http://mikrotik.moscow Новое в теме Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 18 Aug 2026 22:15:08 -0400 Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Ты можешь добавить URL в walled-garden-ip – он принимает IP-адрес или Hostname. Если ты добавишь Hostname, то Mikrotik сам всё прорезолвит и получит связанные IP-адреса.
29.05.2013 22:02:00, TheWiFiGuy.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301684 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301684 Wed, 29 May 2013 22:02:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Спасибо! Рад слышать, что мой скрипт всё ещё полезен! Честно говоря, я надеялся, что разработчики Mikrotik уже придумали исправление, чтобы от него можно было избавиться.
27.09.2014 10:48:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301683 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301683 Sat, 27 Sep 2014 10:48:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Все еще использую твой "PayPal script" на своих точках доступа. 2 года спустя, Тим. Сэкономил мне кучу нервов!
27.09.2014 02:31:00, tchus.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301682 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301682 Sat, 27 Sep 2014 02:31:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Привет! Я тут воспользовался этим http://wiki.mikrotik.com/wiki/PayPal_with_hotspot_and_walled_garden_bypass и немного подправил, чтобы использовать Akamai. Попробуй у себя и напиши, получилось ли.
23.09.2014 11:05:00, planetcaravan.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301681 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301681 Tue, 23 Sep 2014 11:05:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
planetcaravan, не могли бы вы поделиться своими скриптами? У меня та же проблема. Привет, стивен.
18.09.2014 18:47:00, steven0.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301680 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301680 Thu, 18 Sep 2014 18:47:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Я немного поколдовал над скриптом PayPal, чтобы он работал с Facebook и Akamai. Получилось просто отлично!
05.09.2014 10:13:00, planetcaravan.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301679 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301679 Fri, 05 Sep 2014 10:13:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Я пока не пробовал скрипт, но чтобы быстро решить проблему, я сделал вот это: /ip hotspot walled-garden ip add action=accept comment=AKAMAI disabled=no dst-address=5.178.42.0/24. Это помогло мне. Сейчас проверю скрипт и найду решение. Обновлю эту тему.
31.07.2014 17:18:00, planetcaravan.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301678 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301678 Thu, 31 Jul 2014 17:18:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Похоже, это работает с PayPal, но у кого-то был опыт с Facebook? Можно ли модифицировать скрипты для PayPal, чтобы они работали с Facebook, и если да, то как? Спасибо заранее.
11.12.2013 13:46:00, mattpa4.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301677 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301677 Wed, 11 Dec 2013 13:46:00 -0500 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Отлично! Теперь всё работает без дублирующихся динамических записей, спасибо Марис из поддержки. Нельзя использовать “dst-host” и “dst-address” в одной записи в "/ip hotspot walled-garden ip". В V5.x вы не сможете использовать оба параметра в одной записи. Скрипты есть на вики, если хотите попробовать. С использованием этих скриптов у меня не было сбоев при оплате через PayPal через walled garden. @WiFiGuy: Это из той другой темы. Значит ли это, что вам удалось использовать dst-host в "/ip hotspot walled-garden ip"? Если PayPal будет возвращаться по разным IP-адресам каждые несколько секунд, вы можете оказаться в такой же ситуации, в которой оказался я. Он возвращает разные IP-адреса 3 из 4 раза. ?? Если только он не кеширует ВСЕ эти IP-адреса где-то, то в большинстве случаев будет сбой. Клиент делает одно разрешение для этого домена и использует этот IP-адрес для всей транзакции. При текущей схеме IP-адрес клиента должен совпадать с разрешенным IP-адресом для этого домена, и это произойдет только в среднем четверть времени.

