Configuração de Captive Portal no FortiGate com um servidor de portal externo

No FortiGate, um Captive Portal externo precisa de quatro coisas: definir o SSID ou o modo de segurança da interface para Captive Portal com uma URL de portal externo, apontar a autenticação e o accounting para um servidor RADIUS, isentar os domínios do portal e de login social da autenticação, e instalar um certificado confiável para que o post-back HTTPS não gere avisos no navegador.

O que um Captive Portal externo do FortiGate realmente faz?

Um Captive Portal é a página web que um visitante deve preencher antes que a rede libere o seu tráfego. Em uma configuração externa, o FortiGate aplica o portal e um servidor separado hospeda a página. Com a Purple, esse servidor é a nossa plataforma de Guest WiFi.

O login funciona em cinco etapas:

1. O visitante se conecta a um SSID aberto (o nome da rede) transmitido por um FortiAP ou a uma rede atrás de uma interface FortiGate. Ele recebe um endereço IP.
2. O dispositivo faz a sua primeira requisição web. O FortiGate a intercepta e redireciona o navegador para a URL do portal externo. Ele anexa parâmetros que identificam a sessão, o endereço MAC do cliente e o próprio endereço de login do FortiGate.
3. O visitante preenche a splash page da Purple: um formulário, um login social ou a aceitação dos termos.
4. O portal envia as credenciais de volta via POST para o listener de autenticação do FortiGate. Por padrão, ele escuta na porta TCP 1000 para HTTP e TCP 1003 para HTTPS.
5. O FortiGate envia uma mensagem RADIUS Access-Request para a Purple. Ao receber o Access-Accept, ele marca o dispositivo como autenticado e aplica a política de firewall de visitantes. As mensagens de accounting passam a relatar o início da sessão, o uso intermediário e a interrupção.

O RADIUS (Remote Authentication Dial-In User Service) é o protocolo que o FortiGate usa para perguntar "este dispositivo pode se conectar?". Ele é definido na RFC 2865, com o accounting na RFC 2866.

A divisão de tarefas é o ponto central. O FortiGate mantém o controle e aplicação: política de firewall, NAT e estado da sessão. A Purple gerencia identidade, consentimento e dados dos visitantes. Você pode alterar a splash page em todos os locais na Purple sem precisar mexer no FortiOS.

Portal integrado ou portal externo?

O FortiOS vem com o seu próprio Captive Portal integrado. Ele funciona e, para um único local com uma página de termo de responsabilidade, pode ser suficiente. A tabela mostra onde as duas abordagens se diferenciam.

	Portal integrado do FortiGate	Portal externo com a Purple
Onde a página fica hospedada	HTML de mensagem de substituição em cada FortiGate	Hospedado pela Purple, um único design para todos os locais
Opções de login	Tipos de portal de autenticação, termo de responsabilidade e coleta de e-mail	Formulários, login social e aceitação dos termos
Como o acesso é concedido	Grupos de usuários do firewall locais ou remotos	RADIUS para a Purple na porta UDP 1812
Tratamento de consentimento	Apenas captura de e-mail; os registros de opt-in ficam por sua conta	Opt-ins de escolha consciente registrados por visitante
Alteração da página em 40 locais	Editar cada FortiGate ou aplicar via FortiManager	Uma única alteração na Purple
Relatórios	FortiGate logs e FortiAnalyzer	Dashboards de WiFi Analytics por local
Ambientes multimarca	Apenas hardware Fortinet	O mesmo portal no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet
Ideal para	Um único local, acesso apenas com termo de responsabilidade	Ambientes multilocal que buscam dados proprietários

O que você precisa antes de iniciar a configuração do Captive Portal no FortiGate?

Reúna estes itens antes de abrir a GUI do FortiGate. A maioria das implantações com falhas ocorre devido a um item ausente nesta lista.

