Hotspot Sophos Firewall con voucher o password giornaliera

Un hotspot Sophos Firewall abilita l’accesso a Internet per gli ospiti solo dopo l’autenticazione. Per gli accessi individuali con limiti si utilizzano i voucher. Una password giornaliera è più semplice, ma viene condivisa da tutti gli ospiti.

È necessaria una rete Wi-Fi guest separata con Client traffic: Separate zone. L’hotspot non sostituisce né la separazione delle reti né regole firewall correttamente limitate.

In base al Paese, gli hotspot offerti al pubblico possono essere soggetti a obblighi di registrazione, filtraggio, privacy o conservazione. Questi requisiti legali devono essere verificati per la sede concreta prima del rollout; la sola configurazione SFOS non li risolve.

I percorsi dei menu e i nomi dei campi in questa guida corrispondono a SFOS 22.0. Nelle versioni precedenti, confrontare la schermata con la guida Sophos corrispondente prima di apportare modifiche.

⚠️ Importante: Questa procedura vale solo per l’hardware Wi-Fi gestito direttamente da SFOS. Gli access point AP6 non vengono gestiti tramite Sophos Firewall. L’hotspot è quindi rilevante soprattutto per installazioni APX esistenti, per il LocalWiFi integrato nei modelli desktop W e per i moduli Wi-Fi supportati in Sophos Firewall o SD-RED. Configurare il Wi-Fi direttamente su Sophos Firewall spiega le limitazioni hardware e la rete guest.

La procedura completa è la seguente:

Verificare la rete Wi-Fi guest separata e l’interfaccia Wi-Fi.
Scegliere una definizione di voucher o una password giornaliera.
Assegnare l’hotspot all’interfaccia guest.
Controllare la regola firewall creata automaticamente.
Creare i voucher e testare l’accesso con un nuovo client.

Voucher, password giornaliera o sola accettazione delle condizioni d’uso?

I tre tipi di hotspot rispondono a esigenze diverse:

Voucher: Ogni ospite riceve un proprio codice. È possibile limitare la validità, il tempo online, il volume di dati e il numero di dispositivi consentiti. Questa soluzione è adatta per visitatori, tecnici esterni, hotel o eventi.
Password of the day: Tutti gli ospiti utilizzano la stessa password. Nei siti di piccole dimensioni è facile da distribuire, ma non consente un’assegnazione individuale.
Terms of use acceptance: Gli ospiti devono solo accettare le condizioni d’uso. Session expires stabilisce quando devono accettarle di nuovo. Questo tipo presenta l’ostacolo minore per l’accesso, ma non permette di controllare chi utilizza la connessione.

Per l’esempio seguente, Voucher è la scelta più adatta. Unisce una distribuzione semplice alla reception a limiti tecnici chiari.

Un utente guest su Sophos Firewall, invece, è un account locale temporaneo con Username, password, gruppo e accesso tramite Captive Portal. Questo modello è adatto quando ogni persona necessita di un’identità con Access Time o quote; non è un ulteriore tipo di hotspot.

La password giornaliera ha un effetto collaterale importante: non appena viene generata una nuova password, SFOS termina le sessioni hotspot esistenti. Gli ospiti devono autenticarsi nuovamente. L’opzione Override wireless networks’ passphrase modifica inoltre la PSK Wi-Fi e riconfigura o riavvia gli access point associati. Questa opzione va quindi utilizzata consapevolmente e prevedendo un’interruzione.

Verificare i prerequisiti

L’articolo parte da una rete Wi-Fi guest già attiva. Prima di configurare l’hotspot devono funzionare i seguenti elementi:

La rete wireless utilizza Separate zone e dispone di un’interfaccia propria.
Un client di test riceve tramite DHCP un indirizzo, il gateway e i server DNS.
L’ora di sistema, il fuso orario e l’NTP del firewall sono corretti. Influenzano, tra le altre cose, la validità dei voucher e il cambio della password giornaliera.
La rete guest non si sovrappone alla LAN, alla VPN, a RED o ad altre VLAN.
Le reti interne e l’amministrazione del firewall sono bloccate per gli ospiti.
Per l’hotspot sono state definite Web policy, Application policy, IPS policy e Traffic Shaping policy adeguate.
È stato previsto un utente o un gruppo per l’emissione dei voucher.
Per Redirect to HTTPS sono disponibili un nome del portale, il DNS e un certificato attendibile adeguati.

