La page splash de Cisco Meraki ne fonctionne pas : un organigramme de dépannage

Les portails de connexion Cisco Meraki cessent de s'afficher lorsqu'un client est toujours autorisé, ne peut pas émettre la requête HTTP qui déclenche la redirection, ne peut pas atteindre une dépendance autorisée pour le portail, ou ne peut pas terminer l'authentification RADIUS. Commencez avec un seul client affecté, filtrez les enregistrements Auth, DHCP et RADIUS par son adresse MAC, puis testez l'étape correspondante ci-dessous. 1 2 3 5

Qu'est-ce qui doit obligatoirement fonctionner pour qu'un portail Cisco Meraki s'affiche ?

Considérez un Captive Portal comme une chaîne d'événements, et non comme une simple page web. Un appareil doit s'associer au bon SSID, obtenir un adressage valide, être classé comme non autorisé, envoyer du trafic capable d'initier le flux du portail, atteindre le service hébergé requis, puis recevoir l'autorisation. Cisco Meraki décrit le déclencheur comme un HTTP GET provenant d'un client non autorisé. Le point d'accès intercepte cette requête et renvoie une redirection HTTP 307 vers l'URL du portail. 1

Cela explique un appel d'assistance fréquent : un utilisateur invité peut se connecter à votre WiFi mais signale que la page de connexion ne se charge pas. Le point d'accès fonctionne pourtant probablement comme prévu. Si l'appareil tente d'ouvrir en premier une destination uniquement HTTPS, la requête chiffrée ne peut pas être redirigée. Cisco Meraki identifie spécifiquement cela comme un scénario d'expiration de session (timeout) du navigateur. Testez la branche HTTP contrôlée avant de modifier le SSID, la conception de la page ou le serveur RADIUS. 2

Cette même rigueur évite une deuxième erreur classique : considérer chaque demande d'authentification répétée comme un échec de la page. La fréquence d'affichage du portail dépend de la politique d'autorisation. Cisco Meraki conserve l'état d'autorisation au niveau du point d'accès passerelle et du contrôleur cloud, tandis que le navigateur conserve un cookie de session. Un client dont la période d'autorisation est toujours valide peut ne pas voir la page s'afficher à nouveau après que vous avez réduit la fréquence configurée. À l'inverse, un client dont les cookies sont désactivés ou effacés peut être invité à s'authentifier trop souvent. 2

Que devez-vous capturer avant de modifier quoi que ce soit ?

Commencez par un seul rapport reproductible. Enregistrez l'adresse MAC du client, l'SSID, le point d'accès passerelle ou MX, le type d'appareil, l'heure locale, le navigateur et si l'appareil avait déjà effectué une authentification splash. Demandez au déclarant de laisser l'appareil connecté pendant que vous l'inspectez. Cela vous donne une limite d'incident et évite qu'un hôtel, un site de vente au détail ou un lieu d'événement très fréquenté ne transforme une plainte générale en modifications de configuration à l'aveugle.

Ouvrez les détails du client et vérifiez s'il est autorisé. Cisco Meraki identifie un client non autorisé comme Splash: Not authorized ; un client autorisé affiche son temps d'autorisation restant. N'utilisez pas un onglet de navigateur enregistré pour votre test. Cela peut mélanger une session passée avec l'état radio et DHCP actuel. 1

Filtrez ensuite le journal des événements du Dashboard par l'adresse MAC du client et l'heure de l'incident. Pour les points d'accès MR, le type d'événement Auth représente l'authentification de la page splash. 802.11 indique l'association et la désassociation, DHCP porte les événements liés au bail, et RADIUS identifie l'activité RADIUS ou de contournement d'authentification MAC (MAC Authentication Bypass). Le même filtre Auth est disponible pour l'authentification splash MX. Cisco Meraki note que les appareils téléchargent les événements stockés après s'être reconnectés, tout en conservant les horodatages d'origine, alors alignez le fuseau horaire avant de décider de ce qui s'est passé en premier. 5

Utilisez l'enregistrement ordonné suivant. Il réduit le domaine de panne sans deviner.

Comment exécuter l'organigramme de dépannage ?

Utilisez l'organigramme une fois pour un client de test propre et une fois pour un client identifié comme affecté. La différence est utile. Si un client propre accède à la page de splash alors que l'appareil identifié n'y parvient pas, vous avez la preuve d'un problème d'autorisation, d'état du navigateur ou de politique propre au client, plutôt que d'une panne générale du site.

