El portal de invitados Ubiquiti UniFi no redirige: causas y soluciones

Un Captive Portal UniFi suele dejar de redirigir porque el SSID ya no es un Hotspot activo, el usuario invitado no se encuentra en estado no autorizado, las rutas de preautorización requeridas no logran llegar al servicio externo o el portal no consigue comunicar la autorización a UniFi. Verifica estos pasos exactamente en este orden 1 2 3.

¿Qué condiciones deben cumplirse para que se produzca la redirección de invitados de UniFi?

Esta es una guía para la resolución de problemas de una configuración que antes funcionaba. No se te pedirá que reconstruyas tu red WiFi de invitados desde cero. Por el contrario, la guía avanza desde el dispositivo invitado hacia el controlador, para luego regresar a través del servicio externo. Este orden evita un error común: modificar un SSID, un firewall o una configuración de DNS antes de saber qué paso ha fallado realmente.

Ubiquiti define un Hotspot como la funcionalidad que se puede aplicar a un SSID WiFi o a una red o VLAN completa. El Captive Portal se habilita después dentro de esa configuración de Hotspot. En consecuencia, una VLAN de invitados, un SSID de invitados o una política de aislamiento de red no demuestran por sí mismos que el flujo de redirección esté activo. Si la interfaz de usuario de la aplicación UniFi Network ha cambiado después de una actualización, confirma el estado actual de Hotspot y Captive Portal siguiendo la documentación oficial de Ubiquiti, en lugar de confiar en la ubicación histórica del menú. 1

Para un portal externo, Ubiquiti describe un recorrido de usuario preciso. Un dispositivo se conecta a un SSID configurado con Hotspot y Captive Portal. Comienza como GUEST con authorised: false. Cuando intenta realizar una solicitud web, UniFi lo redirige al servidor del portal externo. El servidor recibe los detalles de identificación del cliente y del punto de acceso, obtiene el ID del cliente UniFi y, a continuación, solicita la autorización a través de la API Network. Un flujo completado correctamente se traduce en authorised: true. 2

La regla de diagnóstico: no considere la condición "conectado al WiFi" como la condición de éxito. La condición de éxito es un cliente de prueba no autorizado que llega al servicio de inicio de sesión previsto, completa su proceso, muestra authorised: true y luego recibe el acceso previsto. 2

¿Qué necesita antes de comenzar el aislamiento de fallos?

Utilice un dispositivo de prueba nuevo y no autorizado. Un dispositivo ya autorizado es una mala herramienta de diagnóstico porque podría omitir el paso que necesita examinar. Registre el SSID o el nombre de la red, la hora de la prueba, el tipo de dispositivo, el sistema operativo y si el dispositivo muestra una solicitud de inicio de sesión automática o solo un resultado normal del navegador. Apple afirma que iOS y macOS envían un probe al conectarse por primera vez a una red para detectar la interceptación del Captive Portal y mostrar una página de inicio de sesión. Esto significa que la falta de una ventana automática es una pista útil, pero no es una prueba concluyente de que la pasarela no pueda redirigir una solicitud normal del navegador. 4

Mantenga la prueba acotada. No comience agregando reglas de acceso amplias para los invitados. No elimine una integración que funcione. No copie una lista de permitidos de preautorización de otra instalación. Es necesario establecer la ruta real del invitado y la fase exacta en la que se interrumpe. Si el problema afecta a varias ubicaciones, realice la misma prueba con un dispositivo nuevo en cada una de ellas. Una diferencia entre los sitios es más útil que una teoría sobre una actualización del controlador compartido.

Per una distribuzione Purple, tieni aperto l'articolo corrente UniFi Integration: Best Practices & Common Questions durante il test. Purple utilizza un login API diretto del controller anziché un canale di autenticazione in background RADIUS. L'account API dedicato deve quindi essere locale rispetto al controller, avere diritti di scrittura come amministratore, avere il 2FA disabilitato e non richiedere la modifica della password. Purple documenta anche diversi requisiti di posizionamento dell'account per le console hardware e per il UniFi OS Server self-hosted. 3

Come si isola il passaggio non riuscito?

