Como um Captive Portal Funciona? Análise Técnica Aprofundada

Uma análise técnica aprofundada e abrangente da arquitetura de captive portals, explicando a interceptação de DNS, redirecionamento HTTP, walled gardens e autenticação RADIUS para profissionais de TI.

📖 7 min de leitura📝 1,564 palavras🔧 2 exemplos❓ 3 perguntas📚 8 termos-chave

🎧 Ouça este Guia

Ver Transcrição

How Does a Captive Portal Work? A Technical Deep Dive
A Purple WiFi Intelligence Briefing

[INTRODUCTION — approximately 1 minute]

Welcome to the Purple Technical Briefing series. I'm your host, and today we're going deep on captive portals — specifically, how they actually work under the hood. Not the marketing version. The real version: DNS interception, HTTP redirects, walled garden configuration, RADIUS authentication, and session lifecycle management.

If you're an IT manager, network architect, or CTO responsible for guest WiFi at a hotel, retail estate, stadium, or public-sector venue, this is the briefing you need before you sign off on your next deployment. We'll cover the full technical stack, the common failure modes, and where platforms like Purple fit into the picture.

Let's get into it.

[TECHNICAL DEEP-DIVE — approximately 5 minutes]

So, how does a captive portal work? At its most fundamental level, a captive portal is a network access control mechanism that intercepts a guest device's internet traffic and redirects it to an authentication or registration page before granting full network access. Simple concept. Complex implementation.

Let's walk through the full sequence, step by step.

Step one: Association and DHCP. When a guest device connects to your SSID — your guest WiFi network — the access point assigns it an IP address via DHCP, just as you'd expect. At this point, the device has a valid IP address and a default gateway, but it cannot reach the internet. The network is in a pre-authenticated state. The device is associated, but not yet authorised.

Step two: DNS interception. Here's where it gets interesting. When the guest device tries to resolve any domain name — let's say it's trying to reach google.com — the DNS query is intercepted by the captive portal system. The DNS server in the walled garden responds with the IP address of the captive portal server, not the actual IP of google.com. This is sometimes called DNS spoofing, though in this context it's entirely intentional and controlled. Every DNS query, for any domain, returns the same answer: the portal's IP address.

Step three: HTTP redirect. The guest device's browser then attempts to connect to what it thinks is google.com, but it's actually connecting to the captive portal server. The portal server issues an HTTP 302 redirect — a standard redirect response — pointing the browser to the portal's login or registration page. Modern operating systems, including iOS, Android, Windows, and macOS, have built-in captive portal detection mechanisms. They periodically probe known URLs — Apple uses captive.apple.com, Microsoft uses msftconnecttest.com — and when they detect a redirect rather than the expected response, they automatically launch the captive portal browser window. This is the little pop-up you see on your phone when you connect to airport WiFi.

Step four: The walled garden. While the guest is in this pre-authenticated state, the network enforces what's called a walled garden — a set of IP addresses and domains that are accessible without authentication. This typically includes the captive portal server itself, any CDN resources the portal page needs to load, and potentially partner domains. For example, a hotel might whitelist their loyalty programme's domain so returning members can authenticate via their existing account. The walled garden is configured at the access controller or firewall level, using ACLs — access control lists — that permit traffic to whitelisted destinations while blocking everything else.

Step five: Authentication and RADIUS. When the guest submits their credentials — whether that's a social login, an email address, a voucher code, or a terms-of-service acceptance — the captive portal server processes that submission and communicates with a RADIUS server. RADIUS stands for Remote Authentication Dial-In User Service, and it's the industry-standard AAA protocol — Authentication, Authorisation, and Accounting. The portal server sends a RADIUS Access-Request packet containing the user's credentials. The RADIUS server validates those credentials against its user database or an external identity provider, and responds with either an Access-Accept or an Access-Reject. If accepted, the RADIUS server can also return authorisation attributes — things like session timeout, bandwidth limits, and VLAN assignment — as RADIUS attributes in the Access-Accept packet.

