Laboratório: Wi-Fi corporativo seguro com OpenWrt, portal cativo e controle de acesso

Roteiro para estudo em ambiente de laboratório ou de teste. Execute apenas em equipamentos, redes e contas que você tenha autorização para usar, com backup e homologação próprios. Comandos podem causar indisponibilidade ou perda de dados. Software e marcas citados pertencem aos seus titulares. Termos de Uso.

Duração estimada

120 min

Passos

12

Validações

6

Versões da documentação consultada

OpenWrt 22.03.5 · NoDogSplash a versão estável atual

Topologia

Um roteador OpenWrt (hardware ou VM) com duas interfaces: uma conectada à rede local/Internet (192.168.1.0/24), outra dedicada ao Wi-Fi (192.168.100.0/24). Usuários se conectam ao SSID 'Visitantes' e acessam a Internet após autenticação no portal cativo. O roteador faz NAT, DHCP e firewall.

         [Internet]
             |
      [Rede Local 192.168.1.0/24]
             |
      [eth0] OpenWrt [wlan0]
             |
   [Rede Wi-Fi Visitantes]
             |
        [Clientes Wi-Fi]

Equipamentos e software

Roteiro

1. Preparar o ambiente OpenWrt

   Instale o OpenWrt no roteador ou VM. Garanta acesso via SSH pela LAN.

   Consulte https://openwrt.org/toh/start para instruções de instalação.Copiar

   O que você deve ver: Acesso SSH ao OpenWrt em 192.168.1.1.

2. Configurar interfaces de rede

   Separe as interfaces: LAN para gerência, WLAN para visitantes. Crie a interface 'guest' em 192.168.100.1/24.

   uci set network.guest=interface
   uci set network.guest.proto='static'
   uci set network.guest.ipaddr='192.168.100.1'
   uci set network.guest.netmask='255.255.255.0'
   uci set network.guest.device='wlan0'
   uci commit network
   /etc/init.d/network restartCopiar

   O que você deve ver: Interface guest ativa em 192.168.100.1.

3. Configurar o Wi-Fi para visitantes

   Crie SSID 'Visitantes', sem senha, vinculado à interface 'guest'.

   uci set wireless.guest=wifi-iface
   uci set wireless.guest.device='radio0'
   uci set wireless.guest.mode='ap'
   uci set wireless.guest.network='guest'
   uci set wireless.guest.ssid='Visitantes'
   uci set wireless.guest.encryption='none'
   uci commit wireless
   wifi reloadCopiar

   O que você deve ver: SSID 'Visitantes' visível para clientes.

4. Configurar DHCP para visitantes

   Garanta que clientes recebam IPs automaticamente na rede guest.

   uci set dhcp.guest=dhcp
   uci set dhcp.guest.interface='guest'
   uci set dhcp.guest.start='100'
   uci set dhcp.guest.limit='150'
   uci set dhcp.guest.leasetime='1h'
   uci commit dhcp
   /etc/init.d/dnsmasq restartCopiar

   O que você deve ver: Clientes conectados recebem IPs na faixa 192.168.100.100-249.

5. Isolar visitantes da LAN

   Bloqueie acesso da rede guest à LAN, mantendo apenas saída para Internet.

   uci add firewall.zone
   uci set firewall.@zone[-1].name='guest'
   uci set firewall.@zone[-1].network='guest'
   uci set firewall.@zone[-1].input='REJECT'
   uci set firewall.@zone[-1].forward='REJECT'
   uci set firewall.@zone[-1].output='ACCEPT'
   uci add firewall.forwarding
   uci set firewall.@forwarding[-1].src='guest'
   uci set firewall.@forwarding[-1].dest='wan'
   uci commit firewall
   /etc/init.d/firewall restartCopiar

   O que você deve ver: Clientes guest não acessam LAN, só Internet.

6. Instalar NoDogSplash para portal cativo

   Implemente autenticação web para acesso à Internet.

   opkg update
   opkg install nodogsplashCopiar

   O que você deve ver: NoDogSplash instalado.

7. Configurar NoDogSplash

   Ajuste o portal cativo para exibir página de aceitação de termos (LGPD).

   Edite /etc/nodogsplash/nodogsplash.conf conforme documentação. Exemplo:
   GatewayInterface wlan0
   MaxClients 50
   AuthIdleTimeout 900
   RedirectURL http://www.example.com
   # Consulte a documentação para customização do portal.Copiar

   O que você deve ver: Clientes conectados ao SSID 'Visitantes' veem a página do portal ao abrir navegador.

8. Limitar banda para visitantes

   Evite que visitantes consumam toda a banda do link.

   uci set firewall.guest_limit=rule
   uci set firewall.guest_limit.name='Limit Guest Bandwidth'
   uci set firewall.guest_limit.src='guest'
   uci set firewall.guest_limit.dest='wan'
   uci set firewall.guest_limit.proto='all'
   uci set firewall.guest_limit.target='ACCEPT'
   # Consulte a documentação para configurar SQM ou tc para limitação real.Copiar

   O que você deve ver: Limite de banda aplicado à rede guest.

9. Testar conexão de um cliente

   Conecte um notebook ou smartphone ao SSID 'Visitantes'.

   O que você deve ver: Dispositivo recebe IP 192.168.100.x e é redirecionado ao portal cativo.

10. Aceitar termos no portal

    No navegador, aceite os termos e acesse a Internet.

    O que você deve ver: Acesso liberado após aceitação.

11. Verificar isolamento entre clientes

    Teste se um cliente consegue acessar outro na rede guest.

    ping 192.168.100.101Copiar

    O que você deve ver: Sem resposta, isolamento ativo.

12. Testar limitação de banda

    Realize um teste de velocidade em speedtest.net ou similar.

    O que você deve ver: Velocidade limitada conforme configuração.

Como saber que funcionou

Troubleshooting

Segurança e hardening

• Desative acesso SSH/Telnet pela interface guest
• Use senha forte no acesso à interface de administração
• Atualize o OpenWrt e pacotes após o laboratório
• Monitore logs do NoDogSplash para tentativas de abuso
• Implemente HTTPS no portal cativo se possível

Checklist final

• OpenWrt acessível via SSH
• SSID 'Visitantes' visível e conectável
• Clientes recebem IP na faixa 192.168.100.x
• Portal cativo funcional
• Acesso à Internet após autenticação
• Isolamento entre clientes ativo
• Limitação de banda aplicada