刚开始用wifidog的注意了，如果要用于实际生产环境，那么有一个地方最好改下：
1、auth线程删除，用户状态上报合并到ping线程中去。设想如果50个在线用户，每个用户一次上报，就要50次了，外加一次ping的上报，1分钟内那么多次服务器交互，不但增加服务器负担，还会因为长时间将用户列表锁住导致认证的延迟。
2、libhttpd类库中搜索strtok函数，替换为strsep函数，如何替换请百度搜索这个strsep函数用法。至于为啥要替换，因为strtok函数是线程不安全的，但是却被使用在了多线程中了，libhttpd是被多线程调用的。
3、搜索项目中所有popen函数，自己重写一个，不要用系统的，如果没能力写，可以用execute函数替代，输出到文件后再读取文件。至于为啥？因为wifidog里面有个全局的socket，在使用系统提供的popen函数时，会导致全局socket工作异常，直接表现为已经通过认证的用户正常上网，新用户无论如何都无法再认证了。
至于其它优化就先缓缓，把这3个最主要的处理掉才能产生中使用wifidog

以上建议由WiFiDog 技术交流群 （411349430）的闪电公布。

本文章由http://www.wifidog.pro/2015/11/11/WiFiDog-%E5%A4%9A%E7%BA%BF%E7%A8%8B%E4%BC%98%E5%8C%96%E6%80%9D%E8%B7%AF.htmlX6X整理编辑，转载请注明出处

概述

wifidog是搭建无线热点认证系统的解决方案之一，他比nocat更适合互联网营销思路。目前支持openwrt系统，他实现了路由器和认证服务器的数据交互，在路由器方是用C语言代码，通过wifidog程序和linux iptables防火墙实现接入用户的认证跳转和控制，在认证服务器方是通过php实现用户的认证流程和管理。
优点：有开源代码，可以很方便的搭建认证系统。
缺点：通过iptables方式实现，性能比较差，整体拉低了路由器的数据包处理速度，协议比较繁琐，对认证服务器的造成性能损耗比较大，在安全方面都是明文传输，有一定的安全隐患。

认证流程图:

网关心跳协议

Wifidog将ping协议作为心跳机制向认证服务器发送当前状态信息。实现认证服务器和每个节点的状态双向健康监测的机制。
请求信息：

http://auth_sever/ping/?gw_id=%s&sys_load=%lu&sys_memfree=%u&sys_load=%.2f&wifidog_uptime=%lu

回复格式：

Pong

例子：

GET /ping/?gw_id=001217DA42D2&sys_uptime=742725&sys_memfree=2604&sys_load=0.03&wifidog_uptime=3861HTTP/1.0 User-Agent:wifidog Host:www.wifidog.pro

用户状态心跳协议

请求格式：

http://auth_server/auth/?stage= &ip= mac= &token= &incoming= &outgoing=

注意：
ip,mac,token为用户的基本信息，incoming/outgoing为用户的连接计数信息。 stage=counter|login|logout，分别表示：已认证，新认证用户，超时需要删除的用户。

回复格式：

Auth:状态码(注意中间冒号和状态码之间有个空格)

状态码：

0-AUTH_DENIED-Userfirewallusersaredeletedandtheuserremoved. 1-AUTH_ALLOWED-Userwasvalid,addfirewallrulesifnotpresent

例子：

GET /auth/?stage=counters&ip=7.0.0.107&mac=00:40:05:5F:44:43&token=4f473ae3ddc5c1c2165f7a0973c57a98&incoming=6031353&outgoing=827770HTTP/1.0 User-Agent:wifidog Host:www.wifidog.pro

跳转协议

对于新连接用户，路由器将其产生的任意url请求通过302重定向到认证平台。

请求格式：

http://auth_server/login/?gw_id= &gw_address= &gw_port= &mac= &url=

例子：

GET /login/? gw_id=808100949391&gw_address=192.168.81.1&gw_port=80&mac=aa:bb:cc:dd:cc:ee&url=http://www.sina.com.cn/HTTP/1.0 User-Agent:wifidog Host:www.wifidog.pro

注册协议

请求格式：

http://gw_ip/wifidog/auth?token=

例子：

GET wifidog/auth?token=12312412124 User-Agent:iphone Host:路由器ip 注册请求成功，以307的方式跳转平台的portal/?gw_id=

本文章由 http://www.wifidog.pro/2015/03/27/wifidog%E6%8E%A5%E5%8F%A3-1.html 整理编辑，转载请注明出处

wifidog如何判断用户不在线？

    if (p1->counters.last_updated +
                        (config->checkinterval * config->clienttimeout)
                        <= current_time) {
        /* Timing out user */
        debug(LOG_INFO, "%s - Inactive for more than %ld seconds, removing client and denying in firewall",
                p1->ip, config->checkinterval * config->clienttimeout);
        fw_deny(p1->ip, p1->mac, p1->fw_connection_state);
        client_list_delete(p1);

        /* Advertise the logout if we have an auth server */
        if (config->auth_servers != NULL) {
                                UNLOCK_CLIENT_LIST();
                                auth_server_request(&authresponse, REQUEST_TYPE_LOGOUT, ip, mac, token, 0, 0, session_id);
                                LOCK_CLIENT_LIST();
        }

wifidog发送logout 请求的地方一个是客户端主动触发wifidog下线请求，另一个就在上述代码所述。
这段代码主要是用来判断客户端是否在一定时间内没上网，如果是，wifidog会将其踢出，然后告诉服务器这个客户端已经下线了。

这里可以改成客户端连接一段时间后再踢下线，同样可以改成发现用户没有连接路由器直接踢下线，后者需要用到arp 包来ping 客户端，前者只要在客户端连接之后加个上线时间再在上述代码的if 判断处改成当前时间减去上线时间即可。