• Um FortiGate em uma versão do FortiOS suportada. O FortiGate gerencia seus FortiAPs como um controlador sem fio ou uma de suas interfaces atende à rede de convidados. O modo de interface cobre pontos de acesso de terceiros e portas de convidados cabeadas.
• Um segmento de rede de convidados. Coloque os convidados em sua própria VLAN (LAN virtual, um domínio de broadcast separado na Camada 2) ou em uma interface de SSID dedicada. Nunca compartilhe uma sub-rede com funcionários ou dispositivos de pagamento; o PCI-DSS exige que os sistemas de portadores de cartão estejam segmentados de redes não confiáveis.
• Os valores da sua conta Purple. Você precisa da URL do portal externo, dos endereços do servidor RADIUS e do segredo compartilhado. Eles vêm do artigo de suporte do FortiGate da Purple e do seu painel do Purple. Eles são específicos para a sua conta, portanto, nunca os copie de uma postagem em fórum.
• Alcance de saída. O FortiGate deve alcançar os servidores RADIUS da Purple na porta UDP 1812 para autenticação e UDP 1813 para contabilização (accounting).
• Um certificado publicamente confiável. Ele deve cobrir um hostname que resolva para o endereço da interface de convidados do FortiGate. A seção de certificados abaixo explica o motivo.
• Um inventário da lista de isenções. Decida quais métodos de login você oferecerá, pois cada um adiciona domínios ao seu walled garden.
• Uma cobertura em que você confia. Um portal não pode corrigir um sinal fraco. Se os convidados se queixarem de quedas de conexão, faça um levantamento primeiro; nosso guia para pesquisas de local de WiFi cobre o método.

O que muda entre as versões do FortiOS?

A Fortinet move e renomeia as configurações do Captive Portal entre as principais versões do FortiOS. Em algumas compilações, opções como a lista de isenções ou o certificado de autenticação são mais fáceis de definir, ou disponíveis apenas, na CLI. Os SSIDs em modo bridge e modo túnel também podem se comportar de maneira diferente, dependendo do firmware.

Três hábitos protegem você:

• Leia o Guia de Administração para a versão exata do seu FortiOS na Fortinet Document Library, não a versão mais recente.
• Verifique as notas de versão para alterações de Captive Portal e RADIUS antes de cada atualização.
• Execute novamente toda a sua matriz de testes após cada atualização de firmware, antes que os convidados encontrem o problema para você.

Como configurar um Captive Portal no FortiGate com um servidor de portal externo?

A sequência abaixo funciona tanto para SSIDs do FortiAP quanto para interfaces do FortiGate. O artigo de suporte do FortiGate da Purple contém os valores exatos e as capturas de tela para cada etapa. Use-o junto com este resumo.

Etapa 1: adicionar a Purple como um servidor RADIUS

Crie um objeto de servidor RADIUS no FortiGate. Insira os endereços de servidor da Purple e o segredo compartilhado da sua conta. Habilite o accounting para que o FortiGate envie registros de início, intervalo e término de sessão para a Purple.

Se o FortiGate tiver mais de um link WAN, defina o endereço de origem do RADIUS explicitamente. As solicitações RADIUS devem sempre sair do endereço que a Purple espera; caso contrário, um failover interrompe os logins silenciosamente. Use o teste de conectividade integrado no objeto RADIUS antes de prosseguir.

Passo 2: criar um grupo de usuários no firewall

Crie um grupo de usuários do tipo firewall e adicione o servidor RADIUS da Purple como servidor remoto. O Captive Portal autenticará os visitantes em relação a este grupo. Mantenha um grupo por fonte de autenticação para que a solução de problemas permaneça clara.

Passo 3: definir o modo de segurança para captive portal

Para FortiAP, edite o SSID de visitantes. Para pontos de acesso com fio ou de terceiros, edite a interface de visitantes. Em seguida:

• Defina o modo de segurança como captive portal.
• Escolha o tipo de portal de autenticação e selecione a opção de portal externo.
• Cole a URL do portal externo fornecida pela Purple.
• Selecione o grupo de usuários do Passo 2.
• Escolha o redirecionamento após o login: a URL original do visitante ou uma página especificada por você.

No FortiAP, atribua o SSID ao perfil de FortiAP usado pelos seus pontos de acesso. A documentação da Fortinet usa o modo túnel como referência para SSIDs com captive portal. Se você fizer o bridge localmente, confirme se o seu firmware suporta captive portal nesse modo.

Passo 4: criar a lista de isenções

Crie objetos de endereço no firewall para cada destino que os visitantes devem alcançar antes da autenticação. Anexe-os ao SSID ou interface como a lista de isenção de segurança. A próxima seção lista o que pertence a essa lista e o que deve ficar de fora.

