Hotspot Dengan Waktu Koneksi Internet Yang Bervariasi Untuk Tamu

#database MySQL
USE `databasetamu`;
DROP procedure IF EXISTS `cek_password`;

DELIMITER $$
USE `databasetamu`$$
CREATE PROCEDURE `cek_password` (id_tamu_ varchar(100), password_ varchar (100), kunci_enkripsi_ varchar(255))
BEGIN
  DECLARE check_password_ BOOLEAN;
  DECLARE timeoutmaksimal_ INT;
  DECLARE timeouttamu_ INT;
  #periksa apakah upass benar CONVERT(AES_DECRYPT(FROM_BASE64()))
  #dan belum login ISNULL()/masih boleh login
  SET check_password_ = IFNULL((SELECT CONVERT(AES_DECRYPT(FROM_BASE64(password), kunci_enkripsi_), char)=password_ AS passwordasli FROM tamu WHERE id_tamu=id_tamu_ AND (ISNULL(tgl_mulai) OR (tgl_mulai <= DATE(NOW()) and tgl_akhir >= DATE(NOW())))), 0);
  #apabila diperbolehkan login dan tgl_mulai belum diisi, maka tgl_mulai diisi dengan tanggal sekarang
  IF check_password_ THEN
    UPDATE tamu SET tgl_mulai=DATE(NOW()) WHERE id_tamu=id_tamu_ AND ISNULL(tgl_mulai);
  END IF;
  #menghitung waktu timeout, maksmimal setiap 30 hari  
  SET timeoutmaksimal_ = 24 * 60 * 60 * 30;
  SET timeouttamu_     = ifnull((SELECT TIME_TO_SEC(TIMEDIFF(CONCAT(tgl_akhir, ' 23:59:59'), NOW())) + 1 FROM databasetamu.tamu where id_tamu=id_tamu_), 24 * 60 * 60);
  #mengembalikan status apakah boleh login atau tidak
  SELECT check_password_ as isallowed, if(timeouttamu_ > timeoutmaksimal_, timeoutmaksimal_, timeouttamu_) as timeout;
END$$

DELIMITER ;

//alamat: https://service.example.org/ceklogin.php
//file: /var/www/service/ceklogin.php
//pengaturan doc-root ke /var/www/service untuk subdomain service ada di /etc/apache2/sites-enabled atau /etc/nginx/sites-enabled
//webservice berbasis PHP yang digunakan oleh login hotspot untuk memeriksa upass
<?php
//kunci enkripsi
$kunci = "iniadalahkuncienkripsi";

//menangkap user dan password
$user = filter_input(INPUT_POST, "user", FILTER_SANITIZE_STRING);
$pass = filter_input(INPUT_POST, "pass", FILTER_SANITIZE_STRING);

$servername_dbtamu = "db.example.org";
$username_dbtamu   = "userdbtamu";
$password_dbtamu   = "passworddbtamu";
$dbname_dbtamu     = "databasetamu";

//koneksi ke basisdata
$conntamu = new mysqli($servername_dbtamu, $username_dbtamu, $password_dbtamu, $dbname_dbtamu);
$conntamu->init();
$conntamu->options(MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, true);
$conntamu->ssl_set('/etc/mysql/ssl/client-key.pem', '/etc/mysql/ssl/client-cert.pem', '/etc/mysql/ssl/ca-cert.pem', NULL, NULL);
$conntamu->real_connect($servername_dbtamu, $username_dbtamu, $password_dbtamu, $dbname_dbtamu, 3306, NULL, MYSQLI_CLIENT_SSL);
if ($conntamu->connect_error)
{
  die('CONNERR');
}

//cek user non tamu di sini
//berikan idle-timeout yang berbeda-beda sebagai id grup
//misalnya:
//grp-tamu: ""
//define ("TIMEOUT_PEGAWAI_",  86400);
//define ("TIMEOUT_PIMPINAN_", 86401);
//artinya, gunakan idle-timeout untuk mengetahui di router user tersebut masuk grup mana, misalnya: jika di router ada user dengan idle-timeout 86400 (1d 00:00:00) maka itu pegawai; jika di router ada user dengan idle-timeout 86401 (1d 00:00:01) maka itu pimpinan

