Walled-Garden-Generator
Generieren Sie Regeln für zugelassene Domains vor der Authentifizierung, ACL-Whitelists und Controller-CLI-Skripte für 9 Enterprise-WLAN-Hardwareplattformen.
Walled Gardens für Captive Portals konfigurieren und validieren
1. Dienstintegrationen auswählen
2. Benutzerdefinierte Standort-Domains hinzufügen
Fügen Sie benutzerdefinierte API-Endpunkte, Standort-CDN-Hosts oder Web-Assets hinzu, die von Ihrer Splash-Page benötigt werden.
3. Hardware-Controller & Exportformat auswählen
Wählen Sie Ihren Ziel-Enterprise-Wireless-Controller aus, um die genauen CLI- oder Dashboard-Whitelist-Regeln zu formatieren.
# ==================================================================
# Cisco Meraki Dashboard - Walled Garden Allowed Domain List
# Location: Wireless > Configure > Access control > Splash page
# ==================================================================
*.aadcdn.msauth.net
*.aadcdn.msftauth.net
*.account.live.com
*.accounts.google.co.uk
*.accounts.google.com
*.accounts.youtube.com
*.api.purple.ai
*.apis.google.com
*.app.purple.ai
*.appleid.apple.com
*.appleid.cdn-apple.com
*.assets.purple.ai
*.auth.gfx.ms
*.auth.purple.ai
*.captive.purple.ai
*.cdnjs.cloudflare.com
*.challenges.cloudflare.com
*.fonts.googleapis.com
*.fonts.gstatic.com
*.googleusercontent.com
*.gsa.apple.com
*.gstatic.com
*.idmsa.apple.com
*.login.live.com
*.login.microsoftonline.com
*.logincdn.msauth.net
*.onboarding.purple.ai
*.portal.purple.ai
*.purple.ai
*.ssl.gstatic.com
*.static.cloudflareinsights.com
*.www.purple.aiWichtige Hinweise zur Apple CNA-Umgehung und Captive Portal-Erkennung
Das Hinzufügen von Apple-Probe-Hostnamen zur Whitelist (captive.apple.com) unterdrückt das automatische Browser-Overlay des Captive Network Assistant auf Apple-Geräten. Während dies eine nahtlose Authentifizierung für wiederkehrende Besucher in Unternehmensumgebungen ermöglicht, verhindert es das automatische Öffnen der Splash-Page auf Gäste-Geräten. Belassen Sie die Apple CNA-Probe bei Standard-Besuchernetzwerken nicht ausgewählt, um die sofortige Anzeige der Anmeldeaufforderung zu gewährleisten.
Wie Walled Gardens vor der Authentifizierung funktionieren
Bei der Bereitstellung von Enterprise-Gäste-WiFi definiert ein Walled Garden (Zugriffskontrollliste vor der Authentifizierung) die spezifischen Netzwerkziele, die ein nicht authentifiziertes Gerät erreichen darf, bevor das Onboarding über die Splash-Page abgeschlossen ist. Wenn sich ein Gast mit einer offenen oder sicheren Gäste-SSID verbindet, versetzt der Wireless LAN Controller (WLC) oder der cloudverwaltete Access Point den Client in einen eingeschränkten Status vor der Authentifizierung.
Der gesamte Standard-Webdatenverkehr wird abgefangen und an die Login-URL des Captive Portals umgeleitet. Bei modernen Splash-Pages mit Social-Login (OAuth 2.0), Kreditkartenabrechnung (Stripe, PayPal), benutzerdefinierten Schriftarten (Google Fonts) oder externen CDN-Ressourcen muss der Client-Browser jedoch vor der vollständigen Internetfreigabe Daten mit Servern von Drittanbietern austauschen. Wenn einer dieser Endpunkte in der Walled-Garden-Whitelist des Controllers fehlt, schlägt der Anmeldevorgang lautlos fehl, was zu leeren Modalfenstern oder fehlerhaften Checkout-Buttons führt.