Inizia dal livello di accesso. Conferma che lo SSID WiFi interessato, o la relativa configurazione dell'intera rete, sia ancora impostato come Hotspot con Captive Portal abilitato. Ubiquiti documenta l'attuale percorso WiFi-SSID e documenta separatamente un percorso Hotspot Zone per una configurazione dell'intera rete o VLAN. Questa distinzione è la risposta alla comune confusione UniFi guest network vs hotspot. Una rete ospite isolata può essere il segmento corretto e non riuscire comunque ad avviare il flusso di lavoro di accesso se la funzione Hotspot non è attiva. 1 Successivamente, ispeziona il client appena connesso. Devi verificare lo stato non autorizzato documentato, non una semplice associazione wireless. Se lo stato non è presente, torna alla configurazione del Hotspot e al SSID o alla rete selezionata. Non procedere con il DNS, un provider esterno o un'integrazione UDM Pro finché questa fase non è corretta. Un servizio esterno non può autorizzare un ospite che non è mai entrato nel flusso dell'Hotspot esterno. 2

Quindi attiva una normale richiesta web dallo stesso dispositivo. Se la richiesta raggiunge il servizio esterno, conserva il risultato come prova. In caso contrario, concentrati sul percorso di pre-autorizzazione del segmento ospiti. Purple connette gli ospiti solo al completamento del loro processo esterno, e le sue linee guida di supporto associano una schermata vuota dopo l'invio del modulo a regole per gli ospiti che bloccano il traffico web nascosto necessario per completare l'accesso. Verifica l'ACL di Pre-Auth e le impostazioni di post-autorizzazione. Dichiara i percorsi di instradamento di destinazione essenziali tratti dalla documentazione corrente del provider. 3

In questa fase, mantieni preciso il termine allow list. Non si tratta di un elenco di destinazioni web generali per un ospite autorizzato. È l'insieme di percorsi richiesti prima dell'approvazione, come il servizio esterno e gli elementi necessari per completare la transazione di accesso. L'articolo di supporto di Purple è la fonte autorevole per i propri requisiti correnti. Inserisci il link all'articolo di supporto nel tuo ticket di incidente e registra la data della versione, anziché incorporare un elenco copiato e non aggiornato in un runbook. 3

Come si verifica l'autorizzazione del portale esterno e il percorso UDM?

Se la pagina di accesso si carica, la tua indagine passa dall'intercettazione all'autorizzazione. Ubiquiti afferma che il reindirizzamento passa l'indirizzo MAC dell'access point, l'indirizzo MAC del client, l'URL originale richiesto e il SSID al portale esterno. Il servizio esterno può utilizzare l'indirizzo MAC del client per ottenere l'ID del client dall'API di rete, quindi emettere una richiesta di autorizzazione. La conferma lato controller è lo stato authorised: true del client. 2

Esamina le prove in questo ordine. In primo luogo, il provider ha ricevuto un reindirizzamento per il client interessato? In secondo luogo, ha identificato lo stesso client elencato da UniFi? In terzo luogo, ha inviato una richiesta di autorizzazione? In quarto luogo, UniFi ha segnalato il client come autorizzato? Questa sequenza fornisce a un team IT locale e a un MSP un record di incidente condiviso. Inoltre, interrompe il ciclo improduttivo in cui una parte afferma che "il portale si è caricato" mentre l'altra sostiene che "il firewall è a posto".

La questione relativa al UDM Pro guest portal richiede la stessa verifica, con un ulteriore controllo sulla classificazione del controller. Le linee guida di Purple indicano che le implementazioni attuali su console hardware UniFi e su versioni moderne di UniFi OS Server devono utilizzare l'opzione di integrazione UniFi Network corrente, mentre solo le applicazioni controller standalone meno recenti e non aggiornate utilizzano la selezione legacy. Sulle console hardware, Purple suggerisce di creare l'account dedicato nella dashboard principale di UniFi OS. Se un'implementazione è stata aggiornata, migrata o riclassificata, riesamina la posizione di quell'account e la classificazione dell'integrazione prima di modificare i criteri del firewall per gli ospiti. 3

Le linee guida di supporto di Purple identificano inoltre la raggiungibilità del controller come un confine separato. Se il servizio esterno non riesce a raggiungere il tuo controller al suo indirizzo pubblico stabile o FQDN attraverso il percorso approvato del firewall, l'autorizzazione non può essere completata. Verifica l'indirizzo registrato per l'integrazione, il relativo percorso in entrata e le regole di consenso approvate dal provider. Segui l'articolo di supporto per i passaggi di implementazione correnti e appropriati per la versione, anziché riprodurre i valori di connessione in una checklist locale. 3

Cosa va storto e come risolvere il problema?

