HPE Aruba Captive Portal Fehlerbehebung: Checkliste für Weiterleitung, Zertifikat und Walled Garden

Ein HPE Aruba Captive Portal, das ausfällt, hat in der Regel einen von fünf Fehlern. Die Pre-Authentication-Rolle blockiert DNS oder das Portal, oder die Walled Garden-Einträge fehlen. Andere häufige Fehler sind eine fehlerhafte Redirect-URL, das Standardzertifikat des Controllers, das Browser-Warnungen auslöst, oder RADIUS-Anfragen, die den Authentifizierungsserver nie erreichen. Überprüfen Sie zuerst DHCP und DNS auf dem Gäste-VLAN und arbeiten Sie sich dann nach außen vor.

Wie sieht ein Aruba Captive Portal aus, das nicht funktioniert?

Die meisten Fehler äußern sich in einem von drei Symptomen. Wenn Sie das Symptom richtig benennen, sparen Sie sich eine Stunde Rätselraten.

Keine Weiterleitung. Der Gast verbindet sich mit der offenen SSID und erhält eine IP-Adresse, aber es erscheint keine Anmeldeseite. Der Captive Network Assistant (CNA), also der kleine Browser, den Ihr Telefon automatisch öffnet, öffnet sich entweder gar nicht oder zeigt einen leeren Bildschirm an.

Zertifikatswarnung. Die Anmeldeseite lädt erst nach der Meldung "Ihre Verbindung ist nicht privat". Laptops zeigen dies häufiger als Telefone, da Desktop-Browser für jede Anmeldeseite HTTPS erwarten.

Keine Freigabe. Der Gast füllt die Splash Page aus, bleibt aber in der Captive-Rolle hängen. Er wird zur Anmeldeseite zurückgeleitet oder der CNA meldet keine Internetverbindung.

Diese Anleitung setzt dort an, wo Ihre Anleitung zur Einrichtung des HPE Aruba Captive Portals aufhört. Es wird davon ausgegangen, dass die SSID, das externe Portalprofil und die RADIUS-Server bereits existieren. Für die gleiche Checkliste auf Meraki lesen Sie bitte Cisco Meraki Captive Portal Fehlerbehebung: Checkliste für Splash Page, Walled Garden und RADIUS.

Was sind die häufigsten Ursachen für den Ausfall eines Aruba Captive Portals?

Ein Captive Portal ist eine Webseite, die das Netzwerk Gästen vorschreibt, bevor es ihnen Internetzugang gewährt. Bei Aruba müssen fünf Komponenten übereinstimmen, damit dies funktioniert.

Pre-Authentication-Rolle und Walled Garden

Jeder Gast beginnt in einer Pre-Authentication-Rolle, die auch als Initial- oder Captive Portal-Rolle bezeichnet wird. Diese Rolle muss DHCP, DNS und HTTP/HTTPS zum Portal-Host zulassen. Jedes andere Ziel sollte umgeleitet oder abgelehnt werden.

Der Walled Garden ist die Liste der Ziele, die ein Gast vor der Anmeldung erreichen kann. Ein externes Portal muss dort mit seinem eigenen Hostnamen aufgeführt sein, ebenso wie jede Domain, die die Splash Page lädt. Dazu gehören Schriftarten, Skripte, Analytics-Tags und Social-Login-Anbieter. Ein einziger fehlender Eintrag kann dazu führen, dass der CNA einen weißen Bildschirm anzeigt.

Redirect-URL und Parameter

Wenn der AP die erste HTTP-Anfrage eines Gasts abfängt, leitet er den Browser an die externe Portal-URL weiter. Aruba hängt Parameter an diese URL an, wie z. B. die Client-MAC-Adresse, die SSID und die Adresse, an die die Anmeldedaten zurückgesendet werden sollen.

Eine falsche URL, ein überflüssiges Endzeichen oder eine Diskrepanz zwischen HTTP/HTTPS unterbricht die Übergabe. Das Portal kann dann den AP oder den Gast nicht identifizieren.

