Como Funciona um Captive Portal? Análise Técnica Aprofundada

Uma análise técnica aprofundada e abrangente da arquitetura de captive portals, explicando a interceção de DNS, redirecionamento HTTP, walled gardens e autenticação RADIUS para profissionais de TI.

📖 7 min de leitura📝 1,564 palavras🔧 2 exemplos❓ 3 perguntas📚 8 termos-chave

🎧 Ouça este Guia

Ver Transcrição

How Does a Captive Portal Work? A Technical Deep Dive
A Purple WiFi Intelligence Briefing

[INTRODUCTION — approximately 1 minute]

Welcome to the Purple Technical Briefing series. I'm your host, and today we're going deep on captive portals — specifically, how they actually work under the hood. Not the marketing version. The real version: DNS interception, HTTP redirects, walled garden configuration, RADIUS authentication, and session lifecycle management.

If you're an IT manager, network architect, or CTO responsible for guest WiFi at a hotel, retail estate, stadium, or public-sector venue, this is the briefing you need before you sign off on your next deployment. We'll cover the full technical stack, the common failure modes, and where platforms like Purple fit into the picture.

Let's get into it.

[TECHNICAL DEEP-DIVE — approximately 5 minutes]

So, how does a captive portal work? At its most fundamental level, a captive portal is a network access control mechanism that intercepts a guest device's internet traffic and redirects it to an authentication or registration page before granting full network access. Simple concept. Complex implementation.

Let's walk through the full sequence, step by step.

Step one: Association and DHCP. When a guest device connects to your SSID — your guest WiFi network — the access point assigns it an IP address via DHCP, just as you'd expect. At this point, the device has a valid IP address and a default gateway, but it cannot reach the internet. The network is in a pre-authenticated state. The device is associated, but not yet authorised.

Step two: DNS interception. Here's where it gets interesting. When the guest device tries to resolve any domain name — let's say it's trying to reach google.com — the DNS query is intercepted by the captive portal system. The DNS server in the walled garden responds with the IP address of the captive portal server, not the actual IP of google.com. This is sometimes called DNS spoofing, though in this context it's entirely intentional and controlled. Every DNS query, for any domain, returns the same answer: the portal's IP address.

Step three: HTTP redirect. The guest device's browser then attempts to connect to what it thinks is google.com, but it's actually connecting to the captive portal server. The portal server issues an HTTP 302 redirect — a standard redirect response — pointing the browser to the portal's login or registration page. Modern operating systems, including iOS, Android, Windows, and macOS, have built-in captive portal detection mechanisms. They periodically probe known URLs — Apple uses captive.apple.com, Microsoft uses msftconnecttest.com — and when they detect a redirect rather than the expected response, they automatically launch the captive portal browser window. This is the little pop-up you see on your phone when you connect to airport WiFi.

Step four: The walled garden. While the guest is in this pre-authenticated state, the network enforces what's called a walled garden — a set of IP addresses and domains that are accessible without authentication. This typically includes the captive portal server itself, any CDN resources the portal page needs to load, and potentially partner domains. For example, a hotel might whitelist their loyalty programme's domain so returning members can authenticate via their existing account. The walled garden is configured at the access controller or firewall level, using ACLs — access control lists — that permit traffic to whitelisted destinations while blocking everything else.

Step five: Authentication and RADIUS. When the guest submits their credentials — whether that's a social login, an email address, a voucher code, or a terms-of-service acceptance — the captive portal server processes that submission and communicates with a RADIUS server. RADIUS stands for Remote Authentication Dial-In User Service, and it's the industry-standard AAA protocol — Authentication, Authorisation, and Accounting. The portal server sends a RADIUS Access-Request packet containing the user's credentials. The RADIUS server validates those credentials against its user database or an external identity provider, and responds with either an Access-Accept or an Access-Reject. If accepted, the RADIUS server can also return authorisation attributes — things like session timeout, bandwidth limits, and VLAN assignment — as RADIUS attributes in the Access-Accept packet.