Con un modulo Wi-Fi in SD-RED devono funzionare anche la connessione RED, il DHCP, il DNS, l’NTP e le porte RED necessarie. Configurare e testare Sophos SD-RED spiega il percorso dati completo e le differenze tra le modalità operative.

L’esempio utilizza:

SSID: Company Guest
Rete guest: 10.30.40.0/24
Gateway: 10.30.40.1
Hotspot: Guest WiFi Reception
Definizione del voucher: Guest-8h-2GB
un dispositivo per voucher
otto ore di tempo online
2 GB di volume dati
un giorno di validità dalla prima autenticazione

Questi valori non sono una raccomandazione generale. La hall di un hotel, un evento di una giornata e un accesso per tecnici esterni richiedono limiti diversi.

Conservare la configurazione esistente

Prima di modificare un hotspot in produzione, annotare o acquisire interfacce, policy, tipo di hotspot, utenti amministrativi, reindirizzamenti, personalizzazioni e posizione della regola firewall creata automaticamente. La modifica del tipo, delle interfacce o della password giornaliera può influire immediatamente sugli accessi attivi. Eseguire quindi l’intervento in una finestra di manutenzione con un client di test disponibile.

Per il rollback, ripristinare questi valori e la posizione originale della regola, salvare e provare con un nuovo client. Per Voucher, creare un nuovo codice di test. Per Password of the day, ricordare che un’altra modifica della password termina nuovamente le sessioni attive.

Configurare un hotspot con voucher

1. Creare una definizione del voucher

In Wireless > Hotspot voucher definition > Add si definiscono i limiti di un voucher:

Name: Guest-8h-2GB
Validity period: 1 day
Time quota: 8 hours
Data volume: 2 GB

I tre valori non hanno lo stesso effetto:

Validity period inizia con la prima autenticazione. Nell’esempio, il voucher non è più valido al massimo un giorno dopo, anche se il tempo o il volume dati disponibili non sono ancora esauriti.
Time quota conteggia il tempo di connessione effettivo dall’autenticazione e si arresta alla disconnessione. Il conteggio si ferma anche dopo cinque minuti di inattività.
Data volume limita il volume complessivo trasferito tramite questo voucher.

In questo modo, un ospite può collegarsi più volte durante il periodo di validità di un giorno che inizia al primo accesso, ma per un massimo di otto ore e fino a 2 GB. Quando viene raggiunto uno dei tre limiti, il voucher non può più essere utilizzato.

Dopo il salvataggio, la definizione è disponibile per hotspot con voucher nuovi o esistenti.

2. Creare l’hotspot

In Wireless > Hotspots > Add si crea l’accesso vero e proprio:

Inserire Name: Guest WiFi Reception.
In Interfaces, selezionare l’interfaccia di Company Guest.
Scegliere le Application filter policy, Web policy, IPS policy e Traffic shaping policy adeguate.
Impostare Hotspot type: su Voucher.
In Voucher definitions, selezionare Guest-8h-2GB.
Impostare Devices per voucher: su 1.
In Administrative users, inserire gli utenti responsabili dell’emissione dei voucher o il gruppo appropriato.
Attivare Users have to accept terms of use e inserire le condizioni se è richiesta un’accettazione aggiuntiva.
Attivare Redirect to HTTPS. Un Hostname personalizzato può contenere solo lettere, numeri e trattini e non distingue maiuscole e minuscole.
Facoltativamente, attivare Redirect to URL after login e inserire un URL di destinazione completo.
Facoltativamente, impostare Enable customization su Basic o Full.
Salvare con Save.

Devices per voucher: 1 significa che lo stesso codice non può essere utilizzato anche per altri dispositivi. Se, ad esempio, un visitatore deve poter collegare un notebook e uno smartphone, occorre aumentare consapevolmente il numero di dispositivi oppure emettere un secondo voucher.

Le policy di protezione si applicano al traffico consentito dalla regola hotspot creata automaticamente. Per gli ospiti non si devono semplicemente riutilizzare le stesse autorizzazioni previste per gli utenti interni. Un accesso Web ristretto, Application Control, IPS e un limite di banda adeguato rappresentano generalmente una base migliore.

Con Basic, scegliere direttamente logo, Title e Custom text. Per il logo SFOS supporta .jpg, .jpeg, .png e .gif; Sophos consiglia al massimo 300 × 100 pixel e offre Scale logo to recommended size per immagini più grandi. Usare Full solo se è possibile gestire in modo controllato l’intera pagina di accesso, il foglio di stile e gli asset e ripetere i test dopo gli aggiornamenti.