Standard-Captive Portal-Zertifikat

Aruba-Controller und virtuelle Controller werden mit einem Werkszertifikat für ihre interne Anmeldeseite ausgeliefert. Es ist nicht für einen Hostnamen ausgestellt, der Ihnen gehört. Browser stufen es daher als nicht vertrauenswürdig oder fehlerhaft ein.Unser Support-Artikel über die Einrichtung des Cisco WLC Captive Portal Zertifikats beschreibt dasselbe Prinzip auf Cisco. Die Lösung ist ein öffentlich vertrauenswürdiges Zertifikat, dessen Common Name (CN) mit dem vom Controller präsentierten Hostnamen übereinstimmt.

RADIUS-Authentifizierung und Accounting

RADIUS (Remote Authentication Dial-In User Service) ist das Protokoll, mit dem der Controller bei einem Authentifizierungsserver anfragt, ob ein Client zugelassen werden soll. Bei Purple erfassen unsere Splash-Page-Systeme die Daten des Gastes und erstellen ein einmaliges Login. Der Controller leitet diese Anmeldung dann an den RADIUS-Server von Purple weiter, um die Authentifizierung abzuschließen, wie in unserem Support-Artikel zum Captive Portal erklärt wird.

Wenn die Anfrage nie ankommt oder das Shared Secret falsch ist, wird der Gast niemals freigeschaltet. Accounting-Nachrichten melden den Start und das Ende der Sitzung. Fehlende Accounting-Daten führen zu Lücken in Ihren Sitzungsdaten.

DNS und DHCP im Gast-VLAN

Ein VLAN (virtuelles LAN) trennt den Gast-Datenverkehr vom Unternehmensnetzwerk. Wenn das Gast-VLAN einen nicht erreichbaren DNS-Server zuweist, kann der Browser den Hostnamen des Portals nicht auflösen. Die Weiterleitung startet dann nicht. Erschöpfte DHCP-Bereiche führen in Stoßzeiten zum gleichen Symptom.

Wie finden Sie heraus, welche Ursache vorliegt?

Arbeiten Sie sich vom Client nach außen vor. Diese Entscheidungsmatrix zeigt Ihnen, was Sie sehen und wo Sie zuerst suchen sollten.

Symptom	Wahrscheinlichste Ursache	Zuerst prüfen	Behebung
Keine IP-Adresse oder eine selbst zugewiesene Adresse	DHCP-Bereich erschöpft oder Gast-VLAN nicht getrunkt	DHCP-Server-Leases und AP-Uplink-VLAN-Tagging	Bereich erweitern oder Lease-Dauer verkürzen, dann das VLAN auf dem Switch-Port taggen
IP-Adresse, aber keine Weiterleitung	DNS im Pre-Auth-Profil blockiert oder erste Anfrage nur über HTTPS	Client-Profil im AP oder Details zum Central-Client	DNS im Pre-Auth-Profil zulassen, dann mit neverssl.com testen
Weiterleitung startet, leere Seite	Fehlende Walled-Garden-Einträge	Browser-Entwicklertools auf einem Test-Laptop	Jede blockierte Domain zum Walled Garden hinzufügen
Portal meldet, dass es das Netzwerk nicht identifizieren kann	Fehlerhafte Weiterleitungs-URL oder fehlende Parameter	Vollständige Weiterleitungs-URL auf einem Testgerät erfassen	Die externe Portal-URL im Profil korrigieren
"Ihre Verbindung ist nicht privat"	Standard-Controller-Zertifikat oder CN-Fehlermeldung	Zertifikatsdetails im Vorhängeschloss des Browsers	Ein öffentlich vertrauenswürdiges Zertifikat installieren, das mit dem Hostnamen des Portals übereinstimmt
Anmeldung abgeschlossen, Gast landet in einer Schleife	RADIUS-Ablehnung, Timeout oder falsches Shared Secret	RADIUS-Server-Protokolle und AP-Authentifizierungsprotokolle	Shared Secret abgleichen, Quelladresse zulassen, Erreichbarkeit des Servers bestätigen
Online, aber Sitzungsdaten unvollständig	Accounting deaktiviert oder blockiert	RADIUS-Accounting-Protokolle	Accounting im Serverprofil aktivieren

