Captive Portal Best Practices: Progettazione per un'Alta Conversione e Conformità
Questa guida tecnica fornisce a IT manager, architetti di rete e direttori operativi delle strutture un piano d'azione completo per implementare Captive Portal in grado di bilanciare la sicurezza di rete con un'elevata conversione degli utenti. Copre l'intera architettura, dalla segmentazione VLAN e autenticazione RADIUS alla progettazione del consenso conforme al GDPR e alla selezione del metodo di autenticazione. Basata sull'esperienza operativa di Purple in oltre 80.000 sedi e 440 milioni di accessi nel 2024, ogni raccomandazione è fondata su dati reali di implementazione.
Video overview
Ascolta questa guida
Visualizza trascrizione del podcast
Parte della nostra serie principale: Guida al Captive Portal →
Executive Summary
Un captive portal è la pagina di accesso sulle reti WiFi pubbliche. Rappresenta anche la decisione di sicurezza di rete più critica e, se gestisci un programma di marketing, il tuo strumento di acquisizione dati più prezioso. Entrambi gli obiettivi - sicurezza e conversione - non sono in conflitto. Richiedono decisioni di configurazione distinte, e questa guida le analizza entrambe.
L'architettura di base inserisce ogni dispositivo ospite in una VLAN di quarantena fino al completamento dell'autenticazione. Un server RADIUS gestisce la sessione, e un messaggio di Change of Authorisation (CoA) sposta il dispositivo nella VLAN di produzione. La segmentazione della rete garantisce che il traffico degli ospiti non raggiunga mai l'infrastruttura aziendale o i sistemi POS. In qualsiasi ambiente in cui i terminali di pagamento condividono l'infrastruttura fisica con il WiFi per gli ospiti, questo isolamento è un requisito PCI-DSS, non solo una raccomandazione.
In termini di conversione, ogni campo aggiuntivo nel modulo riduce i tassi di adesione dall'8 al 12%. Il metodo di autenticazione corretto dipende dal tipo di sede e dai tuoi obiettivi di raccolta dati. L'acquisizione dell'email offre una conversione dal 65 all'80% con dati di proprietà diretta. Il login social tramite OAuth 2.0 riduce gli ostacoli all'accesso ma introduce dipendenze da terze parti. Questa guida fornisce il modello tecnico per bilanciare questi requisiti, tratto dall'esperienza operativa di Purple in oltre 80.000 sedi e 440 milioni di accessi nel 2024 (dati interni Purple).
Per ulteriori informazioni sulle decisioni correlate all'architettura di rete, consulta la nostra guida Come ottimizzare i captive portal per la massima sicurezza di rete e la conversione degli utenti.
Approfondimento Tecnico
Un captive portal intercetta le richieste HTTP o HTTPS provenienti dai dispositivi connessi al tuo SSID e reindirizza l'utente a una splash page prima di concedere l'accesso a Internet. Il meccanismo alla base si affida alla segmentazione della rete e all'autenticazione RADIUS che lavorano in sinergia.
Quando un dispositivo si connette, l'access point - che si tratti di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet - lo inserisce in una VLAN di quarantena. In questo stato, il firewall blocca tutto il traffico ad eccezione delle query DNS e dell'accesso a un elenco specifico di destinazioni consentite (noto come walled garden). Il walled garden deve includere l'URL del portale e qualsiasi servizio di autenticazione esterno (come Google Workspace o Microsoft Entra ID). Se il walled garden è configurato in modo errato e il probe di connettività del sistema operativo (ad esempio, captive.apple.com su iOS) viene bloccato, il portale non si caricherà. Questa è la modalità di errore più comune in questo ambito.
Una volta che l'utente ha completato il processo di accesso, il portale comunica con il server RADIUS. Il server invia un messaggio di Change of Authorisation (CoA) all'access controller, istruendolo a rimuovere lo stato di quarantena e a spostare il dispositivo nella VLAN di produzione. Questo isolamento è fondamentale: su una rete piatta, un dispositivo ospite compromesso può scansionare i sistemi interni. La segmentazione VLAN garantisce che i dispositivi non autenticati non possano raggiungere i sistemi POS o i database aziendali.