Step six: MAC authorisation and session activation. Once the RADIUS server returns an Access-Accept, the captive portal system instructs the access controller to authorise the guest device's MAC address. From this point, the device's traffic is no longer intercepted. The walled garden is lifted for that specific MAC address, and the device has full internet access — subject to any bandwidth or time limits specified in the RADIUS attributes. The RADIUS server also starts an Accounting session, recording the session start time, the device's MAC address, and the assigned IP. This accounting data is critical for compliance, particularly under GDPR and the EU's data retention requirements for public WiFi operators.

Step seven: Session lifecycle and expiry. Sessions don't last forever. The RADIUS Access-Accept typically includes a Session-Timeout attribute, which defines the maximum session duration. When that timer expires, the access controller sends a RADIUS Disconnect-Request, the MAC address is de-authorised, and the device is returned to the pre-authenticated state. The guest will need to re-authenticate. Some deployments use MAC address caching to remember returning devices, allowing them to bypass the portal for a configurable period — typically 24 hours or 30 days — which significantly improves the returning guest experience.

Now, a word on HTTPS and the modern challenge. As HTTPS adoption has become near-universal, the traditional HTTP interception model has become more complex. Browsers now enforce HSTS — HTTP Strict Transport Security — which means they refuse to connect to HTTPS sites over plain HTTP. This is why captive portal detection relies on specific HTTP probe URLs rather than intercepting arbitrary HTTPS traffic. If your portal is intercepting HTTPS traffic and presenting a self-signed certificate, you will generate browser security warnings — which is a terrible user experience and a potential compliance issue. The correct approach is to ensure your portal operates on a properly signed domain with a valid TLS certificate, and that your captive portal detection relies on the OS-native probe mechanism rather than HTTPS interception.

[IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — approximately 2 minutes]

Right, let's talk about what actually goes wrong in production deployments, and how to avoid it.

The most common failure mode is walled garden misconfiguration. If your portal page loads external resources — JavaScript libraries, fonts, images from a CDN — and those CDN domains aren't in your walled garden, the portal page will fail to render correctly for unauthenticated users. Always audit every external resource your portal page loads and ensure those domains are whitelisted. This is particularly important if you're using a third-party portal platform like Purple, where the portal page may be served from a cloud CDN.

The second common issue is iOS Captive Network Assistant conflicts. Apple's CNA — the pop-up browser that iOS uses for captive portal authentication — has significant limitations. It doesn't support all JavaScript features, it doesn't persist cookies in the same way as Safari, and it has strict timeout behaviour. If your portal relies on complex JavaScript flows or OAuth redirects, you may find that iOS users have a degraded experience. The solution is to design your portal with CNA limitations in mind, or to implement a redirect to the device's native browser after the initial detection.

Third: RADIUS timeout and failover. In high-density environments — a stadium with 50,000 concurrent sessions, for example — your RADIUS infrastructure needs to be sized accordingly. A RADIUS server that's overwhelmed will cause authentication timeouts, which manifest to the end user as a portal that appears to hang. Implement RADIUS redundancy with primary and secondary servers, and configure appropriate retry and timeout values on your access controllers.

Fourth: GDPR and data retention compliance. Under GDPR, if you're collecting personal data at the portal — email addresses, social login data — you need a lawful basis, a privacy notice, and a data retention policy. The ICO in the UK and equivalent authorities across the EU take WiFi data collection seriously. Platforms like Purple handle this at the platform level, providing built-in consent management, data subject access request tooling, and configurable retention policies. But you need to ensure your portal configuration actually enforces those policies — don't assume it's handled automatically without verifying.

[RAPID-FIRE Q&A — approximately 1 minute]

Let me run through some questions I get asked regularly.

"Can a captive portal work with WPA3?" Yes. WPA3 handles the wireless encryption layer independently of the captive portal authentication layer. You can run a captive portal on a WPA3-protected SSID. The portal handles network access control; WPA3 handles over-the-air encryption.

