Sophos Fusion Wireless: sieć dla gości i Captive Portal dla AP6

Bezpieczna sieć gościnna AP6 składa się z dwóch odrębnych elementów. Sophos Fusion (dawniej Sophos Central) rozsyła konfigurację SSID, sieci gościnnej i portalu. Ruch klientów przechodzi natomiast z urządzenia przez AP6, przełącznik i bramę do Internetu. Sophos Fusion nie tworzy sieci VLAN ani reguł zapory. Punkt dostępowy widoczny jako online nie dowodzi więc, że goście otrzymują adres lub nie mogą dotrzeć do sieci wewnętrznych.

W skrócie: Przygotuj osobną sieć VLAN dla gości z DHCP, DNS, bramą i restrykcyjnymi regułami. Otwórz istniejący SSID AP6 w My Products > Wireless > SSIDs, wybierz VLAN w Advanced Settings > Client Connection i włącz Enable Guest Network. Świadomie wybierz Bridge Mode albo NAT Mode, aktywuj hotspot w Captive Portal, skonfiguruj uwierzytelnianie i stronę powitalną, przetestuj rozwiązanie na jednym pilotażowym AP i dopiero potem rozszerz wdrożenie.

Zaplanowanie płaszczyzny zarządzania i ścieżki danych gości

W poniższych przykładach używamy SSID Guest-WiFi, VLAN 120, sieci 10.120.0.0/24 oraz bramy 10.120.0.1. Zastąp te wartości wolną siecią VLAN i podsiecią ze swojego środowiska. Ścieżka zarządzania AP6 pozostaje bez zmian; VLAN 120 jest dodatkową ścieżką klientów do bramy. Podstawy projektu opisano w artykule Planowanie SSID i VLAN dla AP6.

Przed konfiguracją portalu wykonaj następujące kontrole:

Zezwól na VLAN 120 na łączu AP i wszystkich trunkach przełączników w tej ścieżce.
Zapewnij w sieci gościnnej bramę, DHCP i DNS. W Bridge Mode adresy przydziela własna infrastruktura.
Zezwól tylko na niezbędne usługi internetowe i jawnie zablokuj sieci wewnętrzne, w tym sieci zarządzania, serwerów, telefonii, drukarek i innych lokalizacji.
Zezwól w ograniczonym zakresie na DNS, NTP i, jeśli jest potrzebny, dostęp do serwera RADIUS. Nie stosuj szerokiej reguły z sieci gościnnej do LAN jako skrótu.
Przygotuj co najmniej test dozwolonego celu w Internecie, zablokowanego celu wewnętrznego oraz dwóch różnych typów klientów.

Sophos opisuje ważne ograniczenie: sieć gościnna Sophos Fusion zezwala na publiczne adresy IP. Jeżeli organizacja używa wewnętrznie zasobów z adresami publicznymi, zablokuj te cele również na bramie. Samo blokowanie prywatnych zakresów adresów nie wystarczy.

Wybór Bridge Mode lub NAT Mode

Zaloguj się na stronie fusion.sophos.com, otwórz My Products > Wireless > SSIDs, edytuj SSID AP6 i przejdź do Advanced Settings > Client Connection. Wybierz LAN albo VLAN, włącz Enable Guest Network i wskaż tryb adresowania.

Bridge Mode do kontrolowanej segmentacji

W Bridge Mode klienci otrzymują adresy z własnego serwera DHCP w wybranej sieci LAN lub VLAN. AP6 automatycznie izoluje klientów gościnnych od siebie; według dokumentacji Sophos Fusion mają oni też dostęp do Internetu bez dostępu do prywatnych adresów IP. Sophos wymienia ponadto płynny roaming między wieloma punktami dostępowymi AP6.

W większości sieci firmowych Bridge Mode z osobnym VLAN-em jest najbardziej przejrzystą opcją: brama, dzierżawy, DNS i zastosowane reguły pozostają widoczne we własnej infrastrukturze. Nie opieraj jednak ochrony wyłącznie na AP. Brama musi blokować cele wewnętrzne i ograniczać dozwolone usługi internetowe.

