Risoluzione dei problemi del captive portal HPE Aruba: checklist per reindirizzamento, certificati e walled garden

Un Captive Portal HPE Aruba che non funziona presenta solitamente uno di cinque difetti. Il ruolo di pre-autenticazione blocca il DNS o il portale, oppure mancano le voci del walled garden. Altri problemi comuni sono un URL di reindirizzamento non valido, il certificato di default del controller che attiva gli avvisi del browser o richieste RADIUS che non raggiungono mai il server di autenticazione. Controlla prima DHCP e DNS sulla VLAN guest, poi procedi verso l'esterno.

Come si presenta un Captive Portal Aruba che non funziona?

La maggior parte dei guasti si manifesta con uno di tre sintomi. Identificare correttamente il sintomo evita ore di congetture.

Nessun reindirizzamento. Il guest si connette al SSID aperto e riceve un indirizzo IP, ma non viene visualizzata alcuna pagina di login. Il Captive Network Assistant (CNA), il mini-browser che si apre automaticamente sullo smartphone, non appare o mostra una schermata vuota.

Avviso di certificato. La pagina di login si carica solo dopo il messaggio "La connessione non è privata". I laptop mostrano questo avviso più frequentemente dei telefoni, poiché i browser desktop richiedono l'HTTPS per qualsiasi pagina di login.

Nessuna autorizzazione. Il guest compila la splash page ma rimane bloccato nel ruolo captive. Viene reindirizzato continuamente alla pagina di login o il CNA segnala l'assenza di connessione internet.

Questa guida riprende da dove si interrompe la guida di configurazione del Captive Portal HPE Aruba. Si presuppone che il SSID, il profilo del portale esterno e i server RADIUS siano già configurati. Per la stessa checklist su Meraki, consulta Risoluzione dei problemi del Captive Portal Cisco Meraki: checklist per splash page, walled garden e RADIUS.

Quali sono le cause principali del malfunzionamento di un Captive Portal Aruba?

Un Captive Portal è una pagina web a cui la rete reindirizza obbligatoriamente i guest prima di concedere l'accesso a internet. Su Aruba, cinque componenti devono funzionare in sinergia affinché il processo vada a buon fine.

Ruolo di pre-autenticazione e walled garden

Ogni guest inizia in un ruolo di pre-autenticazione, chiamato anche ruolo iniziale o ruolo Captive Portal. Questo ruolo deve consentire il traffico DHCP, DNS e HTTP/HTTPS verso l'host del portale. Qualsiasi altra destinazione deve essere reindirizzata o rifiutata.

Il walled garden è l'elenco delle destinazioni che un guest può raggiungere prima di effettuare il login. Un portale esterno deve avere il proprio nome host inserito in questo elenco, insieme a tutti i domini caricati dalla splash page. Questo include font, script, tag analitici e provider di social login. Una sola voce mancante può causare una schermata bianca sul CNA.

URL di reindirizzamento e parametri

Quando l'AP intercetta la prima richiesta HTTP di un guest, reindirizza il browser all'URL del portale esterno. Aruba aggiunge parametri a questo URL, come l'indirizzo MAC del client, il SSID e l'indirizzo a cui inviare le credenziali.

Un URL errato, un carattere finale superfluo o una discrepanza tra HTTP e HTTPS interrompono il passaggio dei dati. Di conseguenza, il portale non sarà in grado di identificare l'AP o il guest.

Certificato di default del Captive Portal

I controller e i controller virtuali Aruba vengono forniti con un certificato di fabbrica per la loro pagina di login interna. Poiché non è emesso per un nome host di tua proprietà, i browser lo segnalano come non attendibile o non corrispondente.Il nostro articolo di supporto sulla configurazione del certificato del captive portal di Cisco WLC descrive lo stesso principio su Cisco. La soluzione è un certificato pubblicamente attendibile il cui Common Name (CN) corrisponde all'hostname presentato dal controller.

Autenticazione e accounting RADIUS

Il protocollo RADIUS (Remote Authentication Dial-In User Service) è utilizzato dal controller per chiedere a un server di autenticazione se ammettere un client. Con Purple, i nostri sistemi di splash page raccolgono i dati dell'ospite e generano un accesso monouso. Il controller passa quindi quell'accesso al server RADIUS di Purple per completare l'autenticazione, come spiegato nel nostro articolo di supporto sul captive portal.

