Solução de problemas do Captive Portal da HPE Aruba: lista de verificação para redirecionamento, certificado e walled garden

Um Captive Portal HPE Aruba que apresenta falhas geralmente tem um de cinco problemas. A função de pré-autenticação bloqueia o DNS ou o portal, ou faltam entradas no walled garden. Outras falhas comuns são uma URL de redirecionamento malformada, o certificado padrão da controladora acionando avisos no navegador ou solicitações RADIUS que nunca chegam ao servidor de autenticação. Verifique primeiro o DHCP e o DNS na VLAN de convidados e depois trabalhe para fora.

Como é a aparência de um Captive Portal Aruba que não está funcionando?

A maioria das falhas se manifesta como um de três sintomas. Nomear o sintoma corretamente economiza uma hora de adivinhação.

Sem redirecionamento. O convidado se conecta ao SSID aberto e obtém um endereço IP, mas nenhuma página de login aparece. O Captive Network Assistant (CNA), o pequeno navegador que seu telefone abre automaticamente, não aparece ou exibe uma tela em branco.

Aviso de certificado. A página de login é carregada apenas após uma mensagem de "Sua conexão não é privada". Os laptops mostram isso mais do que os telefones, porque os navegadores de desktop esperam HTTPS para qualquer página de login.

Nunca liberado. O convidado conclui a splash page, mas fica preso na função cativa. Eles voltam para a página de login em um loop ou o CNA relata que não há conexão com a internet.

Este guia continua de onde o seu guia de configuração do Captive Portal HPE Aruba parou. Ele assume que o SSID, o perfil do portal externo e os servidores RADIUS já existem. Para a mesma lista de verificação no Meraki, consulte Cisco Meraki captive portal troubleshooting: splash page, walled garden and RADIUS checklist.

O que geralmente faz com que um Captive Portal Aruba falhe?

Um Captive Portal é uma página web pela qual a rede força os convidados a passar antes de liberar o acesso à internet. No Aruba, cinco componentes precisam estar alinhados para que isso funcione.

Função de pré-autenticação e walled garden

Todo convidado começa em uma função de pré-autenticação, também chamada de função inicial ou de Captive Portal. Essa função deve permitir DHCP, DNS e HTTP/HTTPS para o host do portal. Qualquer outro destino deve ser redirecionado ou negado.

O walled garden é a lista de destinos que um convidado pode acessar antes de fazer o login. Um portal externo precisa de seu próprio hostname listado lá, além de todos os domínios que a splash page carrega. Fontes, scripts, tags de analytics e provedores de login social contam. Uma única entrada ausente pode deixar o CNA em uma tela branca.

URL de redirecionamento e parâmetros

Quando o AP intercepta a primeira solicitação HTTP de um convidado, ele direciona o navegador para a URL do portal externo. O Aruba anexa parâmetros a essa URL, como o endereço MAC do cliente, o SSID e o endereço para enviar as credenciais de volta.

Uma URL incorreta, um caractere final perdido ou uma incompatibilidade de HTTP/HTTPS quebra a transferência. O portal então não consegue identificar o AP ou o convidado.

Certificado padrão do Captive Portal

As controladoras Aruba e controladoras virtuais vêm de fábrica com um certificado padrão para sua página de login interna. Ele não é emitido para um hostname que você possui. Os navegadores, portanto, o sinalizam como não confiável ou incompatível.Nosso artigo de suporte sobre Cisco WLC captive portal certificate setup descreve o mesmo princípio no Cisco. A solução é um certificado publicamente confiável cujo Common Name (CN) corresponda ao hostname que a controladora apresenta.

Autenticação e accounting RADIUS

O RADIUS (Remote Authentication Dial-In User Service) é o protocolo que a controladora usa para perguntar a um servidor de autenticação se deve admitir um cliente. Com a Purple, nossos sistemas de splash page coletam os detalhes do visitante e emitem um login de uso único. A controladora então passa esse login para o servidor RADIUS da Purple para concluir a autenticação, conforme explica o nosso artigo de suporte do captive portal.

