Een Sophos Firewall-hotspot met voucher of dagwachtwoord instellen

Een Sophos Firewall-hotspot geeft gasten pas na het aanmelden toegang tot internet. Voor individueel beperkte toegang worden vouchers gebruikt. Een dagwachtwoord is eenvoudiger, maar wordt door alle gasten gedeeld.

Een gescheiden gastennetwerk met Client traffic: Separate zone is een vereiste. De hotspot vervangt noch de netwerkscheiding, noch zorgvuldig beperkte firewallregels.

Voor openbaar aangeboden hotspots kunnen afhankelijk van het land registratie-, filter-, privacy- of bewaarplichten gelden. Controleer deze wettelijke vereisten vóór de uitrol voor de concrete locatie; alleen de SFOS-configuratie beantwoordt ze niet.

De menupaden en veldnamen in deze handleiding horen bij SFOS 22.0. Vergelijk bij oudere releases het scherm vóór een wijziging met de bijbehorende Sophos-help.

⚠️ Belangrijk: Deze procedure geldt alleen voor wifi-hardware die rechtstreeks door SFOS wordt beheerd. AP6 access points worden niet via Sophos Firewall beheerd. In de praktijk is de hotspot daarom vooral relevant voor bestaande APX-installaties, geïntegreerde LocalWiFi van desktop-W-modellen en ondersteunde wifi-modules in Sophos Firewall of SD-RED. Wifi rechtstreeks op Sophos Firewall instellen legt de hardwareafbakening en het gastennetwerk uit.

De volledige procedure is:

1. Het gescheiden gastennetwerk en de Wireless-interface controleren.
2. Een voucherdefinitie of dagwachtwoord kiezen.
3. De hotspot aan de gastinterface toewijzen.
4. De automatisch aangemaakte firewallregel controleren.
5. Vouchers aanmaken en de toegang met een nieuwe client testen.

Voucher, dagwachtwoord of alleen gebruiksvoorwaarden?

De drie hotspottypen lossen verschillende taken op:

• Voucher: Elke gast krijgt een eigen code. De geldigheidsduur, onlinetijd, het datavolume en het toegestane aantal apparaten kunnen worden beperkt. Dit is geschikt voor bezoekers, externe technici, hotels of evenementen.
• Password of the day: Alle gasten gebruiken hetzelfde wachtwoord. Dit is op kleine locaties eenvoudig te verspreiden, maar biedt geen individuele toewijzing.
• Terms of use acceptance: Gasten hoeven alleen de gebruiksvoorwaarden te accepteren. Session expires bepaalt wanneer ze opnieuw akkoord moeten gaan. Dit type heeft de laagste toegangsdrempel, maar controleert niet wie de toegang gebruikt.

Voor het volgende voorbeeld is Voucher de meest geschikte keuze. Het combineert eenvoudige uitgifte bij de receptie met duidelijke technische grenzen.

Een gastgebruiker op Sophos Firewall is daarentegen een tijdelijk lokaal gebruikersaccount met Username, wachtwoord, groep en aanmelding via Captive Portal. Dit model past wanneer per persoon een identiteit met Access Time of quota nodig is; het is geen extra hotspottype.

Het dagwachtwoord heeft een belangrijk neveneffect: zodra een nieuw wachtwoord wordt aangemaakt, beëindigt SFOS bestaande hotspotsessies. De gasten moeten zich opnieuw aanmelden. De optie Override wireless networks’ passphrase wijzigt bovendien de wifi-PSK en configureert of herstart de bijbehorende access points. Deze optie mag daarom alleen bewust en met een geplande onderbreking worden gebruikt.

Voorwaarden controleren

Wireless omvat meer dan hotspots. Deze handleiding behandelt toegangscontrole op de hotspot, niet het aanmaken en beheren van draadloze netwerken, accesspoints, clients of meshnetwerken. WPA2/AES en het scannen op ongeautoriseerde accesspoints zijn eveneens afzonderlijke WLAN-onderwerpen; een werkende hotspot bevestigt niet hun configuratie of de beveiliging van het gehele WLAN. Rond de inrichting van het gast-WLAN af voordat de interface hieronder wordt toegewezen.

Het artikel gaat uit van een gastennetwerk dat al wordt uitgezonden. Vóór de hotspot moeten de volgende punten werken:

• Het Wireless Network gebruikt Separate zone en heeft een eigen interface.
• Een testclient ontvangt via DHCP een adres, gateway en DNS.
• De systeemtijd, tijdzone en NTP van de firewall zijn correct. Deze hebben onder meer invloed op de geldigheid van vouchers en het wisselen van het dagwachtwoord.
• Het gastennetwerk overlapt niet met LAN, VPN, RED of andere VLAN’s.
• Interne netwerken en firewallbeheer zijn voor gasten geblokkeerd.
• Voor de hotspot zijn passende Web-, Application-, IPS- en Traffic Shaping-policies vastgelegd.
• Er is een gebruiker of groep voorzien voor de uitgifte van vouchers.
• Voor Redirect to HTTPS zijn een passende portalnaam, DNS en een vertrouwd certificaat beschikbaar.

