TP-Link Omada: портал авторизации гостей и внешний сервер

Omada — самый частый выбор, когда точек больше двух: торговый центр, отель, большой ресторан с несколькими залами. Портал авторизации здесь настраивается централизованно, но именно поэтому легко промахнуться уровнем настройки.

Где что живёт

Всё управление идёт через Omada Controller — аппаратный, программный или облачный. Точки доступа сами по себе ничего не решают: они получают конфигурацию от контроллера. Настройки портала находятся в разделе аутентификации и применяются к выбранным SSID, а не ко всей сети сразу. Первая типичная ошибка — настроить портал и забыть отметить гостевой SSID.

Что понадобится до начала

• Доступ в Omada Controller с правами администратора. Контроллер может быть аппаратным, программным или облачным — путь в меню везде одинаковый
• Точки доступа уже приняты в контроллер и показывают статус Connected. Пока точка не в контроллере, настройки портала к ней не применятся
• Адрес внешнего портала и ключ, которым подписываются запросы
• Адреса для списка разрешённых: портал и шлюз SMS
• Номер VLAN под гостевую сеть, согласованный с тем, что настроено на коммутаторе

Последний пункт — самый частый источник потерянного времени на больших объектах. Если VLAN заведён в контроллере, но не пропущен на портах коммутатора, гости будут подключаться к сети и не получать адрес.

Шаг 1. Гостевая сеть

Заведите отдельный SSID для гостей и отдельную сеть с собственным VLAN. В настройках включите гостевой режим: он закрывает доступ из гостевого сегмента к внутренним подсетям. Без этого точка доступа честно пустит гостя к кассе, если они окажутся в одной сети — про последствия есть отдельный разбор.

Шаг 2. Тип авторизации

Omada предлагает несколько сценариев портала:

• без авторизации — просто страница с кнопкой «согласен». Личность не подтверждает;
• простой пароль — тот самый общий пароль, который не решает задачу идентификации;
• ваучеры и локальные пользователи — удобно в отеле, где ваучер выдают на ресепшн;
• внешний RADIUS — подтверждение и учёт сессий на вашей стороне;
• внешний портал — страницу входа отдаёт ваш сервер, он же подтверждает номер по SMS или через цифровой ID.

Для заведения в Казахстане рабочая связка — внешний портал плюс RADIUS: первый отвечает за подтверждение личности и внешний вид страницы, второй за учёт сессий, из которого складывается журнал.

Шаг 3. Подключение внешнего портала

В профиле портала указываются адрес страницы входа, адрес RADIUS-сервера и общий секрет. Обязательно включите accounting: без него авторизация работает, а записей о сессиях нет. Интервал промежуточных обновлений задайте небольшим, иначе длинная сессия попадёт в журнал одной записью только при отключении гостя.

Шаг 4. Разрешённые адреса

До авторизации гостю доступен только список разрешённых адресов. Внесите туда домены самого портала, его API и SMS-шлюза. Если этого не сделать, страница входа не загрузится: снаружи это выглядит как «Wi-Fi есть, интернета нет».

Как убедиться, что всё работает

1. Подключитесь к гостевому SSID с выключенными мобильными данными
2. Проверьте, что телефон получил адрес из гостевой подсети, а не из служебной
3. Откройте любой сайт по http — должна появиться страница входа
4. Войдите и убедитесь, что сессия появилась и в журнале портала, и в списке клиентов контроллера
5. Повторите проверку на точке в дальнем конце объекта: портал привязан к SSID, но применяется через контроллер, и точка, потерявшая с ним связь, ведёт себя иначе

Если страница входа не появляется

• Портал не привязан к SSID. Самая частая причина: профиль создан, но гостевой SSID в нём не отмечен
• Проверка по https. Перехватить защищённое соединение без предупреждения о сертификате нельзя, проверяйте открытием http-страницы
• Точки не приняли конфигурацию. После изменений у точек доступа должен пройти цикл применения настроек; пока он не закончился, часть точек работает по старой конфигурации
• VLAN не доходит до контроллера. Если гостевой VLAN не пропущен на коммутаторе, RADIUS-запросы просто не уходят

Какой контроллер выбрать

На авторизацию гостей выбор влияет меньше, чем принято думать, но разница есть.

• Аппаратный — коробка в стойке, не зависящая от чужих серверов. Удобен там, где нет своего администратора: поставили и забыли
• Программный — ставится на сервер или виртуальную машину. Дешевле на старте и гибче, но требует, чтобы кто-то следил за обновлениями и резервными копиями
• Облачный — управление через интернет, без своего железа. Главный вопрос здесь: что происходит при обрыве канала. Уже подключённые гости продолжают работать, а новые авторизации на время недоступности не пройдут

Для одного заведения разница почти не чувствуется. Для сети из нескольких объектов решающей становится не цена, а то, где вы хотите видеть общий список клиентов и отчёты.

Что учесть в большом объекте

В ТРЦ и отелях к авторизации обычно сразу добавляют аналитику: сколько посетителей, сколько новых, как они ходят между зонами. Это уже поверх портала — см. Wi-Fi радар для ТРЦ и сценарий для торговых центров. Требование идентификации при этом одинаково для одной точки и для сотни: что именно требует закон.