Step six: MAC authorisation and session activation. Once the RADIUS server returns an Access-Accept, the captive portal system instructs the access controller to authorise the guest device's MAC address. From this point, the device's traffic is no longer intercepted. The walled garden is lifted for that specific MAC address, and the device has full internet access — subject to any bandwidth or time limits specified in the RADIUS attributes. The RADIUS server also starts an Accounting session, recording the session start time, the device's MAC address, and the assigned IP. This accounting data is critical for compliance, particularly under GDPR and the EU's data retention requirements for public WiFi operators.

Step seven: Session lifecycle and expiry. Sessions don't last forever. The RADIUS Access-Accept typically includes a Session-Timeout attribute, which defines the maximum session duration. When that timer expires, the access controller sends a RADIUS Disconnect-Request, the MAC address is de-authorised, and the device is returned to the pre-authenticated state. The guest will need to re-authenticate. Some deployments use MAC address caching to remember returning devices, allowing them to bypass the portal for a configurable period — typically 24 hours or 30 days — which significantly improves the returning guest experience.

Now, a word on HTTPS and the modern challenge. As HTTPS adoption has become near-universal, the traditional HTTP interception model has become more complex. Browsers now enforce HSTS — HTTP Strict Transport Security — which means they refuse to connect to HTTPS sites over plain HTTP. This is why captive portal detection relies on specific HTTP probe URLs rather than intercepting arbitrary HTTPS traffic. If your portal is intercepting HTTPS traffic and presenting a self-signed certificate, you will generate browser security warnings — which is a terrible user experience and a potential compliance issue. The correct approach is to ensure your portal operates on a properly signed domain with a valid TLS certificate, and that your captive portal detection relies on the OS-native probe mechanism rather than HTTPS interception.

[IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — approximately 2 minutes]

Right, let's talk about what actually goes wrong in production deployments, and how to avoid it.

The most common failure mode is walled garden misconfiguration. If your portal page loads external resources — JavaScript libraries, fonts, images from a CDN — and those CDN domains aren't in your walled garden, the portal page will fail to render correctly for unauthenticated users. Always audit every external resource your portal page loads and ensure those domains are whitelisted. This is particularly important if you're using a third-party portal platform like Purple, where the portal page may be served from a cloud CDN.

The second common issue is iOS Captive Network Assistant conflicts. Apple's CNA — the pop-up browser that iOS uses for captive portal authentication — has significant limitations. It doesn't support all JavaScript features, it doesn't persist cookies in the same way as Safari, and it has strict timeout behaviour. If your portal relies on complex JavaScript flows or OAuth redirects, you may find that iOS users have a degraded experience. The solution is to design your portal with CNA limitations in mind, or to implement a redirect to the device's native browser after the initial detection.

Third: RADIUS timeout and failover. In high-density environments — a stadium with 50,000 concurrent sessions, for example — your RADIUS infrastructure needs to be sized accordingly. A RADIUS server that's overwhelmed will cause authentication timeouts, which manifest to the end user as a portal that appears to hang. Implement RADIUS redundancy with primary and secondary servers, and configure appropriate retry and timeout values on your access controllers.

Fourth: GDPR and data retention compliance. Under GDPR, if you're collecting personal data at the portal — email addresses, social login data — you need a lawful basis, a privacy notice, and a data retention policy. The ICO in the UK and equivalent authorities across the EU take WiFi data collection seriously. Platforms like Purple handle this at the platform level, providing built-in consent management, data subject access request tooling, and configurable retention policies. But you need to ensure your portal configuration actually enforces those policies — don't assume it's handled automatically without verifying.

[RAPID-FIRE Q&A — approximately 1 minute]

Let me run through some questions I get asked regularly.

"Can a captive portal work with WPA3?" Yes. WPA3 handles the wireless encryption layer independently of the captive portal authentication layer. You can run a captive portal on a WPA3-protected SSID. The portal handles network access control; WPA3 handles over-the-air encryption.

