Resolución de problemas de Captive Portal de HPE Aruba: lista de comprobación de redirección, certificados y walled garden

Un Captive Portal de HPE Aruba que falla suele tener uno de estos cinco fallos: el rol de autenticación previa bloquea el DNS o el portal, o faltan entradas en el walled garden. Otros fallos comunes son una URL de redirección mal formada, el certificado por defecto del controlador que activa advertencias del navegador, o solicitudes RADIUS que nunca llegan al servidor de autenticación. Compruebe primero el DHCP y el DNS en la VLAN de invitados y, a continuación, revise hacia fuera.

¿Qué aspecto tiene un Captive Portal de Aruba que no funciona?

La mayoría de los fallos se manifiestan como uno de estos tres síntomas. Identificar el síntoma correctamente le ahorrará una hora de conjeturas.

Sin redirección. El invitado se une al SSID abierto y obtiene una dirección IP, pero no aparece ninguna página de inicio de sesión. El Captive Network Assistant (CNA), el pequeño navegador que abre el teléfono automáticamente, no aparece o muestra una pantalla en blanco.

Advertencia de certificado. La página de inicio de sesión se carga solo después de un mensaje de "Su conexión no es privada". Los portátiles muestran esto más que los teléfonos, porque los navegadores de escritorio esperan HTTPS para cualquier página de inicio de sesión.

Nunca se libera. El invitado completa la página de bienvenida pero se queda atascado en el rol cautivo. Vuelve a la página de inicio de sesión en bucle, o el CNA informa de que no hay conexión a internet.

Esta guía empieza donde termina la guía de configuración del Captive Portal de HPE Aruba. Se asume que el SSID, el perfil del portal externo y los servidores RADIUS ya existen. Para ver la misma lista de comprobación en Meraki, consulte la Guía de resolución de problemas del Captive Portal de Cisco Meraki: lista de comprobación de la página de bienvenida, el walled garden y RADIUS.

¿Qué suele hacer que falle un Captive Portal de Aruba?

Un Captive Portal es una página web a la que la red obliga a acceder a los invitados antes de concederles acceso a internet. En Aruba, cinco componentes tienen que estar alineados para que eso funcione.

Rol de autenticación previa y walled garden

Cada invitado comienza en un rol de autenticación previa, también llamado rol inicial o de Captive Portal. Ese rol debe permitir DHCP, DNS y HTTP/HTTPS hacia el host del portal. Cualquier otro destino debe ser redirigido o denegado.

El walled garden es la lista de destinos a los que un invitado puede acceder antes de iniciar sesión. Un portal externo necesita que su propio nombre de host figure en ella, además de todos los dominios que carga la página de bienvenida. Las fuentes, los scripts, las etiquetas de análisis y los proveedores de inicio de sesión social cuentan. Una sola entrada ausente puede dejar al CNA en una pantalla blanca.

URL de redirección y parámetros

Cuando el AP intercepta la primera solicitud HTTP de un invitado, envía al navegador a la URL del portal externo. Aruba añade parámetros a esa URL, como la dirección MAC del cliente, el SSID y la dirección a la que se deben enviar las credenciales de vuelta.

Una URL incorrecta, un carácter final suelto o una discrepancia entre HTTP/HTTPS rompe la transferencia. El portal no puede entonces identificar el AP o al invitado.

Certificado del Captive Portal por defecto

Los controladores y controladores virtuales de Aruba se entregan con un certificado de fábrica para su página de inicio de sesión interna. No está emitido para un nombre de host de su propiedad. Por lo tanto, los navegadores lo marcan como no confiable o no coincidente.Nuestro artículo de soporte sobre la configuración del certificado del captive portal en Cisco WLC describe el mismo principio en Cisco. La solución es un certificado de confianza pública cuyo Nombre común (CN) coincida con el nombre de host que presenta el controlador.

Autenticación y contabilidad RADIUS

RADIUS (Remote Authentication Dial-In User Service) es el protocolo que utiliza el controlador para preguntar a un servidor de autenticación si debe admitir a un cliente. Con Purple, nuestros sistemas de página de bienvenida recopilan los datos del invitado y emiten un inicio de sesión de un solo uso. A continuación, el controlador pasa ese inicio de sesión al servidor RADIUS de Purple para completar la autenticación, tal como explica nuestro artículo de soporte sobre captive portal.

