UniFi: портал авторизации гостей и внешний сервер

UniFi — одно из самых частых решений в казахстанских отелях и сетевых заведениях, но инструкций по авторизации гостей под наши требования на него почти нет. Разбираем, где в контроллере живёт портал, как подключить внешний сервер и что проверить, если страница входа не появляется.

Что понадобится до начала

• Доступ в UniFi Network с правами администратора площадки. Контроллер может стоять на отдельном устройстве, на шлюзе или быть развёрнут самостоятельно на сервере — путь к настройкам во всех случаях один
• Точки доступа приняты в контроллер и показывают статус подключённых. Настройки портала применяются через контроллер, точка вне его о них не узнает
• Адрес внешнего портала и ключ, которым подписываются запросы
• Список адресов, открытых до авторизации: портал и шлюз SMS
• Телефон с выключенным мобильным интернетом для проверки

Названия пунктов меню в UniFi меняются от версии к версии чаще, чем у остальных вендоров из этого списка: то, что в одной сборке лежит в разделе про гостевой доступ, в другой переезжает в настройки беспроводной сети. Ориентируйтесь на смысл настройки, а не на подпись со скриншота из чужой инструкции.

Где живёт портал

В UniFi портал — функция не точки доступа, а контроллера. Точка лишь перехватывает трафик и спрашивает у контроллера, что делать с этим клиентом. Отсюда два следствия.

Первое: пока точка не принята в контроллер, настройки портала на неё не попадут. Второе: если контроллер стал недоступен, уже авторизованные гости продолжают работать, а новые авторизации не проходят. Для объекта, где контроллер вынесен в облако, это стоит держать в голове при выборе канала.

Шаг 1. Гостевая сеть

Заведите отдельную беспроводную сеть для гостей и обязательно пометьте её как гостевую. Это не косметический флаг: он включает изоляцию от внутренних подсетей и делает доступными настройки портала. Сеть без этой отметки работает как обычная, со всеми вытекающими — гость окажется в одной сети с кассой.

Гостевой сети стоит выделить собственную VLAN, согласованную с тем, что настроено на коммутаторе. На объекте с несколькими точками это тот пункт, из-за которого чаще всего теряют время: VLAN заведена в контроллере, но не пропущена на портах, и гость подключается к сети, не получая адреса.

Шаг 2. Включение портала

В настройках гостевого доступа выбирается способ авторизации. UniFi предлагает несколько: страница с кнопкой согласия, общий пароль, встроенные ваучеры, внешний сервер авторизации и RADIUS.

Первые два требование об идентификации не закрывают. Кнопка «согласен» не отвечает на вопрос, кто был в сети, а общий пароль отвечает на него одинаково для всех. Встроенные ваучеры подходят там, где талон выдаёт сотрудник — например на ресепшн отеля. Для входа по SMS или через цифровой ID нужен внешний сервер.

Шаг 3. Внешний портал

В настройках указывается адрес страницы входа. Дальше UniFi работает так: при попытке гостя выйти в интернет точка перенаправляет его на этот адрес и передаёт в параметрах MAC-адрес устройства, MAC точки доступа, имя сети и адрес, который гость пытался открыть. Портал показывает форму, подтверждает номер и сообщает контроллеру, что этому устройству можно в интернет.

Отдельно про https. UniFi умеет перехватывать защищённые соединения, но для этого нужен сертификат, которому доверяет телефон гостя; без него браузер покажет предупреждение вместо страницы входа. Проще не перехватывать https вовсе: телефоны сами открывают портал по обычному http, когда проверяют доступность сети.

Шаг 4. Доступ до авторизации

Пока гость не вошёл, ему закрыт весь интернет, кроме списка разрешённого. В этот список попадают адрес портала и шлюз, через который уходят SMS. Если портал живёт на домене, добавляйте и домен, и адреса, которые он отдаёт: устройство сначала разрешает имя, и если DNS закрыт, до страницы входа дело не дойдёт.

Как убедиться, что всё работает

1. Подключитесь к гостевой сети с выключенными мобильными данными
2. Проверьте, что телефон получил адрес из гостевой подсети, а не из служебной
3. Откройте любой сайт по http — должна появиться страница входа
4. Войдите и убедитесь, что устройство видно в списке клиентов контроллера как авторизованное, а сессия — в журнале портала
5. С того же телефона попробуйте открыть адрес кассы или камеры: доступа быть не должно

Если страница входа не появляется

• Сеть не помечена как гостевая. Самая частая причина: к обычной сети настройки портала просто не применяются
• Проверяете по https. Откройте что-нибудь по http — перехват работает там
• Портал не в списке разрешённого. Гость не может дойти до страницы, на которую его отправляют
• Точка потеряла контроллер. Посмотрите её статус: точка вне контроллера раздаёт сеть, но авторизацию не проводит
• Телефон помнит прошлую сессию. Забудьте сеть на устройстве и подключитесь заново

Что попадает в журнал

Контроллер хранит список клиентов и историю подключений, но это сетевые данные: MAC-адрес, точка доступа, время. Ответа на вопрос «кто это был» там нет — его даёт портал, связывающий устройство с подтверждённым номером. По каждой сессии сохраняются номер, время начала и окончания, MAC и точка доступа; журнал выгружается из личного кабинета.

Это же снимает вопрос о том, что будет при замене контроллера или переносе площадки в другой аккаунт: история останется на стороне портала. Какие поля и за какой срок имеет смысл держать, разобрано в материале про хранение логов Wi-Fi.

Когда UniFi — верный выбор

UniFi хорошо ложится на объекты, где точек больше одной и важен единый список клиентов: отели, сетевые заведения, бизнес-центры. Для одного зала с единственной точкой он избыточен — там проще Keenetic или MikroTik. Сам портал авторизации при этом одинаков для любого оборудования, меняется только то, к чему он подключается. Сравнение по требованиям — в материале про оборудование для авторизации.