"Do captive portals work on 5G devices?" Yes, with caveats. Devices that support 5G Passpoint or OpenRoaming may bypass the captive portal entirely if they have a valid Passpoint credential. This is by design — Passpoint is intended to provide seamless authentication. If you want to enforce portal authentication for all devices, ensure your SSID is not advertising Passpoint support unless you intend it.

"What's the difference between a captive portal and 802.1X?" 802.1X is a port-based network access control standard that authenticates devices before they're granted any network access at the Layer 2 level. Captive portals operate at Layer 3 and above — the device gets an IP address first, then is redirected. 802.1X is typically used for corporate networks with managed devices; captive portals are used for guest networks with unmanaged devices.

[SUMMARY AND NEXT STEPS — approximately 1 minute]

To summarise: a captive portal works through a coordinated sequence of DNS interception, HTTP redirection, walled garden enforcement, RADIUS authentication, and MAC-based session management. Each component needs to be correctly configured for the system to work reliably at scale.

For IT teams evaluating or deploying guest WiFi, the key decisions are: cloud-hosted versus on-premises portal infrastructure, RADIUS architecture and redundancy, walled garden configuration management, and compliance tooling for GDPR and data retention.

Purple's guest WiFi platform handles all of these layers — from the captive portal server and RADIUS integration through to analytics, marketing automation, and compliance management — across more than 80,000 venues globally. If you're planning a deployment or evaluating your current setup, the Purple team can provide a technical architecture review.

Links to the full written guide, architecture diagrams, and implementation checklists are in the show notes. Thanks for listening.

Principais Conclusões

✓Captive portals operate at Layer 3, intercepting DNS and HTTP traffic to redirect unauthenticated users to a login page.
✓The 'Walled Garden' is a critical pre-authentication whitelist; misconfiguring it breaks portal rendering and third-party logins.
✓Never attempt to intercept HTTPS traffic; rely on OS-native Captive Network Assistant (CNA) probes.
✓RADIUS provides the backbone for Authentication, Authorisation (bandwidth limits, session timeouts), and Accounting (compliance logs).
✓Cloud-hosted portal and RADIUS infrastructure provides superior scalability and centralised management compared to on-premises servers.
✓MAC address caching enables seamless roaming for returning guests by bypassing the portal via MAB (MAC Authentication Bypass).
✓Modern platforms like Purple integrate captive portal functionality with OpenRoaming/Passpoint for secure, cellular-like connectivity.

Resumo Executivo

Para gerentes de TI e arquitetos de rede que implementam Guest WiFi público ou corporativo, o captive portal é a fronteira crítica entre um dispositivo não autenticado e sua infraestrutura de rede. Este guia oferece uma análise técnica aprofundada de como um captive portal funciona—removendo a camada de marketing para examinar os mecanismos subjacentes de interceptação de DNS, redirecionamento HTTP, configuração de walled garden e autenticação RADIUS.

Seja você projetando uma implantação de alta densidade para um estádio, uma rede distribuída para Varejo , ou uma solução em conformidade para Saúde , compreender o ciclo de vida da sessão e as dependências arquitetônicas é essencial. Um portal mal configurado leva a experiências de usuário degradadas, avisos de segurança do navegador e potenciais falhas de conformidade. Este guia de referência descreve a arquitetura técnica, melhores práticas de implementação e modos de falha comuns para garantir que sua implantação seja segura, escalável e em conformidade com padrões modernos como WPA3 e Passpoint.

Análise Técnica Aprofundada

Em sua essência, um captive portal é um mecanismo de controle de acesso à rede da Camada 3. Ele intercepta o tráfego de um dispositivo associado, mas não autenticado, redirecionando o usuário para uma interface de autenticação antes de conceder acesso total à rede.