Confronto dei Metodi di Autenticazione
Ciascuno dei cinque principali metodi di autenticazione del captive portal comporta diversi compromessi in termini di tasso di conversione, qualità dei dati e oneri di conformità. La tabella seguente riassume le variabili chiave.
| Metodo | Tasso di Conversione | Qualità dei Dati | Oneri GDPR | Ideale per |
|---|---|---|---|---|
| Solo click-through / Termini e Condizioni | 90-95% | Minima (MAC + timestamp) | Basso | Settore pubblico, biblioteche, sanità pubblica |
| Acquisizione e-mail | 65-80% | Alta (proprietaria diretta) | Medio | Ospitalità, retail, eventi |
| Social login (OAuth 2.0) | 55-70% | Media (dipendente dal provider) | Medio-alto | Luoghi di consumo con utenti Google/Apple |
| SMS OTP | 45-60% | Molto alta (cellulare verificato) | Medio | Orientato alla fidelizzazione: QSR, stadi, retail |
| Registrazione con modulo completo | 30-45% | Massima (profilo ricco) | Alto | Hotel, sanità, retail di fascia alta |
Fonte: Dati operativi Purple, 440 milioni di accessi nel 2024.
Per la maggior parte dei gestori di sedi fisiche, il punto di partenza ottimale è un portale a doppia modalità: l'acquisizione dell'e-mail come opzione primaria e il login con Google come opzione secondaria. Questa combinazione raggiunge solitamente un tasso di conversione compreso tra il 65 e il 75%, consentendo al contempo di creare un database di e-mail di proprietà diretta. In questo modo non dipenderete interamente da un provider OAuth di terze parti, pur offrendo un'opzione comoda per gli utenti che la preferiscono.
Per le strutture del settore hospitality che gestiscono programmi di fidelizzazione, consigliamo di aggiungere l'OTP via SMS come terza opzione o di renderlo il metodo primario. Un tasso di conversione inferiore è accettabile poiché la qualità dei dati ne giustifica il costo. Un numero di cellulare verificato nel proprio CRM ha un valore significativamente superiore rispetto a un indirizzo e-mail non verificato.
Per le installazioni nel settore pubblico - comuni, enti sanitari, biblioteche - la soluzione migliore è l'accesso tramite click-through con accettazione dei termini di servizio. Gli oneri di conformità legati alla raccolta di dati personali in un contesto pubblico sono nettamente superiori, e l'obiettivo principale è garantire la connettività, non alimentare un CRM.
Architettura di Conformità
In base al GDPR, è obbligatorio separare la connessione dalla raccolta dei dati. È possibile fornire l'accesso alla rete sulla base del legittimo interesse ai sensi dell'Articolo 6(1)(f) del UK GDPR. Tuttavia, non è consentito utilizzare la stessa giustificazione per l'invio di e-mail di marketing. Le comunicazioni di marketing richiedono un consenso esplicito e positivo ai sensi dell'Articolo 6(1)(a).
Il vostro Captive Portal deve presentare caselle di controllo separate e non preselezionate. Una deve riguardare i termini di servizio per l'accesso WiFi. La seconda casella, distinta dalla prima, deve riguardare il consenso al marketing. Le caselle preselezionate non costituiscono un consenso valido. Il sistema deve registrare ogni evento di consenso, indicando chi ha acconsentito, quando lo ha fatto e l'esatta versione dell'informativa sulla privacy che ha visualizzato. Questo registro di controllo costituisce la prova della conformità in caso di verifiche da parte delle autorità di regolamentazione.
Per gli operatori del settore retail che utilizzano terminali di pagamento con carta in loco, il PCI-DSS richiede che l'ambiente dei dati dei titolari di carta sia isolato da tutto il resto del traffico di rete. Una corretta segmentazione delle VLAN può ridurre l'ambito di applicazione degli audit PCI-DSS dal 60 all'80% (Specgravity, 2024), abbattendo i costi di conformità annuali.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
Guida all'Implementazione
La distribuzione di un Captive Portal che sia al contempo sicuro e ad alto tasso di conversione richiede un approccio strutturato. Il seguente framework in cinque fasi si applica a tutte le piattaforme hardware.