Passo 5: escrever a política de firewall para visitantes

Crie uma política do SSID ou interface de visitantes para a WAN, com NAT habilitado. Aplique os perfis de filtro web e controle de aplicação que a sua política de uso aceitável exige. Certifique-se de que os visitantes consigam resolver o DNS antes de se autenticarem, caso contrário, o redirecionamento nunca é acionado.

Passo 6: instalar o certificado e usar HTTPS para o post-back

Importe seu certificado publicamente confiável e configure o FortiGate para usá-lo na autenticação. Aponte o post-back do portal para o ouvinte HTTPS, usando o nome de host presente nesse certificado. Isso remove o aviso que os visitantes veriam no momento em que enviam o formulário.

Passo 7: alinhar os tempos limite (timeouts)

O tempo limite de autenticação do FortiGate decide por quanto tempo um dispositivo autenticado permanece na lista. As configurações de sessão da Purple decidem o que um visitante que retorna visualiza. Se o seu firmware respeitar o atributo RADIUS Session-Timeout (RFC 2865), permita que a Purple defina a duração da sessão a partir de um único local.

O que a lista de isenções do FortiGate deve incluir?

A lista de isenções é o walled garden do FortiGate: destinos que um dispositivo pode acessar antes de se autenticar. Se for muito curta, o portal falha. Se for muito longa, os visitantes navegam sem jamais fazer login.

Categoria	Exemplos de entradas	Motivo	Isento?
Portal e recursos da Purple	Nomes de host listados no artigo de suporte do FortiGate da Purple	Carrega a splash page, imagens e scripts	Sim
Provedores de login social	Domínios de login para Facebook, Google, Apple e Microsoft, como objetos FQDN coringa	O login via OAuth deve ser concluído antes da autenticação	Sim, apenas para provedores que você habilitar
Suas próprias páginas de informação	O site de informações de pacientes de um hospital, a página do dia do jogo de um estádio	Os visitantes acessam informações essenciais sem fazer login	Opcional
Detecção de rede cativa do SO	captive.apple.com, connectivitycheck.gstatic.com, www.msftconnecttest.com	A verificação deve falhar para que o dispositivo abra a tela de login	Não, nunca
Navegação geral	Sites de notícias, busca e streaming	Burlar o portal	Não

Duas regras evitam a maioria das falhas de walled garden.

Use objetos FQDN, não endereços IP. Os provedores de login social servem páginas de login a partir de redes de entrega de conteúdo cujos endereços mudam constantemente. Uma lista de IP estático fica desatualizada em poucas semanas.

Faça com que o FortiGate e o convidado concordem sobre o DNS. O próprio FortiGate resolve objetos de endereço FQDN. Objetos FQDN coringa são preenchidos a partir de respostas DNS que passam pelo FortiGate. Se o DHCP entregar aos convidados um resolvedor público, o convidado e o FortiGate podem receber endereços de CDN diferentes, e a entrada de isenção falhará. Forneça o FortiGate, ou o resolvedor que ele usa, como o servidor DNS do convidado.

Para sites de Saúde, isentar uma página de informações do paciente permite que os visitantes encontrem os horários das enfermarias sem fazer login. Mantenha essas entradas em uma lista curta e nomeada, e revise-a trimestralmente.

Por que o Captive Portal do FortiGate mostra um erro de certificado?

Dois momentos diferentes produzem avisos de certificado. Eles têm causas diferentes e soluções diferentes.

Aviso 1: o convidado abre um site HTTPS antes de fazer login

A maior parte da navegação é HTTPS. Para redirecioná-la, o FortiGate deve responder à negociação TLS ele mesmo, apresentando seu próprio certificado para um site do qual não é proprietário. O navegador vê uma incompatibilidade de nome e exibe um aviso. Nenhum certificado pode corrigir isso, porque nenhum certificado é válido para todos os sites.

Sites na lista de pré-carregamento HSTS (HTTP Strict Transport Security, que instrui os navegadores a recusar conexões não seguras) não podem ser ignorados pelo usuário de forma alguma. Sites de bancos e e-mail geralmente se enquadram neste grupo.

A solução é confiar na detecção de rede cativa do sistema operacional. iOS, Android, Windows e macOS verificam uma URL HTTP simples ao se conectar a uma rede. O FortiGate redireciona essa verificação e o dispositivo abre a tela de login antes que o convidado abra um navegador. É por isso que os domínios de detecção nunca devem estar na lista de isenção.

