Resolução de problemas do Captive Portal Ubiquiti UniFi: lista de verificação de portal externo, hotspot e walled garden

Um Captive Portal UniFi falha por um de cinco motivos. O endereço do servidor de portal externo está incorreto, ou os domínios do portal e de início de sessão estão em falta no acesso de pré-autorização. O isolamento de convidados pode bloquear o anfitrião do portal. O redirecionamento pode usar HTTP para um endereço IP. Ou a consola está inacessível. Verifique cada um por sua vez e, em seguida, teste a partir de um cliente.

Como se manifesta um Captive Portal UniFi que não está a funcionar?

A maioria das falhas apresenta-se como um de quatro sintomas. Identificar o sintoma primeiro reduz as causas possíveis antes de abrir a aplicação UniFi Network.

• Sem portal de todo. O dispositivo junta-se ao SSID de convidados e obtém um endereço IP, mas não surge nenhuma solicitação de início de sessão. O telefone pode reportar "sem internet" ou mostrar-se ligado sem tráfego.
• Uma página em branco ou a carregar infinitamente. O Captive Network Assistant (CNA) abre, mas a splash page nunca é renderizada. O CNA é o pequeno navegador que o seu sistema operativo inicia numa rede captive.
• Um aviso de certificado. Os computadores portáteis mostram "A sua ligação não é privada" antes da página de início de sessão. Os convidados têm de clicar para ultrapassar o aviso para continuar.
• Um portal parcial. A splash page carrega, mas um botão de início de sessão social ou de pagamento fica a girar, falha ou volta ao início.

O artigo de suporte de Captive Portal da Purple explica o CNA com mais detalhe. O CNA verifica um domínio predefinido para testar se a internet está acessível. Em seguida, notifica o dispositivo, inicia um navegador e confirma o estado "online". Quando qualquer parte dessa cadeia se rompe, os seus convidados veem um dos sintomas acima.

Este guia pressupõe que o seu portal de hotspot UniFi ou portal externo já está configurado. É uma lista de verificação para deteção de avarias, não um guia de configuração.

O que costuma causar a falha de um Captive Portal UniFi?

Seis causas explicam a maioria dos casos de resolução de problemas do portal de convidados UniFi.

1. Configuração incorreta do servidor de portal externo. O endereço aponta para um anfitrião antigo, um erro de digitação ou um servidor que o gateway não consegue alcançar.
2. Acesso de pré-autorização incompleto. A UniFi rotula esta definição como "Pre-Authorization Access". É o walled garden da UniFi: os anfitriões e sub-redes que um convidado pode alcançar antes de iniciar sessão. Se o portal, os seus recursos ou um fornecedor de início de sessão social estiverem em falta, a página permanece em branco ou parcial.
3. Restrições de rede de convidados. As redes de convidados UniFi bloqueiam intervalos de endereços privados. Um servidor de portal ou servidor DNS numa sub-rede interna torna-se inacessível.
4. Incompatibilidades de redirecionamento de HTTPS e nome de anfitrião. Um redirecionamento HTTPS para um endereço IP, ou para um nome de anfitrião sem certificado correspondente, aciona avisos do navegador.
5. Acessibilidade do controlador ou consola. Os UniFi Network Servers auto-alojados e as consolas na nuvem têm de permanecer acessíveis. Com um portal externo, o controlador também tem de alcançar o servidor RADIUS que conclui o início de sessão.
6. Interferência do lado do cliente. VPNs, definições de DNS personalizadas ou uma notificação do CNA rejeitada impedem o redirecionamento nesse dispositivo.

Como descobrir qual é a falha do seu Captive Portal UniFi?

Comece com o sintoma e, em seguida, execute a primeira verificação da tabela antes de alterar qualquer definição.

