Resolución de problemas de Captive Portal de Ubiquiti UniFi: lista de comprobación de portal externo, hotspot y walled garden

Un Captive Portal de UniFi suele fallar por uno de estos cinco motivos: la dirección del servidor del portal externo es incorrecta, faltan los dominios del portal y de inicio de sesión en el acceso previo a la autorización, el aislamiento de invitados bloquea el host del portal, la redirección utiliza HTTP hacia una dirección IP, o la consola no está accesible. Compruebe cada punto por orden y, a continuación, realice una prueba desde un cliente.

¿Qué aspecto tiene un Captive Portal de UniFi que no funciona?

La mayoría de los fallos se manifiestan a través de uno de estos cuatro síntomas. Identificar el síntoma primero ayuda a acotar la causa antes de abrir la aplicación UniFi Network.

• No aparece ningún portal. El dispositivo se conecta al SSID de invitados y obtiene una dirección IP, pero no aparece ninguna pantalla de inicio de sesión. Es posible que el teléfono indique "sin internet" o que aparezca como conectado pero sin tráfico.
• Página en blanco o en bucle de carga infinito. Se abre el Captive Network Assistant (CNA), pero la página de bienvenida nunca llega a cargarse. El CNA es el pequeño navegador que el sistema operativo inicia al detectar una red cautiva.
• Advertencia de certificado. Los ordenadores portátiles muestran el mensaje "La conexión no es privada" antes de cargar la página de inicio de sesión. Los invitados deben aceptar la advertencia para poder continuar.
• Portal incompleto. La página de bienvenida se carga, pero el botón de inicio de sesión social o de pago se queda cargando, da un error o vuelve a empezar en bucle.

El artículo de soporte de Captive Portal de Purple explica el funcionamiento del CNA con más detalle. El CNA comprueba un dominio predefinido para verificar si hay conexión a internet. A continuación, lo notifica al dispositivo, abre un navegador y confirma el estado "en línea". Si se rompe cualquier eslabón de esa cadena, sus invitados experimentarán alguno de los síntomas anteriores.

Esta guía asume que su portal de punto de acceso UniFi o portal externo ya está configurado. Se trata de una lista de comprobación para la resolución de problemas, no de una guía de instalación.

¿Qué suele provocar el fallo de un Captive Portal de UniFi?

Existen seis causas principales detrás de la mayoría de los problemas del portal de invitados de UniFi.

1. Configuración incorrecta del servidor del portal externo. La dirección apunta a un host antiguo, contiene una errata o hace referencia a un servidor al que la puerta de enlace no puede acceder.
2. Acceso previo a la autorización incompleto. UniFi etiqueta este ajuste como "Pre-Authorization Access". Es el "walled garden" de UniFi: los hosts y subredes a los que un invitado puede acceder antes de iniciar sesión. Si falta el portal, sus recursos o el proveedor de inicio de sesión social, la página se mostrará en blanco o incompleta.
3. Restricciones de la red de invitados. Las redes de invitados de UniFi bloquean los rangos de direcciones privadas. Como consecuencia, un servidor de portal o un servidor DNS en una subred interna deja de estar accesible.
4. Incompatibilidad de redirección HTTPS y nombre de host. Una redirección HTTPS a una dirección IP, o a un nombre de host sin su certificado correspondiente, provoca advertencias en el navegador.
5. Accesibilidad del controlador o de la consola. Los servidores UniFi Network autoalojados y las consolas en la nube deben permanecer accesibles. Si se utiliza un portal externo, el controlador también debe tener conexión con el servidor RADIUS que procesa el inicio de sesión.
6. Interferencias en el dispositivo del cliente. Las VPN, las configuraciones DNS personalizadas o el haber cerrado la notificación del CNA impiden que se realice la redirección en ese dispositivo en concreto.

¿Cómo averiguar qué fallo tiene su Captive Portal de UniFi?

Comience con el síntoma y, a continuación, realice la primera comprobación de la tabla antes de cambiar cualquier configuración.