O processo depende de uma sequência coordenada de serviços de rede:

1. Associação e Atribuição de IP Quando um dispositivo convidado se conecta ao SSID, o ponto de acesso sem fio ou controlador faz a ponte da conexão para uma VLAN específica. O servidor DHCP local atribui um endereço IP, máscara de sub-rede e gateway padrão. Nesta fase, o dispositivo está conectado na Camada 2, mas está em um estado "pré-autenticado" na Camada 3. Todo o tráfego de saída está sujeito a listas de controle de acesso (ACLs) rigorosas, aplicadas pelo servidor de acesso à rede (NAS), tipicamente o controlador de LAN sem fio (WLC) ou firewall de borda.

2. Interceptação de DNS (DNS Spoofing) Para acionar o captive portal, a rede deve interceptar as solicitações web iniciais do usuário. Quando o dispositivo tenta resolver um nome de domínio (por exemplo, www.example.com), a consulta DNS é interceptada pelo NAS ou por um servidor DNS dedicado dentro do walled garden. Em vez de retornar o endereço IP público real para o domínio solicitado, o servidor DNS retorna o endereço IP do servidor captive portal.

3. Redirecionamento HTTP Quando o navegador do cliente tenta uma conexão HTTP com o endereço IP falsificado, o servidor captive portal responde com um redirecionamento HTTP 302 (Encontrado) ou HTTP 303 (Ver Outro). Isso instrui o navegador a navegar para a URL real da página de login do captive portal.

Sistemas operacionais modernos empregam mecanismos de Captive Network Assistant (CNA) para detectar isso automaticamente. Ao conectar-se a uma rede, o SO envia uma solicitação HTTP GET para uma URL de sonda conhecida (por exemplo, captive.apple.com para iOS/macOS, msftconnecttest.com para Windows). Se o SO receber um redirecionamento HTTP em vez do esperado 200 OK ou de uma carga HTML específica, ele assume que um captive portal está presente e lança automaticamente um pseudo-navegador para exibir a página do portal.

4. O Walled Garden Durante o estado pré-autenticado, o usuário deve ser capaz de carregar a página do portal e seus ativos associados. O "walled garden" é uma lista branca de endereços IP, sub-redes e domínios configurados no NAS. O tráfego destinado a esses locais na lista branca é permitido, enquanto todo o outro tráfego é descartado. Um walled garden configurado corretamente deve incluir:

O endereço IP do servidor captive portal.
Redes de Entrega de Conteúdo (CDNs) hospedando CSS, JavaScript e ativos de imagem para a página do portal.
Provedores de identidade (por exemplo, Facebook, Google) se o login social estiver ativado.
Gateways de pagamento se o portal exigir acesso pago.

5. Autenticação e RADIUS Assim que o usuário envia suas credenciais ou aceita os termos de serviço, o servidor captive portal atua como um cliente RADIUS. Ele constrói um pacote RADIUS Access-Request contendo os detalhes do usuário e o envia para o servidor RADIUS (Remote Authentication Dial-In User Service).

O servidor RADIUS valida a solicitação em seu banco de dados. Se bem-sucedido, ele retorna um pacote Access-Accept. Crucialmente, este pacote pode incluir Atributos Específicos do Fornecedor (VSAs) que definem os parâmetros da sessão, como Session-Timeout (duração máxima da conexão), Idle-Timeout e limites de taxa de largura de banda.

6. Ativação e Contabilização da Sessão Ao receber o Access-Accept, o servidor captive portal instrui o NAS a autorizar o endereço MAC do cliente. As restrições do walled garden são removidas, e o dispositivo recebe acesso total à internet. Simultaneamente, o NAS envia um pacote RADIUS Accounting-Request (Start) para o servidor RADIUS para iniciar o rastreamento da sessão para fins de análise e conformidade.

