Resolución de problemas de Captive Portal de Ubiquiti UniFi: lista de verificación para portal externo, hotspot y walled garden

Un Captive Portal de UniFi falla por una de cinco razones. La dirección del servidor del portal externo es incorrecta, o los dominios del portal y de inicio de sesión faltan en el acceso de preautorización. El aislamiento de invitados puede bloquear al host del portal. La redirección puede usar HTTP a una dirección IP. O la consola es inalcanzable. Verifique cada una en orden y luego realice una prueba desde un cliente.

¿Cómo se ve un Captive Portal de UniFi que no funciona?

La mayoría de las fallas se presentan como uno de cuatro síntomas. Identificar el síntoma primero reduce la causa antes de abrir la aplicación UniFi Network.

• Sin portal en absoluto. El dispositivo se une al SSID de invitados y obtiene una dirección IP, pero no aparece ninguna pantalla de inicio de sesión. El teléfono puede reportar "sin internet" o mostrarse conectado sin tráfico.
• Una página en blanco o que carga indefinidamente. El Captive Network Assistant (CNA) se abre, pero la página de bienvenida nunca se procesa. El CNA es el pequeño navegador que su sistema operativo inicia en una red cautiva.
• Una advertencia de certificado. Las computadoras portátiles muestran "Su conexión no es privada" antes de la página de inicio de sesión. Los invitados deben hacer clic a través de una advertencia para continuar.
• Un portal parcial. La página de bienvenida se carga, pero un botón de inicio de sesión social o de pago se queda cargando, falla o regresa al inicio.

El artículo de soporte de Captive Portal de Purple explica el CNA con más detalle. El CNA verifica un dominio predefinido para probar si el internet es accesible. Luego notifica al dispositivo, inicia un navegador y confirma un estado "en línea". Cuando cualquier parte de esa cadena se rompe, sus invitados ven uno de los síntomas anteriores.

Esta guía asume que su portal de punto de acceso UniFi o portal externo ya está configurado. Es una lista de verificación para la resolución de problemas, no una guía de configuración.

¿Qué causa normalmente que un Captive Portal de UniFi falle?

Seis causas explican la mayoría de los casos de resolución de problemas del portal de invitados de UniFi.

1. Configuración incorrecta del servidor del portal externo. La dirección apunta a un host antiguo, a un error de escritura o a un servidor al que la puerta de enlace no puede acceder.
2. Acceso de preautorización incompleto. UniFi etiqueta esta configuración como "Pre-Authorization Access". Es el walled garden de UniFi: los hosts y subredes a los que un invitado puede acceder antes de iniciar sesión. Si el portal, sus recursos o un proveedor de inicio de sesión social no están configurados, la página se queda en blanco o incompleta.
3. Restricciones de la red de invitados. Las redes de invitados de UniFi bloquean rangos de direcciones privadas. Un servidor de portal o un servidor DNS en una subred interna se vuelve inalcanzable.
4. Discordancias de redirección de HTTPS y nombre de host. Una redirección de HTTPS a una dirección IP, o a un nombre de host sin un certificado que coincida, activa advertencias del navegador.
5. Accesibilidad del controlador o la consola. Los UniFi Network Servers autoalojados y las consolas en la nube deben permanecer accesibles. Con un portal externo, el controlador también debe comunicarse con el servidor RADIUS que completa el inicio de sesión.
6. Interferencia del lado del cliente. Las VPN, configuraciones de DNS personalizadas o una notificación de CNA rechazada detienen la redirección en ese dispositivo.

¿Cómo determina qué falla del Captive Portal de UniFi tiene?

Comience con el síntoma, luego realice la primera comprobación de la tabla antes de cambiar cualquier configuración.