//cek password menggunakan function cek_password yang telah dibuat di basis data
$stmt = $conntamu->prepare("call `databasetamu`.`cek_password`(?, ?, ?)");
$stmt->bind_param("sss", $user, $pass, $kunci);
$stmt->execute();
if ($result = $stmt->get_result())
{
  $row    = $result->fetch_assoc();
  if (is_array($row))
  {
    if ($row['isallowed'])
    {
      echo json_encode(["isallowed" => true, "timeout" => $row["timeout"], "loginas" => "tamu"]);
      exit();
    }
  }
}
//tidak memenuhi semua testing user di atas
echo json_encode(["isallowed" => false, "timeout" => 0, "loginas" => ""]);

Pada server radius, terdapat dua buah server, yaitu nginx/apache2 untuk menangani API dan freeradius untuk berperan sebagai server radius. Harus HTTPS.

Konsep:

• yang bisa menggunakan internet adalah user yang username-nya terdaftar pada tabel radcheck, sehingga perlu ada mekanisme untuk user yang sudah tidak valid lagi di API, yaitu dengan cara me-rename username-nya di tabel radcheck
• password dapat dibuat model one time password (OTP) untuk otentikasi menggunakan API

<?
//alamat: https://radius.example.org/cek.php
//file: /var/www/hotspot/cek.php
//pengaturan doc-root ke /var/www/hotspot ada di /etc/apache2/sites-enabled atau /etc/nginx/sites-enabled
//hotspot dengan freeradius 3.0
//otentikasi menggunakan API

//alamat dari router, di mana pengaturan hotspot berada
$urlRedirect = "http://unisa.wifi/login";
$urlApi      = "https://service.example.org/ceklogin.php";
$publicProfileHostpot = 'radius-profile';
$passwordAttribute = 'Cleartext-Password';

//ubah variabel $unik dengan string random
//tidak boleh diganti dengan rand(), uuid() atau fungsi random.. harus diganti dengan string random
$unik   = "bXLlSpeNtnr2uTm"; 

$db1 = [
    'host' => 'localhost',
    'username' => 'userdatabaseradius',
    'password' => 'passworddatabaseradius',
    'database' => 'radius',
];

$connhotspot = new mysqli($db1['host'], $db1['username'], $db1['password'], $db1['database']);
    $connhotspot->init();
    $connhotspot->options(MYSQLI_OPT_SSL_VERIFY_SERVER_CERT, true);
    $connhotspot->ssl_set('/etc/mysql/ssl/client-key.pem', '/etc/mysql/ssl/client-cert.pem', '/etc/mysql/ssl/ca-cert.pem', NULL, NULL);
    $connhotspot->real_connect($db1['host'], $db1['username'], $db1['password'], $db1['database'], 3306, NULL, MYSQLI_CLIENT_SSL);
if ($connhotspot->connect_error) {
    die('Connection failed');
}

$username = $_POST['username'];
$password = $_POST['password'];
$via      = $_POST['via'];

//cek upass melalui API
$curl = curl_init();
curl_setopt_array($curl, [
  CURLOPT_URL => $urlApi,
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 30,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'POST',
  CURLOPT_POSTFIELDS => 'user='.$username.'&pass='.$password,
  CURLOPT_HTTPHEADER => [
    'content-type: application/x-www-form-urlencoded',
  ],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);

$block = "_BLOCK_".$unik."_";
//jika koneksi API gagal
if ($err) {
  header('Location: '.$urlRedirect);
  exit;
} else {
  $api_result = json_decode($response, true);

  //jika variabel isallowed bernilai true
  if (true == $api_result['isallowed']) {
    // berhasil login
    $role    = $api_result['loginas'];
    $timeout = $api_result['timeout'];
    
    //password sebenarnya hanya digunakan sekali, pada saat redirect, sehingga password dibuat sistem OTP
    $password = substr(md5(uniqid()),20);