Sintoma	Causa mais provável	Primeira verificação	Resolução
Sem portal, sem aviso	DNS inacessível ou sonda CNA bloqueada	O cliente consegue resolver um hostname público antes do início de sessão?	Disponibilize um servidor DNS fora dos intervalos privados bloqueados ou autorize-o no acesso de pré-autorização
Página em branco ou a carregar infinitamente	Host do portal ou recursos em falta no acesso de pré-autorização	O hostname do portal resolve e carrega a partir de um dispositivo de convidado?	Adicione o host do portal, os seus domínios de recursos e a sua sub-rede ao acesso de pré-autorização
Aviso de certificado em computadores portáteis	Redirecionamento HTTPS para um endereço IP ou hostname incorreto	Qual é o URL que aparece na barra de endereço quando surge o aviso?	Desative o redirecionamento HTTPS ou redirecione por hostname com um certificado publicamente fidedigno que corresponda a esse hostname
Botão de início de sessão social roda continuamente ou falha	Domínios do fornecedor de identidade em falta	Qual é o domínio que falha na visualização de rede do navegador?	Adicione todos os domínios que a página de início de sessão do fornecedor carrega
Passo de pagamento falha	Domínios da gateway de pagamento em falta	A página de pagamento chega a carregar?	Adicione os hosts do fornecedor de pagamento ao acesso de pré-autorização
O portal carrega, mas o início de sessão nunca é concluído	RADIUS ou controlador inacessível	As tentativas de autenticação aparecem nos eventos do controlador?	Restabeleça a acessibilidade do controlador e confirme se os dados do RADIUS coincidem com o seu fornecedor do portal
Um dispositivo falha, outros funcionam	VPN do lado do cliente, DNS personalizado ou CNA ignorada	O site neverssl.com redireciona nesse dispositivo?	Desative a VPN ou o DNS personalizado, esquive a rede e volte a ligar-se

Dois testes rápidos separam a maioria das falhas. Primeiro, navegue para neverssl.com num dispositivo ligado mas não autenticado. A equipa de suporte da Purple recomenda este site porque evita problemas com redirecionamentos SSL. Se o neverssl.com redirecionar para o seu portal, o redirecionamento funciona e a falha reside no acesso de pré-autorização ou no próprio portal. Se não redirecionar, verifique o DNS, a definição do servidor de portal externo ou o controlador.

Segundo, verifique a entrada do cliente na aplicação UniFi Network. A lista de clientes e os eventos mostram se o dispositivo está na rede de convidados e se foi autorizado. Um dispositivo marcado como autorizado mas que ainda apresenta o portal aponta para um problema de cache do lado do cliente ou de CNA.

Como resolver cada causa do Captive Portal da UniFi?

A Purple não reproduz os caminhos de menu da UniFi aqui, porque estes mudam entre as versões da UniFi Network. Utilize a documentação atual da Ubiquiti para saber a localização exata de cada definição.

Servidor de portal externo

Confirme se o valor do servidor de portal externo coincide com o especificado pelo seu fornecedor do portal. Um único caracter incorreto envia todos os convidados para um host inativo. Se mudou de fornecedor de portal, remova o endereço antigo em vez de o deixar junto ao novo.

Quando utiliza o Purple, os servidores de splash page recolhem os detalhes do convidado e emitem um login único. O controlador passa esse login para o servidor RADIUS do Purple para concluir a autenticação. RADIUS é o protocolo que o equipamento de rede utiliza para verificar credenciais num servidor central. Se o portal carregar mas o login falhar, verifique o perfil RADIUS de seguida.

Acesso de pré-autorização para o portal, login social e domínios de pagamento

Esta é a correção mais comum. Adicione estas entradas ao acesso de pré-autorização:

• O anfitrião do servidor do portal e qualquer sub-rede em que este se encontre.
• Todos os domínios que a splash page carrega, incluindo fontes, imagens e scripts de redes de entrega de conteúdo.
• Os domínios de autenticação de cada fornecedor de login social, se oferecer início de sessão com o Facebook, Google ou Apple.
• Os anfitriões do seu gateway de pagamento, se cobrar pelo acesso premium.

Abra a splash page a partir de um portátil numa rede sem restrições, com as ferramentas de programador do browser a mostrar os pedidos de rede. Todos os domínios listados aí têm de estar acessíveis antes do login. Nos casos em que a sua versão do UniFi Network apenas aceite entradas de IP, volte a verificá-las sempre que um fornecedor alterar os seus endereços.

Isolamento da rede de convidados e sub-redes bloqueadas

O isolamento de convidados não bloqueia o Captive Portal por si só. O isolamento do dispositivo cliente impede que os dispositivos de convidados comuniquem entre si. As restrições de sub-rede da rede de convidados bloqueiam intervalos de endereços privados, e essas restrições afetam servidores de portal internos ou de DNS.

Se o seu servidor de portal ou resolvedor de DNS estiver numa sub-rede interna, adicione esse anfitrião específico ao acesso de pré-autorização. Um modelo mais limpo consiste em fornecer aos convidados um resolvedor de DNS público e alojar o portal num endereço público.