Si la solicitud nunca llega, o el secreto compartido es incorrecto, nunca se autoriza al invitado. Los mensajes de contabilidad informan del inicio y fin de la sesión. La falta de contabilidad le dejará con lagunas en los datos de sus sesiones.

DNS y DHCP en la VLAN de invitados

Una VLAN (LAN virtual) separa el tráfico de invitados del tráfico corporativo. Si la VLAN de invitados asigna un servidor DNS inaccesible, el navegador no podrá resolver el nombre de host del portal. Por lo tanto, el redireccionamiento nunca se iniciará. El agotamiento de los rangos DHCP causa el mismo síntoma en las horas de mayor actividad.

¿Cómo averiguar cuál es la causa?

Trabaje desde el cliente hacia fuera. Esta matriz de decisión asocia lo que ve con el lugar donde debería mirar primero.

Síntoma	Causa más probable	Comprobar primero	Solución
Sin dirección IP, o con una autoasignada	Rango DHCP agotado o VLAN de invitados no troncalizada	Concesiones del servidor DHCP y etiquetado de VLAN en el enlace ascendente del AP	Ampliar el rango o acortar el tiempo de concesión, luego etiquetar la VLAN en el puerto del switch
Dirección IP, pero sin redireccionamiento	DNS bloqueado en el rol de preautenticación, o primera solicitud solo HTTPS	Rol del cliente en el AP o detalles del cliente en Central	Permitir DNS en el rol de preautenticación, luego probar con neverssl.com
Se inicia el redireccionamiento, página en blanco	Faltan entradas en el walled garden	Herramientas de desarrollo del navegador en un portátil de prueba	Añadir todos los dominios bloqueados al walled garden
El portal indica que no puede identificar la red	URL de redireccionamiento malformada o parámetros ausentes	URL de redireccionamiento completa capturada en un dispositivo de prueba	Corregir la URL del portal externo en el perfil
"La conexión no es privada"	Certificado del controlador por defecto o discrepancia de CN	Detalles del certificado en el candado del navegador	Instalar un certificado de confianza pública que coincida con el nombre de host del portal
El inicio de sesión se completa, pero el invitado vuelve al bucle inicial	Rechazo de RADIUS, tiempo de espera agotado o discrepancia en el secreto compartido	Registros del servidor RADIUS y registros de autenticación del AP	Hacer coincidir el secreto, permitir la dirección de origen y confirmar que el servidor es accesible
Conectado, pero datos de sesión incompletos	Contabilidad desactivada o bloqueada	Registros de contabilidad de RADIUS	Activar la contabilidad en el perfil del servidor

Qué comprobar en los registros del cliente

Comience con el CNA. Android muestra una notificación de "es posible que deba iniciar sesión" y cierra el CNA una vez que detecta la autenticación. Si se omite el CNA, abra un navegador y vaya a neverssl.com. Ese sitio permanece en HTTP sin formato, por lo que el AP puede interceptar la solicitud sin un error de SSL.

En un portátil, las herramientas de desarrollo del navegador muestran qué solicitudes fallaron durante la carga de la página. Cada dominio bloqueado es una entrada que falta en el walled garden.

Qué comprobar en los registros del AP y del controlador

Observe primero el rol actual del cliente. Un usuario invitado que sigue en el rol de preautenticación después del inicio de sesión apunta a RADIUS. Un invitado sin ningún rol asignado apunta a la asociación o a DHCP. A continuación, lea los registros de depuración de autenticación para la dirección MAC del cliente. Un tiempo de espera de RADIUS (timeout) significa que los paquetes no salen o no llegan. Un Access-Reject significa que el servidor los recibió y los rechazó.

¿Cómo se soluciona en Instant AP, Aruba Central y controladores?

Los conceptos son los mismos en las tres plataformas. Lo que difiere es el lugar donde se modifican. Los valores detallados para Purple se encuentran en nuestro artículo de soporte del captive portal. Utilice esos y no valores copiados de otro establecimiento.

