Cisco Meraki Captive Portal 故障排除：宣传页、Walled Garden 和 RADIUS 检查清单

Meraki Captive Portal 出现故障时，通常是以下四个问题之一。Splash 页面类型错误，或者 Walled Garden 中缺少 Portal 的域名和资源。Grant URL 对接可能中断，或者接入点无法使用匹配的共享密钥访问 RADIUS。Meraki 事件日志会显示您遇到了哪种故障。

Meraki Captive Portal 无法正常工作时表现为什么样？

大多数支持工单都涵盖了以下三种症状。每种症状都指向登录链条中的不同环节。

• Splash 页面从未出现。 设备加入了 SSID 并获取了 IP 地址，但没有打开登录提示。
• Portal 陷入循环。 访客完成了表单，点击连接，结果又回到了登录页面。
• Portal 接受了详细信息但从未授予访问权限。 页面报告成功，但设备仍处于受控状态。

第四种症状比较隐蔽。返回的访客被要求登录的频率远超预期。这很少是 Portal 的故障，通常是 Splash 频率设置的问题。

在更改任何设置之前，请确认该链条应如何工作。在 Purple 部署中，Meraki 接入点会将设备重定向到 Purple 的 Splash 页面服务器。Splash 页面收集访客的详细信息并发出一次性登录。然后，接入点将该登录信息传递给 Purple 的 RADIUS 服务器以完成身份验证。Purple Captive Portal 支持文章 描述了这一流程。每种症状都对应着这三个对接环节之一的失败。

本指南假设 SSID 已经构建完成。它是对 Meraki Captive Portal 设置指南的补充，不再重复设置步骤。

通常是什么原因导致 Meraki Splash 页面无法显示或循环？

Splash 页面类型与 Portal 不匹配

Meraki 提供了点击直通（Click-through）、使用 RADIUS 服务器登录（Sign-on with a RADIUS server）以及外部 Captive Portal 选项。Portal 和 SSID 必须期望使用相同的方法。

点击直通式的外部 Portal 通过调用 Grant URL 来释放设备。而需要登录的外部 Portal 会提交凭据，接入点会根据 RADIUS 检查这些凭据。如果 SSID 和 Portal 不一致，对接就会失败，访客就会陷入循环。

Walled Garden 不完整

Walled Garden 列出了设备在进行身份验证之前可以访问的目的地。Meraki 接受域名或 IP 范围形式的条目。如果缺少 Portal 自身的域名，Splash 页面将根本无法加载。

缺少资源会导致更隐蔽的故障。样式表、图像、字体、内容分发网络和社交登录提供商都从它们自己的主机加载。如果其中任何一个被阻止，页面渲染就会出错，或者登录按钮没有任何反应。

Walled Garden 也可能过于宽泛。设备会运行 Captive Network Assistant (CNA)，它会检查预定义的域名以测试互联网连接。如果在登录前可以访问该探测域名，设备就会认为自己已在线，从而永远不会显示登录提示。

Grant URL 或 Continue URL 丢失

在使用外部 Captive Portal 时，Meraki 会在重定向中附加参数。这些参数包括一个基本授权 URL 和访客最初请求的继续访问 URL。Portal 必须将设备送回该授权 URL 才能将其释放。

如果 Portal 丢失、重写或缓存了这些参数，无线接入点将永远收不到授权。访客会看到成功消息，但随后加载下一页时会再次被重定向到登录页面。

RADIUS 无法访问或共享密钥错误

使用 RADIUS 进行登录取决于无线接入点能否访问 RADIUS 服务器。RADIUS 是 RFC 2865 中定义的远程用户拨号认证服务协议。服务器将每个发送方视为 RADIUS 客户端，并在每次请求时检查共享密钥。

最常见的故障有两种。一是防火墙阻止了来自无线接入点的 RADIUS 流量，二是 Meraki 控制面板与服务器之间的共享密钥不一致。无论哪种情况，Portal 都会收集到详细信息，但身份验证永远无法完成。

NAT 模式和桥接模式改变了需要检查的内容

在 NAT 模式下，无线接入点自身分配客户端地址。上游设备看到的是来自无线接入点而非客户端的流量。在桥接模式下，客户端从您的局域网或 VLAN 上的 DHCP 服务器获取地址。

桥接模式增加了由您掌控的故障点。这些包括 DHCP 地址池耗尽、VLAN 未汇聚（Trunked）到无线接入点，以及上游 DNS 或防火墙规则阻止了 Portal 主机。

