Interactive IT Network Diagnostic

Captive portal vs Passpoint readiness simulator

Test how modern operating systems (Apple iOS, Android 15, Samsung One UI) interact with your guest WiFi architecture and uncover why legacy splash screens are failing.

1. Select Client Operating System

2. Select Guest WiFi Architecture

3. Wireless Controller / AP Vendor

⚠️ Friction & Failure Prone

Apple iOS & iPadOS on Legacy Open SSID + HTTP Redirection

Probe: http://captive.apple.com/hotspot-detect.html

CNA Sheet & Browser Behavior

Launches sandboxed Captive Network Assistant (CNA) web sheet without shared Safari cookies, passkey autofill, or external OAuth redirect support.

MAC Randomization & CRM Impact

Rotates private Wi-Fi address per SSID and periodically under iOS 18 Private MAC rules, breaking 24-hour MAC-based CRM re-identification.

Encrypted DNS & DoH Vulnerability

iCloud Private Relay and DoH encrypt upstream queries; HTTP 302 hijacking triggers connection timeouts or security alerts.

Protocol Architecture	User Onboarding Experience	Security & Encryption	Returning Guest Recognition
Legacy Open SSID + HTTP Redirection	High friction. User connects, waits for CNA popup or opens browser, manually enters credentials.	Critical Risk (Vulnerable to Evil Twin, eavesdropping, and MitM packet sniffing).	Poor (0% return recognition due to MAC randomization).

⚙️ Network Controller Blueprint (MERAKI)

# Next-Gen Guest WiFi Migration Blueprint: Apple iOS & iPadOS
# Hardware Target: MERAKI Enterprise Infrastructure
# Target Architecture: Legacy Open SSID + HTTP Redirection

[1] CAPTIVE PROBE HANDLING
 - Client Probe Target: http://captive.apple.com/hotspot-detect.html
 - Recommended Probe Response: Migrate from HTTP 302 to RFC 8908 DHCP Option 114

[2] ENCRYPTION & SECURITY
 - WPA Mode: WPA2/WPA3-Personal with OWE (Opportunistic Wireless Encryption)
 - Client Isolation: Enabled on all guest VLANs (block inter-station traffic)
 - Peer-to-Peer Blocking: Enforce RFC 1918 subnet isolation at default gateway

[3] PRIVATE DNS & MAC RANDOMIZATION MITIGATION
 - Private DNS Policy: WARNING: DoH/DoT will bypass legacy DNS interception. Deploy RFC 8908 API.
 - Identity Resolution: Transition from ephemeral MAC tracking to Passpoint cryptographic token or verified captive OAuth profile

[4] PURPLE PLATFORM OVERLAY
 - Seamless integration with existing APs without replacing controllers
 - Certified ISO 27001 & GDPR-compliant first-party data capture engine
 - Automated migration roadmap to zero-touch Passpoint / OpenRoaming

Eliminate captive portal friction with Purple Passpoint & API Overlay

Purple overlays seamlessly onto your existing Cisco Meraki, Aruba, Ruckus, or UniFi controllers. Transition smoothly from legacy splash pages to encrypted, zero-touch Passpoint without replacing hardware.

Explore Guest WiFi

核心要点：逐步淘汰传统 Captive Portal

操作系统供应商限制：iOS 18 和 Android 15 中的移动操作系统更新对 Captive Network Assistants (CNAs) 进行了沙箱处理，禁用 Cookie、网页自动填充和密码管理器，以减少用户登录阻碍。
MAC 地址随机化：随机的私有 MAC 地址会干扰持久性设备识别，迫使访客在传统 Captive Portal 上重复进行身份验证。
Passpoint (Hotspot 2.0 / 802.11u)：用自动化的 WPA3 企业级加密取代了手动浏览器弹窗，使已识别的设备在进入场馆覆盖范围后立即自动连接。
OpenRoaming 联盟：允许场馆访客使用单一的安全凭据配置文件在全网参与的全球 WiFi 网络中进行连接，无需网页登录页面。
第一方数据转变：现代场馆正从强制性的弹窗登录限制转变为后台身份验证，并结合自愿加入的连接后互动渠道。

如果您为实体场所管理访客 WiFi，您与 captive portal 的关系正在发生根本性的转变。多年来，浏览器过渡页面一直作为公共网络的数字前门。Purple 花了十多万年时间，为全球企业场所不断优化这一入网体验。

然而，主要的移动操作系统厂商正在积极弃用传统的 captive portal，转而采用无缝、加密的网络入网标准。

弹出式 Web 门户正在从行业标准转变为运营限制。对于 IT 总监、网络架构师和场所运营商而言，为无密码、自动化的 WiFi 接入做好准备现在至关重要。请参阅我们全面的 captive portal 指南，以获取完整的架构背景。

为什么移动操作系统厂商正在针对传统 captive portal

Apple、Google 和 Samsung 控制着主要的移动操作系统。为了提供更流畅、更安全的移动体验，这些厂商正在最近的操作系统版本中系统地限制传统的 captive portal 行为。