Добавлено: После размышлений понял, что кеширование IP-адресов в списке адресов (или аналогичном) на определенный период времени, когда точку доступа DNS разрешает их (и она соответствует записи в walled garden), - это единственный эффективный способ. Мне жаль мой DNS-сервер из-за того, как я это сделал, и я почти не разрешаю имена. Таким образом, он хранит только IP-адреса, которые соответствовали записи в walled garden и были выданы клиенту. Это должно снизить износ DNS-сервера и связанный с ним интернет-трафик.
26.06.2013 16:14:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301676 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301676 Wed, 26 Jun 2013 16:14:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Не переживай, у нас более 10 000 записей для некоторых сайтов с большим количеством социальных связей.
26.06.2013 15:53:00, TheWiFiGuy.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301675 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301675 Wed, 26 Jun 2013 15:53:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Конечно, можно сделать как я показывал в своих предыдущих сообщениях. Использование DNS HOSTNAMES в /IP walled-garden-ip приводит к тому, что ROuterOS разрешает ВСЕ IP-адреса по домену каждые несколько секунд. Мы используем это для тысяч сайтов с использованием Paypal, Facebook и других социальных медиа-интеграций. Мы обрабатываем более 5 000 000 входов в месяц, никаких проблем не поступало в службу поддержки с момента внедрения. Работает во всех версиях 6.x и более поздних версиях 5.x.
26.06.2013 15:43:00, TheWiFiGuy.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301674 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301674 Wed, 26 Jun 2013 15:43:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
По-моему, это мой первый пост на эту тему. Сентябрь 2010 года. http://forum.mikrotik.com/t/walled-garden-and-ssl-sites-intermittent-problem/40829/1

Всё это происходит в “/ip dns cache”. Изначально, когда ваш веб-браузер пытается получить доступ к SSL-сайту, он сначала выполняет разрешение DNS. Это помещает IP-адрес сервера в кэш. Позже, когда веб-браузер пытается получить доступ к этому IP-адресу SSL-сайта, хот-спот просматривает список IP-адресов в кэше. Если он находит этот IP-адрес, то проверяет связанное доменное имя и проверяет доменные имена "walled garden" для этого домена.

Проблема заключается в том, что PayPal и другие загруженные сайты используют TTL DNS в качестве формы балансировки нагрузки. PayPal использует 4 сервера одновременно и циклически меняет эти IP-адреса каждые 30 секунд или около того. Например, предположим, что это IP-адреса серверов PayPal на сегодня: x.x.x.20, x.x.x.21, x.x.x.22, x.x.x.23.

Когда ваш веб-браузер выполняет первоначальное разрешение DNS, он получает x.x.x.20. Таким образом, вы сразу попадаете на страницу формы оплаты, и это работает, потому что x.x.x.20 находится в кэше DNS со допустимым доменом для обхода хот-спота. Но к тому времени, когда вы заполняете форму и хотите отправить форму оплаты, IP-адрес x.x.x.20 был удален из кэша DNS, потому что истек TTL, и вам НЕ разрешено проходить через хот-спот. Если другой пользователь в той же сети хот-спота выполняет разрешение для PayPal, вероятность того, что он поместит этот IP-адрес (x.x.x.20) обратно в кэш DNS на 15 секунд или около того, составляет 1 из 4. Так что, если вам очень повезет, вас могут пропустить с вашей формой оплаты, если ваш тайминг почти идеальный.

Редактирование: Теория, лежащая в основе моего wiki-кода, заключается в том, что он использует системный планировщик для разрешения домена до тех пор, пока он не получит все 4 ежедневных IP-адреса серверов PayPal в “/ip hotspot walled-garden ip”. Теперь, независимо от того, какой из этих 4 IP-адресов получает ваш клиент, они все будут в списке IP-адресов "walled-garden" и будут обходить хот-спот нормально. Больше не имеет значения, короткий ли TTL и выпадает ли он из кэша. http://wiki.mikrotik.com/wiki/PayPal_with_hotspot_and_walled_garden_bypass

Если вы думаете, что это так же просто, как получить эти IP-адреса и ввести их вручную в “/ip hotspot walled-garden ip”, то это не сработает. Я обнаружил, что они выключают один из этих серверов каждые один-два дня. Затем он будет использовать эти IP-адреса: x.x.x.21, x.x.x.22, x.x.x.23, x.x.x.24.