Was in den Client-Protokollen zu prüfen ist

Starten Sie mit dem CNA. Android zeigt die Benachrichtigung "Anmeldung im Netzwerk erforderlich" an und schließt den CNA, sobald eine Authentifizierung erkannt wird. Wenn der CNA übersprungen wird, öffnen Sie einen Browser und rufen Sie neverssl.com auf. Diese Website nutzt weiterhin einfaches HTTP, sodass der AP die Anfrage ohne einen SSL-Fehler abfangen kann.

Auf einem Laptop zeigen die Entwicklertools des Browsers an, welche Anfragen beim Laden der Seite fehlgeschlagen sind. Jede blockierte Domain ist ein fehlender Eintrag im Walled Garden.

Was in den AP- und Controller-Protokollen zu prüfen ist

Prüfen Sie zuerst die aktuelle Rolle des Clients. Ein Gast, der sich nach dem Login immer noch in der Pre-Auth-Rolle befindet, deutet auf ein RADIUS-Problem hin. Ein Gast ohne jegliche Rolle deutet auf ein Assoziierungs- oder DHCP-Problem hin. Lesen Sie dann die Authentifizierungs-Debug-Protokolle für die MAC-Adresse des Clients. Ein RADIUS-Timeout bedeutet, dass die Pakete nicht gesendet werden oder nicht ankommen. Ein Access-Reject bedeutet, dass der Server sie empfangen und abgelehnt hat.

Wie behebt man das auf Instant AP, Aruba Central und Controllern?

Die Konzepte sind auf allen drei Plattformen dieselben. Der Ort, an dem Sie sie ändern, unterscheidet sich. Die detaillierten Werte für Purple finden Sie in unserem Support-Artikel zum Captive Portal. Verwenden Sie diese und kopieren Sie keine Werte von einem anderen Standort.

Aruba Instant externes Captive Portal

Auf Instant verwaltet der virtuelle Controller das externe Portalprofil, den Walled Garden und die RADIUS-Serverdefinitionen. Bestätigen Sie, von welcher Adresse Ihr RADIUS-Traffic stammt. Wenn der dynamische RADIUS-Proxy aktiviert ist, kommen die Anfragen von der Adresse des virtuellen Controllers. Ohne ihn sendet jeder AP seine eigenen Anfragen. Der RADIUS-Server und jede dazwischenliegende Firewall müssen die von Ihnen verwendete Quelle zulassen.

Fehlerbehebung für das Aruba Central Gastportal

In Aruba Central muss der Splash-Page-Typ des WLAN auf extern eingestellt sein. Überprüfen Sie, ob das Portalprofil auf die richtige URL verweist. Die Client-Ansicht von Central zeigt die Rolle, das VLAN und die Authentifizierungsereignisse jedes Gasts an einem Ort an. Dies macht es zur schnellsten Methode, um an vielen Standorten einen DNS-Fehler von einem RADIUS-Fehler zu unterscheiden.

Controller-basierte Bereitstellungen

Prüfen Sie auf einem Mobility Controller drei Objekte: die Anfangsrolle, das Captive Portal-Profil und das AAA-Profil. Die Zugriffsrichtlinie der Anfangsrolle muss DNS, DHCP und den Portal-Host zulassen. Das Captive Portal-Profil muss auf das richtige Serverzertifikat verweisen. Der Portal-Hostname des Controllers muss zudem im Gast-VLAN aufgelöst werden.

Wie sieht eine Behebung an einem Live-Standort aus?

Diese Praxisbeispiele zeigen, wie die Checkliste angewendet wird. Sie dienen der Veranschaulichung und sind keine namentlich genannten Kunden-Fallstudien.