    //jika berhasil login, maka hilangkan _BLOCK_
    $queryUpdateRadcheck = "UPDATE radcheck SET username=? WHERE username=? and attribute=?";
    $stmt = $connhotspot->prepare($queryUpdateRadcheck);
    $userblok = $username.$block;
    $stmt->bind_param("sss", $username, $userblok, $passwordAttribute);
    $stmt->execute();

    $queryRadcheck = "SELECT id,username FROM radcheck WHERE username=? AND attribute=?";
    $stmt = $connhotspot->prepare($queryRadcheck);
    $stmt->bind_param("ss", $username, $passwordAttribute);
    $stmt->execute();
    $getRadcheck = $stmt->get_result();    
    if ($getRadcheck->num_rows <= 0) {
        // insert to radcheck
        $queryInsertRadcheck = "INSERT INTO radcheck (username, attribute, op, value) VALUES (?, ?, ':=',?)";
        $stmt = $connhotspot->prepare($queryInsertRadcheck);
        $stmt->bind_param("sss", $username, $passwordAttribute, $password);
        $stmt->execute();
        
        $queryInsertRadusergroup = "INSERT INTO radusergroup (username, groupname, priority) VALUES (?, ?, '1')";
        $stmt = $connhotspot->prepare($queryInsertRadusergroup);
        $groupname = $publicProfileHostpot.'-'.$role;
        $stmt->bind_param("ss", $username, $groupname);
        $stmt->execute();
    } else {
        // update password
        $result = $getRadcheck->fetch_assoc();
        $queryUpdateRadcheck = "UPDATE radcheck SET value=? WHERE id=?";
        $stmt = $connhotspot->prepare($queryUpdateRadcheck);
        $id = $result['id'];
        $stmt->bind_param("ss", $password, $id);
        $stmt->execute();        
    }
    if (in_array($role, ["tamu"]))
    {
      $sessiontimeout = $timeout;
      $idletimeout    = 0;
    }
    else
    {
      $sessiontimeout = 0;
      $idletimeout    = $timeout;
    }
    //di mikrotik, idle-timeout harus dibuat none pada profile user
    //pengaturan time out sesuai dengan informasi di basis data
    //insert/update sisa hari, maksimal 30 hari
    //misalnya, tamu memiliki jatah 45 hari, maka akan login 30 hari, kemudian 15 hari
    $queryInsertTimeout = "INSERT INTO radreply (username, attribute, op, value) VALUES (?, 'Session-Timeout', ':=',?), (?, 'Idle-Timeout', ':=',?) ON DUPLICATE KEY UPDATE value=VALUES(value)";      
    $stmt = $connhotspot->prepare($queryInsertTimeout );
    $stmt->bind_param("ssss", $username, $sessiontimeout, $username, $idletimeout);
    $stmt->execute();
  }
  else {
    //jika gagal login, maka tambahkan _BLOCK_
    $queryUpdateRadcheck = "UPDATE radcheck SET username=? WHERE username=? and attribute=?";
    $stmt = $connhotspot->prepare($queryUpdateRadcheck);
    $newpass = $username.$block;
    $stmt->bind_param("sss", $newpass, $username, $passwordAttribute);
    $stmt->execute();  
        
    $password = "";
  }  

  //kembalikan ke router
  if (empty($via))
  {
    $urlRedirect = "http://unisa.wifi/login";
    header('Location:'.$urlRedirect.'?username='.$username.'&password='.$password);
  }
  echo json_encode(["password" => $password, , "api_status" => $api_result]);
}

Pengaturan basis data freeradius ada di /etc/freeradius/3.0/mods-enabled/sql dan /etc/freeradius/3.0/mods-config/sql/main/mysql/queries.conf

#lihat tabel radcheck, belum ada yang diblok
SELECT id, username FROM radcheck where username like '%block%';
#Empty set (0.00 sec)

SELECT id, username FROM radcheck where username = 'tamu';
#+----+----------+
#| id | username |
#+----+----------+
#| 3  | tamu     |
#+----+----------+
#1 rows in set (0.00 sec)
#Query OK, 0 rows affected (0.04 sec)