Aviso 2: o convidado envia o formulário do portal

Depois que o convidado conclui a página da Purple, o navegador envia os dados para o ouvinte de autenticação do FortiGate. Se esse ouvinte usar o certificado de fábrica, o navegador exibirá um aviso porque o certificado é autoassinado.

Se o portal fizer o post para o listener HTTP, o Chrome avisará que o formulário não é seguro. A página é HTTPS, mas o formulário é enviado via HTTP.

A solução é o Passo 6: um certificado publicamente confiável em um hostname que resolva para a interface de convidados do FortiGate, com o post-back em HTTPS. Renove-o antes do vencimento. Um certificado de autenticação expirado interrompe todos os logins de uma só vez, em todos os SSIDs naquele FortiGate.

Como verificar se o portal de convidados do FortiGate funciona?

Teste em dispositivos reais, não apenas em um laptop. Crie uma matriz de iOS, Android, Windows e macOS e execute cada verificação em todas as plataformas.

1. Conecte-se ao SSID. A tela de login deve abrir automaticamente em poucos segundos. Se não abrir, verifique a lista de isenções para domínios de detecção.
2. Conclua cada método de login. Teste o formulário, cada provedor social ativado e a aceitação dos termos.
3. Fique atento a avisos. Nenhum aviso de certificado deve aparecer em nenhum ponto do fluxo.
4. Confirme a autenticação no FortiGate. O monitor de usuários autenticados do firewall deve listar o dispositivo no grupo de convidados.
5. Confirme o RADIUS a partir da CLI. diagnose test authserver radius testa o objeto do servidor diretamente. diagnose debug application fnbamd -1, com o debug ativado, mostra cada Access-Request e resposta em tempo real.
6. Confirme o accounting no Purple. A sessão deve aparecer com um registro de início, atualizações intermediárias e um registro de término quando o convidado sair.
7. Teste a visita de retorno. Reconecte-se após o tempo limite e verifique se o convidado vê a página pretendida.

O que pode dar errado com um Captive Portal do FortiGate e como corrigir?

Sintoma	Causa provável	Solução
A tela de login nunca aparece; o dispositivo indica "conectado"	Domínios de detecção na lista de isenções, ou uma política permitindo tráfego antes da autenticação	Remova captive.apple.com e entradas semelhantes; verifique se a política de convidados exige autenticação
A splash page carrega em branco ou sem estilo	Hostnames de ativos do Purple ausentes na lista de isenções	Adicione todos os hostnames fornecidos no artigo de suporte do FortiGate no Purple
Aviso de certificado ao navegar antes do login	FortiGate interceptando um site HTTPS	Comportamento esperado; os convidados devem usar a tela de login ou abrir uma página HTTP
Aviso de certificado ao enviar o formulário	Certificado de fábrica no listener de autenticação	Instale um certificado confiável e faça o post back via HTTPS
O login social fica carregando ou falha	Domínios do provedor não isentos, ou divergência de DNS entre o convidado e o FortiGate	Use objetos FQDN com coringa; defina o FortiGate como DNS dos convidados
O portal aceita os dados, mas não há conexão com a internet	Rejeição ou tempo limite do RADIUS: segredo compartilhado incorreto, endereço de origem incorreto, UDP 1812 bloqueado	Execute o teste authserver; leia a saída de debug do fnbamd
Convidados solicitados a fazer login com muita frequência	Autenticação curta ou tempo limite de inatividade curto	Alinhe os tempos limite do FortiGate com as configurações de sessão do Purple
Sessões ausentes nos relatórios	Contabilidade desativada ou UDP 1813 bloqueado	Habilite a contabilidade no objeto RADIUS; abra a porta UDP 1813
Falha no login após atualização de firmware	Configurações movidas ou padrões alterados na nova versão	Verifique novamente as notas de versão e execute novamente a matriz de testes

Como isso funciona na prática em locais reais?

Cenário 1: um hotel de 200 quartos substituindo um provedor anterior de WiFi para visitantes

Situação. Um hotel de 200 quartos utilizava um FortiGate com 30 FortiAPs e um SSID de visitantes em modo túnel. Hóspedes usando iPhones não viam a tela de login e abriam o Safari manualmente. Aqueles que conseguiam acessar a página se deparavam com um aviso de certificado ao enviá-la.