Síntoma	Causa más probable	Primera comprobación	Solución
No hay portal ni aviso	DNS no accesible o sonda CNA bloqueada	¿Puede el cliente resolver un nombre de host público antes de iniciar sesión?	Asigne un servidor DNS fuera de los rangos privados bloqueados, o permítalo en el acceso de preautorización
Página en blanco o cargando infinitamente	Falta el host del portal o los recursos en el acceso de preautorización	¿El nombre de host del portal se resuelve y carga desde un dispositivo de invitado?	Agregue el host del portal, sus dominios de recursos y su subred al acceso de preautorización
Advertencia de certificado en laptops	Redirección HTTPS a una dirección IP o nombre de host no coincidente	¿Qué URL aparece en la barra de direcciones al mostrarse la advertencia?	Desactive la redirección HTTPS, o redireccione por nombre de host con un certificado de confianza pública que coincida con ese nombre de host
El botón de inicio de sesión social gira o falla	Faltan los dominios del proveedor de identidad	¿Qué dominio falla en la vista de red del navegador?	Agregue cada dominio que carga la página de inicio de sesión del proveedor
El paso de pago falla	Faltan los dominios de la pasarela de pago	¿Se carga la página de pago?	Agregue los hosts del proveedor de pago al acceso de preautorización
El portal carga, el inicio de sesión nunca se completa	RADIUS o controlador no accesible	¿Aparecen intentos de autenticación en los eventos del controlador?	Restablezca la accesibilidad del controlador y confirme que los detalles de RADIUS coincidan con su proveedor de portal
Un dispositivo falla, otros funcionan	VPN del lado del cliente, DNS personalizado o CNA descartado	¿Funciona la redirección a neverssl.com en ese dispositivo?	Desactive la VPN o el DNS personalizado, olvide la red y vuelva a unirse

Dos pruebas rápidas separan la mayoría de los fallos. Primero, navegue a neverssl.com en un dispositivo conectado pero no autenticado. El equipo de soporte de Purple recomienda este sitio porque evita problemas con las redirecciones SSL. Si neverssl.com redirecciona a su portal, la redirección funciona y el fallo radica en el acceso de preautorización o en el propio portal. Si no redirecciona, revise el DNS, la configuración del servidor de portal externo o el controlador.

Segundo, verifique el registro del cliente en la aplicación UniFi Network. La lista de clientes y los eventos muestran si el dispositivo está en la red de invitados y si se ha autorizado. Un dispositivo marcado como autorizado que sigue mostrando el portal apunta a un problema de caché del lado del cliente o de CNA.

¿Cómo solucionar cada causa del Captive Portal de UniFi?

Purple no reproduce las rutas de menú de UniFi aquí, ya que cambian entre las versiones de UniFi Network. Utilice la documentación actual de Ubiquiti para conocer la ubicación exacta de cada ajuste.

Servidor de portal externo

Confirme que el valor del servidor de portal externo coincida con el que especifica su proveedor de portal. Un solo carácter incorrecto envía a todos los invitados a un host inactivo. Si cambió de proveedor de portal, elimine la dirección anterior en lugar de dejarla junto a la nueva.

Cuando utiliza Purple, los servidores de la página de inicio recopilan los datos del invitado y emiten un inicio de sesión único. El controlador pasa ese inicio de sesión al servidor RADIUS de Purple para completar la autenticación. RADIUS es el protocolo que utiliza el equipo de red para verificar las credenciales con un servidor central. Si el portal se carga pero el inicio de sesión falla, verifique el perfil RADIUS a continuación.

Acceso de preautorización para el portal, inicio de sesión de redes sociales y dominios de pago

Esta es la solución más común. Agregue estas entradas al acceso de preautorización:

• El host del servidor del portal y cualquier subred en la que se encuentre.
• Cada dominio que cargue la página de inicio, incluidos fuentes, imágenes y scripts de redes de entrega de contenido.
• Los dominios de autenticación de cada proveedor de inicio de sesión de redes sociales, si ofrece inicio de sesión con Facebook, Google o Apple.
• Los hosts de su pasarela de pago, si cobra por el acceso premium.
• El host del servidor del portal y cualquier subred en la que resida.

Abra la página de inicio desde una laptop en una red sin restricciones, con las herramientas de desarrollador del navegador mostrando las solicitudes de red. Todos los dominios que aparecen allí deben ser accesibles antes del inicio de sesión. En los casos en que su versión de UniFi Network solo acepte entradas de IP, vuelva a verificarlas cada vez que un proveedor cambie sus direcciones.

Aislamiento de red de invitados y subredes bloqueadas

El aislamiento de invitados no bloquea el Captive Portal por sí solo. El aislamiento de dispositivos cliente evita que los dispositivos de los invitados se comuniquen entre sí. Las restricciones de subred de la red de invitados bloquean los rangos de direcciones privadas, y esas restricciones interceptan los servidores internos del portal o DNS.

Si su servidor de portal o solucionador de DNS se encuentra en una subred interna, agregue ese host específico al acceso de preautorización. Un patrón más limpio es entregar a los invitados un solucionador de DNS público y alojar el portal en una dirección pública.