1. Confirmez l'association et l'adressage. Si le journal d'événements n'indique pas que le client s'associe au SSID prévu, ne dépannez pas la page de splash. S'il s'associe mais que les enregistrements DHCP affichent une erreur, corrigez d'abord l'adressage ou le chemin VLAN. Cisco Meraki identifie le marquage VLAN au niveau du SSID ou du port de commutateur en amont comme une zone fréquente d'échec DHCP. 6

2. Confirmez que le client n'est pas autorisé. Un appareil préalablement autorisé peut ne pas nécessiter de nouvelle page de splash pour le moment. Cisco Meraki documente une fonction de révocation d'autorisation de client pour des tests contrôlés. Utilisez-la sur l'appareil désigné, plutôt que de modifier la fréquence de splash pour tous les utilisateurs du site. 2 3

3. Testez le déclencheur avec HTTP. Effacez le cache du navigateur uniquement si cela correspond à votre procédure de test, confirmez que les cookies sont activés, puis ouvrez une destination HTTP. Cisco Meraki indique qu'une requête HTTPS en premier ne peut pas être redirigée car le trafic est chiffré. Si le test HTTP fonctionne, documentez le comportement du client comme cause. Le réseau n'a pas perdu sa redirection de splash. 1 2

4. Testez l'accessibilité de la page et le walled garden. Un walled garden autorise des adresses IP, des plages ou des noms d'hôte désignés avant l'authentification splash, y compris les domaines avec caractères génériques. Si vous utilisez une URL de splash personnalisée, Cisco Meraki indique que l'adresse IP et/ou l'URL de la page personnalisée doivent figurer dans le walled garden. Lorsque la page dépend de terminaux de ressources, d'identité ou de services distincts, passez en revue chaque destination requise avec le propriétaire du service. Ne devinez pas les adresses IP et n'ajoutez pas d'accès Internet général comme raccourci. 3

Les pages Purple établissent clairement la distinction. Une page de splash hors ligne apparaît avant la connexion et ne peut pas inclure de liens ou de ressources externes car le visiteur se trouve dans le walled garden. Une page en ligne apparaît après une connexion réussie et peut comporter des médias ou des liens externes. Si une page HTML Purple hors ligne a perdu une image, une feuille de style, un script ou un élément d'identité tiers après une modification, comparez ces dépendances avec les entrées pré-authentification autorisées avant de modifier la conception. 7 8

1. Testez le RADIUS d'inscription uniquement après le chargement de la page. Le protocole RADIUS, utilisé ici pour les requêtes d'authentification centralisées, n'est pas le premier suspect lorsqu'aucune page de splash ne s'affiche. Il devient pertinent lorsque le formulaire d'inscription se charge mais que l'authentification échoue ou expire. Pour ce flux Cisco Meraki, c'est le cloud Dashboard qui initie la requête d'accès RADIUS, et non le point d'accès local ou le MX. Le serveur doit être accessible publiquement depuis les plages sources documentées de Dashboard, avoir un secret partagé correspondant et prendre en charge PAP. Cisco Meraki indique que RADSec n'est pas pris en charge pour l'authentification par splash. 4

2. Exécutez le test RADIUS pris en charge et examinez l'enregistrement du serveur. Cisco Meraki propose un test RADIUS sur le Dashboard pour la configuration sans fil documentée, bien que le bouton de test n'existe pas pour les réseaux des séries MX ou Z. Un dépassement de délai signifie que vous devez vérifier les informations actuelles du pare-feu du Dashboard, les entrées du client RADIUS, l'accessibilité de l'hôte public, l'alignement des secrets partagés et le comportement des règles. Le contrôle d'état de Cisco Meraki envoie des requêtes d'accès périodiques et considère le serveur comme inaccessible après six tentatives infructueuses, espacées de 20 secondes. 4

Comment isoler les points de défaillance courants ?

La fréquence d'apparition du portail captif semble incorrecte

Si la page de splash apparaît moins souvent que ne le prévoient les règles, vérifiez si le client était déjà autorisé lorsque la fréquence a été modifiée. Cisco Meraki précise que la période d'autorisation existante reste en vigueur. Révoquer l'autorisation du client sélectionné permet de tester correctement le paramètre mis à jour. Si la page apparaît plus souvent, vérifiez l'acceptation des cookies par le navigateur, le vidage du cache et la continuité de la passerelle des points d'accès. Un redémarrage de la passerelle peut nécessiter une nouvelle authentification, sauf si le navigateur peut présenter son cookie. 2

Cela est important dans le secteur de l'hôtellerie. Un hôtel type de 200 chambres devrait effectuer un test avec un téléphone de test contrôlé après une modification, puis mesurer le résultat selon trois critères simples : le client passe à l'état autorisé, il reçoit l'expiration attendue, et la requête HTTP suivante se comporte comme prévu. C'est un meilleur critère de validation que de demander à la réception si les plaintes ont cessé.