O que foi feito. O engenheiro encontrou o domínio captive.apple.com na lista de isenções, deixado pelo provedor anterior, e o removeu. Instalou um certificado com confiança pública em um hostname apontando para a interface de visitantes e alterou o post-back para HTTPS. Adicionou os servidores RADIUS da Purple com a contabilidade habilitada.

Resultado. Na matriz de testes pós-alteração, a tela de login foi exibida automaticamente em todas as quatro plataformas. Nenhum aviso de certificado apareceu no fluxo de login. Registros de sessão com entradas de início, intervalo e término chegaram à Purple para cada sessão de teste. Para saber mais sobre implantações em hotéis, consulte Hotéis.

Cenário 2: uma rede de varejo com 40 lojas gerenciada por um MSP

Situação. Um MSP gerenciava um FortiGate por loja para uma rede de Varejo com 40 unidades. Compradores relataram falhas intermitentes no login com Google e Apple, mas apenas em algumas lojas.

O que foi feito. O DHCP nas lojas afetadas fornecia aos compradores um resolvedor DNS público. O FortiGate resolvia os hostnames das CDNs dos provedores para endereços diferentes, fazendo com que as entradas de isenção falhassem. O MSP alterou os provedores para objetos FQDN com caractere coringa e configurou o FortiGate como o servidor DNS de visitantes. Eles testaram a alteração em três lojas antes de implementá-la em toda a rede via FortiManager.

Resultado. Todos os três métodos de login social foram concluídos em todos os testes piloto, em todas as plataformas. O MSP então aplicou o mesmo modelo às 37 lojas restantes. Se você revende WiFi para visitantes para clientes como este, nosso guia sobre software de Captive Portal white label aborda as verificações comerciais.

Cenário 3: uma biblioteca pública com quiosques cabeados para visitantes

Situação. A rede de uma biblioteca pública oferecia WiFi para visitantes em pontos de acesso de terceiros e quatro quiosques públicos cabeados. Ambos estavam conectados por meio de um único FortiGate. A biblioteca queria uma única página de termos e uma única trilha de auditoria.

O que foi feito. O engenheiro habilitou o Captive Portal na interface de visitantes do FortiGate em vez de no SSID. O mesmo portal externo da Purple e o mesmo grupo RADIUS atenderam visitantes sem fio e sessões de quiosque.

Resultado. Tanto as sessões sem fio quanto as cabeadas apareceram em um único log de contabilidade na Purple, vinculadas a um único registro de aceitação dos termos. Isso forneceu à biblioteca uma resposta única quando questionada sobre quem usou a rede e quando.

Quanto custa e qual é o retorno?

Quanto custa

O custo de hardware geralmente é nulo. O Captive Portal e o cliente RADIUS fazem parte do FortiOS, portanto você configura o FortiGate e os FortiAPs que já possui. A Purple é independente de hardware: o mesmo portal é executado em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Nosso blog sobre por que sua próxima atualização de WiFi não precisa de novos hardwares apresenta o contexto geral.

O custo de software é o plano da Purple: Connect, Capture ou Engage. Cada um possui uma precificação diferente, dependendo de como você contabiliza locais, pontos de acesso ou visitantes. Nosso guia sobre modelos de precificação de captive portal compara os modelos por local, por ponto de acesso e por usuário.

O custo de esforço é o tempo de engenharia por local. Crie um modelo uma vez, teste em um piloto e envie o modelo por meio do FortiManager para toda a infraestrutura.

O que você recebe em troca

• Dados primários com consentimento. A Purple registra adesões por escolha consciente por visitante. O tratamento de dados está em conformidade com o GDPR, e a Purple possui as certificações ISO 27001, Cyber Essentials e B Corp.
• Um único portal em toda a infraestrutura. Altere a página inicial uma única vez em vez de fazer isso em cada FortiGate, incluindo locais em outros hardwares.
• Relatórios acionáveis. Os dados de contabilização alimentam o WiFi Analytics: visitas, tempo de permanência e taxas de retorno por local.
• Uma plataforma em escala. A Purple roda em mais de 80.000 locais ativos e gerenciou 440 milhões de logins em 2024 (dados da própria Purple). Para operadores do setor de hospitalidade, nosso guia sobre WiFi em restaurantes cobre cobertura e segurança no Reino Unido.