Vergleichsmatrix für Walled Gardens von Enterprise Wireless Controllern
| Hardware-Plattform | Mechanismus | Wildcard-Format | Konfigurationsschnittstelle | Dynamisches DNS-Snooping |
|---|---|---|---|---|
| Cisco Meraki MR | DNS-Snooping auf AP-Ebene | *.domain.com | Dashboard Web UI / REST API | Automatisch pro Client-MAC |
| Cisco Catalyst 9800 | IOS-XE-Parameter-Map | redirect-passthrough domain | CLI / WebUI WebAuth-Profil | Unterstützt über FQDN-Snooping |
| Aruba AOS 8 / 10 | Netdestination-Aliase | name *.domain.com | CLI / Aruba Central UI | Integrierte DPI-Engine |
| Ubiquiti UniFi | Gateway-Autorisierungstabelle | *.domain.com | UniFi Network Hotspot-Einstellungen | Integriert in dnsmasq / UDM |
| Fortinet FortiGate | FQDN-Adressobjekte | set fqdn *.domain.com | FortiOS CLI / Captive-Exempt-Liste | FortiGuard-DNS-Auflösungstabelle |
| Juniper Mist | Über die Cloud bereitgestellte AP-Hostnamen | *.domain.com | Mist AI Portal / Mist API | Edge-AP-Hardwarebeschleunigung |
| Ruckus SmartZone | WISPr-Walled-Garden-Tabelle | *.domain.com | SmartZone WebUI / ZoneDirector | DNS-Proxy-Filter auf AP-Ebene |
Funktionsweise von Apple CNA- und Android Captive Portal-Probes
Wenn sich mobile Geräte mit einer unverschlüsselten oder Gäste-SSID verbinden, startet das Betriebssystem eine automatische Konnektivitätsprüfung im Hintergrund, um festzustellen, ob das Gerät uneingeschränkten Internetzugang hat oder sich hinter einem Captive Portal befindet:
- Apple iOS und macOS: Sendet eine HTTP-GET-Anfrage an
http://captive.apple.com/hotspot-detect.html. Wenn der Server etwas anderes als den exakten HTML-Text mit<HTML><HEAD><TITLE>Success</TITLE></HEAD><BODY>Success</BODY></HTML>zurückgibt, öffnet das Betriebssystem sofort den modalen Captive Network Assistant (CNA)-Browser. - Google Android: Sendet eine HTTP-204-Anfrage an
http://connectivitycheck.gstatic.com/generate_204. Wenn der Access Point die Verbindung abfängt und eine HTTP-302-Weiterleitung oder eine HTML-Splash-Page zurückgibt, zeigt Android in der Systemleiste die Benachrichtigung 'Im WiFi-Netzwerk anmelden' an. - Microsoft Windows: Kontaktiert den Network Connectivity Status Indicator (NCSI) unter
http://www.msftconnecttest.com/connecttest.txtund erwartet ein 200 OK mit dem StringMicrosoft Connect Test.
Empfehlung für Best Practices: Setzen Sie Probe-Domains von Apple oder Android nur dann auf die Whitelist, wenn Sie absichtlich einen nahtlosen, 'Headless'-Onboarding-Ablauf implementieren (wie Passpoint / Hotspot 2.0). Das Whitelisting dieser Probes täuscht dem Betriebssystem einen aktiven Internetzugang vor, was die Anzeige des Splash-Screens verhindert und Gäste dazu zwingt, manuell einen Webbrowser zu öffnen, um das Portal zu finden.
Sicherung von Walled Gardens gegen DNS-Tunneling und Missbrauch
Obwohl Walled Gardens für die Besucherauthentifizierung unerlässlich sind, können falsch konfigurierte Whitelists Gäste-Netzwerke Sicherheitslücken aussetzen:
Beschränken Sie nicht authentifizierten DNS-Datenverkehr stets auf vertrauenswürdige Unternehmens-DNS-Resolver oder interne Controller-Proxy-Forwarder. Wenn Sie offenes rekursives DNS im Pre-Auth-Netzwerk zulassen, können böswillige Akteure beliebigen TCP/UDP-Datenverkehr über DNS-Abfragen tunneln (Iodine / DNScat).