"Do captive portals work on 5G devices?" Yes, with caveats. Devices that support 5G Passpoint or OpenRoaming may bypass the captive portal entirely if they have a valid Passpoint credential. This is by design — Passpoint is intended to provide seamless authentication. If you want to enforce portal authentication for all devices, ensure your SSID is not advertising Passpoint support unless you intend it.

"What's the difference between a captive portal and 802.1X?" 802.1X is a port-based network access control standard that authenticates devices before they're granted any network access at the Layer 2 level. Captive portals operate at Layer 3 and above — the device gets an IP address first, then is redirected. 802.1X is typically used for corporate networks with managed devices; captive portals are used for guest networks with unmanaged devices.

[SUMMARY AND NEXT STEPS — approximately 1 minute]

To summarise: a captive portal works through a coordinated sequence of DNS interception, HTTP redirection, walled garden enforcement, RADIUS authentication, and MAC-based session management. Each component needs to be correctly configured for the system to work reliably at scale.

For IT teams evaluating or deploying guest WiFi, the key decisions are: cloud-hosted versus on-premises portal infrastructure, RADIUS architecture and redundancy, walled garden configuration management, and compliance tooling for GDPR and data retention.

Purple's guest WiFi platform handles all of these layers — from the captive portal server and RADIUS integration through to analytics, marketing automation, and compliance management — across more than 80,000 venues globally. If you're planning a deployment or evaluating your current setup, the Purple team can provide a technical architecture review.

Links to the full written guide, architecture diagrams, and implementation checklists are in the show notes. Thanks for listening.

Principais Conclusões

✓Captive portals operate at Layer 3, intercepting DNS and HTTP traffic to redirect unauthenticated users to a login page.
✓The 'Walled Garden' is a critical pre-authentication whitelist; misconfiguring it breaks portal rendering and third-party logins.
✓Never attempt to intercept HTTPS traffic; rely on OS-native Captive Network Assistant (CNA) probes.
✓RADIUS provides the backbone for Authentication, Authorisation (bandwidth limits, session timeouts), and Accounting (compliance logs).
✓Cloud-hosted portal and RADIUS infrastructure provides superior scalability and centralised management compared to on-premises servers.
✓MAC address caching enables seamless roaming for returning guests by bypassing the portal via MAB (MAC Authentication Bypass).
✓Modern platforms like Purple integrate captive portal functionality with OpenRoaming/Passpoint for secure, cellular-like connectivity.

Resumo Executivo

Para gestores de TI e arquitetos de rede que implementam Guest WiFi público ou empresarial, o Captive Portal é a fronteira crítica entre um dispositivo não autenticado e a sua infraestrutura de rede. Este guia oferece uma análise técnica aprofundada sobre como um Captive Portal funciona — removendo a camada de marketing para examinar os mecanismos subjacentes de interceção de DNS, redirecionamento HTTP, configuração de walled garden e autenticação RADIUS.

Quer esteja a projetar uma implementação de alta densidade para um estádio, uma rede distribuída para Retalho , ou uma solução compatível para Saúde , compreender o ciclo de vida da sessão e as dependências arquitetónicas é essencial. Um portal mal configurado leva a experiências de utilizador degradadas, avisos de segurança do navegador e potenciais falhas de conformidade. Este guia de referência descreve a arquitetura técnica, as melhores práticas de implementação e os modos de falha comuns para garantir que a sua implementação é segura, escalável e está em conformidade com os padrões modernos como WPA3 e Passpoint.

Análise Técnica Aprofundada

No seu cerne, um Captive Portal é um mecanismo de controlo de acesso à rede da Camada 3. Interceta o tráfego de um dispositivo associado, mas não autenticado, redirecionando o utilizador para uma interface de autenticação antes de conceder acesso total à rede.