Bij een wifi-module in SD-RED moeten daarnaast de RED-verbinding, DHCP, DNS, NTP en de benodigde RED-poorten werken. Sophos SD-RED instellen en testen legt het volledige gegevenspad en de afbakening van de bedrijfsmodi uit.

In het voorbeeld worden deze waarden gebruikt:

• SSID: Company Guest
• gastennetwerk: 10.30.40.0/24
• gateway: 10.30.40.1
• hotspot: Guest WiFi Reception
• voucherdefinitie: Guest-8h-2GB
• één apparaat per voucher
• acht uur onlinetijd
• 2 GB datavolume
• één dag geldig vanaf de eerste aanmelding

Deze waarden zijn geen algemene aanbeveling. Een hotellobby, een eendaags evenement en toegang voor externe technici vereisen verschillende grenzen.

Bestaande configuratie bewaren

Noteer of fotografeer vóór het bewerken van een productiehotspot de interfaces, policies, het hotspottype, administratieve gebruikers, omleidingen, aanpassingen en de positie van de automatisch aangemaakte firewallregel. Een wijziging van type, interfaces of dagwachtwoord kan actieve toegang direct beïnvloeden. Voer de wijziging daarom uit in een onderhoudsvenster met een testclient beschikbaar.

Herstel voor de rollback deze waarden en de oorspronkelijke regelpositie, sla op en test met een nieuwe client. Maak voor Voucher een nieuwe testcode. Houd er bij Password of the day rekening mee dat nog een wachtwoordwijziging actieve sessies opnieuw beëindigt.

Voucherhotspot instellen

1. Voucherdefinitie aanmaken

Onder Wireless > Hotspot voucher definition > Add worden de grenzen voor een voucher ingesteld:

• Name: Guest-8h-2GB
• Validity period: 1 day
• Time quota: 8 hours
• Data volume: 2 GB

De drie waarden werken niet hetzelfde:

• Validity period begint bij de eerste aanmelding. In het voorbeeld is de voucher uiterlijk één dag daarna ongeldig, ook als het tijd- of datategoed nog niet is verbruikt.
• Time quota telt de daadwerkelijke verbindingstijd vanaf de aanmelding en stopt bij het afmelden. Ook na vijf minuten inactiviteit stopt de telling.
• Data volume beperkt het totale volume dat via deze voucher wordt overgedragen.

Hierdoor kan een gast tijdens de geldigheidsduur van één dag vanaf de eerste aanmelding meerdere keren online gaan, maar maximaal acht uur en tot 2 GB. Zodra een van de drie grenzen is bereikt, kan de voucher niet meer worden gebruikt.

Klik op Save. De definitie is daarna beschikbaar voor nieuwe of bestaande voucherhotspots.

2. Hotspot aanmaken

Onder Wireless > Hotspots > Add wordt de daadwerkelijke toegang aangemaakt:

1. Name: Guest WiFi Reception invoeren.
2. Onder Interfaces op Add new item klikken, de interface van Company Guest selecteren en met Apply selected items toepassen.
3. Passende Application filter policy, Web policy, IPS policy en Traffic shaping policy kiezen.
4. Hotspot type: op Voucher instellen.
5. Onder Voucher definitions Guest-8h-2GB selecteren.
6. Devices per voucher: op 1 instellen.
7. Onder Administrative users de gebruikers die verantwoordelijk zijn voor de uitgifte van vouchers of de bijbehorende groep invoeren.
8. Users have to accept terms of use activeren en de voorwaarden invoeren als extra acceptatie vereist is.
9. Redirect to HTTPS activeren. Een aangepaste Hostname mag alleen letters, cijfers en koppeltekens bevatten en is niet hoofdlettergevoelig.
10. Optioneel Redirect to URL after login activeren en een volledige doel-URL invoeren.
11. Optioneel Enable customization inschakelen en daarna in het afzonderlijke veld Customization type Basic of Full kiezen.
12. Met Save opslaan.

Door een interface toe te wijzen, worden alle daarmee verbonden access points hotspots. Controleer daarom vóór het opslaan welke access points het gast-WLAN via deze interface aanbieden; het effect is niet beperkt tot het access point bij de receptie. De hierboven genoemde beperking tot rechtstreeks door SFOS beheerde WLAN-hardware blijft van kracht.

Devices per voucher: 1 betekent dat dezelfde code niet voor andere apparaten kan worden gebruikt. Als een bezoeker bijvoorbeeld een notebook en smartphone moet kunnen verbinden, moet het aantal apparaten bewust worden verhoogd of moet een tweede voucher worden uitgegeven.

De beveiligingspolicies zijn van toepassing op het verkeer dat via de automatisch aangemaakte hotspotregel wordt toegestaan. Voor gasten mogen niet zonder meer dezelfde vrijgaven als voor interne gebruikers worden overgenomen. Beperkte webtoegang, Application Control, IPS en een passende bandbreedtelimiet zijn doorgaans een beter uitgangspunt.

Bij Basic kiest men logo, Title en Custom text rechtstreeks in het scherm. SFOS ondersteunt .jpg, .jpeg, .png en .gif voor het logo. Sophos adviseert maximaal 300 × 100 pixels en biedt Scale logo to recommended size voor grotere afbeeldingen. Gebruik Full alleen als de volledige aanmeldpagina, stylesheet en bestanden gecontroleerd kunnen worden onderhouden en na updates opnieuw worden getest.