La rete ospite è isolata, ma la pagina di accesso non si avvia mai

Gestisci questo problema come una verifica dello stato dell'Hotspot prima di un incidente DNS. Conferma se l'SSID WiFi o la rete interessata ha la funzione Hotspot e Captive Portal abilitata. Ubiquiti separa esplicitamente una configurazione Hotspot solo WiFi da una configurazione dell'intera rete o VLAN. Ripristina la configurazione desiderata, riconnetti un nuovo dispositivo e conferma che UniFi registri ora un ospite non autorizzato prima di testare qualsiasi collegamento esterno. 1 2

Il reindirizzamento fallisce prima che la pagina esterna venga caricata

Gestisci questo problema come un test del percorso di pre-autorizzazione. Acquisisce il resolver DNS del dispositivo ospite, il risultato della risoluzione di destinazione e l'esito del browser. Successivamente, confronta le regole degli ospiti con i requisiti attuali del provider del portale. Le linee guida di Purple sono specifiche: quando un ospite visualizza una schermata vuota dopo l'invio del modulo, le impostazioni della Pre-Auth ACL o di post-autorizzazione potrebbero bloccare il traffico necessario per completare il processo. Non sostituire una policy di pre-autorizzazione mirata con un ampio accesso internet per gli ospiti. 3

La pagina esterna si carica, ma l'ospite rimane offline

Questo è un limite di autorizzazione. Convalida l'identità del client nell'evento del provider, la richiesta del provider a UniFi e lo stato finale del client del controller. Il flusso esterno di Ubiquiti distingue il reindirizzamento dalla successiva azione di autorizzazione tramite API. Il caricamento di una pagina dimostra che la prima fase è avvenuta, ma non prova che il client sia stato successivamente contrassegnato come autorizzato. 2

Un aggiornamento di UniFi Network o di UDM ha modificato il percorso previsto

No asuma che una configuración heredada del controlador siga coincidiendo con la integración actual. Purple distingue un despliegue moderno de UniFi Network de un controlador standalone anterior y documenta pautas separadas para la creación de cuentas para consolas de hardware y UniFi OS Server autohospedado. Verifique de nuevo la cuenta local dedicada, su permiso de escritura, el estado de la 2FA, la configuración de cambio de contraseña y la clasificación de la integración. Luego realice de nuevo la prueba con un nuevo dispositivo. 3

¿Pueden Pi-hole o el filtrado DNS ascendente bloquear el punto de acceso de UniFi?

Puede formar parte del análisis, pero no debería ser la conclusión sin pruebas. Las fuentes principales aprobadas no establecen que Pi-hole sea la causa de un error de redirección de UniFi. Trate el DNS como una ruta medible. Confirme el resolver proporcionado al segmento de invitados, compruebe si la dirección del servicio externo se resuelve, pruebe la ruta DNS aprobada bajo el control de cambios y compare los resultados. La sonda del dispositivo Apple es otra razón para registrar tanto la experiencia de inicio de sesión automático como una solicitud normal del navegador. 4

¿Cómo se demuestra que la solución funciona antes del próximo periodo de mayor actividad?

Utilice una verificación de lanzamiento repetible. Debería seguir la misma ruta que un invitado real, no una simple comprobación de conectividad únicamente del controlador. En primer lugar, desasocie la red o utilice un nuevo dispositivo de prueba. En segundo lugar, conéctese al SSID afectado. En tercer lugar, confirme que el cliente no está autorizado. En cuarto lugar, inicie una solicitud web normal. En quinto lugar, confirme que el servicio externo recibe la redirección. En sexto lugar, complete el proceso de inicio de sesión aprobado. En séptimo lugar, confirme el estado authorised: true y pruebe el acceso normal. 2

Realice la verificación antes de las llegadas de mayor actividad en un establecimiento del sector Hospitality, antes de un periodo de campaña en el Retail, antes de un evento en Transport o antes de que aumente la demanda de visitantes en Healthcare. Conserve el resultado como un registro operativo: resultado positivo o negativo en cada paso, tipo de dispositivo, clasificación del controlador y cualquier modificación aplicada. Esto es mucho más útil que un aviso genérico de "WiFi de invitados no disponible".

Escenario de ejemplo real: incidente de la pantalla en blanco en un hotel

Un hotel de 200 habitaciones informa de que los huéspedes se conectan al SSID de la marca pero ven una página de inicio de sesión vacía. El ingeniero de guardia utiliza un nuevo dispositivo y confirma el estado authorised: false, lo que significa que la fase de Hotspot está presente. La página comienza a cargarse pero la transacción no se completa. El ingeniero compara las rutas de preautorización de invitados con las directrices de soporte actuales del proveedor, valida el resolver asignado de forma efectiva al segmento de invitados y repite la prueba. La condición de finalización medible es que el dispositivo complete el inicio de sesión, pase a authorised: true y consiga el acceso previsto. 2 3