L’URL di destinazione facoltativo viene usato solo dopo l’accesso riuscito. Non sostituisce il DNS né il reindirizzamento del Captive Portal. Per il collaudo, scegliere quindi una pagina HTTPS effettivamente raggiungibile tramite la regola hotspot.

3. Definire HTTPS, certificato e Walled Garden

In Wireless > Hotspot settings sono presenti tre impostazioni globali. Non si applicano soltanto all’hotspot appena creato e devono quindi essere verificate rispetto a tutti gli hotspot esistenti:

Login page certificate: Selezionare il certificato per la pagina di accesso HTTPS. Il nome o l’indirizzo IP utilizzato deve essere coperto dal certificato, risolversi completamente sul firewall ed essere fornito con una catena di certificati ritenuta attendibile dai dispositivi guest. In caso contrario, il browser mostra un avviso nonostante HTTPS. Let’s Encrypt su Sophos Firewall spiega l’emissione e il rinnovo.
Walled garden: Inserire soltanto le destinazioni che devono essere raggiungibili prima dell’autenticazione, ad esempio una singola pagina con le condizioni d’uso. Ogni rete e ogni dominio aggiuntivo amplia l’accesso senza voucher.
Delete expired vouchers: Eliminare automaticamente i voucher scaduti dopo un intervallo scelto tra 1 e 365 giorni. Questo mantiene ordinata l’amministrazione, ma non sostituisce una regola operativa per l’emissione e la revoca.

È possibile personalizzare anche la pagina di accesso. Una semplice modifica con logo, titolo e breve indicazione è più facile da gestire rispetto a un modello HTML completamente personalizzato. Codici voucher reali, nomi host interni o credenziali di supporto non devono comparire né nel modello né negli screenshot.

Utilizzare in sicurezza modelli personalizzati di accesso e voucher

Per una personalizzazione completa, si scaricano i file di partenza da Wireless > Hotspot settings > Download templates. La pagina di accesso può utilizzare variabili come <?login_form?>, <?error?>, <?terms?> e <?asset_path?>; i blocchi condizionali mostrano il contenuto solo per il tipo di hotspot o lo stato di accesso corrispondente. Se si crea un modulo personalizzato al posto di <?login_form?>, occorre mantenere l’azione e il metodo previsti da SFOS:

<form action="?action=login" method="POST">
  ...
</form>

In base al tipo di hotspot, il modulo richiede anche name="accept" con value="true", un campo di testo con name="token" e un pulsante di invio. Dopo ogni modifica si testano accesso, messaggi di errore, condizioni d’uso, reindirizzamento e disconnessione con un nuovo client. Gli asset caricabili per la personalizzazione completa sono .jpg, .jpeg, .png, .ico, .css e .js; script di terze parti e contenuti attivi non necessari non devono essere inseriti in una pagina di accesso.

Un modello voucher personalizzato viene creato come PDF versione 1.5 o successiva. Le variabili come <?ssid#?>, <?psk#?>, <?code?>, <?validity?>, <?datalimit?>, <?timelimit?>, <?comment?> e <?qr0?> vanno inserite ciascuna su una riga separata. Per #, seguire la corrispondenza nel modello di esempio Sophos scaricato. Se il modello contiene <?psk#?>, anche la chiave Wi-Fi entra nel documento di accesso e deve essere trattata come una password. Utilizzare solo font di sistema standard senza grassetto, corsivo o formattazioni simili e inserire nell’ultima riga del PDF la dichiarazione del set di caratteri indicata nell’esempio Sophos. Prima del rollout si genera un voucher reale, si stampa o si apre il PDF e si provano sia il codice sia l’accesso tramite QR.

4. Controllare la regola firewall creata automaticamente

Al momento del salvataggio, SFOS crea una regola firewall associata e la posiziona in cima all’elenco delle regole. È una funzione comoda, ma critica per la sicurezza: una regola posta in alto viene valutata prima di quelle sottostanti e, se ha un ambito troppo ampio, può intercettare traffico in modo imprevisto.

In Rules and policies > Firewall rules, controllare quanto segue:

L’interfaccia sorgente e la zona sorgente appartengono esclusivamente alla rete Wi-Fi guest.
La zona di destinazione e le reti di destinazione non consentono l’accesso a reti LAN, server, di management o VPN.
I servizi non sono più ampi del necessario.
Le Web policy, Application policy, IPS policy e Traffic Shaping policy corrispondono al profilo guest.
Log firewall traffic è attivato per il collaudo.
La posizione non entra in conflitto con regole MTA, IPsec o di altri hotspot create automaticamente.
Una regola MASQ/SNAT adeguata copre la rete guest.