O processo baseia-se numa sequência coordenada de serviços de rede:

1. Associação e Atribuição de IP Quando um dispositivo convidado se conecta ao SSID, o ponto de acesso sem fios ou o controlador faz a ponte da conexão para uma VLAN específica. O servidor DHCP local atribui um endereço IP, máscara de sub-rede e gateway predefinido. Nesta fase, o dispositivo está conectado na Camada 2, mas encontra-se num estado "pré-autenticado" na Camada 3. Todo o tráfego de saída está sujeito a listas de controlo de acesso (ACLs) rigorosas impostas pelo servidor de acesso à rede (NAS), tipicamente o controlador de LAN sem fios (WLC) ou firewall de borda.

2. Interceção de DNS (DNS Spoofing) Para acionar o Captive Portal, a rede deve intercetar os pedidos web iniciais do utilizador. Quando o dispositivo tenta resolver um nome de domínio (por exemplo, www.example.com), a consulta DNS é intercetada pelo NAS ou por um servidor DNS dedicado dentro do walled garden. Em vez de retornar o endereço IP público real para o domínio solicitado, o servidor DNS retorna o endereço IP do servidor Captive Portal.

3. Redirecionamento HTTP Quando o navegador do cliente tenta uma conexão HTTP para o endereço IP falsificado, o servidor Captive Portal responde com um redirecionamento HTTP 302 (Found) ou HTTP 303 (See Other). Isso instrui o navegador a navegar para o URL real da página de login do Captive Portal.

Sistemas operativos modernos empregam mecanismos de Captive Network Assistant (CNA) para detetar isso automaticamente. Ao conectar-se a uma rede, o SO envia um pedido HTTP GET para um URL de sonda conhecido (por exemplo, captive.apple.com para iOS/macOS, msftconnecttest.com para Windows). Se o SO receber um redirecionamento HTTP em vez do esperado 200 OK ou de uma carga HTML específica, assume que um Captive Portal está presente e lança automaticamente um pseudo-navegador para exibir a página do portal.

4. O Walled Garden Durante o estado pré-autenticado, o utilizador deve ser capaz de carregar a página do portal e os seus ativos associados. O "walled garden" é uma whitelist de endereços IP, sub-redes e domínios configurados no NAS. O tráfego destinado a estas localizações na whitelist é permitido, enquanto todo o outro tráfego é descartado. Um walled garden corretamente configurado deve incluir:

O endereço IP do servidor Captive Portal.
Redes de Entrega de Conteúdo (CDNs) que alojam CSS, JavaScript e ativos de imagem para a página do portal.
Fornecedores de identidade (por exemplo, Facebook, Google) se o login social estiver ativado.
Gateways de pagamento se o portal exigir acesso pago.

5. Autenticação e RADIUS Assim que o utilizador submete as suas credenciais ou aceita os termos de serviço, o servidor Captive Portal atua como um cliente RADIUS. Constrói um pacote RADIUS Access-Request contendo os detalhes do utilizador e envia-o para o servidor RADIUS (Remote Authentication Dial-In User Service).

O servidor RADIUS valida o pedido contra a sua base de dados. Se for bem-sucedido, retorna um pacote Access-Accept. Crucialmente, este pacote pode incluir Atributos Específicos do Fornecedor (VSAs) que definem os parâmetros da sessão, como Session-Timeout (duração máxima da conexão), Idle-Timeout e limites de taxa de largura de banda.

6. Ativação e Contabilização da Sessão Ao receber o Access-Accept, o servidor Captive Portal instrui o NAS a autorizar o endereço MAC do cliente. As restrições do walled garden são levantadas, e o dispositivo recebe acesso total à internet. Simultaneamente, o NAS envia um pacote RADIUS Accounting-Request (Start) para o servidor RADIUS para iniciar o rastreamento da sessão para fins de análise e conformidade.