Se la richiesta non arriva mai, o se la chiave segreta condivisa è errata, l'ospite non viene mai abilitato alla navigazione. I messaggi di accounting segnalano l'inizio e la fine della sessione. Un accounting mancante comporta lacune nei dati di sessione.

DNS e DHCP sulla VLAN ospiti

Una VLAN (LAN virtuale) separa il traffico degli ospiti da quello aziendale. Se la VLAN ospiti fornisce un server DNS non raggiungibile, il browser non può risolvere l'hostname del portale. Di conseguenza, il reindirizzamento non si avvia mai. Gli scope DHCP esauriti causano lo stesso sintomo nei momenti di picco.

Come capire qual è la causa del problema?

Procedi dal client verso l'esterno. Questa matrice decisionale associa ciò che vedi ai primi elementi da controllare.

Sintomo	Causa più probabile	Controlla prima	Soluzione
Nessun indirizzo IP, o indirizzo auto-assegnato	Scope DHCP esaurito o VLAN ospiti non configurata in trunk	Lease del server DHCP e tagging della VLAN di uplink dell'AP	Estendi lo scope o accorcia il tempo di lease, quindi esegui il tag della VLAN sulla porta dello switch
Indirizzo IP presente, ma nessun reindirizzamento	DNS bloccato nel ruolo di pre-autenticazione, o prima richiesta solo HTTPS	Ruolo del client nell'AP o dettagli del client in Central	Consenti il DNS nel ruolo di pre-autenticazione, quindi esegui il test con neverssl.com
Il reindirizzamento si avvia, ma la pagina è vuota	Voci mancanti nel walled garden	Strumenti di sviluppo del browser su un computer portatile di prova	Aggiungi tutti i domini bloccati al walled garden
Il portale indica che non è possibile identificare la rete	URL di reindirizzamento formattato in modo errato o parametri mancanti	URL di reindirizzamento completo catturato su un dispositivo di prova	Correggi l'URL del portale esterno nel profilo
"La connessione non è privata"	Certificato del controller predefinito o mancata corrispondenza del CN	Dettagli del certificato nel lucchetto del browser	Installa un certificato pubblicamente attendibile corrispondente all'hostname del portale
L'accesso viene completato, ma l'ospite torna in loop	Rifiuto RADIUS, timeout o mancata corrispondenza della chiave segreta condivisa	Log del server RADIUS e log di autenticazione dell'AP	Allinea la chiave segreta, autorizza l'indirizzo sorgente, conferma che il server sia raggiungibile
Connessione attiva, ma dati di sessione incompleti	Accounting disabilitato o bloccato	Log di accounting RADIUS	Abilita l'accounting nel profilo del server

Cosa controllare nei log del client

Inizia con il CNA. Android mostra una notifica "potrebbe essere necessario accedere" e chiude il CNA non appena rileva l'avvenuta autenticazione. Se il CNA viene saltato, apri un browser e vai su neverssl.com. Quel sito rimane in HTTP non cifrato, consentendo all'AP di intercettare la richiesta senza causare un errore SSL.

Su un computer portatile, gli strumenti per sviluppatori del browser mostrano quali richieste non sono andate a buon fine durante il caricamento della pagina. Ogni dominio bloccato rappresenta una voce mancante nel walled garden.

Cosa verificare nei log dell'AP e del controller

Controlla prima di tutto il ruolo corrente del client. Un ospite che si trova ancora nel ruolo pre-auth dopo l'accesso indica un problema con RADIUS. Un ospite senza alcun ruolo indica un problema di associazione o DHCP. Successivamente, leggi i log di debug dell'autenticazione relativi all'indirizzo MAC del client. Un timeout RADIUS significa che i pacchetti non partono o non arrivano. Un Access-Reject significa che il server li ha ricevuti e li ha rifiutati.

Come risolvere il problema su Instant AP, Aruba Central e controller?

I concetti sono gli stessi su tutte e tre le piattaforme. Ciò che cambia è dove configurare le impostazioni. I valori dettagliati per Purple sono disponibili nel nostro articolo di supporto sul captive portal. Utilizza quelli, non i valori copiati da un'altra sede.