Portal cautivo externo de Aruba Instant

En Instant, el controlador virtual aloja el perfil del portal externo, el walled garden y las definiciones del servidor RADIUS. Confirme de qué dirección proviene su tráfico RADIUS. Con el proxy RADIUS dinámico habilitado, las solicitudes llegan desde la dirección del controlador virtual. Sin él, cada AP envía sus propias solicitudes. El servidor RADIUS y cualquier cortafuegos intermedio deben permitir cualquiera de las fuentes que utilice.

Resolución de problemas del portal de invitados de Aruba Central

En Aruba Central, el tipo de página de bienvenida de la WLAN debe estar configurado como externo. Compruebe que el perfil del portal apunte a la URL correcta. La vista de clientes de Central muestra el rol, la VLAN y los eventos de autenticación de cada invitado en un solo lugar. Eso lo convierte en la forma más rápida de distinguir un fallo de DNS de un fallo de RADIUS en varios sitios.

Despliegues basados en controladores

En un controlador de movilidad, compruebe tres objetos: el rol inicial, el perfil del captive portal y el perfil AAA. La política de acceso del rol inicial debe permitir DNS, DHCP y el host del portal. El perfil del captive portal debe hacer referencia al certificado de servidor correcto. El nombre de host del portal del controlador también debe resolverse en la VLAN de invitados.

¿Cómo se ve una solución en un establecimiento real?

Estos ejemplos prácticos muestran cómo se aplica la lista de comprobación. Son ilustrativos, no casos de éxito de clientes reales.

Un hotel de 180 habitaciones con Instant APs. Los huéspedes con iPhones veían un CNA en blanco tras el rediseño de una página de bienvenida. La nueva página cargaba fuentes y un botón de inicio de sesión social desde dominios que faltaban en el walled garden. El responsable de TI identificó las solicitudes fallidas en las herramientas de desarrollo del navegador y añadió cada dominio. Los inicios de sesión completados en el portal aumentaron de unos 40 al día a más de 250 en una semana. Para obtener más información sobre la conectividad de invitados en este sector, consulte Hoteles.

Una cadena de moda de 40 tiendas en Aruba Central. Los compradores que usaban portátiles informaron de advertencias de "red insegura", lo que generaba unos 25 tickets de asistencia al mes. Los controladores virtuales seguían presentando el certificado por defecto. El equipo instaló un certificado de confianza pública con un CN que coincidía con el nombre de host del portal, y luego confirmó que el nombre se resolvía en la VLAN de invitados. Los tickets bajaron a dos el mes siguiente. Consulte Retail para ver cómo el acceso de invitados ayuda a las tiendas.

Un centro de conferencias gestionado por el ayuntamiento en un controlador de movilidad. Los asistentes completaban la página de bienvenida pero volvían a ella en bucle. Los registros de autenticación mostraban tiempos de espera agotados de RADIUS. Una nueva regla de firewall perimetral había bloqueado la dirección de origen del controlador. Después de volver a permitir la dirección, el tiempo desde el inicio de sesión hasta estar en línea cayó de nunca a menos de cinco segundos.

¿Cómo evitar que el Captive Portal de Aruba vuelva a fallar?

• Controle las versiones del walled garden. Trate cada cambio en la página de bienvenida como un cambio de red y actualice el walled garden en la misma versión.
• Establezca recordatorios de renovación de certificados. Un certificado público caducado hace que la advertencia vuelva a aparecer de la noche a la mañana. Programe la renovación al menos 30 días antes de la expiración.
• Pruebe con tres dispositivos. Después de cualquier cambio, realice pruebas en un iPhone, un teléfono Android y un portátil Windows. Cada uno gestiona el CNA de forma diferente.
• Monitoree RADIUS. Active alertas ante el aumento de rechazos de acceso (Access-Reject) o de tiempos de espera agotados, no solo por la disponibilidad del servidor.
• Mantenga el SSID de invitados abierto. Purple recomienda un SSID abierto para el acceso de invitados porque reduce las fricciones. Si también utiliza WPA3 en otros lugares, lea Fallas de conexión en el modo de transición WPA3: una lista de verificación de implementación para Cisco Meraki, HPE Aruba y Ruckus.

