Questo richiede opportune configurazioni, non solamente dei server remoti, ma anche di quelli della rete locale cui il dipendente si sta collegando: ad esempio è necessario che il system manager locale abiliti il server dhcp a rilasciare un indirizzo ip al portatile del viaggiatore.
Il supplemento di autenticazione e autorizzazione necessario si traduce in un aggravio di lavoro per il system manager ("Ehi, stanno per arrivare 150 partecipanti ad un workshop, che hanno bisogno di un accesso wireless") e inconvenienti per il viaggiatore ("Accidenti, nessuno mi aveva detto che avrei dovuto comunicare una settimana prima il mac address della mia scheda!").
Una volta risolto il problema della concessione al visitatore dei permessi necessari per accedere alle risorse della sua Struttura di appartenenza (in pratica l'assegnazione di un indirizzo IP), si presenta quello ben più difficoltoso dell'accesso ai servizi della Struttura ospitante. In questo caso è necessario che le informazioni di autorizzazione vengano trasmesse dalla Struttura di appartenenza a quella ospitante, non essendo pensabile la loro duplicazione. In altri termini è necessaria la realizzazione di un meccanismo di Authentication and Authorization Infrastructure (AAI), che può essere schematizzato nei punti seguenti:
Un beneficio aggiuntivo sarà un miglioramento della sicurezza della rete, wireless in particolare, visto che l'accesso sarà basato su controlli più sicuri di quelli sulla semplice esistenza di un mac address in un database di autorizzazione.
I meccanismi che intendiamo prendere in considerazione, anche alla luce delle esperienze altrui, sono i seguenti:
In tutti i casi il server di autorizzazione sarà un server Radius, che è attualmente lo standard di fatto nel settore.
Il sistema può essere rappresentato così:
Il complesso delle comunicazioni fra supplicante, access point e server di autenticazione è schematizzato nella figura seguente:
Il "dialogo" fra i sistemi può essere osservato anche nel log del server RADIUS: log file.
Note di Riccardo Veraldi sull'uso wired.
Note di Ombretta Pinazza sull'uso wireless da client Windows.
L'utente, prima di poter accedere alla rete, si deve autenticare tramite una pagina web.
In particolare, il client, dopo che si è collegato all'Access Point, ottiene un indirizzo IP dal DHCP server della VLAN ospiti. Questo indirizzo è bloccato da un Gateway, che intercetta il traffico HTTP e lo dirotta verso il server di autenticazione (RADIUS). Ad autenticazione effettuata, il Gateway permette il passaggio del traffico.
Una soluzione, basata su FreeRadius e il portale NoCat, è in uso presso la Sezione di Genova, dove sono disponibili anche istruzioni di Mirko Corosu per l'installazione.
Un'altra soluzione, basata su FreeRadius e il portale tino, è in via d'installazione presso la Sezione di Firenze. Al momento sono disponibili brevi istruzioni di Riccardo Veraldi per l'installazione (per veri esperti, siete stati avvertiti...)
Note di Ombretta Pinazza sulla configurazione di una gerarchia di server RADIUS
Riccardo Veraldi, il responsabile della realizzazione del progetto, ha preparato una Guida all'implementazione (aggiornata il 8/5/06).
TERENA Mobility Task Force.