Если бы я работал в MikroTik, что я не делаю, вот какое решение я бы попытался разработать: я бы разработал рутину, которая, когда домен разрешается хот-спотом, и этот домен находится в хот-споте "walled garden", он добавляет целевой IP-адрес в специальный список адресов с тайм-аутом в 1 день. Затем используйте этот список адресов в качестве проверки обхода. Вы могли бы сделать " /ip hotspot walled-garden ip" тем списком адресов, добавив в него поле "expires".
26.06.2013 11:12:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301673 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301673 Wed, 26 Jun 2013 11:12:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Это стоило бы лучше задокументировать, тогда бы нам не пришлось гадать, как это реализовано, и мы бы сэкономили массу головной боли… Сейчас я пытаюсь угадывать, как все это работает… Звучит логично, что вы говорите об использовании DNS-кэша для применения правил WG. Похоже, что именно так это работает для записей, внесенных во вкладку Walled Garden. Так что теперь я думаю, что ошибся, когда говорил, что WG "извлекает имя хоста из HTTP-заголовка" и, следовательно, это не будет работать для HTTPs. Возможно, я запутался из-за TTL DNS-кэша, и это привело меня к неверному заключению. Однако, в RouterOS v6.1, при добавлении записи IP-адреса в Walled Garden создается несколько динамических правил в WG (и FW и NAT), которые периодически обновляются. В моем случае для одного целевого хоста есть много динамических правил с разными IP-адресами, и некоторые IP-адреса больше нет в DNS-кэше. Поэтому я думаю, что когда вы вводите имя хоста в список IP-адресов WG, это действует как скрипты в ссылке, которую вы предоставили, то есть, выполняет запланированную задачу, которая разрешает имена хостов и добавляет динамические правила в WG. Кстати, в моем случае список динамических правил в WG/firewall и NAT постоянно растет. На данный момент я вижу около 1000 записей! Интересно, произойдет ли "сброс" в какой-то момент или это заполнит всю память роутера…
26.06.2013 10:38:00, tilah78.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301672 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301672 Wed, 26 Jun 2013 10:38:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Скорее всего. Если Mikrotik не изменит принцип работы "walled garden" для точки доступа, проблема останется. Например, я обнаружил, что TTL для DNS PayPal составляет около 15 секунд. Невозможно заполнить и отправить страницу оплаты PayPal за 15 секунд.
26.06.2013 08:49:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301671 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301671 Wed, 26 Jun 2013 08:49:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Спасибо, SurferTim, за помощь. Посмотрю эти скрипты. А ты знаешь, все ли это еще проблема в RouterOS v6.1?
26.06.2013 07:42:00, tilah78.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301670 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301670 Wed, 26 Jun 2013 07:42:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Та же проблема с PayPal. Это не только множественные IP для серверов, но и очень короткое время, установленное в TTL для разрешения. У PayPal может быть всего несколько секунд. http://wiki.mikrotik.com/wiki/PayPal_with_hotspot_and_walled_garden_bypass DNS-кеш используется для разрешения ваших запросов к walled garden, но некоторые сайты используют динамический DNS для балансировки нагрузки на серверы. Walled garden сначала пропустит вас на PayPal, но если вы подождете больше нескольких секунд, чтобы получить доступ к чему-либо еще на сайте PayPal, например, совершить оплату, это может не сработать. Если вы подождете пару минут, что обычно делают, заполняя страницу оплаты, это тоже не сработает. Скрипт выше собирает эти IP-адреса и добавляет их в список "/ip hotspot walled-garden ip", чтобы они были доступны не только на несколько секунд. Может быть, его можно модифицировать для Facebook.