Vermeiden Sie nach Möglichkeit breite Top-Level-Wildcard-Whitelists wie *.amazonaws.com oder *.cloudfront.net. Geben Sie genaue Hostnamen für Asset-Buckets an (z. B. myvenue-assets.s3.amazonaws.com), um unbefugtes Durchsuchen von nicht authentifiziertem Cloud-Speicher zu verhindern.
Konfigurieren Sie Sitzungs-ACLs vor der Authentifizierung so, dass nur ausgehender TCP-Port 443 (HTTPS) für OAuth- und Zahlungsabwickler von Drittanbietern zugelassen wird. Schließen Sie den unverschlüsselten Port 80, um Man-in-the-Middle-Session-Hijacking im Gäste-VLAN zu verhindern.
So konfigurieren Sie einen Walled Garden vor der Authentifizierung für Gäste-WiFi Captive Portals
Schritt-für-Schritt-Anleitung für Netzwerk-Ingenieure zum Generieren, Validieren und Anwenden von Whitelists für zugelassene Domains über Enterprise Wireless LAN Controller hinweg vor der Benutzerauthentifizierung.
Erforderliche Authentifizierungsintegrationen auswählen
Wählen Sie die externen Identitätsanbieter (Google OAuth, Microsoft Entra ID, Apple ID), Zahlungsabwickler (Stripe, PayPal), CDNs und Schriftarten-Repositories aus, die für Ihre Captive-Splash-Page erforderlich sind.
Benutzerdefinierte Standort-Domains und API-Endpunkte hinzufügen
Geben Sie benutzerdefinierte Standort-FQDNs, API-Hosts der Kunden-App oder gehostete Branding-Assets in den Validator für benutzerdefinierte Domains ein.
Ziel-Hardware-Wireless-Controller auswählen
Wählen Sie Ihren Ziel-Hardware-Anbieter aus (Cisco Meraki, Cisco Catalyst 9800, Aruba OS, Ubiquiti UniFi, Fortinet FortiGate, Ruckus SmartZone, Juniper Mist, Extreme Networks oder Cambium cnMaestro).
Generierte Konfigurationsbefehle auf den Wireless-Controller anwenden
Kopieren Sie das formatierte CLI-Skript oder die Whitelist-Einträge des Dashboards und wenden Sie diese auf das Ziel-Gäste-WLAN oder die Pre-Authentication-Benutzerrolle an.
Häufig gestellte Fragen zu Walled Gardens und Captive Portals
Was ist ein Walled Garden in Gäste-WiFi- und Captive Portal-Netzwerken?
Ein Walled Garden (auch als Erlaubnisliste/Whitelist zugelassener Domains oder Pre-Authentication Access Control List bezeichnet) ist eine eingeschränkte Browser-Umgebung, die von Wireless Access Points oder Wireless LAN Controllern erzwungen wird. Bevor sich ein nicht authentifizierter Besucher über eine Splash-Page des Captive Portals anmeldet, wird der gesamte allgemeine Internetverkehr blockiert. Der Walled Garden setzt spezifische Fully Qualified Domain Names (FQDNs) und IP-Bereiche explizit auf eine Whitelist - wie etwa Captive Portal-Hosting-Server, OAuth-Identitätsanbieter, Zahlungsabwickler und Web-Schriftarten - , sodass die Splash-Page und Authentifizierungsskripte funktionieren, ohne vollständigen Netzwerkzugriff zu gewähren.
Wie funktioniert DNS-Snooping auf Enterprise Access Points für Walled Gardens?
Moderne Enterprise Access Points (wie Cisco Meraki, Aruba und Juniper Mist) nutzen dynamisches DNS-Snooping anstelle von statischen IP-Zugriffskontrolllisten (ACLs). Wenn ein nicht authentifizierter Client eine DNS-Anfrage für eine Domain auf der Walled-Garden-Whitelist sendet (z. B. accounts.google.com), fängt der Access Point die DNS-Antwort vom Upstream-Resolver ab. Der AP prüft die zurückgegebenen A- oder AAAA-Records und richtet für die MAC-Adresse des Clients vorübergehend dynamische Layer-3-Firewall-Freigaberegeln für diese spezifischen IP-Adressen ein, die nach Ablauf der DNS-TTL erlöschen.