Se a solicitação nunca chegar, ou se o segredo compartilhado estiver incorreto, o visitante nunca será liberado. As mensagens de accounting relatam o início e o fim da sessão. A ausência de accounting deixa você com lacunas nos dados de sessão.

DNS e DHCP na VLAN de visitantes

Uma VLAN (LAN virtual) separa o tráfego de visitantes do tráfego corporativo. Se a VLAN de visitantes fornecer um servidor DNS inacessível, o navegador não conseguirá resolver o hostname do portal. O redirecionamento então nunca é iniciado. Escopos de DHCP esgotados causam o mesmo sintoma em horários de pico.

Como identificar qual é a causa do seu problema?

Trabalhe a partir do cliente para fora. Esta matriz de decisão mapeia o que você vê para onde deve olhar primeiro.

Sintoma	Causa mais provável	Verificar primeiro	Correção
Sem endereço IP, ou um IP autoatribuído	Escopo DHCP esgotado ou VLAN de visitantes sem entroncamento	Concessões do servidor DHCP e marcação de VLAN no uplink do AP	Estenda o escopo ou encurte o tempo de concessão, depois marque a VLAN na porta do switch
Endereço IP, mas sem redirecionamento	DNS bloqueado na função de pré-autenticação, ou primeira solicitação apenas em HTTPS	Função do cliente no AP ou detalhes do cliente no Central	Permita o DNS na função de pré-autenticação, depois teste com neverssl.com
Redirecionamento é iniciado, página em branco	Entradas ausentes no walled garden	Ferramentas de desenvolvedor do navegador em um notebook de teste	Adicione todos os domínios bloqueados ao walled garden
Portal diz que não consegue identificar a rede	URL de redirecionamento malformada ou parâmetros ausentes	URL de redirecionamento completa capturada em um dispositivo de teste	Corrija a URL do portal externo no perfil
"Sua conexão não é privada"	Certificado padrão da controladora ou divergência de CN	Detalhes do certificado no cadeado do navegador	Instale um certificado publicamente confiável que corresponda ao hostname do portal
Login concluído, visitante volta em loop	Rejeição do RADIUS, timeout ou divergência de segredo compartilhado	Logs do servidor RADIUS e logs de autenticação do AP	Alinhe o segredo, permita o endereço de origem, confirme se o servidor está acessível
Online, mas dados de sessão incompletos	Accounting desabilitado ou bloqueado	Logs de accounting RADIUS	Habilite o accounting no perfil do servidor

O que verificar nos logs do cliente

Comece com o CNA. O Android mostra uma notificação "pode ser necessário fazer login" e fecha o CNA assim que detecta a autenticação. Se o CNA for ignorado, abra um navegador e acesse neverssl.com. Esse site permanece em HTTP simples, para que o AP possa interceptar a solicitação sem um erro de SSL.

Em um laptop, as ferramentas de desenvolvedor do navegador mostram quais solicitações falharam durante o carregamento da página. Cada domínio bloqueado é uma entrada ausente no jardim murado.

O que verificar nos logs do AP e do controlador

Verifique primeiro a função atual do cliente. Um convidado que ainda está na função de pré-autenticação após o login indica um problema de RADIUS. Um convidado sem função alguma aponta para associação ou DHCP. Em seguida, leia os logs de depuração de autenticação para o endereço MAC do cliente. Um timeout de RADIUS significa que os pacotes não estão saindo ou não estão chegando. Um Access-Reject significa que o servidor os recebeu e recusou.

Como resolver isso no Instant AP, Aruba Central e controladores?

Os conceitos são os mesmos em todas as três plataformas. O local onde você os altera é que difere. Os valores detalhados para o Purple estão em nosso artigo de suporte do captive portal. Use esses valores, e não valores copiados de outro local.