NAT Mode dla gości adresowanych przez AP

W NAT Mode punkt dostępowy zapewnia DHCP i informacje DNS oraz tłumaczy ruch klientów do sieci LAN. Klienci nie mogą komunikować się ze sobą, ale mają dostęp do Internetu. Pola Primary DNS Server i Secondary DNS Server są opcjonalne; bez podania tych wartości AP rozsyła własne serwery DNS.

NAT Mode jest przydatny, gdy nie ma osobnego VLAN-u klientów, ale brama ma wtedy mniejszy bezpośredni wgląd w adresy poszczególnych gości. Z góry ustal sposób rejestrowania zdarzeń, egzekwowania zasad i prowadzenia analiz wsparcia. W obu trybach zapora wyższego poziomu pozostaje odpowiedzialna za dalszą część ścieżki danych.

Konfiguracja captive portal w Sophos Fusion

W Advanced Settings > Captive Portal wybierz Enable hotspot. Ustaw zrozumiały Page title, krótki Welcome text oraz, jeśli są potrzebne, Terms of service. Warunki muszą mieć mniej niż 10 000 znaków i nie mogą zawierać HTML ani znaków specjalnych.

Wybierz typ uwierzytelniania odpowiedni do zastosowania:

None wyświetla portal bez logowania użytkownika. Rozdzielenie sieci i reguły zapory nadal są niezbędne.
Backend authentication korzysta z RADIUS i PAP. Wprowadź adres IP serwera, port i sekret współdzielony; Sophos Fusion podaje 1812 jako port domyślny. Użyj silnego sekretu przeznaczonego wyłącznie dla tej relacji i otwórz tylko ścieżkę sieciową konieczną do uwierzytelniania.
Password schedule generuje nowe hasło codziennie, co tydzień lub co miesiąc. Sprawdź strefę czasową i odbiorców, a hasła przekazuj wyłącznie osobom upoważnionym.
Social login wymaga aktualnej konfiguracji aplikacji Google lub Facebook. Authorized Domain pozwala ograniczyć dostęp do tożsamości z podanej domeny. Przed wdrożeniem osobno sprawdź bieżące wymagania dostawcy.
Voucher zapewnia indywidualny dostęp ograniczony czasem lub ilością danych i jest opisany niżej.

Dla każdej metody ustaw Session timeout na wartość od 1 do 24 godzin. Re-login timeout określa dodatkowo, czy goście muszą logować się ponownie codziennie, co tydzień czy co miesiąc. Dobierz obie wartości do ryzyka i planowanego czasu wizyty.

W polu Redirect URL wybierz pierwotnie żądaną stronę albo własny adres HTTPS. Własny cel musi być osiągalny z sieci gościnnej. Zapisz ustawienia; hotspot będzie dostępny po zaktualizowaniu AP przez Sophos Fusion.

⚠️ Przed aktywacją sprawdź wymagania prawne i dotyczące prywatności: Sophos zwraca uwagę, że publiczne hotspoty mogą podlegać specyficznym dla danego kraju obowiązkom, ograniczeniom treści lub wymogom rejestracyjnym. Dostosuj warunki użytkowania, rejestrowanie, retencję i logowanie społecznościowe do własnych obowiązków prawnych i zasad ochrony danych.

Dostosowanie portalu bez zasłaniania logowania

Hotspot musi już być włączony. W Advanced Settings > Captive Portal > Template wybierz Custom. W Customization preview prześlij logo i ustaw kolor tła. Sophos dopuszcza maksymalnie 1 MB i zaleca 200 × 200 pikseli. Użyj podglądu po prawej do kontroli wyglądu, a następnie zapisz najpierw opcje portalu, a później ustawienia SSID.

Sprawdź stronę także na małym smartfonie. Tytuł, tekst zgody, pola logowania i przycisk muszą być czytelne bez powiększania. Logo nie może zawierać danych logowania, wewnętrznych nazw hostów ani danych osobowych. Podgląd potwierdza wyłącznie wygląd, a nie działanie DNS, przekierowania, uwierzytelniania czy dostępu do Internetu.