Guia de Implementação

A implantação de um captive portal robusto requer coordenação cuidadosa entre a infraestrutura sem fio e a plataforma do portal. Para gerentes de TI que avaliam Provedores de Guest WiFi: O Que Procurar ao Escolher uma Plataforma WiFi , considere as seguintes abordagens arquitetônicas:

Hospedado na Nuvem vs. Local Implantações corporativas modernas elefavorecem fortemente a infraestrutura de portal e RADIUS hospedada na nuvem. Plataformas como Purple fornecem uma arquitetura RADIUS distribuída globalmente, eliminando a necessidade de servidores AAA locais. O WLC local simplesmente direciona suas solicitações de autenticação e contabilidade RADIUS para os endpoints do provedor de nuvem. Essa abordagem escala de forma contínua e centraliza o gerenciamento em vários locais, o que é particularmente benéfico para ambientes distribuídos de Hotelaria e varejo.

Configuração de Walled Garden A causa mais frequente de problemas de renderização do portal é um walled garden incompleto. Páginas web modernas dependem fortemente de recursos externos. Se uma fonte ou uma biblioteca JavaScript hospedada em um CDN de terceiros for bloqueada, o portal pode travar ou renderizar incorretamente no navegador CNA do sistema operacional.

Recomendação: Use entradas de walled garden baseadas em domínio onde seu WLC as suporte (por exemplo, *.purple.ai). Se seu hardware suportar apenas walled gardens baseados em IP, você deve manter uma lista atualizada dos sub-redes IP do provedor do portal.

Tratamento de Interceptação HTTPS Historicamente, os captive portals interceptavam todo o tráfego da porta 80 (HTTP) e da porta 443 (HTTPS). No entanto, com a ampla adoção do HTTP Strict Transport Security (HSTS), a interceptação de tráfego HTTPS faz com que os navegadores exibam avisos de segurança graves, pois o certificado SSL do portal não corresponderá ao domínio solicitado.

Recomendação: Nunca intercepte tráfego HTTPS. Confie inteiramente nos mecanismos CNA nativos do sistema operacional (que sondam via HTTP) ou instrua explicitamente os usuários a navegar para uma URL HTTP conhecida (por exemplo, http://neverssl.com) para acionar o redirecionamento.

Melhores Práticas

1. Cache de Endereço MAC para Roaming Contínuo Para melhorar a experiência do usuário, implemente o cache de endereço MAC. Quando um usuário se autentica com sucesso, o servidor RADIUS registra seu endereço MAC. Se o usuário se desconectar e retornar dentro de um período especificado (por exemplo, 30 dias), o WLC envia uma solicitação de desvio de autenticação MAC (MAB) ao servidor RADIUS. O servidor reconhece o endereço MAC e retorna um Access-Accept imediatamente, concedendo acesso à rede sem exigir que o usuário interaja com o portal novamente.

2. Projetando para o Assistente de Rede Cativa (CNA) Os pseudo-navegadores lançados por iOS e Android para exibir captive portals têm funcionalidade limitada em comparação com navegadores completos. Eles frequentemente não suportam pop-ups, têm restrições rigorosas de tempo limite e lidam com cookies de forma diferente.

Recomendação: Mantenha a interface do usuário do portal leve. Evite frameworks JavaScript complexos ou ativos de mídia pesados que possam fazer com que o CNA expire. Se você precisar de interações complexas (como downloads de aplicativos), use o portal para autorizar o dispositivo primeiro e, em seguida, redirecione o usuário para seu navegador nativo.

3. Integração com OpenRoaming e Passpoint Embora os captive portals permaneçam essenciais para a captura de dados e aceitação de termos, a indústria está se movendo em direção a padrões de autenticação contínua como Passpoint (Hotspot 2.0). Purple atua como um provedor de identidade gratuito para serviços como OpenRoaming sob a licença Connect. Dispositivos configurados com um perfil OpenRoaming podem se autenticar com segurança na Camada 2 (via 802.1X/EAP) sem interagir com um captive portal, proporcionando uma experiência de roaming semelhante à celular. Sua infraestrutura deve suportar ambos os mecanismos simultaneamente.