Captive portal externo do Aruba Instant

No Instant, o controlador virtual mantém o perfil do portal externo, o jardim murado e as definições do servidor RADIUS. Confirme de qual endereço o tráfego RADIUS se origina. Com o proxy RADIUS dinâmico habilitado, as solicitações chegam do endereço do controlador virtual. Sem ele, cada AP envia suas próprias solicitações. O servidor RADIUS e qualquer firewall entre eles devem permitir a origem que você utilizar.

Solução de problemas do portal de convidados no Aruba Central

No Aruba Central, o tipo de splash page da WLAN deve ser definido como externo. Verifique se o perfil do portal aponta para a URL correta. A visualização de cliente do Central mostra a função, a VLAN e os eventos de autenticação de cada convidado em um só lugar. Isso torna essa a maneira mais rápida de distinguir uma falha de DNS de uma falha de RADIUS em vários locais.

Implantações baseadas em controlador

Em um controlador de mobilidade, verifique três objetos: a função inicial, o perfil do captive portal e o perfil AAA. A política de acesso da função inicial deve permitir DNS, DHCP e o host do portal. O perfil do captive portal deve fazer referência ao certificado de servidor correto. O nome de host do portal do controlador também deve ser resolvido na VLAN de convidados.

Como é uma correção em um local real?

Estes exemplos práticos mostram como a lista de verificação funciona. Eles são ilustrativos, não casos de sucesso de clientes reais identificados.

Um hotel de 180 quartos com Instant APs. Os hóspedes em iPhones viam um CNA em branco após uma reformulação da splash page. A nova página carregava fontes e um botão de login social de domínios ausentes no jardim murado. O gerente de TI listou as solicitações que falharam nas ferramentas de desenvolvedor do navegador e adicionou cada domínio. Os logins concluídos no portal aumentaram de cerca de 40 por dia para mais de 250 em uma semana. Para saber mais sobre a conectividade de convidados neste setor, consulte Hotéis.

Uma rede de moda de 40 lojas no Aruba Central. Os compradores em notebooks relataram avisos de "rede insegura", gerando cerca de 25 chamados de suporte por mês. Os controladores virtuais ainda apresentavam o certificado padrão. A equipe instalou um certificado publicamente confiável com um CN correspondente ao hostname do portal e, em seguida, confirmou que esse nome era resolvido na VLAN de convidados. Os chamados caíram para dois no mês seguinte. Consulte Varejo para ver como o acesso de convidados apoia as lojas.

Um centro de conferências administrado pelo conselho municipal em um controlador de mobilidade. Os participantes preenchiam a splash page, mas retornavam para ela em loop. Os logs de autenticação mostraram tempos limites de RADIUS. Uma nova regra de firewall de perímetro havia bloqueado o endereço de origem do controlador. Depois que o endereço foi liberado novamente, a liberação do login para o status online caiu de "nunca" para menos de cinco segundos.

Como evitar que o Captive Portal da Aruba falhe novamente?

• Controle a versão do walled garden. Trate cada alteração na splash page como uma alteração de rede e atualize o walled garden na mesma versão.
• Defina lembretes de renovação de certificado. Um certificado público expirado traz o aviso de volta da noite para o dia. Agende a renovação com pelo menos 30 dias de antecedência antes do vencimento.
• Teste com três dispositivos. Após qualquer alteração, teste em um iPhone, um telefone Android e um notebook Windows. Cada um lida com o CNA de forma diferente.
• Monitore o RADIUS. Crie alertas para o aumento de contagens de Access-Reject ou de tempo limite, e não apenas para a disponibilidade do servidor.
• Mantenha o SSID de convidados aberto. A Purple recomenda um SSID aberto para o acesso de convidados porque isso reduz a fricção. Se você também executa WPA3 em outro lugar, leia Falhas de conexão no modo de transição WPA3: uma checklist de implantação para Cisco Meraki, HPE Aruba e Ruckus.