Custom text mag bijvoorbeeld de SSID Company Guest vermelden en ondersteunt eenvoudige HTML-opmaak en hyperlinks. Voor een logo, titel en een korte mededeling is Basic de aanbevolen, eenvoudiger te onderhouden variant; de onderhouds- en testverplichting voor Full blijft van kracht.

De optionele doel-URL wordt pas na een geslaagde aanmelding gebruikt. Deze vervangt DNS of de Captive Portal-omleiding niet. Kies voor de acceptatietest daarom een HTTPS-pagina die de gast daadwerkelijk via de hotspotregel kan bereiken.

3. HTTPS, certificaat en Walled Garden instellen

Onder Wireless > Hotspot settings staan drie globale instellingen. Deze gelden niet alleen voor de zojuist aangemaakte hotspot en moeten daarom aan alle bestaande hotspots worden getoetst:

• Login page certificate: Het certificaat voor de HTTPS-aanmeldpagina selecteren. De gebruikte naam of het IP-adres moet door het certificaat worden gedekt, volledig naar de firewall omzetten en met een door gastapparaten vertrouwde certificaatketen worden geleverd. Anders verschijnt ondanks HTTPS een browserwaarschuwing. Let’s Encrypt op Sophos Firewall legt de uitgifte en verlenging uit. Het certificaat wordt in de keuzelijst Login page certificate geselecteerd en met Apply toegepast. SFOS biedt de geldige certificaten op de firewall ter selectie aan; geldig op de firewall betekent echter niet automatisch dat gastapparaten het certificaat vertrouwen.
• Walled garden: Alleen doelen opnemen die al vóór de aanmelding bereikbaar moeten zijn, bijvoorbeeld één pagina met gebruiksvoorwaarden. Elk extra netwerk en domein breidt de toegang zonder voucher uit. Voor de Walled garden op Add new item klikken en het vereiste netwerk of de host selecteren. Als het doelobject ontbreekt, met Add een nieuwe host of een nieuw domein aanmaken. Vervolgens met Apply toepassen en vanaf de nog niet aangemelde testclient controleren of alleen de beoogde doelen bereikbaar zijn.
• Delete expired vouchers: Verlopen vouchers automatisch verwijderen na een gekozen interval van 1 tot 365 dagen. Dit houdt het beheer overzichtelijk, maar vervangt geen operationele regel voor uitgifte en intrekking. De automatische opschoning wordt ingeschakeld door Delete expired vouchers te activeren, het interval in te voeren en op Apply te klikken. Bepaal vooraf het gewenste bewaartermijninterval; de opschoning verwijdert verlopen vouchers uit de database.

De aanmeldpagina kan eveneens worden aangepast. Een eenvoudige aanpassing met logo, titel en korte aanwijzing is gemakkelijker te onderhouden dan een volledig eigen HTML-template. Echte vouchercodes, interne hostnamen of supporttoegangsgegevens horen niet in de template of in screenshots.

Eigen aanmeld- en vouchertemplates veilig gebruiken

Onder Wireless > Hotspot settings > Download templates op Login page template klikken om de aanmeldsjabloon te downloaden, of op Voucher template voor de vouchersjabloon. Bewaar de gedownloade oorspronkelijke sjabloon en de momenteel gebruikte bestanden voordat u wijzigingen aanbrengt. De aanmeldpagina mag variabelen zoals <?login_form?>, <?error?>, <?terms?> en <?asset_path?> gebruiken; voorwaardelijke blokken tonen inhoud alleen voor het passende hotspottype of de juiste aanmeldstatus. Wie in plaats van <?login_form?> een eigen formulier maakt, moet de door SFOS verwachte actie en methode behouden:

<form action="?action=login" method="POST">
  ...
</form>

Binnen dit formulier is het invoerveld afhankelijk van het hotspottype. Voor Terms of use acceptance hoort er een selectievakje met name="accept" en value="true" in:

<input type="checkbox" name="accept" value="true">

Voor Password of the day of Voucher gebruikt men in plaats daarvan een tekstveld met name="token". De voorbeelden vereisen niet standaard beide invoervelden voor elk hotspottype:

<input type="text" name="token">

Een verzendknop verstuurt het formulier. De volgende knop is een voorbeeld; het label is geen vast voorgeschreven productwaarde:

<input type="submit" name="sign-in" value="Sign in">

Als aanvullende gebruiksvoorwaarden zijn ingeschakeld, controleer dan ook de weergave en acceptatie daarvan in het passende gedownloade voorbeeld. Na elke wijziging worden de aanmelding, foutmelding, gebruiksvoorwaarden, omleiding en afmelding met een nieuwe client getest. Uploadbare bestanden voor de volledige aanpassing zijn .jpg, .jpeg, .png, .ico, .css en .js; scripts van derden en onnodige actieve inhoud horen niet op een aanmeldpagina.