El WiFi para invitados de Purple funciona como una superposición en la nube en HPE Aruba, junto con Cisco Meraki, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. En más de 80.000 sedes activas, Purple gestionó 440 millones de inicios de sesión en 2024, según los propios datos de Purple.

Preguntas frecuentes

¿Funciona Purple con Aruba Instant, Aruba Central y despliegues basados en controladores?

Sí. El WiFi para invitados de Purple se integra con HPE Aruba a través de un Captive Portal externo y RADIUS, por lo que funciona en AP Instant, Aruba Central y controladores de movilidad. El controlador redirige a los invitados a la página de bienvenida de Purple y luego pasa el inicio de sesión único al servidor RADIUS de Purple. Usted conserva sus puntos de acceso y conmutadores existentes, y configura el perfil del portal, el walled garden y los servidores RADIUS con los valores publicados de Purple.

¿Necesito comprar un certificado SSL público para mi controlador Aruba?

Sí, si desea que los invitados eviten advertencias en el navegador. El certificado predeterminado de un controlador o controlador virtual de Aruba no está emitido para un nombre de host de su propiedad, por lo que los navegadores de escritorio lo marcan. Un certificado de confianza pública cuyo Nombre Común (Common Name) coincida con el nombre de host del portal elimina la advertencia. Los certificados estándar validados por dominio de cualquier autoridad de certificación pública son adecuados, y se renuevan según el calendario del emisor.

¿El traslado de nuestro portal de invitados Aruba a Purple requerirá hardware nuevo?

No. Purple es independiente del hardware y funciona como una capa en la nube sobre los puntos de acceso y controladores de HPE Aruba que ya posee. El cambio es de configuración: una nueva URL de portal externo, entradas de walled garden actualizadas y los servidores RADIUS de Purple. La mayor parte del esfuerzo se destina a realizar pruebas en teléfonos y ordenadores portátiles en un sitio piloto antes de implementar el perfil en toda la red.

¿El Captive Portal de Aruba de Purple cumple con el GDPR?

Sí. Purple cuenta con la certificación ISO 27001 y opera de acuerdo con el GDPR y la CCPA. Los invitados otorgan su consentimiento de forma consciente y activa en la página de inicio, por lo que el consentimiento de marketing se registra en el momento del inicio de sesión. Su red Aruba gestiona el tráfico, mientras que Purple almacena los datos de origen bajo su control. Usted define los plazos de retención y la redacción del consentimiento para que coincidan con su propia política de privacidad.

¿Cómo se licencia el WiFi de invitados de Purple para una red de Aruba?

Purple licencia el WiFi de invitados a través de tres planes: Connect, Capture y Engage. Connect cubre el acceso seguro de invitados, mientras que Capture y Engage añaden capacidades de recopilación de datos y marketing. El plan que elija no cambia la configuración de Aruba, ya que todos los planes utilizan el mismo portal externo y la misma integración RADIUS. Su equipo de cuentas de Purple puede prepararle un presupuesto en función del número de establecimientos y del plan elegido.

¿Cuánto tiempo se tarda en solucionar un Captive Portal de Aruba que no funciona?

La mayoría de los fallos se solucionan en menos de un día una vez identificado el síntoma. Los problemas de walled garden y DNS suelen resolverse en menos de una hora tras capturar las solicitudes fallidas. La sustitución de certificados depende de la rapidez con la que su autoridad de certificación valide el dominio. Los fallos de RADIUS causados por cambios en el cortafuegos suelen requerir una solicitud de cambio, por lo que debe prever su propio plazo de aprobación.

¿Deberíamos utilizar Aruba ClearPass o un portal externo como Purple para los invitados?

Elija un portal externo como Purple si desea obtener datos de invitados, consentimiento de marketing y analíticas sin tener que gestionar servidores locales adicionales. ClearPass es un gestor de políticas local ideal para el control de acceso complejo de los empleados. Purple se ejecuta en la nube con un tiempo de actividad del 99,999% y gestiona de forma conjunta la página de inicio, RADIUS y la captura de datos. Muchos establecimientos mantienen ClearPass para los empleados y utilizan Purple para los invitados.