本文章由 http://www.wifidog.pro/2015/03/25/wifidog%E5%A6%82%E4%BD%95%E5%88%A4%E6%96%AD%E7%94%A8%E6%88%B7%E4%B8%8D%E5%9C%A8%E7%BA%BF.html 整理编辑，转载请注明出处

wifidog.conf:

#网关ID
GatewayID default
#外部网卡
ExternalInterface eth0
#无线网卡
GatewayInterface eth0
#无线IP
GatewayAddress 192.168.1.1
#路由状态HTML
HtmlMessageFile wifidog-msg.html 
#验证服务器
#AuthServer {
#    Hostname                 (Mandatory; Default: NONE)
#    SSLAvailable             (Optional; Default: no; Possible values: yes, no)
#    SSLPort                  (Optional; Default: 443)
#    HTTPPort                 (Optional; Default: 80)
#    Path                     (Optional; Default: /wifidog/ Note:  The path must be both prefixed and suffixed by /.  Use a single / for server root.)
#   LoginScriptPathFragment  (Optional; Default: login/? Note:  未用户登录重定向地址.)
#   PortalScriptPathFragment (Optional; Default: portal/? Note:  登录成功后重定向地址.)
#   MsgScriptPathFragment    (Optional; Default: gw_message.php? Note:  退出登录后重定向地址.)
#   PingScriptPathFragment    (Optional; Default: ping/? Note:  路由状态心跳地址.)
#   AuthScriptPathFragment    (Optional; Default: auth/? Note:  路由请求服务器验证地址 and 验证心跳地址(stage=counters).)
#}

AuthServer {
    Hostname auth.com
    #SSLAvailable yes
    Path /
}

# 是否后台进程
# Daemon 1
#默认网关端口
# Default: 2060
GatewayPort 80

# HTTP进程名
# HTTPDName WiFiDog

# HTTP最大连接数
# Default: 10
# HTTPDMaxConn 10

# WEB页面加密码后显示名
# Default: WiFiDog
# HTTPDRealm WiFiDog

# WEB加验证
# HTTPDUserName admin
# HTTPDPassword secret

# 心跳间隔时间
# Default: 60
CheckInterval 60

# 心跳间隔次数 验证超时数等于 CheckInterval*ClientTimeout 
ClientTimeout 2

# 信任的MAC地址,加入信任列表将不用登录可访问
#TrustedMACList 00:00:DE:AD:BE:AF,00:00:C0:1D:F0:0D

#其他防火墙设置

#全局
FirewallRuleSet global {
    ## To block SMTP out, as it's a tech support nightmare, and a legal liability
    #FirewallRule block tcp port 25

    ## Use the following if you don't want clients to be able to access machines on 
    ## the private LAN that gives internet access to wifidog.  Note that this is not
    ## client isolation;  The laptops will still be able to talk to one another, as
    ## well as to any machine bridged to the wifi of the router.
    # FirewallRule block to 192.168.0.0/16
    # FirewallRule block to 172.16.0.0/12
    # FirewallRule block to 10.0.0.0/8

    ## This is an example ruleset for the Teliphone service.
    #FirewallRule allow udp to 69.90.89.192/27
    #FirewallRule allow udp to 69.90.85.0/27
    #FirewallRule allow tcp port 80 to 69.90.89.205
}

# 新验证用户
FirewallRuleSet validating-users {
    FirewallRule allow to 0.0.0.0/0
}

#正常用户
FirewallRuleSet known-users {
    FirewallRule allow to 0.0.0.0/0
}

#未知用户
FirewallRuleSet unknown-users {

#域名已修改源码实现,直接下载的不行的...
    FirewallRule allow to baidu.com
    FirewallRule allow udp port 53
    FirewallRule allow tcp port 53
    FirewallRule allow udp port 67
    FirewallRule allow tcp port 67
}

#锁住用户
FirewallRuleSet locked-users {
    FirewallRule block to 0.0.0.0/0
}

域名过滤支持:
fw_iptables.c
iptables_compile 修改:

    if (rule->mask != NULL) {
        char *mask=rule->mask;
        int mask_len=strlen(mask);
        int is_domain=0,
            i=0;
        for(;i<mask_len;i++){
            if((mask[i]>=46&&mask[i]<=57)||mask[i]==32){
                continue;
            }else{
                is_domain=1;
                break;
            }
        }
        char * ip =NULL;
        if(is_domain){
            struct in_addr * h_addr =wd_gethostbyname(mask);
            if(h_addr){
                ip= safe_strdup(inet_ntoa(*h_addr));
                free(h_addr);
            }
            if(ip){
                mask=ip;
            }else{
                debug(LOG_ERR, "doamin %s not find ip try again!",mask);
                mask="0.0.0.0";
            }
        }
        snprintf((command + strlen(command)), (sizeof(command) -
                    strlen(command)), "-d %s ", mask);
        if(ip){
            free(ip);
        }
    }

conf.c
_parse_firewall_rule 修改:

    for (i = 0; *(mask + i) != '\0'; i++)
            if (!isdigit((unsigned char)*(mask + i))
                    &&!isalpha((unsigned char)*(mask + i))
                    && (*(mask + i) != '-')
                    && (*(mask + i) != '.')
                    && (*(mask + i) != '/'))
                all_nums = 0; /*< No longer only digits */

本文章由 http://www.wifidog.pro/2015/03/18/wifidog-%E9%85%8D%E7%BD%AE%E4%B8%AD%E6%96%87%E8%AF%B4%E6%98%8E.html整理编辑，转载请注明出处