Plaatshouders van de aanmeldpagina toewijzen

<?error?> toont de foutmelding die bij een aanmeldpoging wordt teruggegeven; <?terms?> gebruikt de gebruiksvoorwaarden die voor de hotspot onder Wireless > Hotspots zijn gedefinieerd. <?login_form?> levert het aanmeldformulier dat bij het hotspottype past, zoals het tokenveld of het selectievakje voor instemming. Een eigen formulier vervangt deze plaatshouder alleen met de hierboven beschreven typeafhankelijke velden en verzending.

De variabelen worden vervangen wanneer de pagina wordt gegenereerd. Neem hiervoor de structuur uit de gedownloade voorbeeldtemplate over, in plaats van een eigen syntaxis voor voorwaardelijke blokken te bedenken:

• <?admin_message?> geeft de melding over een administratief contact weer; <?admin_contact?> gebruikt het adres bij Send notifications to email address onder Administration > Notification settings.
• <?asset_path?> verwijst naar de map voor afbeeldingen en stylesheets bij Full. Een logo wordt bijvoorbeeld ingevoegd met <img src="<?asset_path?>/logo.png">; logo.png moet als bijbehorend assetbestand worden aangeleverd.
• <?company_logo?> en <?company_text?> gebruiken respectievelijk het logo en de bedrijfstekst van de eenvoudige aanpassing onder Wireless > Hotspots.
• <?location?> is de door de gast aangevraagde URL; <?location_host?> is de hostnaam daarvan. Verwar deze waarden niet met de geconfigureerde doel-URL na het aanmelden.
• <?maclimit?> staat voor Devices per voucher onder Wireless > Hotspots, <?numdevices?> voor het in de template gedefinieerde aantal apparaten en <?redirect_host?> voor de onder Wireless > Hotspots geconfigureerde omleidings-URL.
• <?time_total?>, <?timeend?> en <?traffic_total?> zijn afkomstig uit Wireless > Hotspot voucher definition en tonen het totale tijdquotum, de geldigheidsduur en het totale datavolume van de voucher.

De volgende voorwaarden bepalen wanneer een sectie zichtbaar is; hun namen zijn niet uitwisselbaar met de bovenstaande uitvoerwaarden:

• <?if_loggedin?>: succesvol aangemeld; <?if_notloggedin?>: nog niet aangemeld, bijvoorbeeld wanneer toestemming nog ontbreekt of bij een fout.
• <?if_authtype_password?>: Password of the day; <?if_authtype_disclaimer?>: Terms of use acceptance; <?if_authtype_token?>: Voucher.
• <?if_location?>: de gebruiker wordt omgeleid; <?if_redirect_url?> respectievelijk <?if_not_redirect_url?>: Redirect to URL after login is in- respectievelijk uitgeschakeld.
• <?if_timelimit?>: geldigheidsduur aanwezig; <?if_trafficlimit?>: datalimiet aanwezig; <?if_timequota?>: tijdquotum aanwezig.
• <?if_maclimit?>: Devices per voucher is ingesteld; <?if_terms?>: gebruiksvoorwaarden zijn ingeschakeld en gedefinieerd; <?if_error?>: fout bij het aanmelden.

Test na wijzigingen gericht de betreffende toestanden: vóór en na het aanmelden, met en zonder omleiding en met een onjuiste code en de bijbehorende gebruiksvoorwaarden. Dit is geen garantie dat elke variabele bij elk hotspottype een waarde oplevert.

Een eigen vouchertemplate wordt als PDF-versie 1.5 of nieuwer gemaakt. Plaats variabelen zoals <?ssid#?>, <?psk#?>, <?code?>, <?validity?>, <?datalimit?>, <?timelimit?>, <?comment?> en <?qr0?> elk op een afzonderlijke regel. Volg voor # de toewijzing in de gedownloade Sophos-voorbeeldtemplate. Als de template <?psk#?> bevat, wordt de wifi-sleutel onderdeel van het toegangsdocument en moet deze als wachtwoord worden behandeld. Gebruik alleen standaardlettertypen zonder vet, cursief of vergelijkbare opmaak en plaats de tekenreeks voor de tekenset volgens het Sophos-voorbeeld op de laatste regel van het PDF-bestand. Genereer vóór de uitrol een echte voucher, druk de PDF af of open hem en test zowel de code als de QR-aanmelding.

In de vouchersjabloon staat <?ssid#?> voor de onder Wireless networks gedefinieerde SSID en <?code?> voor de vouchercode. <?validity?>, <?datalimit?> en <?timelimit?> gebruiken Validity period, Data volume en Time quota uit Hotspot voucher definition. De tekensetvermelding op de laatste PDF-regel wordt niet op de voucher afgedrukt. Controleer voor <?comment?> vóór de uitrol op de gegenereerde testvoucher welke beschrijvingstekst daadwerkelijk verschijnt; deze handleiding voegt daarvoor geen niet-onderbouwd invoerveld toe.

