Hotspot-Anbieter mit Möglichkeit zu WPA2-Enterprise anstelle von bzw. zusätzlich zu Captive Portal

Hi Dobby,

erstmal danke für Deine Antwort. Technisch ist das an sich kein Problem, das ist mir klar. Und pfSense auf Alix-Board habe ich in der Vergangenheit auch schon selbst für ein Captive Portal genutzt. Tatsächlich geht es in meiner Antwort aber um etwas anderes.

Entsprechend Vorstandsbeschluss darf der Verein in keinem Fall für "Verfehlungen" seiner Mitglieder haften. Das heißt zum Beispiel, dass Urheberrechtsverletzungen nicht auf den Verein zurück fallen dürfen. Dazu wurde beschlossen, den Hotspot von einem kommerziellen Anbieter betreiben zu lassen, wie es ja mittlerweile einige gibt (zum Beispiel MeinHotspot, Sorglosinternet, Hotsplots, usw.). Dieser routet sämtlichen Verkehr per VPN-Tunnel über seine Server nach außen, und Abmahnungen etc. gehen an diesen Anbieter - der Verein ist also nicht greifbar.

Und jetzt das technische Problem: Sämtliche Anbieter, die ich kenne, bieten lediglich eine Authentifizierung über eine Webseite an, auf der entweder nur die Nutzungsbedingungen akzeptiert oder auch Nutzername und Passwort (respektive Ticketname und Code) eingetragen werden müssen. In jedem Fall können Androidgeräte das bisher offenbar nicht vernünftig automatisieren, und auch iPhones (die die Funktion standardmäßig an Bord haben) sind bei uns nicht zur automatischen Anmeldung in der Lage.

Mit dem WLAN allerdings können sich Endgeräte ja automatisch verbinden, und nun war mein Plan, die Ticketdaten einfach direkt per WPA2 Enterprise über RADIUS zur Netzwerkanmeldung zu nutzen und dann auf die Vorschaltseite zu verzichten - die Nutzungsvereinbarungen müssen die Vereinsmitglieder sowieso unterzeichnen, bevor sie einen Zugang zum Netz bekommen. Da die meisten Hotspot-Anbieter im Hintergrund sowieso eine AAA-Lösung auf RADIUS-Basis betreiben, dürfte die einzige Schwierigkeit doch nur darin bestehen, die RADIUS-Daten durch den VPN-Tunnel zum Anbieter zu routen.
Möglich wäre ja sogar, zwei Netze parallel zu betreiben - eins ohne Verschlüsselung mit Vorschaltseite und eins mit Verschlüsselung ohne Seite - und den alternativen Zugang per WPA2 erst freizugeben, wenn der Nutzer mindestens einmal die Nutzungsbedingungen akzeptiert hat (bei den Hotsplots-Geräten zum Beispiel kommt OpenWRT auf TP-Link-Geräten zum Einsatz und es wäre kein Problem, zwei WLAN-Netze durch jeweils separate VPN-Tunnel zu leiten, die im Backend unterschiedlich behandelt werden.)

Dennoch finde ich keinen Anbieter, der auch das ermöglicht. Und deshalb hier die Frage...

Ist im Prinzip tatsächlich so.

Sofern sich Nutzer mit einem Ticket einloggen und eine Zuordnung zu einem Namen vorhanden ist (ist bei uns absichtlich der Fall), kann natürlich ein bestimmter Nutzer zur Rechenschaft gezogen werden - aber da der Nutzer die Bedingungen vorher akzeptiert hat, ist das auch kein Problem. Und der Verein an sich bzw. dessen rechtliche Vertreter bleiben unbescholten.

Wenn es keine Zuordnung von Ticket zu Name gibt oder die Nutzung ohne Ticket möglich ist (wie z.B. bei MeinHotspot), ist natürlich gar niemand mehr zu ermitteln - aber der Hotspotbetreiber wird dann trotzdem nicht zur Kasse gebeten.
Die ganzen Hotspotbetreiber nehmen für sich selbst das Providerprivileg in Anspruch, haften also auch nicht. Wenn sie natürlich Kenntnis davon erlangen, dass über einen bestimmten Hotspot laufend Rechtsverletzungen begangen werden, könnten sie sich ggf. dazu entscheiden, dem jeweiligen Kunden den Zugang nicht mehr bereit zu stellen. Das müssten sie aber eben nur tun, wenn sie davon Kenntnis erlangen.

Such' einfach mal nach "Hotspot VPN-Routing", wenn Du mehr wissen willst ...

Doch, brauchen wir trotzdem. Wenn wir als Verein direkt einen Zugang anbieten würden, würde ja unsere IP-Adresse im Internet sichtbar und wir müssten uns selbst mit der rechtlichen Geschichte auseinander setzen (d.h. Anwalt beauftragen, etc. - Stichwort eben: Störerhaftung). Außerdem könnte der Verein das Providerprivileg nicht in Anspruch nehmen, würde also ggf. selbst in Regress genommen. Das könnte nur dann vermieden werden, wenn der Nutzer klar und rechtssicher benannt werden könnte. Und das wiederum ist uns ohne weiteres nicht möglich, weil eine Protokollierung - selbst wenn es sie gibt, was datenschutzrechtlich u.U. auch schon problematisch ist - revisionssicher erfolgen muss. Das aber ist ein Textlog, wie es zum Beispiel auch die pfSense erstellen könnte, auf gar keinen Fall. Vor Gericht taugt es also gar nicht.

Um all diesen Nachteilen aus dem Weg zu gehen, brauchen wir einen externen Anbieter.

Und nochmal: Ja, die eindeutige Zuordnung per RADIUS ist immer gegeben, - die Anbieter nutzen das ja auch per Webportal -, aber da die Benutzerdaten bzw. Tickets beim externen Dienstleister in der Datenbank liegen, müsste der uns also in irgendeiner Form einen Zugriff per RADIUS ermöglichen.

Ich habe mir jetzt auch schon Gedanken gemacht, ob man evtl. ein Proxyskript verwenden könnte, welches zum Access Point hin RADIUS spricht, die Daten aber "nach hinten" in die Loginmaske füttert - und, wenn es feststellt, dass die Daten nicht gültig sind, den AP dazu bringt, die Anmeldung abzulehnen. Aber vielleicht gibt es ja noch andere Ideen...

Ach ja, personalisierte Zugänge muss es übrigens deshalb geben, weil jedes Mitglied sich an den Kosten beteiligen soll, wenn es den Hotspot nutzen will. Ansonsten zahlt keiner, aber alle nutzen ihn.

Hatte ich mir persönlich auch schon umgelegt überlegt (den von Dir genannten Router haben wir schon ;)) , aber dafür bekomme ich vom Vorstand höchstwahrscheinlich kein OK, weil nicht offiziell garantiert wird, dass der Verein selbst nicht in Erscheinung tritt (*).
Die Umlage wäre vielleicht auch auf Spendenbasis machbar, das habe ich noch nicht versucht.

(*) Die Berliner Freifunker haben ja zum Beispiel Acess-Provider-Status und bieten auch VPN-Zugänge an - haben die irgendwo eine mehr oder weniger offizielle Erklärung, die ich dem Vorstand präsentieren könnte?