Síntoma	Causa más probable	Primera comprobación	Solución
Sin portal, sin aviso	DNS inaccesible o sonda de CNA bloqueada	¿Puede el cliente resolver un nombre de host público antes de iniciar sesión?	Asigne un servidor DNS fuera de los rangos privados bloqueados, o permítalo en el acceso de preautorización
Página en blanco o cargando indefinidamente	Host del portal o recursos ausentes en el acceso de preautorización	¿Se resuelve y carga el nombre de host del portal desde un dispositivo de invitado?	Añada el host del portal, sus dominios de recursos y su subred al acceso de preautorización
Advertencia de certificado en portátiles	Redirección HTTPS a una dirección IP o nombre de host incorrecto	¿Qué URL aparece en la barra de direcciones al mostrarse la advertencia?	Desactive la redirección HTTPS, o redireccione por nombre de host con un certificado de confianza pública que coincida con ese nombre de host
El botón de inicio de sesión social gira o falla	Faltan los dominios del proveedor de identidad	¿Qué dominio falla en la vista de red del navegador?	Añada todos los dominios que carga la página de inicio de sesión del proveedor
El paso de pago falla	Faltan los dominios de la pasarela de pago	¿Se llega a cargar la página de pago?	Añada los hosts del proveedor de pago al acceso de preautorización
El portal se carga, pero el inicio de sesión nunca se completa	RADIUS o controlador inaccesible	¿Aparecen intentos de autenticación en los eventos del controlador?	Restablezca la accesibilidad del controlador y confirme que los detalles de RADIUS coinciden con los de su proveedor de portal
Un dispositivo falla, otros funcionan	VPN en el lado del cliente, DNS personalizado o CNA descartada	¿Se redirige a neverssl.com en ese dispositivo?	Desactive la VPN o el DNS personalizado, olvide la red y vuelva a conectarse

Dos pruebas rápidas separan la mayoría de los fallos. En primer lugar, navegue a neverssl.com en un dispositivo conectado pero no autenticado. El equipo de soporte de Purple recomienda este sitio porque evita problemas con las redirecciones SSL. Si neverssl.com redirige a su portal, la redirección funciona y el fallo radica en el acceso de preautorización o en el propio portal. Si no redirige, examine el DNS, la configuración del servidor de portal externo o el controlador.

En segundo lugar, compruebe la entrada del cliente en la aplicación UniFi Network. La lista de clientes y los eventos muestran si el dispositivo está en la red de invitados y si se ha autorizado. Un dispositivo marcado como autorizado que sigue mostrando el portal apunta a un problema de caché en el lado del cliente o de CNA.

¿Cómo se soluciona cada causa del Captive Portal de UniFi?

Purple no reproduce aquí las rutas de los menús de UniFi, ya que cambian entre las distintas versiones de UniFi Network. Utilice la documentación actual de Ubiquiti para conocer la ubicación exacta de cada ajuste.

Servidor de portal externo

Confirme que el valor del servidor de portal externo coincide con el especificado por su proveedor de portal. Un solo carácter incorrecto envía a todos los invitados a un host inexistente. Si ha cambiado de proveedor de portal, elimine la dirección antigua en lugar de dejarla junto a la nueva.

Cuando utiliza Purple, los servidores de la página de inicio recopilan los datos del invitado y emiten un inicio de sesión único. El controlador pasa ese inicio de sesión al servidor RADIUS de Purple para completar la autenticación. RADIUS es el protocolo que utiliza el equipo de red para verificar las credenciales con un servidor central. Si el portal se carga pero el inicio de sesión falla, compruebe el perfil RADIUS a continuación.

Acceso de preautorización para el portal, el inicio de sesión social y los dominios de pago

Esta es la solución más común. Añada estas entradas al acceso de preautorización:

• El host del servidor del portal y cualquier subred en la que se encuentre.
• Cada dominio que cargue la página de inicio, incluidos los tipos de letra, las imágenes y las secuencias de comandos de las redes de entrega de contenido.
• Los dominios de autenticación de cada proveedor de inicio de sesión social, si ofrece el inicio de sesión con Facebook, Google o Apple.
• Los hosts de su pasarela de pago, si cobra por el acceso Premium.

Abra la página de inicio desde un ordenador portátil en una red sin restricciones, con las herramientas de desarrollo del navegador mostrando las solicitudes de red. Todos los dominios que aparecen allí deben ser accesibles antes de iniciar sesión. En caso de que su versión de UniFi Network acepte únicamente direcciones IP, vuelva a comprobarlas cada vez que un proveedor cambie sus direcciones.

Aislamiento de la red de invitados y subredes bloqueadas

El aislamiento de invitados no bloquea el Captive Portal por sí solo. El aislamiento de dispositivos cliente impide que los dispositivos de los invitados se comuniquen entre sí. Las restricciones de subred de la red de invitados bloquean los rangos de direcciones privadas, y esas restricciones interceptan los servidores internos del portal o DNS.