Fase 1 - Categorizzazione del traffico. Prima di configurare anche una sola porta dello switch, documentate ogni tipo di dispositivo e classe di traffico nel vostro ambiente: dispositivi degli ospiti, dispositivi del personale, IoT, terminali di pagamento, sistemi di gestione dell'edificio, videosorveglianza. Ciascuno richiede una VLAN dedicata.
Fase 2 - Progettazione delle VLAN. Assegnate un ID VLAN e una sottorete IP a ciascuna classe di traffico. Posizionate la VLAN ospiti su una sottorete completamente separata, senza rotte verso lo spazio di indirizzamento interno. Il vostro firewall deve includere una regola esplicita di 'deny-all' tra la VLAN ospiti e qualsiasi risorsa interna, consentendo esclusivamente l'accesso a internet in uscita.
Step 3 - Configurazione del walled garden. Consenti esplicitamente l'URL del portale, i domini dei provider di identità (Google Workspace, Microsoft Entra ID, Okta) e gli URL di captivity probe del sistema operativo. Testa sui dispositivi iOS, Android e Windows prima del lancio ufficiale.
Step 4 - Criteri del firewall. Documenta esplicitamente ogni flusso inter-VLAN consentito. Nega tutto il resto per impostazione predefinita. È qui che la maggior parte delle distribuzioni fallisce: un'architettura VLAN è forte solo quanto le regole del firewall che la applicano.
Step 5 - Monitoraggio e convalida. Implementa il monitoraggio della rete e verifica che la segmentazione funzioni correttamente. Esegui test di penetrazione periodici o, come minimo, utilizza uno strumento di scansione da un dispositivo ospite per confermare l'impossibilità di raggiungere le sottoreti interne.
La piattaforma Guest WiFi di Purple si integra con tutti i principali vendor wireless aziendali tramite RADIUS standard e tagging VLAN. Non è necessario sostituire gli access point esistenti. La piattaforma gestisce il rendering del Captive Portal, la gestione del consenso e la successiva WiFi Analytics su installazioni Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet.
Best Practice
Le seguenti raccomandazioni riflettono i modelli operativi osservati nella rete di oltre 80.000 sedi di Purple.
Riduci al minimo i campi del modulo. Ogni campo aggiunto al modulo di accesso riduce il tasso di conversione. Richiedi solo i dati che utilizzi attivamente. Un indirizzo email e il nome sono sufficienti per la maggior parte dei casi d'uso di marketing. Data di nascita, codice postale e numero di telefono dovrebbero comparire solo se i flussi di lavoro del tuo CRM lo richiedono realmente.
Separa l'accesso dal consenso di marketing. Assicurati che il tuo Captive Portal presenti caselle di controllo separate e non selezionate per i termini del WiFi e per l'adesione al marketing. Accorpare i due elementi è l'errore di conformità al GDPR più comune che riscontriamo sul campo.
Abilita l'isolamento dei client. Configura il controller di accesso per impedire ai dispositivi presenti sul SSID ospite di comunicare direttamente tra loro. Questo elimina i vettori di attacco peer-to-peer sulla rete ospite.
Gestisci la larghezza di banda. Applica limiti di larghezza di banda per singolo client (in genere da 5 a 20 Mbps in downstream) sulla VLAN ospite. Ciò impedisce a un singolo utente di saturare il collegamento in salita e di peggiorare l'esperienza di tutti gli altri.
Pianifica per la randomizzazione dei MAC. I moderni dispositivi iOS e Android utilizzano indirizzi MAC randomizzati per impostazione predefinita. Un ospite che ritorna appare come un nuovo utente e il portale gli propone nuovamente la registrazione. Attenua questo problema incoraggiando gli utenti a installare un profilo Passpoint o utilizzando flussi di autenticazione basati su app che si affidano a token di identità anziché agli indirizzi MAC.
