[dmitryst]

сейчас хоть iptables на шлюзе »

может, там и прописать маршрутизацию для сетей 192.168.1.0/23 и 192.168.0.0/23? (/23? почему 23? ну, вам виднее)

[NickM]

Получается, что каптив-портал ЕСИА после авторизации принимает сессию для конкретного ip адреса, а т.к. все компьютеры за натом - то это сессия для ip адреса шлюза ЕСПД. По сути кто первый авторизовался - тот пустил всех напрямую, без прокси. »

Там же для сессии используются куки браузера, а не IP.

у Меня в некоторых школах пока работает сервер, который и светит задом в сегмент ЕСПД, что потребуется делать дальше - пока с вопросами не обращались.

[bredych]

а двойная аутентификация - по ид устройства и ид юзера - не то, что вам надо?
устройства подключаются по своим сертификатам, а если подключается юзер, то для доступа в сеть юзается уже его сертификат. по идее, это должно решать вопрос..

[zz1666]

может, там и прописать маршрутизацию для сетей 192.168.1.0/23 и 192.168.0.0/23? (/23? почему 23? ну, вам виднее) »

Ростелеком выдал ip адреса типа 10.*.*.*, 192.168.0.0/23 - это сеть школы, т.к. изначального диапазона не хватало 192.168.0.0/24. То есть наш школьный DHCP сконфигурирован на то, чтобы отдавать не 252 адреса, а фактически 506 (255+255-широковещательный, нулевые, адрес DHCP)
Вероятно я криво описал конфиг сети...

Есть основной шлюз, на нём и крутится DHCP, наклонировал его, обрубил на клонах DHCP, поменял настройки сетёвки, nginx для админки и iptables. Шлюзы ЕСПД находятся в той же сети, что и основной, всем компьютерам в сети фактически доступны все 4 шлюза, но надо руками писать - на что у учителей прав не хватает, посему используется полученное DHCP добро, а оно зависит от присвоенной компьютеру группы.

Там же для сессии используются куки браузера, а не IP. »

Попробовал авторизоваться на ноутбуке, при этом системник также запрашивал авторизацию. После авторизации на ноуте, стационарный комп получил доступ в обход прокси. Так что сеанс начинается именно для ip 10.xxx.xxx.5, который принадлежит шлюзу
Возможно разнится ситуация от региона к региону, но сомневаюсь... у меня 66
Часто при сбоях на нашем прокси техподдержка рекомендовала прописать проксю соседних регионов - 45, 74, 59. Говорят замеряйте скорость, какой 100мбит отдаст - тот и используйте.
По мнению сапорта админ должен по всем клиентам пробежать и ручками браузер поправить, учитывая, что скрипт у меня самописный? Или каждый час скрипт распространять по клиентам, подменяя адреса? Вопрос риторический))

а двойная аутентификация - по ид устройства и ид юзера - не то, что вам надо? устройства подключаются по своим сертификатам, а если подключается юзер, то для доступа в сеть юзается уже его сертификат. по идее, это должно решать вопрос.. »

С точки зрения "чтобы у учителей был инет" я могу оставить как есть - первый входит, остальные ходят под его сессией. Но это породит вопросы "какого фига у меня запрашивает, у Люси нет" и со стороны РТ - почему только 1-2 учителя в сутки в инет выходят. Тем более каптив-портал целиком мне недоступен, у меня только веб-морда с требованием войти в учетку ЕСИА.

[NickM]

Попробовал авторизоваться на ноутбуке, при этом системник также запрашивал авторизацию. После авторизации на ноуте, стационарный комп получил доступ в обход прокси. Так что сеанс начинается именно для ip 10.xxx.xxx.5, который принадлежит шлюзу Возможно разнится ситуация от региона к региону, но сомневаюсь... у меня 66 »

Из инструкции:

3. Завершение авторизованной сессии: В браузере, в котором Пользователь ранее проходил авторизацию и вышел в Интернет, необходимо повторно зайти на портал, например, введя в адресной строке его адрес: https://edu.wifi.rt.ru. Важно, чтобы использовался тот же браузер без режима инкогнито: сессия запоминается с помощью cookie длительностью действия на 10 часов. На портале находится кнопка для завершения сессии:

[zz1666]

Из инструкции: »

Техподдержка по телефону говорили о 8-12 часов и авторизации именно для ip адреса.
Лично проверял доступ без прокси на 2х устройствах, авторизовавшись только на одном из них. Есть шанс, что пока просто криво -косо работает... Но куки тут не столь уж и нужны получается... Иначе как бы он пустил соседний комп в инет?

[zz1666]

у Меня в некоторых школах пока работает сервер »

у Вас сервер это и есть шлюз? Получается он раздаёт интернет ЕСПД для всех в локалке, при этом ЕСПД видит использование только 1 ip адреса?

[NickM]

у Вас сервер это и есть шлюз? Получается он раздаёт интернет ЕСПД для всех в локалке, при этом ЕСПД видит использование только 1 ip адреса? »

Да, так на сег.день и работает.

[zz1666]

Да, так на сег.день и работает. »

у меня тоже так и работает, но со стороны РТ это типа низя так неправильно.