Guia de Implementação

Implementar um Captive Portal robusto requer uma coordenação cuidadosa entre a infraestrutura sem fios e a plataforma do portal. Para gestores de TI que avaliam Fornecedores de Guest WiFi: O Que Procurar ao Escolher uma Plataforma WiFi , considere as seguintes abordagens arquitetónicas:

Cloud-Hosted vs. On-Premises Modern enterprise deployments hefavorecem fortemente infraestruturas de portal e RADIUS alojadas na cloud. Plataformas como a Purple fornecem uma arquitetura RADIUS globalmente distribuída, eliminando a necessidade de servidores AAA no local. O WLC local simplesmente direciona os seus pedidos de autenticação e contabilidade RADIUS para os endpoints do fornecedor da cloud. Esta abordagem escala de forma contínua e centraliza a gestão em vários locais, o que é particularmente benéfico para ambientes distribuídos de Hotelaria e retalho.

Configuração de Walled Garden A causa mais frequente de problemas de renderização do portal é um walled garden incompleto. As páginas web modernas dependem fortemente de recursos externos. Se uma fonte ou uma biblioteca JavaScript alojada num CDN de terceiros for bloqueada, o portal pode bloquear ou ser renderizado incorretamente no navegador CNA do sistema operativo.

Recomendação: Utilize entradas de walled garden baseadas em domínio onde o seu WLC o suporte (por exemplo, *.purple.ai). Se o seu hardware apenas suportar walled gardens baseados em IP, deve manter uma lista atualizada das sub-redes IP do fornecedor do portal.

Gestão da Interceção HTTPS Historicamente, os captive portals intercetavam todo o tráfego da porta 80 (HTTP) e da porta 443 (HTTPS). No entanto, com a adoção generalizada do HTTP Strict Transport Security (HSTS), a interceção de tráfego HTTPS faz com que os navegadores exibam avisos de segurança graves, uma vez que o certificado SSL do portal não corresponderá ao domínio solicitado.

Recomendação: Nunca intercete tráfego HTTPS. Confie inteiramente nos mecanismos CNA nativos do sistema operativo (que fazem sondagens via HTTP) ou instrua explicitamente os utilizadores a navegar para um URL HTTP conhecido (por exemplo, http://neverssl.com) para acionar o redirecionamento.

Boas Práticas

1. Cache de Endereços MAC para Roaming Contínuo Para melhorar a experiência do utilizador, implemente a cache de endereços MAC. Quando um utilizador se autentica com sucesso, o servidor RADIUS regista o seu endereço MAC. Se o utilizador se desconectar e regressar dentro de um período especificado (por exemplo, 30 dias), o WLC envia um pedido de bypass de autenticação MAC (MAB) para o servidor RADIUS. O servidor reconhece o endereço MAC e devolve um Access-Accept imediatamente, concedendo acesso à rede sem exigir que o utilizador interaja novamente com o portal.

2. Design para o Captive Network Assistant (CNA) Os pseudo-navegadores lançados por iOS e Android para exibir captive portals têm funcionalidade limitada em comparação com navegadores completos. Frequentemente não suportam pop-ups, têm restrições rigorosas de tempo limite e lidam com cookies de forma diferente.

Recomendação: Mantenha a interface do utilizador do portal leve. Evite frameworks JavaScript complexos ou ativos de multimédia pesados que possam fazer com que o CNA exceda o tempo limite. Se precisar de interações complexas (como downloads de aplicações), use o portal para autorizar o dispositivo primeiro e, em seguida, redirecione o utilizador para o seu navegador nativo.

3. Integração com OpenRoaming e Passpoint Embora os captive portals continuem a ser essenciais para a recolha de dados e aceitação de termos, a indústria está a avançar para padrões de autenticação contínua como o Passpoint (Hotspot 2.0). A Purple atua como um fornecedor de identidade gratuito para serviços como o OpenRoaming sob a licença Connect. Dispositivos configurados com um perfil OpenRoaming podem autenticar-se de forma segura na Camada 2 (via 802.1X/EAP) sem interagir com um captive portal, proporcionando uma experiência de roaming semelhante à de uma rede móvel. A sua infraestrutura deve suportar ambos os mecanismos em simultâneo.