Mantieni basso il numero di SSID. Ogni SSID aggiuntivo trasmesso consuma tempo di trasmissione per i frame di beacon. In una sede ad alta densità con centinaia di access point, trasmettere più di quattro SSID per radio può ridurre significativamente la velocità di trasmissione. Tre è un obiettivo pratico: ospite, aziendale, IoT.
Per una panoramica completa sugli standard di autenticazione, consulta la nostra guida Metodo EAP WiFi: una guida per l'accesso sicuro alla rete.
Risoluzione dei problemi e mitigazione dei rischi
Il problema più frequente in questo ambito è la mancata visualizzazione del portale. Nella quasi totalità dei casi, si tratta di un errore di configurazione del walled garden. Se il firewall blocca il probe di captivity del sistema operativo del dispositivo, il sistema operativo non rileva la rete captive e il portale non viene mai avviato. Verifica prima di tutto gli inserimenti nel tuo walled garden, sempre.
Il secondo scenario di errore più comune è l'esaurimento del pool DHCP. In ambienti ad alta densità come stadi o centri congressi, si connettono migliaia di dispositivi contemporaneamente. Se il pool DHCP esaurisce gli indirizzi, il flusso di autenticazione si interrompe prima che il portale possa essere erogato. Ridimensiona la tua infrastruttura per i picchi di connessioni simultanee, non per il carico medio.
Il terzo rischio è la dipendenza da OAuth senza un'alternativa di riserva. Se implementi il social login come unico metodo di autenticazione e il provider modifica i termini delle proprie API, il flusso di autenticazione si interrompe. È già accaduto con le Graph API di Facebook. Configura sempre almeno un metodo proprietario diretto insieme al social login.
Per gli hub di trasporto e i grandi spazi per eventi, il quarto rischio è il sovraccarico del resolver DNS. Su larga scala, il volume di query DNS durante i picchi di connessione può sovraccaricare un resolver sottodimensionato. Distribuisci un'infrastruttura DNS dedicata per la VLAN ospiti e monitora i tassi di query.
Per gli ambienti del settore sanitario, la quinta considerazione riguarda l'isolamento dei dispositivi clinici. In linea con le linee guida del NHS Digital, i dispositivi clinici devono trovarsi su una VLAN separata rispetto al WiFi ospiti generico. L'architettura del Captive Portal non deve consentire ai dispositivi degli ospiti di accedere a nessuna subnet che trasporti il traffico dei dispositivi clinici.
ROI e impatto sul business
Un Captive Portal ben strutturato trasforma il WiFi ospiti da centro di costo ad asset strategico. Acquisendo dati di prima parte, crei un database CRM verificato che alimenta programmi di fidelizzazione e campagne di marketing mirate.
Il successo si misura tramite due metriche principali: il tasso di conversione (la percentuale di dispositivi connessi che completano l'autenticazione) e il tasso di opt-in (la percentuale di utenti autenticati che prestano il consenso al marketing). Una catena retail può monitorare la conversione degli utenti WiFi in iscritti al programma fedeltà, misurando il successivo aumento delle visite e della spesa.
Per una rete retail con 500 punti vendita che registra l'acquisizione di email con una conversione del 70%, 10.000 sessioni WiFi giornaliere nell'intera rete generano 7.000 contatti CRM nuovi o di ritorno al giorno. Con un tasso di conversione prudente del 2% da email a visita per le campagne di marketing, si ottengono 140 visite in negozio aggiuntive al giorno generate dal canale WiFi. Inoltre, una corretta segmentazione della rete riduce l'ambito dei controlli PCI DSS. Una segmentazione adeguata può ridurre l'ambito di audit PCI DSS dal 60 all'80% (Specgravity, 2024), abbassando i costi annuali di conformità e mitigando il rischio finanziario di una violazione dei dati. La mancata conformità al GDPR può comportare sanzioni fino al 4% del fatturato globale annuo, rendendo un'architettura del portale conforme una misura diretta di mitigazione del rischio finanziario.