Tworzenie voucherów i zarządzanie całym ich cyklem życia

Najpierw wybierz Voucher jako Authentication type i zapisz SSID. Przycisk Create voucher pojawia się w Advanced Settings > Captive Portal dopiero po ponownym otwarciu SSID do edycji.

Wpisz możliwą do prześledzenia wartość Voucher name, na przykład reception-2026-09-09, bez zapisywania nazwisk gości w Sophos Fusion.
W Access time wybierz Unlimited albo Period z datą początku, datą końca i strefą czasową. Dla zwykłych wizyt bezpieczniejszy jest ograniczony okres.
W Data limit wybierz Unlimited lub limit odpowiedni do usługi, a nie największą możliwą wartość.
Ustaw Number of vouchers. Sophos Fusion tworzy maksymalnie 100 w jednej operacji.
Ustaw Devices per voucher na najniższą potrzebną wartość. Maksimum to 8; dla jednej osoby wartość 1 zwykle ułatwia przypisanie.
Za pomocą Valid for określ liczbę dni i godzin od pierwszego użycia. Przy wielu urządzeniach wspólny okres zaczyna się po połączeniu pierwszego z nich; kolejne urządzenia nie otrzymują nowego okresu.
Wybierz Confirm, a następnie użyj Show PDF, aby bezpiecznie zapisać vouchery lub je wydrukować. Przekazuj je tylko właściwym odbiorcom.

Sophos wymaga ponownego uwierzytelnienia co 24 godziny, nawet gdy dostęp jest ważny dłużej. Jeśli potrzebujesz ponad 100 voucherów, Clone pozwala skopiować wybrane wartości do nowego okna tworzenia.

Prowadź poza kodem minimalny rejestr wydania: nazwę vouchera, czas wydania, cel, osobę odpowiedzialną i planowany koniec. Chroń pliki PDF i wydruki, ponieważ zawierają dane dostępowe. Po wydarzeniu uzgodnij rejestr, zakończ dystrybucję voucherów oraz bezpiecznie zniszcz niepotrzebne eksporty i wydruki. Przejrzana dokumentacja nie potwierdza możliwości unieważnienia pojedynczego vouchera: stosuj ograniczony okres ważności, a jeśli dostęp trzeba przerwać natychmiast, wyłącz hotspot w kontrolowany sposób albo skontaktuj się z Sophos Support.

Pełna walidacja pilotażu

Początkowo testuj tylko przez jeden pilotażowy AP i z urządzenia bez zapisanej sesji portalu:

Połącz się z Guest-WiFi i zanotuj adres IP, bramę oraz DNS. W Bridge Mode adres musi należeć do właściwego VLAN-u; w NAT Mode przydziela go AP.
Otwórz stronę HTTP, aby system operacyjny nie powtarzał jedynie żądania HTTPS z pamięci podręcznej. Sprawdź, czy portal wyświetla oczekiwany szablon.
Użyj nieprawidłowego vouchera lub błędnych danych logowania. Dostęp do Internetu musi pozostać zablokowany.
Uwierzytelnij się poprawnie, sprawdź przekierowanie i otwórz dozwolony cel internetowy.
Spróbuj otworzyć wewnętrzny cel testowy. Dostęp musi się nie udać; sprawdź na bramie zastosowanie właściwej reguły blokującej.
Sprawdź komunikację między dwoma klientami gościnnymi. Udokumentowana izolacja klientów musi działać.
Przetestuj wygaśnięcie lub limit danych za pomocą krótkotrwałego vouchera przed wydaniem voucherów o dłuższej ważności.
Potwierdź, że AP pozostaje osiągalny w Sophos Fusion. Pozwala to odróżnić awarię portalu lub ścieżki klienta od problemu z połączeniem AP z Sophos Fusion.