Si su servidor de portal o solucionador DNS se encuentra en una subred interna, añada ese host específico al acceso de preautorización. Un patrón más limpio consiste en ofrecer a los invitados un solucionador DNS público y alojar el portal en una dirección pública.

HTTPS y opciones de redireccionamiento de nombre de host

Los navegadores modernos esperan HTTPS para las páginas de inicio de sesión. El artículo sobre certificados de Cisco WLC de Purple describe el mismo patrón en el hardware de Cisco. Un redireccionamiento a una dirección HTTP, como una IP básica, activa una advertencia de seguridad y los invitados deben hacer clic para continuar.

La solución sigue el mismo principio en UniFi. Desactive el redireccionamiento HTTPS y deje que el CNA utilice HTTP, o bien redireccione por nombre de host. Un redireccionamiento de nombre de host necesita un certificado SSL/TLS de confianza pública, y el nombre de host debe coincidir con el Common Name del certificado. Un certificado autofirmado o un nombre que no coincida vuelve a generar la advertencia inmediatamente.

Accesibilidad del controlador para consolas locales y en la nube

Para un UniFi Network Server alojado de forma local, confirme que el servidor está en funcionamiento y es accesible desde su pasarela y puntos de acceso. Compruebe las reglas del cortafuegos entre sitios si el servidor se encuentra en una sede central o en un centro de datos. Para las consolas en la nube, confirme que la consola se muestra en línea y que la pasarela está adoptada. A continuación, confirme que se permite el tráfico saliente hacia su servidor RADIUS.

Comprobaciones del cliente

Pida al invitado que olvide la red y vuelva a unirse. Desactive cualquier VPN o configuración DNS personalizada, que pueden omitir el redireccionamiento por completo. Si se perdió la notificación de CNA, abra un navegador y vaya a neverssl.com. En Android, al tocar la notificación "es posible que deba iniciar sesión" se inicia la sesión del navegador CNA.

Ejemplos prácticos de hostelería, comercio minorista y eventos

Estos ejemplos prácticos muestran cómo funciona la lista de comprobación a nivel de establecimiento.

Un hotel de 200 habitaciones con una página de bienvenida en blanco

Situación. Un hotel gestionaba un UniFi Network Server autohospedado y un portal externo. Tras un cambio en la red, los huéspedes del SSID de invitados veían una página en blanco. El personal de recepción registraba alrededor de una docena de quejas por noche.

Qué se hizo. neverssl.com no redireccionaba, por lo que el equipo comprobó primero el DNS. El ámbito DHCP de la VLAN de invitados estaba asignando un servidor DNS interno en una subred privada. Las restricciones de invitados bloqueaban esa subred. El equipo cambió el ámbito de invitados a un sistema de resolución público.

Resultado. Los redireccionamientos del portal funcionaron en la siguiente conexión. El personal de recepción no registró más quejas de WiFi esa semana.

Una cadena minorista de 40 tiendas con un inicio de sesión social bloqueado

Situación. Una cadena de comercio minorista añadió el inicio de sesión con redes sociales a su página de bienvenida. El formulario de correo electrónico funcionaba, pero el botón de inicio de sesión social daba vueltas indefinidamente en todas las tiendas.

Qué se hizo. El equipo abrió la página de bienvenida con las herramientas de desarrollo y listó cada dominio que cargaba el inicio de sesión del proveedor. Añadieron estos dominios al acceso de preautorización en una tienda piloto, realizaron pruebas en Android y iOS, y luego aplicaron el cambio a las 40 tiendas.

Resultado. El inicio de sesión social se completó con éxito en las 40 tiendas. El equipo ahora vuelve a probar la tienda piloto después de cada actualización del proveedor.

Un centro de conferencias con advertencias de certificado

Situación. Los delegados con portátiles veían "Su conexión no es privada" antes de acceder al portal. Los teléfonos funcionaban a través del CNA, por lo que el fallo parecía intermitente.

Qué se hizo. La barra de direcciones mostraba un redireccionamiento HTTPS a una dirección IP. El equipo desactivó el redireccionamiento HTTPS hasta que se implementó un certificado de confianza pública que coincidiera con el nombre de host de redireccionamiento.

Resultado. La advertencia desapareció en los ordenadores portátiles. El servicio de asistencia del evento dejó de recibir incidencias sobre el portal durante el resto de la conferencia.

¿Cómo evitar que el Captive Portal de UniFi vuelva a fallar?