#lihat tabel radcheck setelah ada yang diblok karena user sudah tidak valid di API
SELECT id, username FROM radcheck where username like '%block%';
#+----+-----------------------------+
#| id | username                    |
#+----+-----------------------------+
#| 3  | tamu_BLOCK_bXLlSpeNtnr2uTm_ |
#+----+-----------------------------+
#1 rows in set (0.00 sec)
#Query OK, 0 rows affected (0.04 sec)

#persiapan limit user
ALTER TABLE `radius`.`radcheck` 
ADD UNIQUE INDEX `radcheck_unique` (`username` ASC, `attribute` ASC);

ALTER TABLE `radius`.`radgroupcheck` 
ADD UNIQUE INDEX `radgroupcheck_unique` (`groupname` ASC, `attribute` ASC);

ALTER TABLE `radius`.`radreply` 
ADD UNIQUE INDEX `radreply_unique` (`username` ASC, `attribute` ASC);

ALTER TABLE `radius`.`radgroupreply` 
ADD UNIQUE INDEX `radgroupreply_unique` (`groupname` ASC, `attribute` ASC);

#OTP (one time password)
#mengubah password di radcheck menjadi password lain
#agar tidak dapat digunakan login dengan login?username=<username>&password=<password>
DROP TRIGGER IF EXISTS `radius`.`radpostauth_AFTER_INSERT`;

DELIMITER $$
USE `radius`$$
CREATE DEFINER = CURRENT_USER TRIGGER `radius`.`radpostauth_AFTER_INSERT` AFTER INSERT ON `radpostauth` FOR EACH ROW
BEGIN
  #update password karena sistemnya OTP, baik login sukses maupun gagal
  UPDATE radcheck SET value=left(md5(uuid()), 20) WHERE username=NEW.username AND attribute="Cleartext-Password";
  #tandai akun yang melebihi batas
  IF NEW.reply = "Access-Accept" THEN
    #tandai koneksi yang melebihi batas
    call `mark_to_stop`(NEW.username, NEW.callingstationid);
    #register ke radrandomisemacfactor mac yang berhasil login, asumsinya jika sudah dipakai lebih dari sama dengan 5 maka dianggap bukan randomise mac
    INSERT INTO radrandomisemacfactor (username, callingstationid) VALUES (NEW.username, NEW.callingstationid) ON DUPLICATE KEY UPDATE loginnum=loginnum+1;
  END IF;
END$$
DELIMITER ;

Pengaturan sebuah grup dapat dilakukan di freeradius pada tabel radgroupreply dan pengaturan sebuah user dapat dilakukan pada tabel radreply, tetapi tidak semua attribute di router dapat disesuaikan. Apabila ada atribut yang sama di radgrupreply dan radreply, maka yang digunakan adalah value yang ada di radgrupreply. Untuk mikrotik dapat dibaca di https://wiki.mikrotik.com/wiki/Manual:RADIUS_Client#Supported_RADIUS_Attributes

Pada kesempatan kali ini akan dibatasi up/download (WISPr-Bandwidth-Max-Up/WISPr-Bandwidth-Max-Down).

SELECT * FROM radius.radgroupreply where groupname='grp-tamu';
#+----+-----------+--------------------------+----+---------+
#| id | groupname | attribute                | op | value   |
#+----+-----------+--------------------------+----+---------+
#| 1  | grp-tamu  | WISPr-Bandwidth-Max-Up   | := | 2000000 |
#| 2  | grp-tamu  | WISPr-Bandwidth-Max-Down | := | 2000000 |
#+----+-----------+--------------------------+----+---------+
#2 rows in set (0.00 sec)
#Query OK, 0 rows affected (0.04 sec)

#Idle-Timeout dapat diaplikasikan di radreply dan radgroupreply apabila idle-timeout bernilai none di profile user di mikrotik

Berapa lama harus login lagi khusus untuk tamu (Session-Timeout dalam detik) dan berapa lama non-tamu dapat idle (Idle-Timeout dalam detik) sudah diatur di cek.php.

Berapa alat bisa login (Port-Limit/Simultaneous-Use) diatur di bagian Limit Alat.