La piattaforma di Purple è certificata ISO 27001, GDPR, CCPA e Cyber Essentials, fornendo la documentazione di conformità necessaria per i tuoi team legali e di acquisto. Con un uptime del 99,999% in oltre 80.000 sedi, l'infrastruttura è dimensionata per implementazioni su scala aziendale.
Per ulteriori approfondimenti sui concetti di rete correlati, consulta la nostra guida Definizione di computer WAN: una guida pratica per il 2026.
Definizioni chiave
Captive Portal
Una pagina web che intercetta il traffico di rete e richiede l'interazione dell'utente - autenticazione o accettazione dei termini - prima di concedere l'accesso completo a Internet. Definita nello standard IETF RFC 8952.
L'interfaccia principale per l'onboarding degli ospiti, l'applicazione delle misure di sicurezza e l'acquisizione di dati di prima parte in qualsiasi sede con WiFi pubblico o semipubblico.
VLAN (Virtual Local Area Network)
Un raggruppamento logico di dispositivi di rete che si comportano come se fossero su una singola LAN isolata, indipendentemente dalla loro posizione fisica. Definita nello standard IEEE 802.1Q.
Utilizzata per segmentare il traffico degli ospiti dall'infrastruttura aziendale. Richiesta dallo standard PCI-DSS per isolare l'ambiente dei dati dei titolari di carta.
Walled garden
Un ambiente di rete limitato che consente l'accesso solo a specifici URL e indirizzi IP approvati prima del completamento dell'autenticazione.
Deve includere l'URL del portale, i domini dei provider di identità e gli URL di controllo della connettività del sistema operativo. Una configurazione errata è la causa principale dei malfunzionamenti del portale.
RADIUS
Remote Authentication Dial-In User Service. Un protocollo di rete che fornisce autorizzazione, autenticazione e tracciamento centralizzati per l'accesso alla rete.
Il sistema di backend che verifica le credenziali e indica all'access point di concedere o negare l'accesso alla rete. Necessario per le distribuzioni di Captive Portal aziendali.
Change of Authorisation (CoA)
Un messaggio RADIUS che modifica dinamicamente lo stato di autorizzazione di una sessione utente attiva senza richiedere una nuova autenticazione.
Utilizzato per spostare un dispositivo dalla VLAN di quarantena alla VLAN di produzione dopo un login corretto sul portale, o per revocare l'accesso quando cambia una policy di sessione.
Client isolation
Una funzionalità del controller wireless che impedisce ai dispositivi connessi allo stesso SSID di comunicare direttamente tra loro a livello Layer 2.
Essenziale per le reti ospiti al fine di prevenire attacchi peer-to-peer e movimenti laterali tra i dispositivi degli ospiti.
Passpoint (Hotspot 2.0)
Un protocollo basato sullo standard IEEE 802.11u che consente ai dispositivi di connettersi in modo automatico e sicuro alle reti WiFi utilizzando le credenziali di un fornitore di servizi, senza richiedere l'interazione manuale con il portale.
Utilizzato per superare la randomizzazione degli indirizzi MAC e fornire un roaming continuo tra le sedi. Rilevante per installazioni focalizzate sulla fidelizzazione in cui la persistenza della sessione è importante.
PCI-DSS
Payment Card Industry Data Security Standard. Uno standard di sicurezza delle informazioni per le organizzazioni che gestiscono carte di credito dei principali circuiti.
Richiede una rigorosa segmentazione della rete per isolare l'ambiente dei dati dei titolari di carta dal traffico della rete WiFi ospiti. La mancata conformità comporta sanzioni finanziarie e la perdita dei diritti di elaborazione delle carte.
OAuth 2.0
Un framework di autorizzazione aperto che consente ad applicazioni terze di ottenere un accesso limitato agli account utente su un servizio HTTP, come Google Workspace o Microsoft Entra ID.
Utilizzato per il social login sui Captive Portal. Riduce gli attriti ma introduce una dipendenza dai termini delle API e dalla disponibilità del fornitore di identità.