• Mantenga un registro de preautorización. Enumere cada host y subred, por qué está ahí y a quién pertenece. Revíselo cada vez que añada un método de inicio de sesión o un proveedor de pagos.
• Realice pruebas después de cada cambio. Utilice un teléfono Android, un iPhone y un ordenador portátil. Confirme que neverssl.com redirecciona y que el inicio de sesión se completa.
• Realice un seguimiento de la caducidad de los certificados. Un certificado caducado en un redireccionamiento de nombre de host produce la misma advertencia que la ausencia de certificado.
• Supervise el controlador. Configure alertas para cuando un servidor autohospedado se desconecte antes de que los invitados lo noten.
• Ofrezca una red de invitados abierta. Purple recomienda las redes de invitados abiertas porque la familiaridad reduce la fricción al iniciar sesión. La misma disciplina se aplica a otros fabricantes. La guía de resolución de problemas del captive portal de HPE Aruba y la guía de resolución de problemas del captive portal de Cisco Meraki de Purple siguen la misma lista de verificación para esas plataformas.

Preguntas frecuentes

¿Funciona Purple con los puntos de acceso Ubiquiti UniFi que ya tenemos?

Sí, Purple se ejecuta en Ubiquiti UniFi como un portal externo y servicio RADIUS, por lo que conservará sus puntos de acceso actuales. Purple es compatible con cualquier hardware y también admite Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Cambium, Extreme y Fortinet. Esto es importante para las propiedades multisitio con hardware mixto, ya que una única configuración de WiFi para invitados cubre a todos los fabricantes. La plataforma de Purple se ejecuta en más de 80.000 sedes activas, según los propios datos de Purple.

¿Podemos mantener un UniFi Network Server autohospedado con un portal externo?

Sí, un UniFi Network Server autohospedado funciona con un portal externo, siempre que se mantenga accesible. La puerta de enlace y los puntos de acceso deben conectarse con el servidor, y el servidor debe conectarse con el servicio RADIUS de su proveedor de portal. Compruebe las reglas del firewall entre las sedes si el servidor se encuentra en la oficina central. Las consolas en la nube eliminan la tarea de alojamiento, pero siguen necesitando acceso saliente a RADIUS.

¿Nuestra red de invitados UniFi debe ser abierta o estar protegida por contraseña?

La opción recomendada para el acceso de invitados es una red abierta. Purple recomienda ofrecer WiFi para invitados a través de una red abierta, ya que ahora es la convención estándar y reduce las fricciones al iniciar sesión. El captive portal sigue controlando el acceso, recopila el consentimiento expreso y emite un inicio de sesión único para cada invitado. Las redes de invitados protegidas por contraseña añaden un paso y generan más consultas en la recepción.

¿Necesitamos comprar un certificado SSL para nuestro captive portal?

Sí, si redirige a los invitados a través de HTTPS o por nombre de host. Los navegadores esperan un certificado de confianza pública y el nombre de host de redireccionamiento debe coincidir con el nombre común del certificado. Sin él, los ordenadores portátiles muestran una advertencia de seguridad antes de que se cargue el portal. Si no puede mantener un certificado, deje desactivada la redirección HTTPS y permita que el CNA del dispositivo utilice una redirección HTTP en su lugar.

¿Cómo afecta el cambio a Purple a nuestra posición respecto al GDPR?

Purple le ayuda a cumplir con el GDPR en lugar de añadir riesgos. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, y la página de bienvenida registra las opciones de consentimiento expreso para el consentimiento de marketing. Los datos de origen que recopila siguen vinculados al consentimiento que dio cada invitado. Su propia política de privacidad y de retención de datos se siguen aplicando, por lo que debe revisar ambas antes del lanzamiento.

¿Cuánto esfuerzo supone pasar del hotspot integrado de UniFi a Purple?

Cambiar a Purple es un cambio de configuración, no un proyecto de hardware. Solo tiene que apuntar el servidor de portal externo y los ajustes de RADIUS a Purple, y luego actualizar el acceso de preautorización para los dominios de la página de inicio. Purple se integra sobre su infraestructura UniFi existente, por lo que no es necesario desmantelar nada. Pruebe primero en un centro y luego copie la configuración en todo su patrimonio.

¿Puede Purple gestionar el inicio de sesión de invitados en espacios de gran afluencia?

Sí, Purple procesó 440 millones de inicios de sesión en 2024, según los propios datos de Purple. Ese volumen abarca hoteles, comercio minorista, trenes y centros de salud con picos de gran afluencia. En UniFi, la capacidad del portal rara vez es el cuello de botella. La accesibilidad de DNS y el acceso completo de preautorización son más importantes, así que aplique esta lista de comprobación antes de un gran evento.