Resolución de problemas del Captive Portal de Cisco Meraki: lista de comprobación de la página de inicio, el walled garden y RADIUS

Un Captive Portal de Meraki que falla suele tener uno de estos cuatro fallos: el tipo de página de bienvenida (splash page) es incorrecto, al walled garden le faltan los dominios y recursos del portal, la transferencia de la URL de concesión está rota o los puntos de acceso no pueden comunicarse con RADIUS con un secreto compartido coincidente. El registro de eventos de Meraki muestra qué fallo tiene.

¿Qué aspecto tiene un Captive Portal de Meraki que no funciona?

Tres síntomas cubren la mayoría de los tickets de soporte. Cada uno apunta a un eslabón diferente en la cadena de inicio de sesión.

• La página de bienvenida nunca aparece. El dispositivo se une al SSID y obtiene una dirección IP, pero no se abre ninguna ventana de inicio de sesión.
• El portal entra en bucle. El invitado completa el formulario, pulsa conectar y vuelve a aterrizar en la página de inicio de sesión.
• El portal acepta los datos pero nunca concede acceso. La página indica que el proceso se ha completado con éxito, pero el dispositivo sigue cautivo.

Un cuarto síntoma es más silencioso. A los invitados que regresan se les pide que inicien sesión con mucha más frecuencia de lo esperado. Esto rara vez es un fallo del portal; suele deberse a la configuración de la frecuencia de la página de bienvenida.

Antes de cambiar nada, confirme cómo debería funcionar la cadena. En una implementación de Purple, el punto de acceso de Meraki redirige el dispositivo a los servidores de la página de bienvenida de Purple. La página de bienvenida recopila los datos del invitado y emite un inicio de sesión de un solo uso. A continuación, el punto de acceso pasa ese inicio de sesión al servidor RADIUS de Purple para completar la autenticación. El artículo de soporte del Captive Portal de Purple describe este flujo. Cada síntoma se corresponde con el fallo de una de esas tres transferencias.

Esta guía asume que el SSID ya está creado. Complementa la guía de configuración del Captive Portal de Meraki y no repite los pasos de configuración.

¿Qué suele causar que una página de bienvenida de Meraki no se muestre o entre en bucle?

El tipo de página de bienvenida no coincide con el portal

Meraki ofrece opciones de acceso directo (click-through), inicio de sesión con un servidor RADIUS y opciones de Captive Portal externo. El portal y el SSID deben esperar el mismo método.

Un portal externo de acceso directo libera el dispositivo llamando a una URL de concesión. Un portal externo de inicio de sesión envía las credenciales, que el punto de acceso comprueba con RADIUS. Si el SSID y el portal no coinciden, la transferencia falla y el usuario entra en bucle.

El walled garden está incompleto

El walled garden enumera los destinos a los que puede acceder un dispositivo antes de autenticarse. Meraki acepta entradas como dominios o rangos de IP. Si falta el propio dominio del portal, la página de bienvenida no se puede cargar en absoluto.

La falta de recursos provoca fallos más sutiles. Las hojas de estilo, las imágenes, las fuentes, las redes de entrega de contenido y los proveedores de inicio de sesión social se cargan desde sus propios hosts. Si alguno de ellos está bloqueado, la página se muestra rota o el botón de inicio de sesión no hace nada.

El walled garden también puede ser demasiado permisivo. Los dispositivos ejecutan un asistente de red cautiva (CNA), que comprueba un dominio predefinido para probar el acceso a Internet. Si ese dominio de prueba es accesible antes de iniciar sesión, el dispositivo concluye que está conectado. Por lo tanto, nunca muestra la ventana de inicio de sesión.

La URL de concesión o la URL de continuación se ha perdido

Con un Captive Portal externo, Meraki añade parámetros a la redirección. Estos incluyen una URL de concesión base y la URL de continuación que el invitado solicitó originalmente. El portal debe enviar el dispositivo de vuelta a la URL de concesión para liberarlo.