O WiFi de convidados da Purple funciona como uma sobreposição em nuvem no HPE Aruba, juntamente com Cisco Meraki, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Em mais de 80.000 locais ativos, a Purple processou 440 milhões de logins em 2024, de acordo com os próprios dados da Purple.

Perguntas frequentes

A Purple funciona com o Aruba Instant, Aruba Central e implantações baseadas em controladores?

Sim. O WiFi de convidados da Purple integra-se ao HPE Aruba por meio de um Captive Portal externo e RADIUS, portanto funciona em Instant APs, Aruba Central e controladores de mobilidade. O controlador redireciona os convidados para a splash page da Purple e, em seguida, passa o login único para o servidor RADIUS da Purple. Você mantém seus pontos de acesso e switches existentes e configura o perfil do portal, o walled garden e os servidores RADIUS com os valores publicados da Purple.

Preciso comprar um certificado SSL público para o meu controlador Aruba?

Sim, se você deseja que os convidados evitem avisos no navegador. O certificado padrão em um controlador ou controlador virtual Aruba não é emitido para um nome de host que você possui, portanto, os navegadores de desktop o sinalizam. Um certificado publicamente confiável cujo Common Name corresponda ao nome de host do portal remove o aviso. Certificados padrão validados por domínio de qualquer autoridade de certificação pública são adequados, e você os renova de acordo com o cronograma do emissor.

A migração do nosso portal de convidados Aruba para o Purple exigirá novo hardware?

Não. O Purple é agnóstico em relação ao hardware e funciona como uma sobreposição em nuvem nos pontos de acesso e controladores HPE Aruba que você já possui. A mudança é apenas de configuração: uma nova URL de portal externo, entradas de walled garden atualizadas e os servidores RADIUS do Purple. A maior parte do esforço é dedicada a testes em telefones e laptops em um site piloto antes de implantar o perfil em toda a propriedade.

O Captive Portal Aruba do Purple está em conformidade com a GDPR?

Sim. O Purple possui certificação ISO 27001 e opera em conformidade com a GDPR e CCPA. Os convidados dão consentimento de escolha consciente na splash page, de modo que o consentimento de marketing é registrado no momento do login. Sua rede Aruba lida com o tráfego, enquanto o Purple armazena os dados primários sob seu controle. Você define os prazos de retenção e o texto de consentimento para corresponder à sua própria política de privacidade.

Como o Guest WiFi do Purple é licenciado para uma propriedade Aruba?

O Purple licencia o Guest WiFi por meio de três planos: Connect, Capture e Engage. O Connect cobre o acesso seguro de convidados, enquanto o Capture e o Engage adicionam recursos de coleta de dados e marketing por cima. O plano que você escolhe não altera a configuração do Aruba, pois cada plano usa o mesmo portal externo e integração RADIUS. A equipe de contas do Purple pode fornecer uma cotação de acordo com o número de locais e o plano escolhido.

Quanto tempo leva para consertar um Captive Portal Aruba com problemas?

A maioria das falhas leva menos de um dia para ser corrigida assim que você identifica o sintoma. Problemas de walled garden e DNS geralmente levam menos de uma hora para serem resolvidos após a captura das solicitações com falha. A substituição do certificado depende de quão rápido sua autoridade de certificação valida o domínio. Falhas de RADIUS causadas por alterações no firewall geralmente exigem uma solicitação de alteração, portanto, planeje considerando sua própria janela de aprovação.

Devemos usar o Aruba ClearPass ou um portal externo como o Purple para convidados?

Escolha um portal externo como o Purple se você deseja dados de convidados, consentimento de marketing e análises sem a necessidade de gerenciar servidores adicionais no local. O ClearPass é um gerenciador de políticas local adequado para controle complexo de acesso de funcionários. O Purple roda na nuvem com 99.999% de tempo de atividade e gerencia a splash page, o RADIUS e a captura de dados juntos. Muitos locais mantêm o ClearPass para funcionários e usam o Purple para convidados.