Opciones de redireccionamiento de nombre de host y HTTPS

Los navegadores modernos esperan HTTPS para las páginas de inicio de sesión. El artículo sobre certificados de Cisco WLC de Purple describe el mismo patrón en el hardware de Cisco. Un redireccionamiento a una dirección HTTP, como una IP simple, genera una advertencia de seguridad y los invitados deben hacer clic para continuar.

La solución sigue el mismo principio en UniFi. Deje la redirección HTTPS desactivada y permita que el CNA use HTTP, o redireccione por nombre de host. Un redireccionamiento de nombre de host necesita un certificado SSL/TLS de confianza pública, y el nombre de host debe coincidir con el Common Name del certificado. Un certificado autofirmado o un nombre que no coincida devuelve la advertencia de inmediato.

Accesibilidad del controlador para consolas en la nube y autohospedadas

Para un UniFi Network Server autohospedado, confirme que el servidor se está ejecutando y es accesible desde su puerta de enlace y puntos de acceso. Verifique las reglas del firewall entre sitios si el servidor se encuentra en una oficina central o centro de datos. Para las consolas en la nube, confirme que la consola se muestra en línea y que la puerta de enlace está adoptada. Luego confirme que se permite el tráfico saliente a su servidor RADIUS.

Verificaciones de clientes

Pídale al invitado que olvide la red y se vuelva a conectar. Desactive cualquier VPN o configuración de DNS personalizada, que puede omitir el redireccionamiento por completo. Si se perdió la notificación de CNA, abra un navegador y vaya a neverssl.com. En Android, al tocar la notificación "es posible que deba iniciar sesión", se inicia la sesión del navegador CNA.

Ejemplos prácticos de hotelería, retail y eventos

Estos ejemplos prácticos muestran cómo se aplica la lista de verificación a nivel de establecimiento.

Un hotel de 200 habitaciones con una página de bienvenida en blanco

Situación. Un hotel utilizaba un UniFi Network Server alojado de forma local y un portal externo. Después de un cambio de red, los huéspedes en el SSID de invitados veían una página en blanco. El personal de recepción registraba alrededor de una docena de quejas por noche.

Qué se hizo. neverssl.com no redireccionaba, por lo que el equipo revisó primero el DNS. El alcance de DHCP de la VLAN de invitados estaba entregando un servidor DNS interno en una subred privada. Las restricciones de invitados bloqueaban esa subred. El equipo cambió el alcance de invitados a un sistema de resolución público.

Resultado. Los redireccionamientos del portal funcionaron en la siguiente conexión. La recepción no registró más quejas de WiFi esa semana.

Una cadena de retail de 40 tiendas con un inicio de sesión social bloqueado

Situación. Una cadena de retail agregó inicio de sesión social a su página de bienvenida. El formulario de correo electrónico funcionaba, pero el botón de redes sociales se quedaba cargando indefinidamente en todas las tiendas.

Qué se hizo. El equipo abrió la página de bienvenida con las herramientas de desarrollo y listó cada dominio que cargaba el inicio de sesión del proveedor. Los agregaron al acceso de preautorización en una tienda piloto, probaron en Android y iOS, y luego aplicaron el cambio a las 40 tiendas.

Resultado. El inicio de sesión social se completó en las 40 tiendas. El equipo ahora vuelve a probar la tienda piloto después de cada actualización del proveedor.

Un centro de conferencias con advertencias de certificado

Situación. Los delegados en computadoras portátiles veían "Su conexión no es privada" antes del portal. Los teléfonos funcionaban a través del CNA, por lo que la falla parecía intermitente.

Qué se hizo. La barra de direcciones mostraba un redireccionamiento HTTPS a una dirección IP. El equipo desactivó el redireccionamiento HTTPS hasta que se implementó un certificado de confianza pública que coincidiera con el nombre de host de redireccionamiento.

Resultado. La advertencia desapareció en las computadoras portátiles. El servicio de asistencia del evento dejó de recibir tickets del portal durante el resto de la conferencia.

¿Cómo evitar que el captive portal de UniFi vuelva a fallar?

