Este artículo aborda problemas comunes relacionados con el portal cautivo en dispositivos FortiGate, explicando su flujo y cómo resolver errores potenciales. Comprender cómo funciona esta función es esencial para garantizar una correcta autenticación de usuarios en redes y mejorar la experiencia de conexión. A través de este artículo, se proporcionarán pasos detallados para diagnosticar y solucionar problemas relacionados con el acceso a internet a través de un portal cautivo.
Índice
Descripción del problema
El portal cautivo es una función de las soluciones Fortinet que permite la autenticación de usuarios en redes. Sin embargo, pueden surgir problemas relacionados con su configuración y funcionamiento. Estos problemas afectan la capacidad de los dispositivos finales para acceder a internet, ya que reconocen cuando están detrás de un portal cautivo y requieren autenticación antes de permitir el acceso a la red.
Alcance
Este artículo es aplicable a dispositivos FortiGate y productos relacionados de Fortinet.
Diagnóstico paso a paso
Para diagnosticar un problema de portal cautivo, es fundamental entender cómo el dispositivo del usuario final detecta su acceso a internet. Generalmente, los navegadores y sistemas operativos están diseñados para identificar si están detrás de un portal cautivo. Esto se realiza mediante el envío de una solicitud HTTP GET no cifrada a un sitio web específico. Si la respuesta es inesperada, el dispositivo asume que está detrás del portal cautivo y puede mostrar un mensaje de inicio de sesión. A continuación, se presenta un flujo general del portal cautivo:
- Resolución de DNS para algún FQDN externo, idealmente un sitio de detección de portal cautivo no cifrado (para obtener la IP del recurso externo). Cada sistema operativo/navegador tiene algunas páginas web no cifradas integradas que utiliza para pruebas. Ejemplos incluyen captive.apple.com, detectportal.firefox.com, msftconnecttest.com, connectivitycheck.gstatic.com.
- Negociación TCP y conexión HTTP (HTTP GET) a esa IP.
- FortiGate bloquea la solicitud HTTP y redirige con una respuesta HTTP 302 o 303, o en versiones más recientes con HTTP 200. La respuesta contiene la URL redirigida hacia FortiGate mismo. Esta URL/FQDN debe apuntar a la IP de interfaz de este FortiGate, la cual es típicamente la IP de puerta de enlace del cliente.
Nota: Para HTTPS hacia FortiGate, se requiere configurar ‘config firewall auth-portal‘ con un FQDN resolvible para el FortiGate, que debe resolver a la IP de interfaz del FortiGate, combinándose así con el gateway predeterminado para la subred del cliente.
Solución recomendada
En caso de problemas con el portal cautivo, es recomendable seguir el flujo descrito anteriormente. Si se presentan problemas, la depuración del portal cautivo debe realizarse utilizando una captura de paquetes que muestre las consultas DNS y el tráfico HTTP del usuario final. Los primeros pasos y cualquier seguimiento DNS normalmente son visibles en texto claro.
Si la política de firewall en FortiGate hacia el portal cautivo externo no requiere NAT, la captura de paquetes contra la dirección IP del cliente será suficiente como filtro de captura.
Comandos CLI utilizados
- diagnose firewall auth list: Este comando muestra la lista de usuarios autenticados.
- config firewall auth-portal: Permite configurar el portal de autenticación, especificando un FQDN resolvible.
- captive-portal-exempt: Se utiliza en políticas para permitir excepciones en el tráfico DNS y así facilitar la operación del portal cautivo.
Buenas prácticas y recomendaciones
Se recomienda asegurar que el tráfico DNS esté exento de la redirección del portal cautivo para evitar problemas de detección. Además, asegúrese de que el FQDN utilizado para el portal de autenticación esté correctamente resolviendo a la IP de la interfaz del FortiGate utilizada por los clientes.
Notas adicionales
Durante la depuración de errores relacionados con la seguridad de transporte estricta (HSTS) en el portal cautivo, pueden surgir problemas adicionales. Para más información sobre cómo resolver errores HSTS en portales cautivos, se recomienda consultar fuentes específicas que aborden este tema.
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!