Rozwiązywanie problemów według objawów

Portal nie pojawia się

Sprawdź Enable hotspot, przypisanie SSID oraz czy Sophos Fusion zaktualizował AP. Następnie sprawdź adres klienta, bramę i DNS. Zapisane sesje i wyłącznie żądania HTTPS mogą mylić automatyczne wykrywanie portalu; ponów próbę z innym klientem lub w prywatnym oknie i otwórz stronę HTTP. Nie zmieniaj jednocześnie VLAN-u i portalu jako pierwszej czynności diagnostycznej.

Portal pojawia się, ale logowanie nie działa

Dla voucherów sprawdź okres dostępu, strefę czasową, Valid for, liczbę urządzeń i dokładny kod. Dla Backend authentication sprawdź osiągalność adresu IP RADIUS i portu 1812, sekret współdzielony oraz ewentualne odrzucenia w dzienniku RADIUS. Dla Social login sprawdź też konfigurację dostawcy i łączność zewnętrzną. Materiał diagnostyczny może zawierać czas, adres MAC klienta, AP, SSID i typ uwierzytelniania, ale nigdy hasła ani pełne kody voucherów.

Logowanie działa, ale nie ma Internetu lub przekierowania

Prześledź w ścieżce danych adres IP klienta, DNS, bramę, trasę i zastosowaną regułę zapory. Własny adres przekierowania musi być dostępny z sieci gościnnej. W razie potrzeby przetestuj Redirect to original URL, pamiętając, że nie naprawi to brakującego dostępu DNS ani reguły zapory.

Goście docierają do celów wewnętrznych lub wewnętrznych adresów publicznych

Natychmiast przerwij pilotaż i popraw reguły bramy. W Bridge Mode sprawdź również, czy VLAN 120 jest rzeczywiście przypisany. Jawnie zablokuj publiczne adresy organizacji, ponieważ sieć gościnna Sophos Fusion nie traktuje ich jako prywatnych.

Bezpieczne wycofanie konfiguracji

Przed każdą zmianą zapisz poprzedni tryb połączenia klientów, VLAN, stan sieci gościnnej i captive portal, typ uwierzytelniania, przekierowanie oraz przypisanie AP. Jeśli test się nie powiedzie, nie przypisuj SSID do kolejnych punktów dostępowych.

Aby szybko wycofać zmianę, wyłącz Enable hotspot i zapisz ustawienia. Jeśli segmentacja jest zagrożona, wyłącz również sieć gościnną albo usuń SSID z pilotażowego AP i przywróć zapisaną konfigurację. Nie trzeba usuwać całego SSID. Ponownie sprawdź aktualizację Sophos Fusion, znane produkcyjne SSID i ścieżkę danych klientów. Nowy pilotaż rozpocznij dopiero po ponownym pomyślnym sprawdzeniu reguł blokujących i portalu.

Oddzielenie lokalnego interfejsu AP6

Samodzielny AP6 ma w lokalnym interfejsie osobną konfigurację Captive portal, obejmującą stronę powitalną, uwierzytelnianie, vouchery i przekierowanie. Opisane wyżej ścieżki Sophos Fusion nie mają tam zastosowania. Sophos dokumentuje także lokalny Walled garden, który ogranicza klientów do listy domen lub adresów IP.

Lokalny portal wymaga adresu IP portalu w odpowiedniej sieci klientów. Sophos wyraźnie ostrzega, że zakres DHCP ograniczony do lokalnej sieci LAN może uniemożliwić wyświetlenie portalu przy wielu sieciach lub VLAN-ach. Nie jest to powód, aby bez weryfikacji wykonywać polecenia konsoli zapory pokazane na tej stronie pomocy: DHCP i rezerwacje zaplanuj na rzeczywiście używanej bramie. W przypadku AP6 zarządzanego centralnie zmień konfigurację Sophos Fusion i nie mieszaj płaszczyzn zarządzania. Podstawy tego wyboru opisuje artykuł Zarządzanie AP6 lokalnie lub za pomocą Sophos Fusion.