wifidog安装以及自写wifidog认证服务器

前言

最近在做关于路由器认证相关的工作，由于需求，认证的过程同往常的网页认证有稍许不同，因此，自己开始尝试编写wifidog的认证服务器，查阅了中外的一些资料，现将经验总结一下。

Wifidog的原理

下图是在Wifidog的wiki网站上截取的wifidog认证流程图，网址为点击打开链接。

wifidog由两部分组成，一个是运行在路由器上的程序，另一部分是运行在认证服务器上的程序。

wifidog的认证流程大致是：

1.首先，用户的终端可以连接上wifi，然后发起访问网站的请求，如www.baidu.com;

2.网关根据防火墙规则，将用户的请求重定向到本地端口（wifidog的监听端口）；

3.网关将用户的访问重定向到认证服务器上的认证页面；

4.认证服务器返回登录页面至用户；

5.用户再向认证服务器提供凭据，如用户名和密码；

6.认证服务器根据用户提供的凭据来确定用户是否符合要求，是否可以上网；

7.如果符合要求，认证服务器将用户的访问重定向至路由器的网关并携带标识token；

8.网关向认证服务器确认用户信息；

9.如果符合要求，服务器向用户返回登录成功页面；

10.用户就可以上网了。

WifiDog在openwrt上的安装和配置

我的路由器型号是：TP-LINK的TL-941N V4/V5版。

安装的openwrt是：openwrt-ar71xx-generic-tl-wr941nd-v4-squashfs-sysupgrade（先刷openwrt-ar71xx-generic-tl-wr941nd-v4-squashfs-factory）。

我是先装了luci，然后查到了这个路由器的wifidog版本的下载地址，然后通过opkg install安装的（由于这款路由器的FLASH只有4M，装了luci以后就不能装wifidog了，所以又刷了一次系统，只安装了wifidog，然后通过windows下的putty这个ssh工具来访问openwrt路由器。）。

首次访问路由时，可通过telnet工具，然后通过passwd，设置路由器的密码，之后就可通过ssh访问了。

Wifidog的配置如下所示：

 GatewayID default
 GatewayInterface br-lan
 GatewayAddress 192.168.1.1
 ExternalInterface br-lan
 AuthServer{
	Hostname justyoung.com(也可以是域名)
	SSLAvailable no
	HTTPPort 8080(默认是80)
	Path /wifidog/(文件名的两边都要加‘/’号，除非是根目录，只要一个‘/’)
	LoginScriptPathFragment login.php/? （这里把第一次登陆时重定向的位置也修改了，加了一个后缀，默认是login/?，）<pre class="plain" name="code">	PingScriptPathFragment ping.php/?
	PortalScriptPathFragment portal.html?
	AuthScriptPathFragment auth.php/?
	...
}可以有多个AuthServer，Wifidog会从第一个往后找，直到找到可用的认证服务器为止。

这段代码首先根据mac地址来判断登录用户是否合法，如果合法则直接重定向至192.168.1.1:2060/wifidog/auth?token=XXX，如果是不合法，则重定向至欢迎页面，引导用户获得认证。

Wifidog与AuthServer的交互

这里特别提一下，我发现在openwrt的download网站里，ar71xx有两个版本的wifidog，所以请根据需要确定好opkg的源，一个是2009版的wifidog，一个是2013版本的wifidog，我用的源是http://downloads.openwrt.org/snapshots/trunk/ar71xx.nand/packages/packages/，这个源的wifidog版本是wifidog_20130917-440445db60b0c3aff528ea703a828b0567293387_ar71xx，它们在login处有一个区别，后面会提。

先介绍一下wifidog与Auth服务器的交互协议：

1.首先是重定向，在首次登陆时，用户访问的url会被重定向到如下的地址：

login/?gw_address=%s&gw_port=%d&gw_id=%s&url=%s（2009版本的wifidog）

login/?gw_address=%s&gw_port=%d&gw_id=%s&mac=%s&url=%s（2013版本的wifidog）

这里有一个版本的问题，即2009的wifidog在重定向时不会在链接中带上mac参数，而2013版本的wifidog是会带上的，所以这里需要根据自己的应用特别注意。在用户首次连接路由上网时，它访问的url会被定向到login页面，并带上如上所述的参数，我们可以利用这些参数做生成token或其它一些判断等。而通常情况是在login中向用户返回通过wifi认证的方法，如带有用户名和密码的登录页面等。