Perguntas frequentes

A Purple funciona com meu hardware FortiGate e FortiAP existente?

Sim, a Purple roda na sua infraestrutura existente de FortiGate e FortiAP sem a necessidade de novos hardwares. O FortiGate aplica o Captive Portal e envia a autenticação RADIUS e os dados de contabilização para a Purple, enquanto a Purple hospeda a página inicial. A mesma abordagem abrange pontos de acesso de terceiros conectados a uma interface FortiGate. A Purple também suporta Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium e Extreme, permitindo que uma infraestrutura mista compartilhe um único portal.

Preciso de uma licença Fortinet extra para um captive portal externo?

Não, o Captive Portal e o cliente RADIUS são recursos padrão do FortiOS, portanto o FortiGate não precisa de uma licença de portal separada. Você precisa de uma versão suportada do FortiOS e, para conexões sem fio, de FortiAPs gerenciados pelo FortiGate. O plano da Purple, seja Connect, Capture ou Engage, é licenciado separadamente. Nosso guia sobre modelos de precificação de captive portal explica como se comparam os preços por local, por ponto de acesso e por usuário.

Posso migrar do meu provedor de WiFi para visitantes atual sem tempo de inatividade?

Sim, se você criar a configuração do Purple em paralelo antes de fazer a transição. Adicione os servidores RADIUS do Purple e um novo grupo de usuários junto aos existentes e, em seguida, crie um SSID ou interface de teste utilizando-os. Execute a matriz completa de testes de dispositivos nessa rede de teste. Quando for aprovado, redirecione o SSID de visitantes ativo e remova as entradas da lista de isenção do antigo provedor, especialmente quaisquer domínios de detecção de Captive Portal.

Os dados de visitantes capturados por meio de um portal FortiGate estão em conformidade com o GDPR?

Sim, quando o portal é executado no Purple, o consentimento e o tratamento de dados seguem o GDPR. O Purple registra autorizações de escolha consciente por visitante, de modo que o consentimento de marketing é separado do acesso à rede. O Purple possui certificação ISO 27001 e Cyber Essentials. O FortiGate passa detalhes da sessão, como o endereço MAC do cliente, para o portal, mas os registros dos visitantes permanecem no Purple. Você continua sendo o controlador dos dados e define seus próprios avisos de privacidade e retenção.

Devo usar o portal integrado do FortiGate ou um portal externo?

Use o portal integrado para um único local que só precisa de uma página de aviso legal. Use um portal externo quando operar vários locais, quiser login por redes sociais ou dados proprietários, ou gerenciar hardware misto. A página integrada fica em cada FortiGate e deve ser editada local por local. Um portal externo do Purple é alterado em um único lugar e registra autorizações e análises de sessão para todos os locais.

Quanto esforço de engenharia exige uma implantação no FortiGate?

Um único local representa uma mudança de configuração, não um projeto de hardware. Você cria um objeto de servidor RADIUS, um grupo de usuários, uma alteração de SSID ou interface, uma lista de isenção, uma política e um certificado. A maior parte do esforço é dedicada a testes em iOS, Android, Windows e macOS. Para grandes redes, crie a configuração uma vez como um modelo do FortiManager, faça um piloto em alguns locais e, em seguida, aplique em todos os demais.

Um MSP pode executar o Purple em vários FortiGates de clientes?

Sim, os MSPs executam o Purple em vários FortiGates de clientes a partir de uma única estrutura de conta. Cada local de cliente usa o mesmo padrão de configuração, para que você possa criar um modelo no FortiManager e implantar em lotes. O design independente de hardware do Purple significa que clientes em Cisco Meraki, HPE Aruba ou Ruckus usam o mesmo portal. Verifique os termos comerciais em nosso guia para software de Captive Portal white label antes de assinar.

O portal externo funciona em redes de visitantes cabeadas?

Sim, o FortiGate pode aplicar o Captive Portal em uma interface, bem como em um SSID do FortiAP. Ative o Captive Portal na interface que atende à VLAN de visitantes cabeada, selecione o portal externo e aponte para o mesmo grupo RADIUS do Purple. Kiosks, portas de salas de reunião e pontos de acesso de terceiros passam a compartilhar uma única splash page, um único registro de aceitação de termos e um único log de contabilização com seus visitantes da rede sem fio.