如何确定是由哪种原因引起的？

请从客户端向外排查。使用一台设备进行测试，并在每次尝试之间忽略该网络，以便每次测试都从干净的状态开始。

症状	事件日志显示的内容	最可能的原因	首要检查项
未出现 Portal 页面	已关联，但没有 Portal 重定向	CNA 探测域名可达，或 DHCP、DNS 故障	确认设备已获取 IP 和 DNS，然后打开 neverssl.com
Portal 页面空白或无样式	Portal 重定向，页面不完整	Walled Garden 遗漏了资源主机	浏览器开发者工具，列出每个被阻止的主机
提交后陷入循环	重复的 Portal 重定向，无授权	授权 URL 参数丢失，或 Portal 类型不匹配	对比重定向查询字符串与 Portal 返回的内容
出现成功消息，但无法上网	身份验证尝试失败或超时	RADIUS 被阻止或共享密钥不匹配	检查 RADIUS 服务器日志中来自无线接入点的请求
返回访客被重新提示登录	已知设备出现新的 Portal 事件	Portal 频次设置过短	SSID 上的 Portal 频次设置
电脑端出现证书警告	重定向完成	通过 HTTP 提供登录页面	Portal 主机上的证书

读取 Meraki 事件日志

打开 Meraki 控制面板中的网络事件日志，并根据测试设备的 MAC 地址进行过滤。然后将过滤范围缩小至 Portal 和身份验证事件类型。 按时间顺序读取事件：关联、地址分配、Splash重定向、身份验证。序列停止的位置就是故障所在。没有Splash事件意味着重定向从未触发。有Splash事件但没有身份验证事件则指向门户或授权URL。身份验证失败事件则指向RADIUS。

如何在 Meraki MR 网络和客户端设备上修复它？

请按照 Purple Captive Portal支持文章 中的厂商步骤进行操作。以下修复方法告诉您需要更改什么以及原因。

修复围墙花园 (Walled Garden)

在来宾网络之外的设备上加载Splash页面，并打开开发者工具。记录该页面调用的每个主机，包括社交登录提供商。将每一个主机作为域名或IP范围添加到围墙花园中。删除任何与CNA探测域名匹配的内容。

修复授权 URL 交接

从出现故障的设备上捕获完整的重定向URL。确认门户将设备返回至带有完整参数的基础授权URL。检查门户和设备之间是否存在代理、链接缩短服务或缓存。

修复 RADIUS

确认接入点可以在配置的端口上访问RADIUS服务器。在两端同时从同一份副本中重新输入共享密钥。然后检查服务器日志，查看是否有来自接入点地址的请求到达。

修复客户端行为

Android 会显示一个“您可能需要登录”的通知，该通知会打开CNA。一些手机制造商会修改此行为，因此请在您的来宾所携带的机型上进行测试。如果来宾错过了提示，Purple 建议打开浏览器并访问 neverssl.com。该网站可以避免SSL重定向问题，因为它从不使用HTTPS。

当登录页面通过明文HTTP提供时，桌面浏览器会发出警告。Purple 的 Cisco WLC 证书文章 涵盖了 Cisco WLC 上的同等故障。那里的修复方法是一个其通用名称 (Common Name) 与门户主机名匹配的公开受信任的证书。同样的原理适用于任何门户主机。

其他厂商

Purple 独立于硬件。同样的检查适用于 Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks 和 Fortinet。只有菜单名称不同。