Pengaturan di bawah ini penting untuk menghindari lebih dari satu user active dengan mac yang sama karena mendapatkan lease dhcp yang baru, sehingga dapat menimbulkan pesan “no more sessions are allowed”

#lease DHCP dibuat 30 hari
#dibuat script di onlogout di profile user
#sebaiknya gunakan jaringan kelas B
ip dhcp-server print
Flags: D - dynamic, X - disabled, I - invalid 
 #    NAME  INTERFACE  RELAY  ADDRESS-POOL  LEASE-TIME ADD-ARP
 0    dhcp1 eth1              hs-pool-1     30d 00:00:00

ip hotspot print        
Flags: X - disabled, I - invalid, S - HTTPS 
 #   NAME    INTERFACE ADDRESS-POOL PROFILE  IDLE-TIMEOUT
 0   hs-eth1 eth1      eth1-public           none

#pengaturan profil user di router
#Idle-Timeout tidak diaktifkan di server (none)
#dibuat 1 profil dengan jumlah user sebanyak-banyaknya
#mekanisme login setiap berapa hari sekali ada di Hotspot (Session-Timeout dan Idle-Timeout), sehingga kedua timeout tersebut dan keepalive-timeout di router tidak diaktifkan
#idle-timeout diisi dengan none
ip hotspot user profile print
Flags: * - default 
 0 * name="default" idle-timeout=none status-autorefresh=1m shared-users=10000000 add-mac-cookie=yes mac-cookie-timeout=1d insert-queue-before=bottom parent-queue=queue-user address-list="" transparent-proxy=no on-login=:local activeremoved 0\r\n:local freeuser;\r\n:set freeuser $user;\r\n:local freemacaddress;\r\n:set freemacaddress $"mac-address";\r\n:local freeaddress;\r\n:set freeaddress $address;\r\n# dapatkan informasi server yang digunakan untuk login\r\n:local freeserver [/ip hotspot active get [find user="$freeuser" and mac-address="$freemacaddress" and address="$freeaddress"] server];\r\n# apabila informasi server ada\r\nif ($freeserver!="") do={\r\n# cari apakah user dan mac ini sudah active dengan address yang berbeda pada server yang sama\r\n:local freeactiveposlist [ip hotspot active find user="$freeuser" and mac-address="$freemacaddress" and address!="$freeaddress" and server="$freeserver"];\r\n:foreach freeactivepos in=$freeactiveposlist do={\r\n# apabila posisi ditemukan, maka hapus dari active\r\nif ($freeactivepos!="") do={\r\n:set activeremoved ($activeremoved+1);\r\n/ip hotspot active remove [find .id=$freeactivepos];\r\n/log info "onlogin hotspot script: login $user, try to remove address not($freeaddress), mac $freemacaddress and server $freeserver from active user at position $freeaddresspos";\r\n}\r\n}\r\n}\r\nif ($activeremoved=0) do={\r\n/log info "onlogin hotspot script: login $user, no active user to remove for address not($freeaddress), mac $freemacaddress and server $freeserver";\r\n}\r\n\r\n#otomatis hapus active ketika ada login yang melebihi ketentuan, untuk mengantisipasi randomise mac address (khusus 1 hotspot di router dan 1 router)\r\n#:local maxactivenum;\r\n#:local freeactivenum [:len [ip hotspot active find user="$freeuser"]];\r\n#:local freeidletimeout [/ip hotspot active get [find user="$freeuser" and mac-address="$freemacaddress" and address="$freeaddress"] idle-timeout];\r\n#group menggunakan idle-timeout, samakan dengan di cek.php dan radreply\r\n#Simultanous-use di radgroupreply diset $maxactivenum + 1, misalnya pegawai hanya boleh 2 alat, maka Simultanous-use di radroupreply adalah 3\r\n#if ($freeidletimeout=[:totime 43200]) do={\r\n#:set $maxactivenum 2;\r\n#}\r\n#if ($freeidletimeout=[:totime 259200]) do={\r\n#:set $maxactivenum 2;\r\n#}\r\n#if ($freeidletimeout=[:totime 604800]) do={\r\n#:set $maxactivenum 2;\r\n#} else={\r\n#:set $maxactivenum 1;\r\n#}\r\n#if ($freeactivenum>=($maxactivenum+1)) do={\r\n#:local freeactivemaxpos [:pick [/ip hotspot active find user="$freeuser"] 0];\r\n#if ($freeactivemaxpos!="") do={\r\n#/ip hotspot active remove [find .id=$freeactivemaxpos];\r\n#/log info "onlogin hotspot script: login $user, maximum reach, remove number 0 at position $freeactivemaxpos";\r\n#}\r\n#}\r\n\r\n/log info "onlogin hotspot script: login $user. fin."; on-logout=:local addressremoved 0\r\n# implementasi yang salah\r\n# implementasi ini akan menyebabkan eksekusi /ip dhcp-server lease remove; yang artinya menghapus semua lease\r\n# :local freeaddresspos [ip dhcp-server lease find address=$address];\r\n# implementasi yang benar, variabel address dan mac-address yang diambil dari tabel active dimasukkan dulu ke local\r\n:local freeaddress;\r\n:set freeaddress $address;\r\n:local freemacaddress;\r\n:set freemacaddress $"mac-address";\r\n# cari posisi lease dhcp IP dari user yang log-out\r\n:local freeaddressposlist [ip dhcp-server lease find address="$freeaddress" and mac-address="$freemacaddress"];\r\n:foreach freeaddresspos in=$freeaddressposlist do={\r\n# apabila posisi ditemukan, maka hapus lease dhcp IP dari user yang log-out\r\nif ($freeaddresspos!="") do={\r\n:set addressremoved ($addressremoved+1);\r\n/ip dhcp-server lease remove [find .id=$freeaddresspos];\r\n/log info "onlogout hotspot script: logout $user, try to remove address $freeaddress and mac $freemacaddress from lease at position $freeaddresspos";\r\n}\r\n}\r\nif ($addressremoved=0) do={\r\n/log info "onlogout hotspot script: logout $user, no lease to remove for address $freeaddress and mac $freemacaddress";\r\n}\r\n/log info "onlogout hotspot script: logout $user. fin."; 