2.用户认证协议：

auth_server:/auth/auth.php?stage=%s&ip=%s&mac=%s&token=%s&incoming=%s&outgoing=%s

一般情况下，认证服务器auth_server会根据用户输入的信息生成一个token，然后将用户重定向到wifidog的监听端口上，这个端口的默认地址为：192.168.1.1:2060/wifidog/auth?token=%s，wifidog得到这个token后，将其发送到auth_server认证服务器上进行认证。如果认证通过，auth_server返回“Auth: 1”，认证未通过则返回“Auth: 0”。具体参数如下。

0 - AUTH_DENIED - User firewall users are deleted and the user removed.6 - AUTH_VALIDATION_FAILED - User email validation timeout has occured and user/firewall is deleted1 - AUTH_ALLOWED - User was valid, add firewall rules if not present5 - AUTH_VALIDATION - Permit user access to email to get validation email under default rules-1 - AUTH_ERROR - An error occurred during the validation process

认证服务器通过获取以上链接的参数可以判断这个用户是否合法等。这个链接是认证服务器用来判断首次登陆的用户是否合法和正在连接的用户是否可以继续访问链接的方法。每隔一段时间，wifidog会向认证服务器发送信息，即通过如上所示的链接发送信息，通过这些参数，可以看到某个客户的上传流量、下载流量、mac地址、ip地址、token和、ip和stage。stage可能是两个参数，分别是counters或login。第一次登陆验证时，stage=login，其它时候stage=counters。

3.Ping协议

http://auth_sever/ping/?gw_id=%s&sys_uptime=%lu&sys_memfree=%u&sys_load=%.2f&wifidog_uptime=%lu

wifidog会向认证服务器发送一些信息，来报告wifidog现在的情况，这些信息是通过Http协议发送的，如上的链接所示，参数大概如字面意思，没仔细研究过，而作为认证服务器，auth_server应回应一个“Pong”。

4.认证成功后的跳转

portal/?gw_id=%s

在认证成功后，wifidog会将用户重定向至该页面。

5.若验证失败，则会根据失败原因跳转至如下页面

gw_message.php?message=denied

gw_message.php?message=activate

gw_message.php?message=failed_validation

注意一下，按照我对wifidog.conf的配置，在执行login时，相当于重定向至链接http://justyoung.com/wifidog/login.php?gw_id=XX....等等，其它执行的链接也是如此。

编写自己的WifiDog认证服务器

这次我使用的是php来编写auth_server服务器，因为这样比较简单。

1.首先是login.php

<?php
include './tool/MySQLHelper.php';
if (!empty($_GET["mac"])){
    $result = selectMacByToken($_GET["mac"]);
    if (!empty($result)){
        header("location: http://192.168.1.1:2060/wifidog/auth?token=".$result);
    }
    else {
        header("location: http://xxxxx/WelcomePage.php?mac=".$_GET["mac"]);
    }
}
else {
    header("location: http://xxxxx/WelcomePage.php?mac=".$_GET["mac"]);
}
?>

2.ping.php

<?php
echo "Pong";
?>

这里没有做额外的处理，只是简单地向wifidog回应一个Pong。

3.auth.php

<?php
// 后门
if ($_GET["token"] == "123"){
    echo "Auth: 1";
    return;
}

if (!empty($_GET["token"]) && isset($_GET["token"])){
    //获取$result的过程//
    isValidate($result);
    //**后续处理**//
    return;
}
else if((!empty ($_GET["mac"])) && isset($_GET["mac"])){
    //**获取result*//
    $result = isSubscribeByMac($_GET["mac"]);
    isValidate($result);
    return;
}
else
{
    echo "Auth: 0";
}

// 输出是否合法.
function isValidate($result){
    if ($result == 1){
        echo "Auth: 1";
    }
    else {
        echo "Auth: 0";
    }
}
?>

这里根据一些参数来获取$result，从而决定是否允许认证。

4.welcomePage.php以及Portal.html就不一一列举了。

总结

暑假做了一个关于微信的wifi认证项目，在工作中，总结了这些经验，虽然不难，但也花了一点时间，主要难点在于wifidog协议的理解、路由器选型、openwrt操作系统安装、wifidog的安装和配置。