Ein Hotel mit 180 Zimmern auf Instant APs. Gäste mit iPhones sahen nach einer Neugestaltung der Splash-Page einen leeren CNA. Die neue Seite lud Schriftarten und einen Social-Login-Button von Domains, die im Walled Garden fehlten. Der IT-Manager listete die fehlgeschlagenen Anfragen in den Entwicklertools des Browsers auf und fügte jede Domain hinzu. Die abgeschlossenen Logins im Portal stiegen innerhalb einer Woche von etwa 40 pro Tag auf über 250 an. Weitere Informationen zur Konnektivität für Gäste in diesem Sektor finden Sie unter Hotels.

Eine Modekette mit 40 Filialen auf Aruba Central. Kunden auf Laptops meldeten Warnungen wegen eines "unsicheren Netzwerks", was etwa 25 Helpdesk-Tickets pro Monat zur Folge hatte. Die virtuellen Controller präsentierten immer noch das Standardzertifikat. Das Team installierte ein öffentlich vertrauenswürdiges Zertifikat mit einem CN, der mit dem Hostnamen des Portals übereinstimmte, und bestätigte dann, dass dieser Name im Gäste-VLAN aufgelöst wurde. Im folgenden Monat sank die Zahl der Tickets auf zwei. Unter Einzelhandel erfahren Sie, wie der Gastzugang Filialen unterstützt.

Ein von der Kommunalverwaltung betriebenes Konferenzzentrum auf einem Mobility Controller. Die Teilnehmer füllten die Splash-Page aus, wurden aber immer wieder zu dieser zurückgeleitet. Die Authentifizierungsprotokolle zeigten RADIUS-Timeouts. Eine neue Firewall-Regel am Perimeter hatte die Quelladresse des Controllers blockiert. Nachdem die Adresse wieder freigegeben wurde, sank die Zeit von der Anmeldung bis zur Online-Verbindung von unendlich auf unter fünf Sekunden.

Wie verhindern Sie, dass das Aruba Captive Portal erneut ausfällt?

• Walled Garden einer Versionskontrolle unterziehen. Behandeln Sie jede Änderung der Splash-Page wie eine Netzwerkänderung und aktualisieren Sie den Walled Garden in derselben Version.
• Erinnerungen für die Erneuerung von Zertifikaten einrichten. Ein abgelaufenes öffentliches Zertifikat führt über Nacht wieder zur Warnung. Planen Sie die Erneuerung mindestens 30 Tage vor dem Ablaufdatum ein.
• Mit drei Geräten testen. Testen Sie nach jeder Änderung auf einem iPhone, einem Android-Telefon und einem Windows-Laptop. Jedes dieser Geräte geht anders mit dem CNA um.
• RADIUS überwachen. Richten Sie Alarme bei steigenden Access-Reject- oder Timeout-Zahlen ein, nicht nur bei der Serververfügbarkeit.
• Die Gäste-SSID offen halten. Purple empfiehlt eine offene SSID für den Gastzugang, da dies Reibungsverluste verringert. Wenn Sie andernorts auch WPA3 nutzen, lesen Sie den Artikel WPA3 transition mode connection failures: a deployment checklist for Cisco Meraki, HPE Aruba and Ruckus.

Das Gäste-WiFi von Purple läuft als Cloud-Overlay auf HPE Aruba sowie auf Cisco Meraki, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. In mehr als 80.000 Live-Standorten verarbeitete Purple im Jahr 2024 laut eigenen Angaben 440 Millionen Anmeldungen.

Häufig gestellte Fragen

Funktioniert Purple mit Aruba Instant, Aruba Central und Controller-basierten Bereitstellungen?

Ja. Das Gäste-WiFi von Purple lässt sich über ein externes Captive Portal und RADIUS in HPE Aruba integrieren, sodass es auf Instant APs, Aruba Central und Mobility Controllern funktioniert. Der Controller leitet Gäste auf die Splash-Page von Purple weiter und übergibt die einmalige Anmeldung an den RADIUS-Server von Purple. Sie behalten Ihre vorhandenen Access Points und Switches bei und konfigurieren das Portalprofil, den Walled Garden und die RADIUS-Server nach den veröffentlichten Werten von Purple.