Gli accessi al firewall stesso vengono gestiti separatamente in Administration > Device access. Per la zona WiFi, HTTPS, SSH e gli altri servizi locali non necessari devono essere chiusi. DNS rimane aperto soltanto se gli ospiti utilizzano effettivamente il firewall come resolver. Pianificare correttamente le regole firewall e Configurare Device Access in modo sicuro spiegano queste relazioni.

Creare i voucher nel User Portal

Le persone assegnate in Administrative users possono gestire i voucher nel User Portal senza ottenere accesso a WebAdmin. La scheda Hotspots è visibile solo a questi utenti. Il User Portal usa per impostazione predefinita la porta 4443. Consentire l’accesso dalla zona di gestione in Administration > Device access e provare https://<IP-o-FQDN-firewall>:4443. Non aprirlo in modo generalizzato dalla WAN a questo scopo. Un accesso mirato da una rete interna di gestione attendibile è più sicuro. Panoramica dei portali Sophos lo distingue da WebAdmin, VPN Portal e Captive Portal. In Hotspots, selezionare i seguenti valori:

Hotspot: Guest WiFi Reception
Hotspot Voucher Definition: Guest-8h-2GB
Amount: quantità desiderata, massimo 50 per operazione
Description: ad esempio Visitors 2026-08-07
Facoltativamente, selezionare Print, il formato della pagina, i voucher per pagina e Add QR Code.
Fare clic su Create Vouchers.

Il codice QR apre la pagina di accesso dell’hotspot e precompila le informazioni necessarie. Contiene quindi dati di accesso e deve essere protetto allo stesso modo del codice voucher scritto.

Per l’emissione è necessario un processo semplice: chi può creare i voucher, come viene associato un codice a un ospite e quando viene eliminato un codice ancora valido? Una grande scorta di voucher stampati presso una reception accessibile al pubblico indebolisce i limiti tecnici.

I voucher selezionati possono essere eliminati manualmente nel User Portal o esportati come PDF o CSV. Nell’esportazione CSV il separatore deve corrispondere al sistema di destinazione, altrimenti codici e limiti vengono distribuiti nelle colonne errate all’apertura. L’eliminazione automatica dei voucher scaduti segue soltanto l’intervallo globale configurato in Wireless > Hotspot settings e non revoca un codice ancora valido.

Testare completamente l’accesso guest

Il collaudo si esegue con un dispositivo che non dispone ancora di una sessione hotspot attiva. Una finestra privata del browser impedisce inoltre che vecchi cookie alterino il risultato.

Collegarsi a Company Guest.
Verificare che il client riceva un indirizzo da 10.30.40.0/24, il gateway 10.30.40.1 e i server DNS pianificati.
Prima dell’autenticazione, verificare che non sia raggiungibile alcuna destinazione interna o esterna, ad eccezione delle destinazioni inserite consapevolmente nel Walled Garden.
Aprire una normale pagina HTTP e verificare il reindirizzamento alla pagina di accesso dell’hotspot.
Controllare il nome del certificato, la catena di certificati e lo stato mostrato dal browser.
Inserire prima un codice voucher errato, quindi quello corretto.
Testare il DNS e una pagina HTTPS consentita.
Provare intenzionalmente ad accedere a una destinazione interna e all’indirizzo WebAdmin; entrambi devono rimanere bloccati.
Nel Log Viewer, filtrare per l’indirizzo IP del client e controllare la Firewall Rule ID e la NAT Rule ID previste.
Con un voucher di test, raggiungere intenzionalmente almeno uno dei limiti configurati e verificare che successivamente l’accesso termini.

Il solo accesso a Internet non rappresenta un collaudo sufficiente. Il client deve trovarsi nella rete corretta, utilizzare la regola prevista e rimanere separato dai sistemi interni e dall’amministrazione del firewall.

Password giornaliera come alternativa più semplice

Per una password giornaliera condivisa, nell’hotspot si seleziona Password of the day al posto di Voucher. In seguito, si definiscono l’ora di generazione, gli indirizzi dei destinatari e gli utenti amministrativi responsabili.

Un gruppo di posta interno è più pratico di numerosi destinatari singoli. A questo scopo devono funzionare le notifiche e-mail di Sophos Firewall. La password non deve rimanere esposta permanentemente in un luogo pubblico e va testata con un nuovo client dopo ogni modifica automatica o manuale.