<?psk#?> gebruikt de passphrase of PSK’s die onder Wireless networks zijn gedefinieerd; <?qr0?> genereert een QR-code met gecodeerde hotspottoegangsgegevens. De hulp voor de vouchersjabloon koppelt <?comment?> aan de beschrijving onder Hotspot voucher definition. De procedure voor het toevoegen van een definitie noemt echter alleen de naam en de drie limieten, geen beschrijvingsveld. Deze gedocumenteerde koppeling bevestigt dus niet dat elke build een extra invoerveld heeft: vergelijk de gedownloade sjabloon met het werkelijke scherm en controleer de uitvoer met een testvoucher. Als de beschrijving ontbreekt, ga dan niet uit van een verzonnen veldnaam of gegarandeerde invulling.

Aangepaste bestanden naar de hotspot uploaden

Pas na de hierboven beschreven back-up en voorbereiding wordt de productiesjabloon vervangen:

1. Onder Wireless > Hotspots de gewenste hotspot openen, in het voorbeeld Guest WiFi Reception.
2. Enable customization inschakelen en Customization type op Full instellen.
3. Bij Login page template via Choose File de aangepaste aanmeldsjabloon selecteren.
4. Bij Images/stylesheet via Choose File de bijbehorende stylesheet of de ondersteunde assetbestanden selecteren en uploaden.
5. Voor een eigen voucheruitvoer bij Voucher template via Choose File de voorbereide PDF-sjabloon selecteren; een benodigde stylesheet via Images/stylesheet beschikbaar stellen.
6. Met Save opslaan. Daarna de nieuwe aanmeldpagina met een nieuwe client en de voucheruitvoer met een nieuwe testcode controleren. Bij een fout de opgeslagen bestanden en aanpassingsinstellingen terugzetten, opslaan en opnieuw testen.

De bestandsselectie kan in de browser als Browse in plaats van Choose File worden weergegeven. Doorslaggevend is de koppeling aan het betreffende uploadveld, niet het lokale label van het bestandsdialoogvenster.

4. Automatisch aangemaakte firewallregel controleren

Bij het opslaan maakt SFOS een bijbehorende firewallregel aan en plaatst deze bovenaan de regellijst. Dat is handig, maar kritiek voor de beveiliging: een hoog geplaatste regel wordt vóór de onderliggende regels geëvalueerd en kan bij een te ruim bereik onverwacht verkeer overnemen.

Controleer onder Rules and policies > Firewall rules:

• De broninterface en bronzone horen alleen bij het gastennetwerk.
• De bestemmingszone en bestemmingsnetwerken geven geen toegang tot LAN, servers, beheer- of VPN-netwerken.
• Services zijn niet ruimer dan nodig.
• De Web-, Application-, IPS- en Traffic Shaping-policies komen overeen met het gastenprofiel.
• Log firewall traffic is voor de acceptatietest geactiveerd.
• De positie botst niet met automatisch aangemaakte MTA-, IPsec- of andere hotspotregels.
• Een passende MASQ-/SNAT-regel dekt het gastennetwerk.

Toegang tot de firewall zelf wordt afzonderlijk geregeld onder Administration > Device access. Voor de WiFi-zone moeten HTTPS, SSH en andere niet-benodigde lokale diensten gesloten zijn. DNS blijft alleen open als de gasten de firewall daadwerkelijk als resolver gebruiken. Firewallregels correct plannen en Device Access veilig configureren leggen de samenhang uit.

Vouchers aanmaken in het User Portal

De onder Administrative users toegewezen personen kunnen vouchers in het User Portal beheren zonder toegang tot WebAdmin te krijgen. Het tabblad Hotspots is alleen voor deze gebruikers zichtbaar. Het User Portal draait standaard op poort 4443. Sta toegang uit de beheerzone toe onder Administration > Device access en test https://<firewall-IP-of-FQDN>:4443. Open het hiervoor niet algemeen vanuit het WAN. Gerichte toegang vanuit een vertrouwd intern beheernetwerk is veiliger. Overzicht van Sophos-portals onderscheidt het van WebAdmin, VPN Portal en Captive Portal. Onder Hotspots worden de volgende waarden geselecteerd:

1. Hotspot: Guest WiFi Reception
2. Hotspot Voucher Definition: Guest-8h-2GB
3. Amount: het gewenste aantal, maximaal 50 per bewerking
4. Description: bijvoorbeeld Visitors 2026-08-07
5. Optioneel Print, papierformaat, vouchers per pagina en Add QR Code selecteren.
6. Op Create Vouchers klikken.

De QR-code opent de hotspotaanmeldpagina en vult de benodigde gegevens in. De code bevat daarmee toegangsgegevens en moet op dezelfde manier worden beschermd als de uitgeschreven vouchercode.

Voor de uitgifte is een eenvoudig proces nodig: wie mag vouchers aanmaken, hoe wordt een code aan een gast toegewezen en wanneer wordt een nog geldige code verwijderd? Een grote voorraad afgedrukte vouchers bij een publiek toegankelijke receptie verzwakt de technische grenzen.

Geselecteerde vouchers kunnen handmatig in het User Portal worden verwijderd of als PDF of CSV worden geëxporteerd. Bij een CSV-export moet het scheidingsteken bij het doelsysteem passen, anders worden codes en limieten bij het openen over verkeerde kolommen verdeeld. Automatische verwijdering van verlopen vouchers volgt alleen het globale opschoningsinterval dat onder Wireless > Hotspot settings is ingesteld en trekt een nog geldige code niet in.