Si el portal pierde, sobrescribe o almacena en caché esos parámetros, el punto de acceso nunca recibe la concesión. El invitado ve un mensaje de éxito, pero la siguiente carga de página lo redirige de nuevo a la página de inicio de sesión.

El servidor RADIUS no está accesible o el secreto compartido es incorrecto

El inicio de sesión con RADIUS depende de que los puntos de acceso lleguen al servidor RADIUS. RADIUS es el protocolo Remote Authentication Dial-In User Service, definido en RFC 2865. El servidor trata a cada remitente como un cliente RADIUS y comprueba un secreto compartido en cada solicitud.

Predominan dos fallos. Un cortafuegos bloquea el tráfico RADIUS de los puntos de acceso, o el secreto compartido difiere entre el panel de control y el servidor. En cualquier caso, el portal recopila los detalles pero la autenticación nunca se completa.

El modo NAT y el modo puente cambian lo que se debe comprobar

En el modo NAT, el punto de acceso asigna él mismo las direcciones de los clientes. Los dispositivos ascendentes ven el tráfico procedente del punto de acceso, no del cliente. En el modo puente, los clientes toman las direcciones de su propio servidor DHCP en su LAN o VLAN.

El modo puente añade puntos de fallo que dependen de usted. Estos incluyen un rango de DHCP agotado, una VLAN no troncalizada al punto de acceso y reglas de DNS ascendente o cortafuegos que bloquean los hosts del portal.

¿Cómo averiguar cuál es la causa del problema?

Trabaje desde el cliente hacia fuera. Realice pruebas con un solo dispositivo y borre la red entre intentos para que cada prueba comience desde cero.

Síntoma	Qué muestra el registro de eventos	Causa más probable	Primera comprobación
No aparece la página de bienvenida	Asociación, pero sin redirección a la página de bienvenida	Dominio de prueba de CNA accesible, o fallo de DHCP o DNS	Confirme que el dispositivo tiene IP y DNS, luego abra neverssl.com
Página de bienvenida en blanco o sin estilo	Redirección a la página de bienvenida, página incompleta	Faltan hosts de recursos en el walled garden	Herramientas de desarrollo del navegador, elija cada host bloqueado
Bucle tras enviar	Redirecciones de bienvenida repetidas, sin concesión	Pérdida de parámetros de la URL de concesión, o discrepancia en el tipo de página de bienvenida	Compare la cadena de consulta de redirección con lo que devuelve el portal
Mensaje de éxito, sin internet	Intentos de autenticación fallidos o agotados por tiempo de espera	RADIUS bloqueado o discrepancia en el secreto compartido	Registros del servidor RADIUS para comprobar las solicitudes de los puntos de acceso
Se vuelve a pedir acceso a invitados recurrentes	Nuevos eventos de página de bienvenida para dispositivos conocidos	Frecuencia de la página de bienvenida demasiado corta	Configuración de frecuencia de la página de bienvenida en el SSID
Advertencia de certificado en escritorio	Se completa la redirección	Página de inicio de sesión servida a través de HTTP	Certificado en el host del portal

Lectura del registro de eventos de Meraki

Abra el registro de eventos de red en el panel de control de Meraki y filtre por la dirección MAC del dispositivo de prueba. A continuación, filtre por los tipos de eventos de página de bienvenida y autenticación.

Lea los eventos en orden cronológico: asociación, asignación de dirección, redirección a la página de bienvenida, autenticación. El punto donde se detiene la secuencia es donde se encuentra el fallo. Si no hay evento de redirección, significa que esta nunca se ejecutó. Un evento de redirección sin evento de autenticación apunta al portal o a la URL de concesión. Un evento de autenticación fallido apunta a RADIUS.

¿Cómo solucionarlo en redes Meraki MR y dispositivos cliente?

Siga los pasos del fabricante en el artículo de soporte del Captive Portal de Purple. Las siguientes soluciones le indican qué cambiar y por qué.

Corregir el walled garden

Cargue la página de bienvenida en un dispositivo fuera de la red de invitados con las herramientas de desarrollador abiertas. Registre cada host al que llama la página, incluidos los proveedores de inicio de sesión social. Añada cada uno al walled garden como un dominio o rango de IP. Elimine cualquier elemento que coincida con un dominio de prueba de CNA.

