强制门户重定向故障排除：解决访客 WiFi 连接失败问题

当访客 WiFi 显示已连接但无法上网时，说明设备已加入网络，但强制门户重定向已中断。常见原因包括操作系统探测被拦截、缺少围墙花园（Walled Garden）条目或 DNS 故障。其他原因还包括 DHCP 地址池耗尽，或 RADIUS Access-Accept 响应未能到达网关。这些问题均可通过配置进行修复。

##“访客 WiFi 已连接但无法上网”具体表现为何？

设备加入网络名称（SSID）并显示满格信号，但无法加载任何内容。各平台报告的方式有所不同：

• iOS 在网络名称下方显示“无互联网连接”。
• Android 显示“已连接，无互联网连接”或弹出无法跳转的“登录网络”提示。
• Windows 将网络标记为“无互联网”。

访客会看到 WiFi 图标显示正常，但浏览器无法使用，因此会归咎于场馆。

同一种症状可能掩盖了多种不同的故障。您通常会看到以下情形之一：

• 所有设备均无法弹出登录页面。
• 登录页面在 iPhone 上可以显示，但在 Android 手机上无法显示，反之亦然。
• 浏览器显示证书或隐私警告，而非登录页面。
• 访客填妥表格并看到成功提示后，依然无法上网。
• 闲时一切正常，忙时出现故障。

每种情形都指向不同的网络层。请先分析故障模式，切勿盲目重启接入点。

强制门户检测的工作原理

强制门户是网关在授予互联网访问权限之前展示的网页。根据您的架构设计，网关可以是控制器、防火墙或接入点。

主流操作系统在加入网络时都会立即检测强制门户。设备会向已知地址发送一个明文 HTTP 请求，并将收到的回复与预期结果进行比较。每种结果对应的含义如下：

• 回复符合预期。 设备认定已连接开放的互联网。
• 网关返回 HTTP 302 重定向。 设备判定其处于门户限制之下。它会打开一个轻量级浏览器窗口（通常称为 captive network assistant），并加载您的登录页面。
• 请求未收到回复。 设备提示无互联网连接，且不打开任何页面。

Microsoft 文档指出，其网络连接状态指示器 (NCSI) 还会将 dns.msftncsi.com 作为 DNS 检查进行解析。因此，如果认证前 DNS 出现故障，即使 HTTP 正常，Windows 笔记本电脑也会报告无互联网连接。

导致强制门户重定向失败的常见原因有哪些？

大多数问题由七个原因导致。这些原因分布在不同层级，从地址分配一直到身份验证。

操作系统探测被拦截

网关的预身份验证访问控制列表 (ACL) 丢弃了探测请求，而不是对其进行重定向。设备未收到任何响应，因此判定没有网络连接，也就永远不会打开强制门户。

如果 DNS 过滤服务拦截了探测的主机名，也会产生同样的效果。这是强制门户从不弹出的最常见原因。

HTTPS 和 HSTS 破坏了拦截

RFC 6797 中定义的 HTTP 严格传输安全 (HSTS) 会告知浏览器仅通过 HTTPS 访问域名。浏览器附带了 HSTS 域名的预加载列表，其中包括 Google 和大多数银行的域名。当访客输入 google.com 时，浏览器会在请求离开设备之前将其升级为 HTTPS。

网关如果不出示 google.com 的证书就无法重定向该请求，但网关并不拥有该证书。浏览器会显示严重的安全警告，且无法绕过。

解决方法是仅重定向上表中的纯 HTTP 探测请求，这些请求正是为此目的而设计的。切勿为了强制门户重定向而拦截 HTTPS 请求。

围墙花园 (Walled Garden) 限制过于严格

围墙花园是设备在身份验证前可以访问的域名和 IP 地址列表。如果缺少某个条目，登录页面将加载不完整或导致登录步骤失败。常见的漏项包括：

• 社交登录或单点登录的身份提供商端点，例如 Microsoft Entra ID、Okta 或 Google Workspace。
• 为您的登录页面提供字体、脚本和样式表服务的内容分发网络 (CDN) 域名。
• 支付处理商域名（如果您对网络访问收费）。
• Purple 的强制门户和 RADIUS 端点（已列在适用于您硬件的 Purple 集成指南中）。

身份验证前 DNS 解析失败

设备在加载页面之前必须先解析强制门户的主机名。在以下两种情况下，重定向会失效：

• 网关在预身份验证状态下拦截了 DNS。
• DHCP 分配了设备无法访问的 DNS 服务器。

Android 带来了一个特殊情况。如果访客设置了特定的私人 DNS 主机名，Android 会在端口 853 上寻求 DNS over TLS。在自动模式下，它会退回到普通 DNS。