Gasttoegang volledig testen

De acceptatietest wordt uitgevoerd met een apparaat dat nog geen actieve hotspotsessie heeft. Een privévenster van de browser voorkomt bovendien dat oude cookies het resultaat vertekenen.

1. Met Company Guest verbinden.
2. Controleren of de client een adres uit 10.30.40.0/24, gateway 10.30.40.1 en de geplande DNS-servers ontvangt.
3. Vóór de aanmelding controleren of naast de bewust ingevoerde Walled Garden-doelen geen interne of externe doelen bereikbaar zijn.
4. Een normale HTTP-pagina openen en de omleiding naar de hotspotaanmeldpagina controleren.
5. De certificaatnaam, certificaatketen en browserstatus controleren.
6. Eerst een onjuiste en daarna de juiste vouchercode invoeren.
7. DNS en een toegestane HTTPS-pagina testen.
8. Bewust een intern doel en het WebAdmin-adres openen; beide moeten geblokkeerd blijven.
9. In de Log Viewer op het IP-adres van de client filteren en de verwachte Firewall Rule ID en NAT Rule ID controleren.
10. Met een testvoucher bewust minstens één geconfigureerde grens bereiken en controleren of de toegang daarna eindigt.

Alleen internettoegang is geen voldoende resultaat. De client moet zich in het juiste netwerk bevinden, via de verwachte regel lopen en gescheiden blijven van interne systemen en het firewallbeheer.

Hotspotconfiguratie gecontroleerd overdragen via de XML API

Voor herhaalbare uitrol beschrijft de XML-referentie voor SFOS 22.0 en 23.0 dezelfde hotspotstructuren. De objecttoewijzing alleen is geen volledige importaanvraag. Toegang, een expliciete schrijfbewerking, bescherming van secrets en verwerking van antwoorden worden uitgelegd in XML API-toegang beveiligen. Maak vóór wijzigingen een back-up van de huidige hotspot, inclusief globale instellingen, bestanden en regelpositie; vergelijk de payload met API help van de geïnstalleerde build. De volgende toewijzingen vervangen noch een volledig verzoek, noch de hierboven beschreven acceptatietest.

Alleen de gekozen hotspottak invullen

Het object Hotspot bevat Name, herhaalde Interfaces/Interface en Users/User voor de verantwoordelijke administratieve gebruikers. Deze gebruikers beheren het dagwachtwoord of de vouchers; dit is niet de lijst met gasten die zich moeten aanmelden. Name is beperkt tot 40 tekens. HotspotType bepaalt de overige velden; een «Yes» in de parametertabel betekent niet dat alle typen en aanpassingsvarianten tegelijk moeten worden ingevuld:

• TermsOfUseAcceptance: SessionExpiry en TermsOfUse. De gedocumenteerde vervalwaarden zijn After2hours, After6hours, After12hours, After24hours en After1week; de tekst van de gebruiksvoorwaarden mag maximaal 8192 tekens bevatten.
• PasswordofTheDay: PasswordCreationTime, optioneel Email en SynchronizePSK. Het aanmaaktijdstip is een heel uur van 00:00 tot 23:00. Een wachtwoordwijziging beëindigt sessies; PSK-synchronisatie veroorzaakt daarnaast de hierboven beschreven AP-onderbrekingen.
• Voucher: herhaalde Vouchers/Voucher verwijzen naar de eerder aangemaakte definities; DevicePerVoucher beperkt het aantal apparaten. Het voorbeeld noemt ook unlimited, maar de parametertabel noemt een integer. Leid hieruit geen universele Unlimited-waarde af; gebruik voor het voorbeeld met één apparaat de waarde 1 en controleer de opgeslagen limiet.

Bij een dagwachtwoord of voucher koppelt TermsAcceptance de aanvullende instemming aan TermsOfUse. Ook hoort Hostname bij de tak HostnameType met Custom hostname, en URL bij een ingeschakelde RedirectURL. Neem niet-benodigde takken niet over uit een totaalvoorbeeld.

AutoFirewallRule staat Enable of Disable toe; stel voor een reproduceerbare taak de bevestigde keuze expliciet in en leid geen API-standaardwaarde af uit de UI-handleiding. ApplicationFilterPolicy, WebFilterPolicy, IPSPolicy en QoSPolicy verwijzen naar de beveiligingspolicies. Controleer vervolgens de daadwerkelijk aanwezige regel, positie en policies zoals hierboven beschreven: de API-status alleen bevestigt geen veilige gasttoegang.

Voor aanpassingen gebruikt de gedocumenteerde tak RestoreDefault met Enable het type CustomizationType: Basic koppelt Logo, ScaleLogo, Title en CustomText; Full koppelt LoginPageTemplate en ImagesStylesheet. Interpreteer de verwarrende naam niet als een opdracht om de instellingen terug te zetten. De aanmeldsjabloon is een HTML-bestand en de assets moeten overeenkomen met hun bestandsverwijzingen. De parametertabel beschrijft meerdere assetwaarden, maar het voorbeeld toont slechts één element; zoek in API help uit hoe meerdere bestanden concreet moeten worden overgedragen en verzin geen extra XML-container. VoucherTemplate koppelt in de aanpassingstak bij Voucher de PDF-sjabloon. Een bestandsnaam in de XML vervangt niet de bijbehorende bestandsupload; gebruik alleen uploadkoppelingen die voor de build zijn bevestigd en controleer daarna de aanmeldpagina en de voucheruitvoer.