24.06.2013 10:25:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301669 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301669 Mon, 24 Jun 2013 10:25:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Привет, gallysoft! У меня та же проблема, что и у тебя. Нашел ли ты решение? Сейчас расскажу, что я выяснил. Главная проблема в том, что Facebook использует несколько доменных имен и постоянно меняет IP-адреса, а также использует Akamai для распространения контента с динамически генерируемыми DNS, поэтому невозможно внести все доменные имена/IP-адреса, используемые Facebook, в Walled Garden (WG). Можно внести частичные доменные имена с подстановочными знаками, вроде * facebook.com или * akamai.net, в WG, но проблема здесь в том, что Facebook также использует HTTPS-протокол, и эта техника не сработает, потому что WG, специфичный для HTTP и HTTPs-протоколов, извлекает доменное имя из HTTP-заголовка, а заголовок в HTTPs зашифрован. Так что единственный шанс – это список IP-адресов в WG. Здесь нужно вносить IP-адреса или DNS тех хостов, к которым нужно разрешить доступ. Доменные имена здесь должны быть указаны полностью (подстановочные знаки использовать нельзя), потому что WG IP выполняет обратный запрос для получения IP-адреса из DNS и добавляет его в WG. Так что это невозможно. Но можно вносить диапазоны IP-адресов в формате 31.13.24.0/21, и можно получить список диапазонов IP-адресов, используемых Facebook в данный момент, с помощью этой linux-команды: whois -h whois.radb.net – ‘-i origin AS32934’ | grep ^route … Но я пока не знаю, как получить IP-адреса для akamai.net и akamaihd.net, которые используются Facebook… Есть какие-нибудь идеи? Еще одна проблема, с которой я столкнулся: если пользователь вводит HTTPS-адрес в браузере до входа в систему, он перенаправляется динамически создаваемым NAT-правилом на servlet для входа в систему для HTTPS (порт 64875). По умолчанию в браузере вы получите сообщение «страница не найдена», в результате чего пользователь не будет перенаправлен на страницу входа в систему Wi-Fi. Чтобы это заработало, необходимо включить вход через HTTPS в профиле Wi-Fi и установить действительный SSL-сертификат. В моем случае, поскольку сертификат был сгенерирован мной, я получаю предупреждение безопасности в браузере. Я думаю, нужно ли мне купить сертификат, чтобы убрать это предупреждение, или есть другой способ решить эту проблему (например, перенаправить HTTPS (443) на http servlet для входа в систему (64873))? Есть какие-нибудь подсказки по этим вопросам?
24.06.2013 10:07:00, tilah78.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301668 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301668 Mon, 24 Jun 2013 10:07:00 -0400 RouterOS Проблема с "застенчивым" хот-спотом (Hotspot Walled Garden). RouterOS в форуме RouterOS.
Всем привет. Я пытаюсь работать с хотспотом, но у меня серьезная проблема. Мне нужно создать "заграждение" (walled garden) для facebook.com, а также .akamaihd.net (для контента Facebook). Если я указываю в "заграждении" dst-host= .akamaihd.net и пытаюсь получить https://fbstatic-a.akamaihd.net/rsrc.php/v2/yG/r/oeyMmgGXkU1.js, я получаю ошибку SSL, но если я пытаюсь получить http://fbstatic-a.akamaihd.net/rsrc.php/v2/yG/r/oeyMmgGXkU1.js, всё работает. Странно, что если я указываю в "заграждении" dst-host=* dst-port=443 и пытаюсь получить https://fbstatic-a.akamaihd.net/rsrc.php/v2/yG/r/oeyMmgGXkU1.js, всё работает. Очевидно, что я не могу "заградить" все hosts по HTTPS… ROS 5.24 на RB493G. Есть какие-нибудь идеи?
01.05.2013 10:32:00, gallysoft.]]> http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301667 http://mikrotik.moscow/forum/forum57/74430-problema-s-_zastenchivym_-khot_spotom-_hotspot-walled-garden_./message301667 Wed, 01 May 2013 10:32:00 -0400 RouterOS