Warum verhindert das Whitelisting von Apple CNA das automatische Aufpoppen der Splash-Page?
Apple-Geräte erkennen Captive Networks, indem sie beim Verbinden mit einer SSID einen HTTP-Probe an captive.apple.com senden. Empfängt das Gerät die erwartete „Success“-Antwort, geht es von einem vollständigen Internetzugriff aus und öffnet das Browser-Overlay des Captive Network Assistant (CNA) nicht. Das Whitelisting von captive.apple.com führt dazu, dass dieser Probe ungehindert durchgelassen wird. Dies täuscht iOS und macOS eine vollständige Konnektivität vor und unterdrückt die automatische Login-Aufforderung.
Welche Domains müssen für Social Login über Google, Apple und Microsoft auf die Whitelist gesetzt werden?
Für die Google-Authentifizierung setzen Sie accounts.google.com, ssl.gstatic.com, apis.google.com und gstatic.com auf die Whitelist. Für Microsoft Entra ID / 365 setzen Sie login.microsoftonline.com, login.live.com, aadcdn.msftauth.net und aadcdn.msauth.net auf die Whitelist. Für „Anmelden mit Apple“ setzen Sie appleid.apple.com und appleid.cdn-apple.com auf die Whitelist. Da OAuth-Anbieter häufig Content Delivery Networks und Subdomains nutzen, wird Wildcard-Matching (*.domain.com) auf Controllern empfohlen, die dies unterstützen.
Was verursacht Weiterleitungsschleifen und weiße Bildschirme beim Captive Portal?
Weiterleitungsschleifen (Redirect Loops) und weiße Bildschirme treten typischerweise aufgrund von drei Problemen auf: 1) Fehlende CDN- oder JavaScript-Ressourcen im Walled Garden (z. B. fonts.gstatic.com oder js.stripe.com werden vor dem Laden blockiert), 2) Strikte HTTPS-Weiterleitung, bei der der Controller versucht, eine HTTPS-Anfrage ohne gültiges SSL-Zertifikat auf dem Gateway abzufangen, oder 3) Fehlende OAuth-Callback-Domains, bei denen der Identitätsanbieter versucht, zum Portal-Host zurückzuleiten, dies jedoch durch Firewall-Regeln vor der Authentifizierung blockiert wird.
Wie vereinfacht Purple das Walled-Garden-Management in Multi-Vendor-Netzwerken?
Purple betreibt hochverfügbare Anycast-Cloud-Infrastruktur mit konsolidierten Single-Origin-Domain-Architekturen. Durch die Zentralisierung von Captive Portal-Hosting, Authentifizierungs-Engines und CRM-Integrationen hinter einheitlichen FQDN-Endpunkten (wie onboarding.purple.ai) minimiert Purple die Anzahl der erforderlichen externen Domain-Regeln auf Wireless Controllern. Dies reduziert Konfigurationsfehler und verhindert Verbindungsabbrüche vor der Authentifizierung.
Verwandte Netzwerkdiagnose- und WiFi-Tools
Bereitstellung von Enterprise-Gäste-WiFi über Multi-Vendor-Netzwerke?
Eliminieren Sie komplexe Walled-Garden-Wartung, SSL-Warnungen und Portal-Timeouts. Purple integriert sich nativ mit Cisco Meraki, Catalyst 9800, Aruba, UniFi, Fortinet, Mist und Ruckus, um hochverfügbare Captive Portals, Passpoint-Onboarding und verhaltensbasierte Gästeanalysen bereitzustellen.
Book a 20-min demoNetforge Network Multi-Tool
Run offline network health checks, path analysis, and latency diagnostic scans directly from your desktop.
Download Multi-Tool