Esempi pratici
Un hotel da 200 camere che utilizza access point HPE Aruba deve fornire un servizio WiFi a livelli: accesso gratuito di base per gli ospiti standard e accesso ad alta velocità per i membri del programma fedeltà, senza trasmettere SSID multipli.
Implementare un singolo SSID per gli ospiti integrato con il Property Management System (PMS) tramite API. Il portale presenta due opzioni: accedere con numero di camera e cognome, oppure accedere con le credenziali del programma fedeltà. Quando un membro del programma si autentica, il portale interroga il PMS tramite API, verifica il livello e invia una richiesta RADIUS Change of Authorisation (CoA) al controller Aruba con un attributo specifico del fornitore (VSA) che assegna il profilo a banda larga. Gli ospiti standard ricevono un profilo predefinito con limite di banda. Un solo SSID, applicazione dinamica delle policy a livello RADIUS, esperienza utente fluida senza sovraccarico RF aggiuntivo.
Una catena di vendita al dettaglio nazionale con 500 punti vendita desidera raccogliere indirizzi email per scopi di marketing in tutte le sedi, ma l'ufficio legale ha segnalato problemi di conformità GDPR relativi alla progettazione del portale esistente.
Riprogettare il portale con un singolo campo di inserimento per l'email e due caselle di controllo distinte. La prima casella è obbligatoria e recita: "Accetto i Termini di servizio e l'Informativa sulla privacy per l'accesso alla rete." La seconda casella è facoltativa, deselezionata per impostazione predefinita, e recita: "Acconsento a ricevere comunicazioni di marketing e offerte speciali da [Brand]." Il backend registra la data e l'ora, l'indirizzo IP, la versione del portale e l'evento di consenso per ciascun utente. La base giuridica per l'accesso WiFi è il legittimo interesse. La base giuridica per il marketing è il consenso esplicito. Questi dati vengono registrati separatamente nel CRM.
Domande di esercitazione
Q1. Il direttore IT di uno stadio riferisce che durante l'intervallo gli utenti riescono ad associarsi all'SSID ospite, ma il Captive Portal non si carica per migliaia di dispositivi contemporaneamente. È stato verificato che il walled garden è corretto. Qual è il guasto architetturale più probabile?
Suggerimento: Considera le risorse infrastrutturali necessarie prima che un dispositivo possa instradare il traffico HTTP verso il portale, in particolare cosa succede prima della risoluzione DNS.
Visualizza risposta modello
Saturazione del pool DHCP o sovraccarico del risolutore DNS. In ambienti ad alta densità, se il pool DHCP non riesce ad assegnare gli indirizzi IP abbastanza velocemente, o se il risolutore DNS non riesce a gestire il volume di query provenienti da migliaia di connessioni simultanee, il flusso di autenticazione si blocca prima che il portale possa essere erogato. L'infrastruttura deve essere dimensionata per i picchi di connessione simultanee, non per il carico medio. La mitigazione consigliata è un'infrastruttura DHCP e DNS separata per la VLAN ospiti.
Q2. Un team di marketing retail desidera raccogliere le date di nascita dei clienti tramite il Captive Portal per inviare offerte di compleanno. Intendono rendere obbligatorio il campo della data di nascita per accedere al WiFi. Questa procedura è conforme al UK GDPR? In caso negativo, come dovrebbe essere riprogettata?
Suggerimento: Esamina i principi di minimizzazione dei dati (Articolo 5(1)(c)) e il requisito che il consenso sia prestato liberamente.
Visualizza risposta modello
No. Rendere obbligatori i dati di marketing per l'accesso a un servizio viola il principio secondo cui il consenso deve essere prestato liberamente - un utente non può acconsentire liberamente se il rifiuto comporta la perdita dell'accesso a un servizio. Inoltre, la raccolta della data di nascita quando non è strettamente necessaria per l'accesso alla rete viola il principio di minimizzazione dei dati. Il design corretto prevede che la data di nascita sia un campo facoltativo, chiaramente contrassegnato come tale, con una casella di controllo separata e non selezionata per il consenso al marketing di compleanno. La base giuridica per l'accesso al WiFi rimane il legittimo interesse. La base giuridica per il marketing di compleanno è il consenso esplicito.