两个实际案例

门户重构后的拥有 200 间客房的酒店

背景。 一家市中心的 酒店/餐饮 场所更新了其Splash页面，采用了全新的字体和社交登录按钮。之后，来宾看到的是一个没有登录按钮的空白页面。

处理过程。 IT团队在打开开发者工具的情况下加载了新页面，并发现了两个被阻止的主机。一个是字体分发网络，另一个是社交登录提供商。两者都被加入了围墙花园。

结果。 在下一次测试中，页面完全渲染出来。前台关于来宾接入的投诉在当天就停止了。

防火墙变更后的拥有 40 家门店的零售连锁品牌

现状。 一家 零售 连锁店收紧了总部的防火墙。第二天早上，每家门店的顾客都能看到成功页面，但无法浏览网页。

处理过程。 事件日志显示每个站点都出现了认证超时。新规则阻止了来自门店接入点的 RADIUS 流量。团队仅针对 RADIUS 端口恢复了该规则。

结果。 更改后一小时内，所有 40 家门店的认证事件均恢复正常。

如何防止 Meraki Captive Portal 故障再次发生？

• 将 Walled Garden 与门户更改相绑定。 每次设计更改在上线前都会触发 Walled Garden 审核。
• 保持 SSID 开放。 Purple 推荐使用开放式网络进行访客接入，因为这种常规方式更为用户所熟悉，且能减少连接阻碍。
• 成对轮换共享密钥。 在同一个维护窗口中同时更改控制面板和 RADIUS 服务器。
• 在四个平台上进行测试。 Android、iOS、Windows 和 macOS 处理 CNA 的方式各不相同。
• 使用受信任的证书。 通过带有公开受信任证书的 HTTPS 提供登录页面。
• 将员工与访客区分开。 员工应通过身份进行认证，而不是通过访客登录页面。请参阅 如何启用单点登录。

Purple 在全球 80,000 多个活跃场所运行 Guest WiFi，并在 2024 年处理了 4.4 亿次登录（Purple 官方数据）。同样的清单也适用于为旅客提供服务的 交通 枢纽，以及为患者和访客提供服务的 医疗 机构。

常见问题解答

Purple 是否可以与我现有的 Cisco Meraki 接入点配合使用？

可以，Purple 作为云端覆盖层运行在您现有的 Cisco Meraki MR 接入点上。您只需将 SSID 的登录页面指向 Purple，并在 Meraki 控制面板中配置 Purple 的 RADIUS 详细信息即可。无需新增硬件。Purple Captive Portal 支持文章 介绍了具体配置步骤。同样的方法也适用于其他混合品牌资产。

Purple 能否在混合厂商的设备上运行 Guest WiFi？

可以，Purple 与硬件无关，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您可以通过单一平台，在所有厂商设备上管理统一的登录页面和登录流程。这非常适合那些收购了拥有不同硬件设备站点的集团，也适用于计划逐步更换接入点而非一次性更换的资产。

访客接入应该在开放的 SSID 上还是在加密的 SSID 上运行？

Purple 推荐使用开放的 SSID 进行访客接入，因为这已成为行业标准规范，且访客对此非常熟悉。Captive Portal 会处理登录步骤，因此访客在连接前不需要密码。开放式网络可以减少连接时的阻碍。请将员工设备保留在独立的、基于身份认证的网络中，而不是共享访客 SSID。

通过展示页面捕获的访客数据是否符合 GDPR 规范？

是的，Purple 已通过 ISO 27001 和 Cyber Essentials 认证，并且运行完全符合 GDPR 和 CCPA 的要求。访客在展示页面上进行自主选择的选择性同意，因此营销授权是明确的。您收集的数据是第一方数据，归您的组织所有。Purple 也是一家获得认证的 B Corp（共益企业）。请检查您自己的隐私声明是否与展示页面收集的字段相匹配。

为什么桌面浏览器在登录页面之前会显示证书警告？

当门户通过普通 HTTP 重定向到登录页面时，桌面浏览器会显示警告。现代浏览器期望登录页面使用 HTTPS，因此它们会将该连接标记为非私密连接。解决方法是在门户主机上配置一个公共可信的 SSL/TLS 证书。证书的通用名称（Common Name）必须与重定向使用的主机名相匹配。该警告不会阻止访问，但会削弱访客的信任。

当 Purple 运行门户时，由谁处理 RADIUS 身份验证？

Purple 的 RADIUS 服务器负责完成登录。展示页面分发一次性登录信息，然后 Meraki 接入点将其传递给 Purple 的 RADIUS 服务器。您需要在 Meraki 控制面板中输入 Purple 的 RADIUS 详细信息和共享密钥。您的防火墙必须允许来自接入点的 RADIUS 流量到达 Purple。如果任何一侧的共享密钥不一致，身份验证都将失败。

从 Meraki 展示页面迁移到 Purple 需要付出多少工作量？

此次迁移只是对每个 SSID 的配置更改，而不是硬件项目。您需要更改展示页面类型，添加围墙花园（walled garden）条目，并输入 Purple 的 RADIUS 详细信息。大部分精力将用于在上线前对 Android、iOS、Windows 和 macOS 进行测试。建议先规划一个试点站点，然后将测试过的设置推广到其余的所有资产中。