Escenario de ejemplo real: puntos de venta retail tras el cambio de controlador

Un equipo de retail informa de que los compradores se conectan a un SSID aislado pero nunca ven la página de inicio de sesión tras un cambio de controlador. El ingeniero no empieza por el DNS. Confirma que el SSID está aislado y, a continuación, verifica si las opciones de Hotspot y Captive Portal están habilitadas en la configuración actual de UniFi. Tras restaurar el estado deseado de Hotspot, vuelve a conectar un dispositivo nuevo y verifica el estado no autorizado documentado antes de probar el servicio externo. El resultado observable es un evento de redireccionamiento seguido de un estado de autorización completado. 1 2

Escenario de ejemplo real: fallo de la autorización externa en un palacio de congresos

La página de inicio de sesión de un palacio de congresos se carga y acepta el formulario de invitado, pero los asistentes siguen sin conexión. El equipo registra la dirección MAC del cliente y comprueba el evento del proveedor externo para el redireccionamiento. A continuación, valida que el proveedor haya reconocido al mismo cliente, enviado la solicitud de autorización y que UniFi registre authorised: true. Para una integración con Purple, también comprueban la cuenta API local, los derechos de escritura, la configuración 2FA y la clasificación actual del controlador. El resultado esperado es una cadena de pruebas rastreable, no una suposición sobre la causa. 2 3

Una vez cerrado el incidente, utiliza el mismo control de lanzamiento en tu proceso operativo de Guest WiFi. La sección Guest WiFi proporciona el contexto del servicio, mientras que WiFi Analytics puede ayudar a los equipos de operaciones a supervisar la experiencia posterior al restablecimiento. Para consultar controles operativos relacionados, consulta Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026, la guía Cisco Meraki splash page not working: a troubleshooting flowchart y WiFi 7 Venue Deployment: Infrastructure Readiness for Stadiums and Hospitality Sites.

Preguntas frecuentes

¿Necesito una VLAN de invitados y un UniFi Hotspot para mostrar una página de inicio de sesión?

No. Ubiquiti documenta un Hotspot tanto en un SSID WiFi como en una red completa o VLAN. La condición fundamental es que el SSID o red correspondiente tenga habilitada la función de Hotspot y Captive Portal. Una VLAN de invitados aislada es una opción de segmentación. No establece por sí misma el estado de cliente no autorizado ni inicia un redireccionamiento externo. 1 2

¿Qué se debe introducir en una lista de preautorización de UniFi?

Solo las rutas necesarias para completar el proceso de inicio de sesión de invitados seleccionado antes de la aprobación. Purple asocia las pantallas vacías posteriores al formulario con reglas de invitados que bloquean el tráfico necesario para completar el inicio de sesión. Verifique la ACL de preautorización y la configuración de postautorización contrastándolas con la documentación actual de su proveedor. No copie una lista de dominios de otro sitio ni añada un acceso a internet no protegido solo para cargar la página. 3

¿Por qué el portal de invitados de UniFi dejó de funcionar después de una actualización de la aplicación?

Verifique el estado del Hotspot, la clasificación del controlador y la cuenta de integración antes de modificar la red. La documentación actual de Ubiquiti distingue la configuración del Hotspot de una red de invitados general. Purple distingue además las integraciones de red UniFi actuales de las implementaciones con controladores autónomos legacy, con directrices diferentes para las cuentas de consolas de hardware y UniFi OS Server autohospedado. Realice de nuevo la prueba con un dispositivo limpio después de cada corrección. 1 3

¿Por qué se carga un portal externo en mi UDM Pro pero no autoriza al invitado?

Que se cargue la página demuestra la fase de redireccionamiento, no la fase de autorización final. Verifique que el proveedor externo haya recibido la identidad del cliente, haya encontrado la coincidencia con el cliente UniFi, haya enviado una solicitud de autorización y que el controlador muestre authorised: true. Para Purple, verifique también que la cuenta local dedicada disponga de permisos de escritura, no tenga habilitada la 2FA y no presente cambios obligatorios de contraseña. 2 3

¿Pi-hole interrumpe el redireccionamiento del hotspot UniFi?

No asuma que es así. Las fuentes primarias aprobadas no identifican a Pi-hole como una causa principal probada para UniFi. Pruebe el resolver real del segmento de invitados, la resolución de destino y la ruta DNS aprobada bajo el control de cambios. Registre tanto la solicitud automática del dispositivo como el resultado de un navegador normal, ya que los dispositivos Apple utilizan un sondeo de red captive al conectarse. 4

¿Debo reemplazar mis puntos de acceso UniFi para solucionar un error de redireccionamiento?

No, no como primera medida. El flujo externo documentato indica una secuencia de pasos de configuración y autorización: estado del Hotspot, estado del cliente no autorizado, redirección, procesamiento externo y aprobación del controlador. Localice el paso fallido con un nuevo dispositivo de prueba antes de considerar una sustitución de hardware. 1 2

Referencias