Resolução de Problemas e Mitigação de Riscos

Sintoma: A página do portal não aparece automaticamente em dispositivos móveis.

Causa Raiz: O walled garden está mal configurado, permitindo que os pedidos de sonda CNA do sistema operativo cheguem diretamente à internet. Se o sistema operativo receber um 200 OK de captive.apple.com, assume que tem acesso total à internet e não iniciará o portal.
Mitigação: Certifique-se de que os domínios de sonda CNA não estão na lista branca do walled garden. Devem ser intercetados e redirecionados para o servidor do portal.

Sintoma: Os utilizadores veem um aviso de certificado SSL/TLS.

Causa Raiz: O WLC está a tentar intercetar tráfego HTTPS e está a apresentar o certificado SSL do portal em vez do certificado para o domínio solicitado pelo utilizador.
Mitigação: Desative o redirecionamento HTTPS no WLC.

Sintoma: O login social (por exemplo, Facebook, Google) não carrega ou não autentica.

Causa Raiz: Os domínios necessários para o fluxo OAuth do fornecedor de identidade estão em falta no walled garden.
Mitigação: Audite a configuração do walled garden em relação à documentação atual do fornecedor de identidade. Note que estes intervalos de IP e domínios mudam frequentemente.

ROI e Impacto no Negócio

Um captive portal não é apenas uma necessidade técnica; é um ativo estratégico. Ao substituir chaves pré-partilhadas genéricas (PSKs) por um portal gerido, as organizações alcançam:

Recolha de Dados e Automação de Marketing: A integração do portal com uma plataforma de Análise de WiFi permite que os locais recolham dados primários verificados (e-mails, dados demográficos) em troca de acesso. Estes dados alimentam sistemas CRM e campanhas de marketing direcionadas.
Conformidade e Mitigação de Riscos: Os operadores de WiFi público estão sujeitos a leis de retenção de dados e responsabilidade por infração de direitos de autor. Um captive portal com contabilidade RADIUS fornece um registo auditável de qual dispositivo (endereço MAC) detinha qual endereço IP num determinado momento, protegendo o local de responsabilidade.
Gestão de Largura de Banda: Ao aplicar atributos RADIUS como Filter-Id ou WISPr-Bandwidth-Max-Down, a TI pode impedir que utilizadores individuais monopolizem a ligação WAN, garantindo uma experiência consistente para todos os convidados e protegendo o tráfego crítico de back-office. Isto é particularmente relevante ao avaliar Os Principais Benefícios do SD WAN para Empresas Modernas .

Termos-Chave e Definições

Walled Garden

An access control list (ACL) applied to unauthenticated users, permitting traffic only to specific IP addresses or domains required to load the captive portal.

Crucial for allowing access to CDNs, payment gateways, and social login APIs before the user is fully authorised.

RADIUS (Remote Authentication Dial-In User Service)

The industry-standard networking protocol that provides centralised Authentication, Authorisation, and Accounting (AAA) management.

The captive portal server uses RADIUS to tell the wireless controller whether a user is allowed on the network and what restrictions apply.

Captive Network Assistant (CNA)

A pseudo-browser built into modern operating systems (iOS, Android, Windows) designed specifically to detect and display captive portals.

CNAs have limited functionality compared to full browsers; portals must be designed to accommodate their constraints.

MAC Authentication Bypass (MAB)

A process where the network uses a device's MAC address as its identity to authenticate against a RADIUS server without user interaction.

Used to implement 'MAC Caching', allowing returning guests to connect seamlessly without seeing the portal again.

DNS Interception / Spoofing

The process where the network intercepts a user's DNS query and returns the IP address of the captive portal server instead of the actual destination.

This is the primary mechanism used to force the user's web traffic to the portal page.

HTTP 302 Redirect

An HTTP response status code indicating that the requested resource has been temporarily moved to a different URI.