Captive portal esterno Aruba Instant

Su Instant, il controller virtuale contiene il profilo del portale esterno, il walled garden e le definizioni del server RADIUS. Verifica da quale indirizzo proviene il traffico RADIUS. Con il proxy RADIUS dinamico abilitato, le richieste arrivano dall'indirizzo del controller virtuale. Senza di esso, ogni AP invia le proprie richieste. Il server RADIUS e qualsiasi firewall intermedio devono consentire la sorgente che decidi di utilizzare.

Risoluzione dei problemi del portale ospiti su Aruba Central

In Aruba Central, il tipo di splash page della WLAN deve essere impostato su esterno. Verifica che il profilo del portale punti all'URL corretto. La visualizzazione client di Central mostra il ruolo di ciascun ospite, la VLAN e gli eventi di autenticazione in un unico posto. Questo lo rende il modo più rapido per distinguere un errore DNS da un errore RADIUS su più sedi.

Distribuzioni basate su controller

Su un controller di mobilità, controlla tre oggetti: il ruolo iniziale, il profilo del captive portal e il profilo AAA. La policy di accesso del ruolo iniziale deve consentire DNS, DHCP e l'host del portale. Il profilo del captive portal deve fare riferimento al certificato server corretto. Inoltre, l'hostname del portale del controller deve essere risolvibile sulla VLAN ospiti.

Come si presenta una risoluzione in una sede reale?

Questi esempi pratici mostrano come si applica la checklist nella realtà. Sono illustrativi e non casi di studio di clienti reali nominati.

Un hotel da 180 camere basato su Instant AP. Gli ospiti con iPhone visualizzavano un CNA vuoto dopo la riprogettazione della splash page. La nuova pagina caricava font e un pulsante di accesso social da domini mancanti nel walled garden. Il responsabile IT ha elencato le richieste non andate a buon fine negli strumenti per sviluppatori del browser e ha aggiunto ciascun dominio. Gli accessi completati nel portale sono passati da circa 40 al giorno a oltre 250 in una settimana. Per saperne di più sulla connettività degli ospiti in questo settore, consulta Hotel.

Una catena di moda con 40 negozi su Aruba Central. Gli acquirenti che utilizzavano computer portatili segnalavano avvisi di "rete non sicura", generando circa 25 ticket di assistenza al mese. I controller virtuali presentavano ancora il certificato predefinito. Il team ha installato un certificato pubblicamente attendibile con un CN corrispondente all'hostname del portale, quindi ha confermato che il nome veniva risolto sulla VLAN ospiti. I ticket sono scesi a due il mese successivo. Consulta la pagina Retail per scoprire come l'accesso ospiti supporta i punti vendita.

Un centro congressi gestito dal comune su un mobility controller. I partecipanti completavano la splash page ma venivano reindirizzati continuamente ad essa. I log di autenticazione mostravano timeout RADIUS. Una nuova regola del firewall perimetrale aveva bloccato l'indirizzo di origine del controller. Dopo aver autorizzato nuovamente l'indirizzo, il tempo di passaggio dal login alla connessione online è sceso da infinito a meno di cinque secondi.

Come evitare che il Captive Portal Aruba fallisca di nuovo?

• Controlla la versione del walled garden. Gestisci ogni modifica alla splash page come una modifica di rete e aggiorna il walled garden nella stessa release.
• Imposta promemoria per il rinnovo dei certificati. Un certificato pubblico scaduto ripresenta l'avviso da un giorno all'altro. Pianifica il rinnovo almeno 30 giorni prima della scadenza.
• Effettua test con tre dispositivi. Dopo qualsiasi modifica, esegui un test su un iPhone, un telefono Android e un laptop Windows. Ognuno gestisce il CNA in modo diverso.
• Monitora il server RADIUS. Imposta avvisi in caso di aumento dei conteggi di Access-Reject o di timeout, non solo sulla disponibilità del server.
• Mantieni aperto l'SSID ospiti. Purple consiglia un SSID aperto per l'accesso ospiti perché riduce gli ostacoli all'accesso. Se utilizzi WPA3 anche altrove, leggi WPA3 transition mode connection failures: a deployment checklist for Cisco Meraki, HPE Aruba and Ruckus.