Opções de redirecionamento de HTTPS e nome de anfitrião

Os browsers modernos esperam HTTPS para as páginas de login. O artigo de certificado Cisco WLC do Purple descreve o mesmo modelo em hardware Cisco. Um redirecionamento para um endereço HTTP, como um IP simples, aciona um aviso de segurança, e os convidados têm de clicar para avançar.

A correção segue o mesmo princípio no UniFi. Desative o redirecionamento HTTPS e permita que o CNA utilize HTTP, ou redirecione por nome de anfitrião. Um redirecionamento de nome de anfitrião necessita de um certificado SSL/TLS publicamente fidedigno, e o nome de anfitrião deve coincidir com o Common Name do certificado. Um certificado autoassinado ou um nome incorreto faz com que o aviso regresse imediatamente.

Acessibilidade do controlador para consolas autoalojadas e na nuvem

Para um UniFi Network Server autoalojado, confirme se o servidor está em execução e acessível a partir do seu gateway e pontos de acesso. Verifique as regras de firewall entre sites se o servidor estiver localizado numa sede ou datacenter. Para consolas na nuvem, confirme se a consola se mostra online e se o gateway está adotado. Em seguida, confirme se o tráfego de saída para o seu servidor RADIUS é permitido.

Verificações do cliente

Peça ao convidado para esquecer a rede e voltar a ligar-se. Desative qualquer VPN ou configuração de DNS personalizada, que podem contornar completamente o redirecionamento. Se a notificação do CNA foi perdida, abra um navegador e aceda a neverssl.com. No Android, tocar na notificação "pode ser necessário iniciar sessão" inicia a sessão do navegador CNA.

Exemplos práticos da hotelaria, retalho e eventos

Estes exemplos práticos mostram como a lista de verificação funciona ao nível do local.

Um hotel de 200 quartos com uma splash page em branco

Situação. Um hotel utilizava um UniFi Network Server autoalojado e um portal externo. Após uma alteração na rede, os convidados no SSID de convidados viam uma página em branco. A equipa da receção registava cerca de uma dúzia de reclamações por noite.

O que foi feito. O site neverssl.com não redirecionava, por isso a equipa verificou primeiro o DNS. O âmbito de DHCP da VLAN de convidados estava a atribuir um servidor DNS interno numa sub-rede privada. As restrições de convidados bloqueavam essa sub-rede. A equipa alterou o âmbito de convidados para um resolvedor público.

Resultado. Os redirecionamentos do portal funcionaram na ligação seguinte. A receção não registou mais nenhuma reclamação de WiFi nessa semana.

Uma cadeia de retalho com 40 lojas com um início de sessão social bloqueado

Situação. Uma cadeia de retalho adicionou o início de sessão social à sua splash page. O formulário de e-mail funcionava, mas o botão social girava indefinidamente em todas as lojas.

O que foi feito. A equipa abriu a splash page com as ferramentas de programador e listou todos os domínios que o início de sessão do fornecedor carregava. Adicionaram-nos ao acesso de pré-autorização numa loja-piloto, testaram em Android e iOS e, em seguida, aplicaram a alteração a todas as 40 lojas.

Resultado. O início de sessão social foi concluído em todas as 40 lojas. A equipa agora testa novamente a loja-piloto após cada atualização do fornecedor.

Um centro de conferências com avisos de certificado

Situação. Os delegados nos portáteis viam "A sua ligação não é privada" antes do portal. Os telemóveis funcionavam através do CNA, pelo que a falha parecia intermitente.

O que foi feito. A barra de endereço mostrava um redirecionamento HTTPS para um endereço IP. A equipa desativou o redirecionamento HTTPS até que um certificado publicamente fidedigno correspondente ao nome de anfitrião do redirecionamento estivesse em vigor.

Resultado. O aviso desapareceu nos portáteis. O suporte do evento deixou de receber pedidos de suporte do portal durante o resto da conferência.

Como evitar que o Captive Portal do UniFi falhe novamente?

• Mantenha um registo de pré-autorização. Liste todos os anfitriões e sub-redes, por que razão existem e quem é o proprietário. Reveja-o quando adicionar um método de início de sessão ou fornecedor de pagamentos.
• Teste após cada alteração. Utilize um telemóvel Android, um iPhone e um portátil. Confirme que o neverssl.com redireciona e que o início de sessão é concluído.
• Acompanhe a expiração dos certificados. Um certificado expirado num redirecionamento de nome de anfitrião produz o mesmo aviso que a inexistência de certificado.
• Monitorize o controlador. Alerte quando um servidor autoalojado ficar offline antes que os convidados se apercebam.
• Disponibilize uma rede de convidados aberta. A Purple recomenda redes de convidados abertas porque a familiaridade reduz a fricção no início de sessão.