Un utente amministrativo assegnato può vedere e modificare la password corrente in Hotspots del User Portal:

Selezionare l’hotspot dall’elenco.
Inserire una password o usare quella generata automaticamente, quindi fare clic su Generate.
Facoltativamente, selezionare Send Mail. L’opzione compare solo se nell’hotspot sono configurati indirizzi destinatari.
Fare clic su Save.

Dopo Save, la nuova password diventa valida immediatamente. Quella precedente non è più valida e le sessioni attive vengono terminate. Una modifica manuale non è quindi un controllo funzionale privo di effetti collaterali.

Override wireless networks’ passphrase è necessario solo se la password dell’hotspot e la PSK Wi-Fi devono essere identiche. Senza questa opzione, la PSK della rete Wi-Fi rimane invariata e soltanto l’autenticazione all’hotspot utilizza la password giornaliera. Con l’opzione, gli access point associati vengono riconfigurati e riavviati; i client connessi subiscono un’interruzione.

Annullare la modifica

Se il collaudo non riesce, ripristinare interfacce, policy, tipo di autenticazione, reindirizzamenti e personalizzazioni annotati, quindi riportare la regola creata automaticamente alla posizione originale. Con un nuovo client verificare sia l’accesso Internet consentito sia il blocco delle destinazioni interne. Un vecchio cookie o una sessione esistente non costituiscono un test di rollback valido.

Individuare gli errori tipici

La pagina di accesso non viene visualizzata

Verificare innanzitutto che il client si trovi nella rete guest corretta e che l’interfaccia sia assegnata all’hotspot. Controllare quindi DHCP, gateway e DNS e aprire intenzionalmente una normale pagina HTTP. Sessioni hotspot già attive, protocolli DNS cifrati o un browser che apre direttamente soltanto pagine HTTPS possono nascondere il reindirizzamento previsto.

Il voucher viene rifiutato

Verificare che il voucher appartenga all’hotspot selezionato e se la validità, il Time quota, il volume dati o il numero di dispositivi consentiti siano già stati raggiunti. In caso di codice QR, controllare inoltre che venga effettivamente utilizzato il codice corrente e completamente leggibile.

HTTPS mostra un avviso sul certificato o la pagina di destinazione non si apre

In caso di avviso, il nome di reindirizzamento effettivamente usato, la risoluzione DNS, Login page certificate e la catena di attendibilità completa devono corrispondere. Se l’accesso funziona ma Redirect to URL after login no, provare direttamente l’URL di destinazione e verificare nel Log Viewer se DNS, regola firewall e policy di protezione consentono la richiesta.

L’autenticazione riesce, ma Internet non funziona

Ciò conferma il funzionamento dell’accesso all’hotspot e del voucher; l’errore si trova nel percorso dati successivo. Verificare la regola firewall creata automaticamente, la posizione della regola, DNS, routing, MASQ/SNAT e le policy di protezione selezionate. Il Log Viewer mostra se corrisponde la Rule ID prevista o se un’altra regola intercetta il traffico.

I sistemi interni sono raggiungibili

Non si tratta di un errore dell’hotspot, ma di un’autorizzazione troppo ampia. Limitare le zone e le reti di destinazione della regola hotspot e le regole WiFi-to-LAN o Any esistenti. Successivamente, testare di nuovo le destinazioni interne.

Gli utenti responsabili non possono creare voucher

L’utente o il gruppo appropriato deve essere inserito in Administrative users dell’hotspot e deve potersi autenticare al User Portal. Anche la definizione del voucher necessaria deve essere assegnata all’hotspot; in caso contrario, non compare tra le opzioni selezionabili.

L’errore rimane riproducibile

Documentare l’indirizzo IP del client, l’ora, l’SSID, il nome dell’hotspot e lo stato del voucher. Controllare quindi il Log Viewer e, se necessario, hotspotd.log. A seconda dell’hardware, per il percorso radio si aggiungono awed.log, wc_remote.log o hostapd.log; dhcpd.log, firewall_rule.log, cschelper.log e, per SD-RED, red.log e red-<serial>.log consentono di circoscrivere ulteriormente la parte interessata della procedura. Log dei servizi di Sophos Firewall spiega come leggere questi file senza riavvii incontrollati dei servizi.

L’hotspot non deve essere messo in produzione finché Separate zone, DHCP, DNS, l’ora di sistema, il certificato, il Walled Garden o la regola creata automaticamente non sono stati verificati correttamente. Lo stesso vale per una password giornaliera con invio tramite e-mail o modifica della PSK Wi-Fi se la consegna e il riavvio pianificato degli access point non sono ancora stati testati.