#untuk pembatasan koneksi akan otomatis menambah active user, sesuai dengan pengaturan di hotspot, yaitu pada
#Port-Limit

#untuk pembatasan up/down akan otomatis menambah queue, sesuai dengan pengaturan di hotspot, yaitu pada
#WISPr-Bandwidth-Max-Up/WISPr-Bandwidth-Max-Down

#Contoh problem ketika Lease DHCP terlalu pendek daripada Session-Timeout atau Idle-Timeout Hotspot, sehingga potensial memunculkan "no more sessions are allowed"

Apabila diperlukan, dapat dibuat penjadwalan untuk melepas lease yang gagal dilepas otomatis ketika koneksi user putus/dihapus dari active

#hanya melepas lease dari server dhcp ini
:local dhcpserverlist {"dhcp1";"dhcp2"};
:local leaseaddress;
:local leasemacaddress;
:local activerowaddress;
:local bindingrowmacaddress;
:local leaselist;

/log info "scheduled script: release lease DHCP <> hotspot active. start."
#memproses untuk setiap server dhcp
foreach dhcpserverrow in=$dhcpserverlist do={
#daftar semua lease untuk setiap server dhcp
:set leaselist [/ip dhcp-server lease find server=$dhcpserverrow and dynamic];
#memproses untuk setiap lease
foreach leaserow in=$leaselist do={
#dapatkan alamat IP dan Mac Address di lease per baris
:set leaseaddress [/ip dhcp-server lease get $leaserow address];
:set leasemacaddress [/ip dhcp-server lease get $leaserow mac-address];
#jika terdapat alamat IP di lease
if ($leaseaddress!="") do={
#mencari apakah alamat IP di lease ada di active atau di ip-binding
:set activerowaddress [/ip hotspot active find address="$leaseaddress"];
:set bindingrowmacaddress [/ip hotspot ip-binding find mac-address="$leasemacaddress"];
#jika tidak ada, maka lease tersebut dilepas
if ($activerowaddress="" and $bindingrowmacaddress="" and $leaserow!="") do={
/ip dhcp-server lease remove [find .id=$leaserow];
}
}
#end foreach leaserow
}
#end foreach dhcpserverrow
}
/log info "scheduled script: release lease DHCP <> hotspot active. fin."