Solução de Problemas e Mitigação de Riscos

Sintoma: A página do portal não aparece automaticamente em dispositivos móveis.

Causa Raiz: O walled garden está mal configurado, permitindo que as solicitações de sonda CNA do sistema operacional alcancem a internet diretamente. Se o sistema operacional receber um 200 OK de captive.apple.com, ele assume que tem acesso total à internet e não iniciará o portal.
Mitigação: Certifique-se de que os domínios de sonda CNA não estejam na lista branca do walled garden. Eles devem ser interceptados e redirecionados para o servidor do portal.

Sintoma: Usuários veem um aviso de certificado SSL/TLS.

Causa Raiz: O WLC está tentando interceptar o tráfego HTTPS e está apresentando o certificado SSL do portal em vez do certificado para o domínio solicitado pelo usuário.
Mitigação: Desative o redirecionamento HTTPS no WLC.

Sintoma: O login social (por exemplo, Facebook, Google) falha ao carregar ou autenticar.

Causa Raiz: Os domínios necessários para o fluxo OAuth do provedor de identidade estão faltando no walled garden.
Mitigação: Audite a configuração do walled garden em relação à documentação atual do provedor de identidade. Observe que esses intervalos de IP e domínios mudam frequentemente.

ROI e Impacto nos Negócios

Um captive portal não é meramente uma necessidade técnica; é um ativo estratégico. Ao substituir chaves pré-compartilhadas genéricas (PSKs) por um portal gerenciado, as organizações alcançam:

Captura de Dados e Automação de Marketing: A integração do portal com uma plataforma de Análise de WiFi permite que os locais coletem dados primários verificados (e-mails, dados demográficos) em troca de acesso. Esses dados alimentam sistemas de CRM e campanhas de marketing direcionadas.
Conformidade e Mitigação de Riscos: Operadores de WiFi público estão sujeitos a leis de retenção de dados e responsabilidade por violação de direitos autorais. Um captive portal com contabilidade RADIUS fornece um registro auditável de qual dispositivo (endereço MAC) deteve qual endereço IP em um momento específico, protegendo o local de responsabilidade.
Gerenciamento de Largura de Banda: Ao aplicar atributos RADIUS como Filter-Id ou WISPr-Bandwidth-Max-Down, a TI pode evitar que usuários individuais monopolizem a conexão WAN, garantindo uma experiência consistente para todos os convidados e protegendo o tráfego crítico de back-office. Isso é particularmente relevante ao avaliar Os Principais Benefícios do SD WAN para Empresas Modernas .

Termos-Chave e Definições

Walled Garden

An access control list (ACL) applied to unauthenticated users, permitting traffic only to specific IP addresses or domains required to load the captive portal.

Crucial for allowing access to CDNs, payment gateways, and social login APIs before the user is fully authorised.

RADIUS (Remote Authentication Dial-In User Service)

The industry-standard networking protocol that provides centralised Authentication, Authorisation, and Accounting (AAA) management.

The captive portal server uses RADIUS to tell the wireless controller whether a user is allowed on the network and what restrictions apply.

Captive Network Assistant (CNA)

A pseudo-browser built into modern operating systems (iOS, Android, Windows) designed specifically to detect and display captive portals.

CNAs have limited functionality compared to full browsers; portals must be designed to accommodate their constraints.

MAC Authentication Bypass (MAB)

A process where the network uses a device's MAC address as its identity to authenticate against a RADIUS server without user interaction.

Used to implement 'MAC Caching', allowing returning guests to connect seamlessly without seeing the portal again.

DNS Interception / Spoofing

The process where the network intercepts a user's DNS query and returns the IP address of the captive portal server instead of the actual destination.

This is the primary mechanism used to force the user's web traffic to the portal page.

HTTP 302 Redirect

An HTTP response status code indicating that the requested resource has been temporarily moved to a different URI.