Q3. Un controllo di sicurezza di un hotel rivela che un dispositivo connesso alla rete WiFi ospiti può effettuare il ping dell'indirizzo IP di un terminale POS nel ristorante. Il team IT conferma che la rete ospiti e la rete POS si trovano su VLAN separate. Quale passaggio di configurazione è stato tralasciato?
Suggerimento: Le VLAN forniscono una separazione logica, ma il traffico tra le VLAN deve passare attraverso un dispositivo di routing. Cosa regola ciò che quel dispositivo consente?
Visualizza risposta modello
Le regole di routing inter-VLAN sul firewall sono configurate in modo errato o assenti. Sebbene il traffico ospiti e il traffico POS si trovino su VLAN separate, il firewall deve applicare una policy di negazione predefinita (default-deny) tra di esse, con regole di autorizzazione esplicite solo per i flussi necessari. La VLAN ospiti dovrebbe avere regole che consentono esclusivamente l'accesso a internet in uscita - nessuna rotta verso alcuna subnet interna, inclusa la VLAN POS. La soluzione consiste nel controllare e correggere la policy del firewall inter-VLAN, per poi convalidarla tentando di raggiungere le subnet interne da un dispositivo ospite.
Q4. Un centro congressi distribuisce il social login (Google OAuth) come unico metodo di autenticazione del proprio Captive Portal. Tre mesi dopo il lancio, Google aggiorna la sua API OAuth e il portale si interrompe per tutti gli utenti. In che modo si sarebbe dovuto progettare l'architettura della distribuzione per evitare questo problema?
Suggerimento: Considera il single point of failure e come si presenta un design resiliente a più metodi.
Visualizza risposta modello
La distribuzione avrebbe dovuto includere almeno un metodo di autenticazione non-OAuth come fallback - l'acquisizione dell'email rappresenta la scelta più pratica. Un portale a doppio metodo con l'acquisizione dell'email come primario e Google OAuth come secondario avrebbe mantenuto la continuità quando il flusso OAuth si è interrotto. Il metodo di acquisizione dell'email non ha dipendenze da terze parti e fornisce una risorsa di dati di proprietà diretta. I provider OAuth dovrebbero sempre essere trattati come opzioni di comodità, non come infrastruttura di autenticazione primaria.
Continua a leggere questa serie
Ubiquiti UniFi guest portal non reindirizza: cause e soluzioni
Questa guida isola un errore di reindirizzamento del portale ospiti UniFi analizzando in sequenza lo stato dell'ospite, il reindirizzamento, il percorso di pre-autorizzazione e l'autorizzazione del controller. Fornisce ai team IT locali un metodo collaudato per risolvere i dubbi tra rete ospiti e Hotspot, i passaggi ai portali esterni, i requisiti correnti degli account UniFi OS e i test di isolamento DNS.
Cisco Meraki splash page non funzionante: un diagramma di flusso per la risoluzione dei problemi
Questa guida pratica per il secondo giorno isola i punti in cui un flusso splash Cisco Meraki ha fallito: autorizzazione del client, avvio del reindirizzamento HTTP, raggiungibilità del walled garden o sign-on RADIUS. Fornisce ai team IT delle sedi un percorso di verifica controllato, in modo da poter ripristinare il Guest WiFi senza apportare modifiche generiche a un'intera infrastruttura attiva.
Guida alla configurazione del WiFi ospiti aziendale: segmentazione VLAN, sicurezza e Captive Portals
Questa guida tecnica mostra ai team IT come configurare il WiFi ospiti come servizio di accesso internet controllato, utilizzando la segmentazione VLAN, le policy del firewall e un Captive Portal. Spiega inoltre come i moduli di registrazione e i controlli di onboarding di Purple supportino un'esperienza per i visitatori proporzionata senza indebolire il perimetro che circonda il personale, i pagamenti e i sistemi operativi.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.