Web 弹出式门户对于移动用户而言代表着摩擦、安全漏洞以及不可预测的连接失败。三个关键的技术因素推动了这一架构转变：

沙箱化的 Captive Network Assistant (CNA)：操作系统会启动轻量级的 Web 视图来显示登录页面。为了保护设备安全，厂商会限制这些迷你浏览器，阻止持久性 Cookie，防止密码管理器集成，并禁用复杂的双因子认证 (MFA) 流程。
私有 MAC 地址随机化：现代设备会按网络或按会话轮换 MAC 地址。依赖未随机化 MAC 地址进行会话跟踪的传统 Captive Portal 无法识别再次到访的访客，从而迫使用户重复面对登录屏幕。
网络钓鱼和邪恶双胞胎漏洞：显示未经验证的 Web 表单且未加密的开放式 WiFi 网络会使用户暴露在中间人攻击之下。安全指南建议采用加密的链路层认证，而非开放式 Web 表单。欲了解更多信息，请参阅我们的企业 WiFi 安全指南。

将传统 captive portal 与 Passpoint 及 OpenRoaming 进行比较

从浏览器过渡页面过渡到自动化网络身份验证可以提高安全性、访客满意度和网络管理效率：

功能 / 指标	传统 Captive Portal	Passpoint (Hotspot 2.0)	WBA OpenRoaming
认证方式	网页浏览器弹窗表单	WPA3 / 802.1X 企业级配置文件	全球联盟身份配置文件
用户登录阻力	高（每次会话需手动进行网页输入）	零（即时后台连接）	零（即时全球漫游）
空中加密	无（开放未加密网络）	企业级 WPA3 / AES 加密	企业级 WPA3 / AES 加密
MAC 随机化抗性	低（强制重新认证）	高（使用证书/ANQP 凭据）	高（使用联盟 Passpoint 配置文件）
访客回头率准确性	因私有 MAC 轮换而降低	100% 准确的设备识别	100% 准确的设备识别
硬件兼容性	标准开放 SSID 硬件	802.11u 企业级接入点	Passpoint 版本 2/3 认证的 AP

Passpoint 和 OpenRoaming 如何取代传统过渡页面

Passpoint（基于 WiFi 联盟 Hotspot 2.0 规范和 IEEE 802.11u）使移动设备能够自动发现、选择并进行 WiFi 网络身份验证。一旦用户安装了安全的 Passpoint 配置文件，只要他们进入场所覆盖范围，其设备就会自动连接。

由无线宽带联盟 (WBA) 主导的 OpenRoaming 将 Passpoint 扩展为一个全球联盟。拥有 OpenRoaming 配置文件 decline的设备可以在参与该计划的机场、场馆、零售场所和交通枢纽自动连接。Purple 作为认证的 OpenRoaming 身份提供商，允许场馆在保持合规性和访问控制的同时，提供即时入网服务。

过渡到自动后台连接可提供显著优势：

增强的链路层加密：Passpoint 使用 WPA3 企业级加密保护空中传输的数据，防止访客流量在公共网络上被截获。
无密码用户体验：访客无需填写 Web 表单或寻找网络密码，即可获得与蜂窝网络漫游相同的连接体验。
高品质的客户互动：场所无需在授予互联网访问权限之前强迫用户输入数据，而是可以通过应用通知、网页重定向或已同意的 CRM 沟通在连接后与访客进行互动。欲了解详细信息，请参阅我们的 WiFi 营销指南和 WiFi 分析指南。

场馆运营商的实施步骤

审计现有无线基础设施：Purple 可覆盖来自 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi 和 Juniper Mist 的现有接入点，无需更换硬件。
启用 Passpoint (802.11u) SSID：配置您的企业无线局域网控制器，在过渡阶段与传统 SSID 一起广播 Passpoint ANQP 配置文件。
部署云 RADIUS 认证：将 Passpoint 认证请求路由到 Purple 云 RADIUS 服务器，以处理证书管理和配置文件配置。
提供配置文件配置：允许访客通过您的网站、应用程序或电子邮件邀请中的一键式配置文件下载链接进行自助入网。

关于 captive portal 弃用的常见问题

Apple 和 Google 是否会完全淘汰 Captive Portal？

Apple 和 Google 正在通过沙箱化、Cookie 拦截和 MAC 地址随机化来限制 Captive Network Assistants (CNAs)。虽然网页登录页面仍可用于简单的点击访问，但操作系统供应商更倾向于推荐自动化的 Passpoint 和 OpenRoaming 配置文件，以实现安全、无摩擦的连接。

Passpoint 与传统 Captive Portal 有何不同？

传统的 Captive Portal 需要在开放、未加密的 WiFi 网络上通过手动提交 Web 浏览器表单。而 Passpoint (Hotspot 2.0) 使用企业级 WPA3 加密自动对设备进行身份验证，无需任何网页交互。

什么是 OpenRoaming，它如何使场馆运营商受益？

OpenRoaming 是由无线宽带联盟 (Wireless Broadband Alliance) 建立的全球联盟。它使场馆访客能够使用单一的安全配置文件在数千个参与网络中自动连接，在消除登录障碍的同时保留场馆分析数据。

我需要更换现有的 WiFi 硬件来支持 Passpoint 吗？

不需要。来自 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi 和 Juniper Mist 的大多数企业级接入点均可通过软件配置支持 802.11u 和 Passpoint。Purple 可以与您现有的硬件无缝整合。