Voucherlimieten en globale instellingen afzonderlijk behandelen

VoucherDefinition is de definitie, niet een uitgegeven code. Name mag maximaal 60 tekens bevatten. ValidityPeriod heeft het gedocumenteerde bereik 1–730 en gebruikt ValidityUnit met Minutes, Hours of Days. TimeQuota gebruikt QuotaUnit met Minutes of Hours; DataVolume gebruikt DataUnit met MB of GB. Eén dag geldigheid, acht uur onlinetijd en 2 GB horen bijvoorbeeld bij drie afzonderlijke waarde-eenheidparen. De geldigheidsduur vanaf de eerste aanmelding loopt onafhankelijk van het verbruikte online-tijdquotum en dataquotum. De optionele XML-Description bevestigt niet automatisch dat elke build een gelijknamig UI-veld heeft.

De globale instellingen delen AdvancedConfiguration, maar zijn pas door hun onderliggende elementen eenduidig te onderscheiden:

• AdvancedConfiguration/WalledGarden/AllowedNetworks: AllowedNetworks wordt herhaald voor meerdere bestaande host- of netwerkobjecten; het is geen door komma’s gescheiden lijst met toegestane doelen. Sta vóór de aanmelding alleen nauw begrensde doelen toe, geen brede Any-lijst. Test daarna zonder actieve sessie zowel toegestane als niet-toegestane doelen.
• AdvancedConfiguration/LoginPageCertificate/Certificate: een verwijzing naar het geselecteerde certificaat voor de HTTPS-aanmeldpagina, niet de upload van een certificaat. Controleer daarna de daadwerkelijk opgeslagen selectie en de browser op het gastapparaat.
• AdvancedConfiguration/GeneralVoucherOptions: DeleteOption schakelt de opschoning van verlopen vouchers in of uit; DeleteExpiredVouchersAfter beschrijft de bewaartermijn van 1–365 dagen wanneer opschoning is ingeschakeld, niet hun toegangsgeldigheid. Het voorbeeld noemt Enable/Disable, maar de parametertabel noemt 1 en 0. Stel deze weergaven niet stilzwijgend aan elkaar gelijk: bevestig vóór een schrijfaanroep de geldige waarde in de geïnstalleerde build; verstuur niets zolang de codering onduidelijk blijft. Verwijderde vouchers worden niet hersteld door de schakelaar terug te zetten.

Antwoorden toewijzen en vóór een nieuwe poging de opgeslagen gegevens teruglezen

Voor Add Hotspot noemt de referentie 200 met Message.HotSpotAddSuccess, 500 met Message.HotSpotAddFail en 502 met Message.HotSpotRecodExist. Voor Update Hotspot worden 200 met Message.HotSpotUpdateSuccess en 500 met Message.HotSpotUpdateFail vermeld. Beide bewerkingen vermelden daarnaast deze afzonderlijke regels:

• 541 — Message.InterfaceAlreadyBindWithHotspot
• 542 — Message.HotspotHTMLFileAllowedCharacters
• 543 — Message.HotspotPDFFileAllowedCharacters

Dit zijn XML-statuswaarden met ongewijzigd overgenomen, niet opgeloste Message.*-symbolen, geen HTTP-codes of aangetoonde meldingsteksten tijdens uitvoering. Ook RecodExist blijft exact zo geschreven. Leid uit een symbool geen gegarandeerde oorzaak, lijst met toegestane tekens of automatische reparatie af. Leg de bewerking, de code en het opgeschoonde daadwerkelijke antwoord vast; lees vóór elke nieuwe poging de opgeslagen objectnaam, interfacekoppelingen en uploadbestanden terug. Een onduidelijk antwoord rechtvaardigt noch een tweede hotspotobject, noch ruimere vrijgaven. Stop bij een onverklaarde afwijking en zoek dit samen met support uit; voer de volledige gasttoegangstest pas uit nadat de toestand is bevestigd.

Dagwachtwoord als eenvoudiger alternatief

Voor een gemeenschappelijk dagwachtwoord wordt bij de hotspot Password of the day geselecteerd in plaats van Voucher. Daarna worden het aanmaaktijdstip, de adressen van de ontvangers en de verantwoordelijke administratieve gebruikers ingesteld.

In de hotspotinstellingen hebben alleen Administrative users en de onder Send password by email to vermelde ontvangers toegang tot het dagwachtwoord. Dit beperkt het beheer en de verspreiding van het wachtwoord, maar voorkomt niet dat een ontvanger het aan een gast doorgeeft. Als daarnaast acceptatie vereist is, ook bij Password of the day Users have to accept terms of use inschakelen, de Terms of use invoeren en met Save opslaan. Vervolgens met een nieuwe client controleren of het wachtwoord alleen, zonder de vereiste acceptatie, niet volstaat.

