lista blanca y establecer la tarifa de acceso Wi-Fi, establece una cookie en el navegador y redirige a la URL solicitada originalmente.
Configuración del equipo
Para implementar el esquema, es necesario configurar el equipo del operador: el sistema DPI, el servidor DHCP y el servidor web.
Configuración del sistema DPI
- Se utiliza el archivo de descripción de clases de protocolos txt:
http cs0 https cs0 dns cs0 default cs1
- Se convierte y copia desde el archivo de fuentes al servidor DPI:
cat protocols.txt|lst2dscp /etc/dpi/protocols.dscp htdocs/wifi/.script to /home/fastdpi/
- Se crea el archivo de tarifa default_policing.cfg para el acceso a internet por Wi-Fi a 10 Mbit:
htb_inbound_root=rate 10mbit htb_inbound_class0=rate 1mbit ceil 10mbit htb_inbound_class1=rate 1mbit ceil 10mbit htb_inbound_class2=rate 8bit ceil 10mbit htb_inbound_class3=rate 8bit ceil 10mbit htb_inbound_class4=rate 8bit ceil 10mbit htb_inbound_class5=rate 8bit ceil 10mbit htb_inbound_class6=rate 8bit ceil 10mbit htb_inbound_class7=rate 8bit ceil 10mbit htb_root=rate 10mbit htb_class0=rate 1mbit ceil 10mbit htb_class1=rate 1mbit ceil 10mbit htb_class2=rate 8bit ceil 10mbit htb_class3=rate 8bit ceil 10mbit htb_class4=rate 8bit ceil 10mbit htb_class5=rate 8bit ceil 10mbit htb_class6=rate 8bit ceil 10mbit htb_class7=rate 8bit ceil 10mbit
- Se crea el archivo de tarifa captive_portal_hard.cfg para bloquear el acceso a internet junto con la lista blanca:
htb_inbound_root=rate 256kbit htb_inbound_class0=rate 8bit ceil 256kbit htb_inbound_class1=rate 8bit ceil 8bit htb_inbound_class2=rate 8bit ceil 8bit htb_inbound_class3=rate 8bit ceil 8bit htb_inbound_class4=rate 8bit ceil 8bit htb_inbound_class5=rate 8bit ceil 8bit htb_inbound_class6=rate 8bit ceil 8bit htb_inbound_class7=rate 8bit ceil 8bit htb_root=rate 256kbit htb_class0=rate 8bit ceil 256kbit htb_class1=rate 8bit ceil 8bit htb_class2=rate 8bit ceil 8bit htb_class3=rate 8bit ceil 8bit htb_class4=rate 8bit ceil 8bit htb_class5=rate 8bit ceil 8bit htb_class6=rate 8bit ceil 8bit htb_class7=rate 8bit ceil 8bit
- Se configura el servicio de lista blanca:
cp_server=yoursite.com/welcome.php
Configuración del servidor DHCP
- Se configura la ejecución remota de comandos mediante SSH.
- Se establece un disparador para la asignación de una nueva IP:
ssh dpi_user@dpi_host «/home/fastdpi/_add_captive_portal.sh »
Configuración del servidor web
- Se configura la ejecución remota de comandos mediante SSH.
- Se configura la configuración de Apache; el ejemplo se encuentra en el directorio conf/ del archivo:
- En conf.d/php.ini se trasladan/agregan las configuraciones del ejemplo conf/php.ini
- Se habilita el archivo conf
- Se establece DocumentRoot en /var/www/html/htdocs/wifi/
- Se copia htdocs/ en /var/www/html
- Se edita /var/www/html/htdocs/wifi/.script/remove_captive_portal.sh
- Se edita /var/www/html/htdocs/wifi/request.php, especificando el USUARIO y la CONTRASEÑA de acceso al servicio de envío de SMS
La implementación de la identificación de usuarios con este esquema permite resolver varias tareas al mismo tiempo:
- Proporcionar a los visitantes acceso gratuito a internet, aumentando así su lealtad y satisfacción;
- Cumpla con los requisitos gubernamentales y evite multas;
- Mostrar publicidad e información sobre las promociones de marketing del establecimiento en la página de autorización;
- Llevar estadísticas sobre los visitantes para su análisis posterior con el fin de mejorar la calidad de los servicios prestados.
Para obtener información más detallada sobre la función de identificación de usuarios del sistema DPI Stingray y sus otras capacidades, puede ponerse en contacto con los especialistas de VAS Experts.