Le WiFi invité ne redirige pas

Ne dites pas que le protocole HTTPS a « cassé » les portails captifs. Le comportement documenté de Cisco Meraki est plus précis : le mécanisme de redirection fonctionne sur un GET HTTP non autorisé, tandis qu'une requête HTTPS initiale ne peut pas être redirigée. Les appareils modernes peuvent lancer leur processus de détection de portail captif du système d'exploitation lors de l'association. Si cette invite n'apparaît pas, utilisez le test HTTP pour établir si la branche du réseau fonctionne. 1 2

Pour un déploiement type dans le commerce de détail, l'équipe informatique d'un magasin peut reproduire le problème avec un appareil de test du personnel sur l'SSID de la surface de vente. La preuve de réussite n'est pas une vague confirmation de chargement de page. Enregistrez l'association, l'adresse valide, l'état non autorisé, l'événement Auth après le test HTTP et l'état d'autorisation qui en résulte. Cet enregistrement peut être comparé d'un magasin à l'autre sans exposer les identifiants des visiteurs.

Le walled garden est incomplet

Un walled garden est un accès pré-autorisation intentionnellement limité. Il ne doit pas devenir une liste de contournement. Vérifiez d'abord l'hôte de la page de splash, puis les dépendances dont votre page de pré-authentification a réellement besoin. Cisco Meraki autorise les adresses IP, les plages d'adresses IP et les noms d'hôte, avec des domaines génériques. Cisco exige également que l'URL ou l'adresse IP d'une page de splash personnalisée soit incluse dans le walled garden lorsque cette fonctionnalité est activée. 3

Une page hors ligne Purple est l'étape la plus contraignante. Purple indique qu'il ne peut pas utiliser de liens ou de ressources externes tant que le visiteur se trouve dans le walled garden (portail captif restreint). L'éditeur HTML permet à votre équipe de charger des ressources directement dans le portail et de prévisualiser la page en cours, ce qui réduit les dépendances distantes inutiles. Suivez les étapes publiées par Purple avant de publier un modèle modifié. 7 8

La page de connexion expire ou rejette les identifiants

Distinguez le rejet du dépassement de délai (timeout). Un rejet est le résultat d'une politique de sécurité ou d'une authentification échouée. Un message d'expiration ou de « difficulté de connexion » indique d'abord un problème de joignabilité entre le Dashboard et le serveur RADIUS configuré. Cisco Meraki précise que les requêtes de la page de connexion proviennent du cloud Dashboard et ne peuvent pas utiliser une adresse LAN privée pour le serveur RADIUS. 4

Confirmez que le serveur attend le protocole PAP pour ce mode de page de connexion, que les plages sources documentées du Dashboard sont autorisées, que toutes les adresses IP sources pertinentes sont configurées comme clients RADIUS et que le secret partagé correspond aux deux extrémités. Cisco Meraki précise également que l'intégration de la page de connexion externe doit utiliser l'URL login_url fournie sans modification, et que le filtrage doit autoriser son nom d'hôte variable plutôt qu'un modèle fixe unique. 4

Que signifient les événements de page de connexion Meraki dans le journal d'événements ?

Lisez l'enregistrement comme une chronologie. L'événement 802.11 association signifie que le client a rejoint un point d'accès. Cela ne signifie pas que le client a obtenu une adresse, a accédé à la page de connexion ou a obtenu un accès Internet. Un événement Auth est la catégorie d'événement pour l'authentification de la page de connexion. Un événement DHCP se produisant à peu près au même moment peut orienter l'enquête vers l'attribution d'adresses. Un événement RADIUS est important pour un flux de connexion basé sur RADIUS, mais il ne prouve pas que le navigateur a accédé à la page. 5 6

Évitez de confondre le protocole 802.1X avec une page de connexion. Cisco Meraki identifie les messages 802.1X et RADIUS pour les SSIDs WPA2-Enterprise. Sa documentation RADIUS distincte pour la page de connexion décrit le protocole PAP entre le cloud Dashboard et votre serveur RADIUS. Dans ce guide, utilisez les catégories association, Auth, DHCP et RADIUS pour localiser l'étape défaillante. Ne déduisez pas une cause exacte à partir d'une seule ligne de journal. 4 6

Cisco Meraki expose également les tentatives de connexion au splash portal via son Dashboard API documenté. L'enregistrement comprend l'heure de connexion, l'SSID, l'adresse MAC de la passerelle, l'adresse MAC du client et le statut d'autorisation. Pour les équipes informatiques multisites, cela permet d'associer le ticket du site à un résultat d'authentification sans traiter une simple anecdote comme une preuve d'incident. 9

Comment éviter qu'une page splash corrigée ne retombe en panne ?