Used by the portal server to redirect the intercepted HTTP request to the actual login page URL.

Vendor-Specific Attributes (VSAs)

Custom parameters included in a RADIUS message that allow vendors to support features not defined in the base RADIUS standard.

Used to pass specific policies, like bandwidth limits or VLAN assignments, from the portal platform to the specific brand of wireless controller.

Passpoint (Hotspot 2.0)

A standard that enables mobile devices to automatically discover and authenticate to Wi-Fi networks securely without user interaction.

The modern alternative to captive portals for seamless roaming; platforms like Purple act as identity providers for Passpoint networks.

Estudos de Caso

A 500-room hotel is upgrading its guest WiFi. They want returning guests to connect seamlessly without seeing the portal again for 30 days, but they require a daily bandwidth limit of 10Mbps per device.

Configure the WLC to use external RADIUS authentication pointing to the cloud provider. 2. Enable MAC Address Caching on the RADIUS server with a 30-day retention policy. 3. Configure the portal profile to assign a RADIUS Vendor-Specific Attribute (VSA) for bandwidth limiting (e.g., WISPr-Bandwidth-Max-Down = 10000000) in the Access-Accept packet.

Notas de Implementação: This approach balances user experience with network protection. By using MAC caching, the initial captive portal interaction is preserved for terms acceptance, while subsequent connections rely on seamless MAB (MAC Authentication Bypass) at Layer 2. The bandwidth VSA ensures the WLC enforces the limit dynamically.

A retail chain deploys a new captive portal featuring a Facebook login option. Users report that when they click the Facebook button, the page hangs indefinitely inside the captive portal pop-up.

The WLC's walled garden configuration is incomplete. The network administrator must add Facebook's required OAuth domains (e.g., graph.facebook.com, connect.facebook.net) and IP subnets to the pre-authentication ACL.

Notas de Implementação: This is the most common failure mode in modern portal deployments. Because the device is in a pre-authenticated state, any traffic to domains not explicitly whitelisted in the walled garden is dropped. The CNA browser simply times out waiting for the Facebook API response.

Análise de Cenários

Q1. You are deploying a captive portal at a stadium. The portal requires users to watch a 15-second video hosted on YouTube before gaining access. Users are reporting that the portal loads, but the video frame is blank. What is the most likely architectural cause?

💡 Dica:Consider the state of the device before it is fully authenticated and what resources it needs to access.

Mostrar Abordagem Recomendada

The walled garden configuration is incomplete. The network administrator must add YouTube's video delivery domains and CDNs to the walled garden ACL. Without this, the unauthenticated device cannot reach the YouTube servers to stream the video content, even though the main portal page (hosted elsewhere) loads successfully.

Q2. A client insists on intercepting all HTTPS traffic to force users to the captive portal, arguing that users rarely type 'http://' anymore. Why is this a bad idea, and what is the standard alternative?

💡 Dica:Think about how modern browsers handle SSL/TLS certificates and HSTS.

Mostrar Abordagem Recomendada

Intercepting HTTPS traffic requires the wireless controller to present a certificate for the requested domain (e.g., google.com). Since the controller does not possess Google's private key, the browser will flag the connection as insecure and display a severe certificate warning, breaking the user experience. The standard alternative is to rely on the Operating System's built-in Captive Network Assistant (CNA), which automatically probes known HTTP URLs in the background specifically to trigger the redirect gracefully.

Q3. A venue wants to limit guest WiFi sessions to 2 hours. How is this enforced technically within the captive portal architecture?

💡 Dica:Which component is responsible for Authorisation and passing policy parameters to the network hardware?

Mostrar Abordagem Recomendada

This is enforced via RADIUS. When the captive portal server successfully authenticates the user, it receives an Access-Accept packet from the RADIUS server. This packet includes a 'Session-Timeout' attribute set to 7200 seconds (2 hours). The wireless controller reads this attribute, applies the timer to the user's session, and automatically disconnects the device when the timer expires.