DHCP 地址池耗尽

当地址池耗尽时，新设备虽然能关联到无线接入点 (AP)，但无法获取 IP 地址。此时 Windows 会为自己分配一个 169.254.x.x 的链路本地地址，其他系统也会显示类似的自分配状态。

由于没有有效地址，设备无法发送探测请求。它看起来已连接，但无法上网。这是体育场馆、会议中心和交通枢纽在高峰期发生的经典故障。

RADIUS 未送达 Access-Accept

RADIUS (远程鉴别拨号用户服务) 将登录决策从身份验证服务器传输到您的网关。按照 RFC 2865 的定义，服务器会回复 Access-Accept 或 Access-Reject。随后网关会开放访问权限或保持拒绝状态。

访客填写了表单却仍然保持离线状态，这几乎总是意味着网关未收到 Access-Accept。常见的三个原因是：

• 共享密钥不匹配。
• 防火墙阻止了 UDP 1812（认证）或 UDP 1813（计费）。RFC 2865 和 RFC 2866 定义了这些端口。
• 控制器上的服务器地址错误。

Portal 自身的证书已过期

您的登录页面是通过 HTTPS 提供的。如果其 TLS 证书过期，所有现代浏览器都会显示安全警告并阻止该页面。虽然重定向工作完全正常，但访客仍然无法登录。

如何确定具体原因？

按照协议栈自下而上依次排查。每次检查都可以排除一个层级，因此请在发现第一个故障点时停下。

1. 设备是否有有效的 IP 地址？ 在 Windows 上运行 ipconfig /all，或检查手机上的网络详情。如果是 169.254.x.x 地址或根本没有地址，则指向 DHCP 问题。请检查 DHCP 服务器上的地址池使用率。高于 90% 即意味着即将耗尽。
2. DNS 是否能正常解析？ 从访客虚拟局域网（VLAN，即逻辑上隔离的网络区段）上的设备查询 Portal 主机名。如果查询失败，则说明认证前 DNS 被阻止或 DHCP 分配的 DNS 服务器错误。
3. 探测是否收到 302？ 在访客 VLAN 上进行数据包捕获，或在浏览器中访问其中一个 HTTP 探测 URL。您应该会看到探测请求，随后是一个指向 Portal 的 HTTP 302。如果探测没有响应，则意味着 ACL 丢弃了该请求。如果完全没有探测请求，则意味着设备认为自己已经在线，这通常是由于缓存状态导致的。请忽略该网络并重新连接。
4. 登录页面是否完全加载？ 打开浏览器开发者工具 (F12) 并查看网络选项卡。如果对第三方域名的请求被阻止，则指向围墙花园 (walled garden) 配置缺失。
5. 网关是否收到 Access-Accept？ 检查控制器的 RADIUS 日志。登录成功后会紧跟一个状态为 Start 的 Accounting-Request。如果登录后未出现计费记录，则说明 RADIUS 路径已中断。

然后将您观察到的现象与下表进行对照。

实战场景：高峰期容纳 1,500 个座位的会议中心

情况。 一家会议中心在单个 /24 子网中运行其参会人员网络，DHCP 租约时间为 8 小时。上午的主旨演讲运行顺畅。午饭后，参加下午会议的参会人员显示“已连接，无 Internet”。服务台将其视为门户故障，并两次重启了控制器。

处理措施。 诊断的第 1 步发现新设备获取的是 169.254.x.x 地址。一个 /24 子网提供 254 个可用地址，而 8 小时的租约保留了上午的所有地址。团队将参会人员 VLAN 迁移到了 /21 子网，并将租约缩短至 30 分钟。

结果。 可用地址从 254 个增加到 2,046 个，大约是之前容量的 8 倍。离开的参会人员留下的地址现在会在 30 分钟内归还给地址池，而不是 8 小时。该修复仅需一个变更窗口，无需任何新硬件。

实战场景：拥有 200 间客房的酒店中 Android 客人无法登录

情况。 在重新设计登录页面后，一家拥有 200 间客房的酒店接到了来自 Android 客人的前台投诉。他们中的大多数人选择了 Google 登录选项。门户正常显示，但点击按钮毫无反应。

处理措施。 IT 经理在一部 iPhone、一部 Android 手机和一台 Windows 笔记本电脑上测试了该流程。笔记本电脑上的开发者工具显示针对字体分发网络和 Google 登录域名的请求被拦截。新设计添加了这两项。团队将它们添加到了围墙花园（Walled Garden）中。