Muss ich ein öffentliches SSL-Zertifikat für meinen Aruba Controller kaufen?

Ja, wenn Sie verhindern möchten, dass Gäste Browserwarnungen erhalten. Das Standardzertifikat auf einem Aruba Controller oder virtuellen Controller ist nicht für einen Hostnamen ausgestellt, der Ihnen gehört, sodass Desktop-Browser es blockieren. Ein öffentlich vertrauenswürdiges Zertifikat, dessen Common Name mit dem Hostnamen des Portals übereinstimmt, entfernt die Warnung. Standardmäßige domänenvalidierte Zertifikate von jeder öffentlichen Zertifizierungsstelle sind geeignet und Sie erneuern sie nach dem Zeitplan des Ausstellers.

Benötigt die Migration unseres Aruba Gäste-Portals zu Purple neue Hardware?

Nein. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf den HPE Aruba Access Points und Controllern, die Sie bereits besitzen. Die Änderung betrifft lediglich die Konfiguration: eine neue externe Portal-URL, aktualisierte Walled-Garden-Einträge und die RADIUS-Server von Purple. Der größte Teil des Aufwands fließt in Tests auf Handys und Laptops an einem Pilotstandort, bevor Sie das Profil im gesamten Unternehmen bereitstellen.

Ist das Aruba Captive Portal von Purple GDPR-konform?

Ja. Purple ist nach ISO 27001 zertifiziert und arbeitet im Einklang mit der GDPR und dem CCPA. Gäste geben auf der Splash-Page eine bewusste Einwilligung (Opt-in), sodass die Marketing-Einwilligung direkt beim Login erfasst wird. Ihr Aruba Netzwerk wickelt den Datenverkehr ab, während Purple die First-Party-Daten unter Ihrer Kontrolle speichert. Sie legen die Aufbewahrungsfristen und den Wortlaut der Einwilligung so fest, dass sie Ihrer eigenen Datenschutzrichtlinie entsprechen.

Wie wird das Guest WiFi von Purple für eine Aruba Umgebung lizenziert?

Purple lizenziert Guest WiFi über drei Tarife: Connect, Capture und Engage. Connect deckt den sicheren Gastzugang ab, während Capture und Engage zusätzlich Datenerfassung und Marketingfunktionen bieten. Der von Ihnen gewählte Tarif ändert nichts an der Aruba Konfiguration, da jeder Tarif dieselbe externe Portal- und RADIUS-Integration nutzt. Ihr Purple Account-Team erstellt Ihnen gerne ein Angebot basierend auf der Anzahl der Standorte und dem gewählten Tarif.

Wie lange dauert es, ein fehlerhaftes Aruba Captive Portal zu reparieren?

Die meisten Fehler lassen sich in weniger als einem Tag beheben, sobald Sie das Symptom identifiziert haben. Walled-Garden- und DNS-Probleme dauern nach dem Erfassen der fehlgeschlagenen Anfragen oft weniger als eine Stunde. Der Austausch von Zertifikaten hängt davon ab, wie schnell Ihre Zertifizierungsstelle die Domain validiert. Durch Firewall-Änderungen verursachte RADIUS-Fehler erfordern in der Regel einen Change-Request - planen Sie daher Ihr eigenes Genehmigungsfenster ein.

Sollten wir Aruba ClearPass oder ein externes Portal wie Purple für Gäste nutzen?

Wählen Sie ein externes Portal wie Purple, wenn Sie Gästedaten, Marketing-Einwilligungen und Analysen wünschen, ohne zusätzliche On-Premise-Server betreiben zu müssen. ClearPass ist ein On-Premise-Policy-Manager, der sich für komplexe Zugriffskontrollen von Mitarbeitern eignet. Purple läuft in der Cloud mit einer Ausfallsicherheit von 99,999 % und übernimmt die Splash-Page, RADIUS und die Datenerfassung zusammen. Viele Standorte behalten ClearPass für Mitarbeiter und nutzen Purple für Gäste.