• Mantenga un registro de preautorización. Enumere cada host y subred, por qué está allí y a quién pertenece. Revíselo cuando agregue un método de inicio de sesión o un proveedor de pago.
• Pruebe después de cada cambio. Use un teléfono Android, un iPhone y una computadora portátil. Confirme que neverssl.com redirecciona y que el inicio de sesión se completa.
• Realice un seguimiento del vencimiento del certificado. Un certificado vencido en un redireccionamiento de nombre de host produce la misma advertencia que la ausencia de un certificado.
• Monitoree el controlador. Reciba alertas sobre un servidor alojado de forma local que se desconecta antes de que los invitados se den cuenta.
• Opere una red de invitados abierta. Purple recomienda redes de invitados abiertas porque la familiaridad reduce la fricción al iniciar sesión.

La misma disciplina se aplica a otros proveedores. La guía de solución de problemas del captive portal de HPE Aruba y la guía de solución de problemas del captive portal de Cisco Meraki de Purple siguen la misma lista de verificación para esas plataformas.

Preguntas frecuentes

¿Funciona Purple con los puntos de acceso Ubiquiti UniFi que ya tenemos?

Sí, Purple se ejecuta en Ubiquiti UniFi como un portal externo y servicio RADIUS, por lo que conserva sus puntos de acceso existentes. Purple es independiente del hardware y también es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Cambium, Extreme y Fortinet. Esto es importante para propiedades de múltiples sitios con hardware mixto, ya que una sola configuración de WiFi para invitados cubre a todos los proveedores. La plataforma de Purple se ejecuta en más de 80,000 ubicaciones activas, según los propios datos de Purple.

¿Podemos mantener un UniFi Network Server autohospedado con un portal externo?

Sí, un UniFi Network Server autohospedado funciona con un portal externo, siempre que permanezca accesible. La puerta de enlace y los puntos de acceso deben comunicarse con el servidor, y el servidor debe comunicarse con el servicio RADIUS de su proveedor de portal. Verifique las reglas del firewall entre los sitios si el servidor se encuentra en una oficina central. Las consolas en la nube eliminan la tarea de hospedaje, pero aún necesitan acceso saliente a RADIUS.

¿Nuestra red de invitados de UniFi debería ser abierta o estar protegida por contraseña?

La opción recomendada para el acceso de invitados es una red abierta. Purple recomienda ofrecer WiFi para invitados a través de una red abierta porque ahora es la convención estándar y reduce la fricción al iniciar sesión. El captive portal sigue controlando el acceso, recopila las opciones de consentimiento de elección consciente y emite a cada invitado un inicio de sesión único. Las redes de invitados protegidas por contraseña agregan un paso y generan más consultas en la recepción.

¿Necesitamos comprar un certificado SSL para nuestro captive portal?

Sí, si redirige a los invitados a través de HTTPS o por nombre de host. Los navegadores esperan un certificado de confianza pública y el nombre de host de redireccionamiento debe coincidir con el nombre común del certificado. Sin uno, las laptops muestran una advertencia de seguridad antes de que se cargue el portal. Si no puede mantener un certificado, deje desactivada la redirección HTTPS y permita que el CNA del dispositivo utilice una redirección HTTP en su lugar.

¿Cómo afecta el cambio a Purple a nuestra posición frente al GDPR?

Purple le ayuda a cumplir con el GDPR en lugar de agregar riesgos. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, y la página de bienvenida registra las opciones de consentimiento de elección consciente para el consentimiento de marketing. Los datos de origen que recopila permanecen vinculados al consentimiento que otorgó cada invitado. Su propio aviso de privacidad y política de retención siguen vigentes, así que revise ambos antes del lanzamiento.

¿Cuánto esfuerzo requiere migrar del hotspot integrado de UniFi a Purple?

Migrar a Purple es un cambio de configuración, no un proyecto de hardware. Solo tiene que apuntar el servidor del portal externo y la configuración de RADIUS hacia Purple, y luego actualizar el acceso de preautorización para los dominios de la página de bienvenida. Purple se integra sobre su infraestructura de UniFi existente, por lo que no es necesario desinstalar ni reemplazar nada. Pruebe primero en un sitio y luego copie la configuración en todo su patrimonio.

¿Puede Purple gestionar el inicio de sesión de invitados en espacios de gran afluencia?

Sí, Purple procesó 440 millones de inicios de sesión en 2024, de acuerdo con los propios datos de Purple. Ese volumen abarca hoteles, tiendas minoristas, trenes y centros de atención médica con picos de tráfico muy altos. En UniFi, la capacidad del portal rara vez es el cuello de botella. La accesibilidad de DNS y el acceso completo de preautorización son más importantes, así que aplique esta lista de verificación antes de un evento importante.