Een interne e-mailgroep is praktischer dan veel afzonderlijke ontvangers. Hiervoor moet de e-mailmelding van Sophos Firewall werken. Het wachtwoord mag niet permanent openbaar zichtbaar zijn en moet na elke automatische of handmatige wijziging met een nieuwe client worden getest.

Een toegewezen administratieve gebruiker kan het huidige wachtwoord in Hotspots van het User Portal bekijken en wijzigen:

1. De hotspot in de lijst selecteren.
2. Een wachtwoord invoeren of het getoonde automatisch gegenereerde wachtwoord gebruiken en op Generate klikken.
3. Optioneel Send Mail selecteren. Deze optie verschijnt alleen als ontvangeradressen op de hotspot zijn ingesteld.
4. Op Save klikken.

Na Save is het nieuwe wachtwoord direct geldig. Het vorige wachtwoord wordt ongeldig en actieve sessies worden beëindigd. Een handmatige wijziging is dus geen functietest zonder neveneffecten.

Override wireless networks’ passphrase is alleen nodig wanneer het hotspotwachtwoord en de wifi-PSK identiek moeten zijn. Zonder deze optie blijft de PSK van de wifi ongewijzigd en wordt alleen voor de aanmelding bij de hotspot het dagwachtwoord gebruikt. Met de optie worden de bijbehorende access points opnieuw geconfigureerd en gestart; verbonden clients worden onderbroken.

Wijziging terugdraaien

Herstel bij een mislukte acceptatietest de vastgelegde interfaces, policies, het authenticatietype, de omleidingen en aanpassingen en zet de automatisch aangemaakte firewallregel terug op de oorspronkelijke positie. Test daarna met een nieuwe client zowel toegestane internettoegang als de blokkade van interne doelen. Een oude browsercookie of bestaande sessie is geen geldige rollbacktest.

Typische fouten afbakenen

Aanmeldpagina verschijnt niet

Controleer eerst of de client zich in het juiste gastennetwerk bevindt en of de interface aan de hotspot is toegewezen. Controleer daarna DHCP, gateway en DNS en open bewust een normale HTTP-pagina. Reeds actieve hotspotsessies, versleutelde DNS-methoden of een browser die rechtstreeks alleen HTTPS opent, kunnen de verwachte omleiding verhullen.

Voucher wordt geweigerd

Controleer of de voucher bij de geselecteerde hotspot hoort en of de geldigheid, Time quota, het datavolume of het toegestane aantal apparaten al is bereikt. Controleer bij een QR-code bovendien of daadwerkelijk de actuele en volledig leesbare code wordt gebruikt.

HTTPS toont een certificaatwaarschuwing of de doelpagina opent niet

Bij een waarschuwing moeten de daadwerkelijk gebruikte omleidingsnaam, DNS-resolutie, Login page certificate en volledige vertrouwensketen overeenkomen. Werkt aanmelden wel maar Redirect to URL after login niet, test dan de doel-URL rechtstreeks en controleer in Log Viewer of DNS, de firewallregel en beveiligingspolicies het verzoek toestaan.

Aanmelden lukt, maar internet niet

Dit bevestigt de hotspotaanmelding en de verwerking van de voucher; de fout bevindt zich in het daaropvolgende gegevenspad. Controleer de automatisch aangemaakte firewallregel, de regelpositie, DNS, routing, MASQ/SNAT en de gekozen beveiligingspolicies. Log Viewer laat zien of de verwachte Rule ID matcht of dat een andere regel het verkeer overneemt.

Interne systemen zijn bereikbaar

Dit is geen hotspotfout, maar een te ruime vrijgave. Beperk de bestemmingszones en bestemmingsnetwerken van de hotspotregel en bestaande WiFi-to-LAN- of Any-regels. Test daarna de interne doelen opnieuw.

Verantwoordelijken kunnen geen vouchers aanmaken

De gebruiker of de juiste groep moet onder Administrative users van de hotspot zijn opgenomen en zich bij het User Portal kunnen aanmelden. De benodigde voucherdefinitie moet eveneens aan de hotspot zijn toegewezen; anders verschijnt deze daar niet als keuze.

De fout blijft reproduceerbaar

Documenteer het IP-adres van de client, het tijdstip, de SSID, de hotspotnaam en de status van de voucher. Controleer daarna de Log Viewer en indien nodig hotspotd.log. Voor het radiopad komen afhankelijk van de hardware awed.log, wc_remote.log of hostapd.log erbij; dhcpd.log, firewall_rule.log, cschelper.log en bij SD-RED red.log en red-<serial>.log bakenen de verschillende onderdelen van de procedure verder af. Sophos Firewall-servicelogs legt uit hoe deze bestanden zonder ongecontroleerde serviceherstarts worden gelezen.

De hotspot mag niet in productie worden genomen zolang Separate zone, DHCP, DNS, systeemtijd, certificaat, Walled Garden of de automatisch aangemaakte regel niet zorgvuldig zijn gecontroleerd. Hetzelfde geldt voor een dagwachtwoord met e-mailverzending of wijziging van de wifi-PSK als de bezorging en de geplande AP-herstart nog niet zijn getest.