Used by the portal server to redirect the intercepted HTTP request to the actual login page URL.

Vendor-Specific Attributes (VSAs)

Custom parameters included in a RADIUS message that allow vendors to support features not defined in the base RADIUS standard.

Used to pass specific policies, like bandwidth limits or VLAN assignments, from the portal platform to the specific brand of wireless controller.

Passpoint (Hotspot 2.0)

A standard that enables mobile devices to automatically discover and authenticate to Wi-Fi networks securely without user interaction.

The modern alternative to captive portals for seamless roaming; platforms like Purple act as identity providers for Passpoint networks.

Estudos de Caso

A 500-room hotel is upgrading its guest WiFi. They want returning guests to connect seamlessly without seeing the portal again for 30 days, but they require a daily bandwidth limit of 10Mbps per device.

Configure the WLC to use external RADIUS authentication pointing to the cloud provider. 2. Enable MAC Address Caching on the RADIUS server with a 30-day retention policy. 3. Configure the portal profile to assign a RADIUS Vendor-Specific Attribute (VSA) for bandwidth limiting (e.g., WISPr-Bandwidth-Max-Down = 10000000) in the Access-Accept packet.

Notas de Implementação: This approach balances user experience with network protection. By using MAC caching, the initial captive portal interaction is preserved for terms acceptance, while subsequent connections rely on seamless MAB (MAC Authentication Bypass) at Layer 2. The bandwidth VSA ensures the WLC enforces the limit dynamically.

A retail chain deploys a new captive portal featuring a Facebook login option. Users report that when they click the Facebook button, the page hangs indefinitely inside the captive portal pop-up.

The WLC's walled garden configuration is incomplete. The network administrator must add Facebook's required OAuth domains (e.g., graph.facebook.com, connect.facebook.net) and IP subnets to the pre-authentication ACL.

Notas de Implementação: This is the most common failure mode in modern portal deployments. Because the device is in a pre-authenticated state, any traffic to domains not explicitly whitelisted in the walled garden is dropped. The CNA browser simply times out waiting for the Facebook API response.

Análise de Cenário

Q1. You are deploying a captive portal at a stadium. The portal requires users to watch a 15-second video hosted on YouTube before gaining access. Users are reporting that the portal loads, but the video frame is blank. What is the most likely architectural cause?

💡 Dica:Consider the state of the device before it is fully authenticated and what resources it needs to access.

Mostrar Abordagem Recomendada

The walled garden configuration is incomplete. The network administrator must add YouTube's video delivery domains and CDNs to the walled garden ACL. Without this, the unauthenticated device cannot reach the YouTube servers to stream the video content, even though the main portal page (hosted elsewhere) loads successfully.

Q2. A client insists on intercepting all HTTPS traffic to force users to the captive portal, arguing that users rarely type 'http://' anymore. Why is this a bad idea, and what is the standard alternative?

💡 Dica:Think about how modern browsers handle SSL/TLS certificates and HSTS.

Mostrar Abordagem Recomendada

Intercepting HTTPS traffic requires the wireless controller to present a certificate for the requested domain (e.g., google.com). Since the controller does not possess Google's private key, the browser will flag the connection as insecure and display a severe certificate warning, breaking the user experience. The standard alternative is to rely on the Operating System's built-in Captive Network Assistant (CNA), which automatically probes known HTTP URLs in the background specifically to trigger the redirect gracefully.

Q3. A venue wants to limit guest WiFi sessions to 2 hours. How is this enforced technically within the captive portal architecture?

💡 Dica:Which component is responsible for Authorisation and passing policy parameters to the network hardware?

Mostrar Abordagem Recomendada

This is enforced via RADIUS. When the captive portal server successfully authenticates the user, it receives an Access-Accept packet from the RADIUS server. This packet includes a 'Session-Timeout' attribute set to 7200 seconds (2 hours). The wireless controller reads this attribute, applies the timer to the user's session, and automatically disconnects the device when the timer expires.