Corregir la transferencia de la URL de concesión

Capture la URL de redirección completa desde un dispositivo que esté fallando. Confirme que el portal devuelve el dispositivo a la URL de concesión base con los parámetros intactos. Compruebe que ningún proxy, acortador de enlaces o caché se interponga entre el portal y el dispositivo.

Corregir RADIUS

Confirme que los puntos de acceso pueden comunicarse con el servidor RADIUS en los puertos configurados. Vuelva a introducir el secreto compartido en ambos lados, utilizando la misma copia, al mismo tiempo. A continuación, compruebe el registro del servidor para ver si llegan solicitudes desde las direcciones de los puntos de acceso.

Corregir el comportamiento del cliente

Android muestra una notificación de "es posible que deba iniciar sesión" que abre el CNA. Algunos fabricantes de terminales alteran este comportamiento, por lo que se recomienda realizar pruebas en los modelos que lleven sus invitados. Si un invitado no ve el aviso, Purple recomienda abrir un navegador y visitar neverssl.com. Ese sitio evita problemas de redirección de SSL porque nunca utiliza HTTPS.

Los navegadores de escritorio advierten cuando una página de inicio de sesión se ofrece a través de HTTP sin cifrar. El artículo sobre certificados de Cisco WLC de Purple aborda el fallo equivalente en los Cisco WLC. La solución en este caso es un certificado de confianza pública cuyo Common Name coincida con el nombre de host del portal. El mismo principio se aplica a cualquier host de portal.

Otros fabricantes

Purple es independiente del hardware. Las mismas comprobaciones se aplican en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Solo cambian los nombres de los menús.

Dos casos prácticos reales

Un hotel de 200 habitaciones tras el rediseño del portal

Situación. Un establecimiento de hostelería en el centro de la ciudad renovó su página de bienvenida con nuevas fuentes y un botón de inicio de sesión social. Después, los huéspedes veían una página en blanco sin botón de inicio de sesión.

Qué se hizo. El equipo de TI cargó la nueva página con las herramientas de desarrollador abiertas y detectó dos hosts bloqueados. Uno era una red de distribución de fuentes y el otro era el proveedor de inicio de sesión social. Ambos se añadieron al walled garden.

Resultado. La página se cargó por completo en la siguiente prueba. Las quejas en recepción sobre el acceso de invitados cesaron el mismo día.

Una cadena minorista de 40 tiendas tras un cambio de firewall

Situación. Una cadena de tiendas minoristas restringió el firewall de su oficina central. A la mañana siguiente, los compradores de todas las tiendas veían la página de éxito pero no podían navegar.

Qué se hizo. El registro de eventos mostró tiempos de espera de autenticación agotados en todos los centros. La nueva regla había bloqueado el tráfico RADIUS de los puntos de acceso de las tiendas. El equipo restableció la regla únicamente para los puertos RADIUS.

Resultado. Los eventos de autenticación volvieron a la normalidad en las 40 tiendas a la hora siguiente de realizar el cambio.

¿Cómo evitar que los fallos del Captive Portal de Meraki vuelvan a ocurrir?

• Vincular el walled garden a los cambios del portal. Cada cambio de diseño activa una revisión del walled garden antes de la puesta en marcha.
• Mantener el SSID abierto. Purple recomienda una red abierta para el acceso de invitados, ya que es la convención habitual y reduce la fricción.
• Rotar los secretos compartidos en parejas. Cambie el panel de control y el servidor RADIUS en una misma ventana de mantenimiento.
• Probar en cuatro plataformas. Android, iOS, Windows y macOS gestionan el CNA de manera diferente.
• Utilizar un certificado de confianza. Sirva la página de inicio de sesión a través de HTTPS con un certificado de confianza pública.
• Separar al personal de los invitados. El personal debe autenticarse por identidad, no a través de una página de bienvenida para invitados. Consulte Cómo habilitar el inicio de sesión único.