A mesma disciplina aplica-se a outros fabricantes. O guia de resolução de problemas do captive portal HPE Aruba da Purple e o guia de resolução de problemas do captive portal Cisco Meraki da Purple seguem a mesma lista de verificação para essas plataformas.

Perguntas frequentes

A Purple funciona com os pontos de acesso Ubiquiti UniFi que já possuímos?

Sim, a Purple funciona em Ubiquiti UniFi como um portal externo e serviço RADIUS, para que possa manter os seus pontos de acesso existentes. A Purple é agnóstica em relação ao hardware e também suporta Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Cambium, Extreme e Fortinet. Isto é importante para propriedades multilocalização com hardware misto, porque uma única configuração de WiFi para convidados abrange todos os fabricantes. A plataforma da Purple funciona em mais de 80.000 locais ativos, de acordo com os dados da própria Purple.

Podemos manter um UniFi Network Server auto-alojado com um portal externo?

Sim, um UniFi Network Server auto-alojado funciona com um portal externo, desde que permaneça contactável. O gateway e os pontos de acesso têm de alcançar o servidor, e o servidor tem de alcançar o serviço RADIUS do seu fornecedor de portal. Verifique as regras de firewall entre localizações se o servidor estiver localizado numa sede. As consolas na nuvem eliminam a tarefa de alojamento, mas continuam a necessitar de acesso de saída para o RADIUS.

A nossa rede de convidados UniFi deve ser aberta ou protegida por palavra-passe?

A opção aberta é a escolha recomendada para o acesso de convidados. A Purple recomenda o fornecimento de WiFi de convidados através de uma rede aberta porque é agora a convenção padrão e reduz a fricção no início de sessão. O captive portal continua a controlar o acesso, recolhe os consentimentos de escolha consciente e emite a cada convidado um início de sessão único. As redes de convidados protegidas por palavra-passe adicionam um passo extra e causam mais pedidos de suporte na receção.

Precisamos de comprar um certificado SSL para o nosso captive portal?

Sim, se redirecionar os convidados através de HTTPS ou por nome de anfitrião (hostname). Os navegadores esperam um certificado publicamente fidedigno, e o nome de anfitrião de redirecionamento deve corresponder ao Nome Comum (Common Name) do certificado. Sem este, os portáteis mostram um aviso de segurança antes de o portal carregar. Se não conseguir manter um certificado, desative o redirecionamento HTTPS e permita que o CNA do dispositivo utilize um redirecionamento HTTP.

Como é que a mudança para a Purple afeta a nossa conformidade com o GDPR?

A Purple ajuda-o a cumprir o GDPR em vez de adicionar riscos. A Purple possui as certificações ISO 27001, GDPR, CCPA e Cyber Essentials, e a splash page regista consentimentos de escolha consciente para fins de marketing. Os dados primários (first-party data) que recolhe permanecem associados ao consentimento que cada convidado deu. O seu próprio aviso de privacidade e política de retenção continuam a aplicar-se, por isso reveja ambos antes do lançamento.

Quanto esforço é necessário para mudar do hotspot UniFi integrado para a Purple?

Mudar para a Purple é uma alteração de configuração, não um projeto de hardware. Basta apontar o servidor de portal externo e as definições de RADIUS para a Purple e, em seguida, atualizar o acesso de pré-autorização para os domínios da splash page. A Purple funciona sobreposta à sua infraestrutura UniFi existente, pelo que não há necessidade de substituir equipamentos. Teste primeiro num local e, em seguida, copie as definições para todo o seu património.

A Purple consegue gerir o início de sessão de convidados em locais de grande volume?

Sim, a Purple processou 440 milhões de inícios de sessão em 2024, de acordo com os dados da própria Purple. Esse volume abrange hotéis, retalho, comboios e espaços de saúde com picos de tráfego elevados. No UniFi, a capacidade no portal raramente é o gargalo. A acessibilidade do DNS e o acesso completo à pré-autorização são mais importantes, pelo que deve aplicar esta lista de verificação antes de um grande evento.