Il WiFi ospiti di Purple funziona come un overlay cloud su HPE Aruba, insieme a Cisco Meraki, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. In oltre 80.000 sedi attive, Purple ha gestito 440 milioni di login nel 2024, secondo i dati interni di Purple.

Domande frequenti

Purple funziona con Aruba Instant, Aruba Central e distribuzioni basate su controller?

Sì. Il WiFi ospiti di Purple si integra con HPE Aruba tramite un Captive Portal esterno e RADIUS, quindi funziona su Instant AP, Aruba Central e mobility controllers. Il controller reindirizza gli ospiti alla splash page di Purple e quindi passa il login unico al server RADIUS di Purple. Manterrai i tuoi access point e switch esistenti, configurando il profilo del portale, il walled garden e i server RADIUS in base ai valori pubblicati da Purple.

Devo acquistare un certificato SSL pubblico per il mio controller Aruba?

Sì, se desideri che gli ospiti evitino gli avvisi del browser. Il certificato predefinito su un controller o controller virtuale Aruba non viene emesso per un nome host di tua proprietà, quindi i browser desktop lo segnalano. Un certificato pubblicamente attendibile il cui Common Name corrisponde al nome host del portale elimina l'avviso. I certificati standard con convalida del dominio di qualsiasi autorità di certificazione pubblica sono adatti e si rinnovano secondo la pianificazione dell'emittente.

Lo spostamento del nostro portale ospiti Aruba su Purple richiederà nuovo hardware?

No. Purple è indipendente dall'hardware e funziona come un overlay cloud sugli access point e controller HPE Aruba che già possiedi. Il cambiamento riguarda la configurazione: un nuovo URL del portale esterno, voci del walled garden aggiornate e i server RADIUS di Purple. La maggior parte dell'impegno è dedicata ai test su telefoni e laptop in un sito pilota prima di distribuire il profilo in tutta l'infrastruttura.

Il Captive Portal Aruba di Purple è conforme al GDPR?

Sì. Purple possiede la certificazione ISO 27001 e opera in linea con il GDPR e il CCPA. Gli ospiti esprimono un consenso esplicito e consapevole sulla splash page, in modo che il consenso al marketing venga registrato al momento del login. La tua rete Aruba gestisce il traffico, mentre Purple memorizza i dati di prima parte sotto il tuo controllo. Puoi impostare i testi di conservazione e consenso per adeguarli alla tua politica sulla privacy.

Come viene concessa la licenza per il WiFi ospiti di Purple per un'infrastruttura Aruba?

Purple concede in licenza il WiFi ospiti attraverso tre piani: Connect, Capture e Engage. Connect copre l'accesso sicuro per gli ospiti, mentre Capture e Engage aggiungono funzionalità di raccolta dati e marketing. Il piano scelto non modifica la configurazione Aruba, poiché ogni piano utilizza lo stesso portale esterno e l'integrazione RADIUS. Il team del tuo account Purple può formulare un preventivo in base al numero di sedi e al piano.

Quanto tempo occorre per ripristinare un Captive Portal Aruba non funzionante?

La maggior parte dei guasti richiede meno di un giorno per essere risolta una volta identificato il sintomo. I problemi relativi a walled garden e DNS richiedono spesso meno di un'ora dopo aver acquisito le richieste non andate a buon fine. La sostituzione del certificato dipende dalla rapidità con cui l'autorità di certificazione convalida il dominio. I guasti RADIUS causati da modifiche al firewall di solito richiedono una richiesta di modifica, quindi pianifica in base alla tua finestra di approvazione.

Dovremmo usare Aruba ClearPass o un portale esterno come Purple per gli ospiti?

Scegli un portale esterno come Purple se desideri ottenere dati sugli ospiti, consenso al marketing e analisi senza dover gestire server aggiuntivi in locale. ClearPass è un policy manager on-premises adatto a un controllo complesso degli accessi del personale. Purple funziona in cloud con un uptime del 99,999% e gestisce insieme la splash page, il RADIUS e l'acquisizione dei dati. Molte sedi mantengono ClearPass per il personale e utilizzano Purple per gli ospiti.