Purple gestiona WiFi de invitados en más de 80 000 ubicaciones activas y procesó 440 millones de inicios de sesión en 2024 (datos propios de Purple). La misma lista de comprobación se aplica en los centros de transporte que atienden a pasajeros y en las instalaciones sanitarias que atienden a pacientes y visitantes.

Preguntas frecuentes

¿Funciona Purple con mis puntos de acceso Cisco Meraki existentes?

Sí, Purple funciona en sus puntos de acceso Cisco Meraki MR existentes como una capa de software en la nube. Solo tiene que apuntar la página de bienvenida del SSID a Purple y configurar los datos del RADIUS de Purple en el panel de Meraki. No se necesita hardware nuevo. El artículo de soporte de Purple sobre el captive portal detalla los pasos de configuración. El mismo enfoque funciona en el resto de una infraestructura con distintas marcas.

¿Puede Purple gestionar el WiFi de invitados en una infraestructura con múltiples proveedores?

Sí, Purple es independiente del hardware y es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Puede gestionar una única página de bienvenida y un único flujo de inicio de sesión para todos los proveedores desde una sola plataforma. Esto es ideal para grupos que han adquirido instalaciones con hardware diferente, así como para infraestructuras que planean reemplazar los puntos de acceso gradualmente en lugar de hacerlo en un solo proyecto.

¿El acceso de invitados debe funcionar en un SSID abierto o en uno protegido?

Purple recomienda un SSID abierto para el acceso de invitados, ya que es la convención estándar actual y los invitados la reconocen. El Captive Portal se encarga del paso de inicio de sesión, por lo que los invitados no necesitan una contraseña antes de conectarse. Una red abierta reduce la fricción en el momento de la conexión. Mantenga los dispositivos del personal en una red separada basada en la identidad en lugar de compartir el SSID de invitados.

¿Cumplen con el GDPR los datos de los invitados recopilados a través de la página de inicio?

Sí, Purple cuenta con las certificaciones ISO 27001 y Cyber Essentials, y opera de acuerdo con el GDPR y la CCPA. Los invitados prestan su consentimiento mediante una opción de aceptación de elección consciente en la página de inicio, por lo que el consentimiento de marketing es explícito. Los datos que recopila son datos de origen, propiedad de su organización. Purple también es una empresa certificada como B Corp. Compruebe que su propio aviso de privacidad coincida con los campos que recopila su página de inicio.

¿Por qué los navegadores de escritorio muestran una advertencia de certificado antes de la página de inicio de sesión?

Los navegadores de escritorio muestran una advertencia cuando el portal redirige a una página de inicio de sesión a través de HTTP estándar. Los navegadores modernos esperan que las páginas de inicio de sesión utilicen HTTPS, por lo que marcan la conexión como no privada. La solución es un certificado SSL/TLS de confianza pública en el host del portal. El nombre común del certificado debe coincidir con el nombre de host que utiliza la redirección. La advertencia no bloquea el acceso, pero erosiona la confianza de los invitados.

¿Quién gestiona la autenticación RADIUS cuando Purple ejecuta el portal?

El servidor RADIUS de Purple completa el inicio de sesión. La página de inicio emite un inicio de sesión único y el punto de acceso Meraki lo pasa al servidor RADIUS de Purple. Debe introducir los detalles de RADIUS de Purple y el secreto compartido en el panel de Meraki. Su cortafuegos debe permitir que el tráfico RADIUS de los puntos de acceso llegue a Purple. Si el secreto compartido difiere en cualquiera de los lados, la autenticación fallará.

¿Cuánto esfuerzo supone pasar de la página de inicio de Meraki a Purple?

El cambio es una modificación de la configuración en cada SSID, no un proyecto de hardware. Debe cambiar el tipo de página de inicio, añadir las entradas del walled garden e introducir los detalles de RADIUS de Purple. La mayor parte del esfuerzo se destina a realizar pruebas en Android, iOS, Windows y macOS antes de la puesta en marcha. Planifique primero un sitio piloto y, a continuación, implemente la configuración probada en el resto de la infraestructura.