Conservez un court guide d'exploitation à l'intention du responsable de votre service de Guest WiFi . Ce guide doit identifier l'SSID de test, l'appareil de test, la procédure de révocation des autorisations, l'hôte attendu de la page, les dépendances de pré-authentification, la propriété du RADIUS et le contact d'escalade. Il doit également préciser le comportement de la configuration en cas de déconnexion du contrôleur. Cisco Meraki documente les comportements ouverts, restreints et par défaut lorsque le contrôleur cloud n'est pas disponible. 3

Pour les parcs d'équipements qui utilisent un Captive Portal pour le consentement, l'image de marque et la politique d'accès, traitez la page hors ligne comme un composant applicatif contrôlé. Purple propose des types de pages hors ligne, en ligne et en dehors des heures d'ouverture. Utilisez le guide publié sur les Splash Pages pour les modifications du parcours d'accès et le guide de l' HTML editor pour les ressources téléchargées et la prévisualisation. Séparez le diagnostic quotidien de la configuration initiale. 7 8

Lorsque ce problème devient récurrent sur un site, centralisez les preuves plutôt que les suppositions. Corrélez l'heure de l'incident, l'adresse MAC du client, l'AP ou le MX, l'SSID, l'état d'autorisation, les catégories du journal d'événements et la réponse du serveur RADIUS. Cette approche convient parfaitement aux secteurs de l' Hospitality , du Retail et du Transport où les équipes locales ont besoin d'une limite d'escalade claire et l'équipe réseau de preuves reproductibles. Pour une conception de service plus large, consultez la page Guest WiFi Management: Smart Authentication & Segmentation .

Questions fréquentes

Est-ce que Purple fonctionne avec les points d'accès Cisco Meraki existants ?

Oui. Purple prend en charge les déploiements de Guest WiFi qui se superposent à l'infrastructure existante, y compris Cisco Meraki. Ce guide couvre le diagnostic de niveau 2 d'une panne de splash page Meraki. Il ne remplace pas le travail de conception et d'intégration nécessaire pour un nouveau Captive Portal. Utilisez le guide des pages de splash Purple publié pour connaître les types de pages pris en charge et les modifications du parcours d'accès. 7

Quel est le travail nécessaire pour migrer une splash page Meraki vers Purple ?

Le travail dépend du flux d'authentification existant, des dépendances de pré-authentification et de la conception de la page. Commencez par inventorier l'hôte de la page actuelle, les entrées du walled garden, la méthode de connexion et la destination post-connexion. Purple prend en charge les modèles de splash page standards et HTML, y compris les ressources téléchargées et la prévisualisation en direct. Planifiez la migration comme un changement contrôlé, et non comme la correction d'un incident. 7 8

Une splash page Cisco Meraki peut-elle rediriger une requête uniquement HTTPS ?

Non. Cisco Meraki indique dans sa documentation que sa redirection splash commence lorsqu'un client non autorisé envoie un HTTP GET. Le trafic initialement en HTTPS est chiffré et ne peut pas être redirigé par ce mécanisme. Testez avec une destination HTTP, puis distinguez le comportement du navigateur client d'une panne de splash page à l'échelle du réseau. 1 2

De quelles entrées walled garden une splash page Meraki personnalisée a-t-elle besoin ?

Le walled garden doit autoriser l'adresse IP et/ou l'URL de la splash page personnalisée lorsqu'elle est activée. Ensuite, autorisez uniquement les points de terminaison de pré-authentification supplémentaires dont la page a réellement besoin. Cisco Meraki prend en charge les adresses IP, les plages et les noms d'hôte, y compris les domaines génériques. Ne remplacez pas cet examen par un accès internet non restreint. 3

Pourquoi une splash page de connexion Meraki expire-t-elle avec RADIUS ?

Une expiration signifie souvent que le cloud du Cisco Meraki Dashboard ne parvient pas à obtenir de réponse du serveur RADIUS configuré. Vérifiez l'accessibilité publique, les plages sources actuelles du Dashboard, la correspondance des secrets partagés des clients RADIUS et la prise en charge de PAP. L'AP ou le MX local n'est pas la source des requêtes RADIUS de la splash page. 4

Comment surveiller les échecs de connexion à la splash page sur plusieurs sites ?

Utilisez le journal d'événements Meraki pour filtrer le client et la plage horaire concernés, puis corrélez les catégories Auth, DHCP et RADIUS. L'API de tentatives de connexion splash de Cisco peut renvoyer l'heure de connexion, l'SSID, la passerelle, l'identifiant du client et le statut d'autorisation. Cela crée un enregistrement de preuves cohérent pour un centre de support multisite. 5 9

Références