结果。 在首次重新测试中，所有三台测试设备均成功完成了 Google 登录。该修复需要两条围墙花园条目，无需更改硬件。

实战场景：防火墙更新后的 40 家门店零售资产

情况。 一家零售商利用周末更换了 40 家门店的防火墙。周一，每家已更新门店的购物者都可以填写登录表单，但依然保持离线状态。尚未更新的门店工作正常。

处理措施。 第 5 步发现没有来自已更新门店的计费记录。新的防火墙模板默认拒绝出站 UDP，从而拦截了 1812 和 1813 端口。团队在模板中添加了显式的出站规则，并推送到所有 40 家门店。

结果。 推送后，每家门店都重新出现了计费记录。因为只有已更新的门店出现故障，这一规律直接指向了模板问题，排除了 WiFi 的原因。

如何在每个操作系统和控制器上修复此问题？

控制器上的修复在所有平台上都遵循相同的模式。操作系统的修复主要是了解每个系统的行为方式。

在您的控制器上

Purple 作为云叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。所有这 8 个平台上的修复模式都是相同的：

1. 将访客 SSID 指向 Purple 集成指南中提供的外部强制门户 URL，并禁用任何本地 Splash 页面。
2. 将未认证的 HTTP 流量（包括探测流量）重定向至该 URL。请勿更改 HTTPS。
3. 在认证前允许 DNS 和 DHCP 通信。
4. 添加 Walled Garden 条目：Purple 端点、身份提供商端点以及登录页面资源域名。
5. 输入 Purple 控制面板中提供的 RADIUS 服务器地址和共享密钥。然后确认防火墙已放行出站 UDP 1812 和 1813 端口。

菜单名称因厂商和固件版本而异，因此请遵循适您所用平台的 Purple 集成指南。Fortinet 社区文档中关于 FortiGate 强制门户流程的说明，是重定向顺序方面极具参考价值的厂商端参考资料。

在 iOS 和 macOS 上

如果强制网络助理未能打开，请在“设置”中忽略该网络并重新连接。这会强制发起一次新的探测。

近期发布的 iOS 和 macOS 版本还支持强制门户 API。它允许网络通过 RFC 8910 中定义的 DHCP 选项 114 通告其门户，从而减少对拦截的依赖。如果助理能打开但保持空白，请检查 Walled Garden 中是否包含相应的资源域名。

在 Android 上

Android 在检测到门户时会显示“登录网络”通知。如果通知从未出现，请确认网关重定向了 connectivitycheck.gstatic.com，而不是将其丢弃。

如果访客看到“无法访问私有 DNS 服务器”，说明其手机设置了严格的私有 DNS 主机名。您有两种选择：

• 在认证前放行端口 853 上的基于 TLS 的 DNS 通信。
• 请访客将私有 DNS 切换为自动模式。

在 Windows 上

Windows 依赖于 NCSI HTTP 探测及其 DNS 检查。如果门户未能自动打开，请访问任意纯 HTTP 网站以手动触发重定向。如果在登录后持续显示“无 Internet 连接”，通常意味着网关仍在重定向该探测。在这种情况下，网关尚未应用 Access-Accept 响应。

在浏览器中

请向一线员工宣贯，指导访客访问 HTTP 地址，切勿访问诸如 google.com 等 HSTS 域名。Firefox 会针对 detectportal.firefox.com 运行自有的探测，因此请在重定向测试中包含该主机。

如何防止访客 WiFi 重定向故障再次发生？

大多数重复发生的故障源于变更，而非初始构建。固件更新、新的防火墙模板、登录页面重新设计或即将过期的证书可能会绕过测试。请将以下控制措施融入您的变更流程中：

• 每次变更后在三个平台上进行测试。 使用一台 iPhone、一台 Android 手机和一台 Windows 笔记本电脑。如果某个平台失败而其他平台通过，请首先排查 Walled Garden 是否存在遗漏。
• 按峰值而非平均值规划容量。 计算最大并发设备数量并预留冗余空间。临时访客网络通常将租约设置为 15 至 30 分钟。
• 设置与到访匹配的会话时长。 酒店和零售场所通常设置 24 小时会话，因此访客在每次入住或到访期间只需登录一次。
• 每日监控登录量。 Purple 的 WiFi 分析 可以按场所报告登录情况。某个场所的登录量突然下降，通常会在访客投诉之前向您预警 RADIUS 或围墙花园故障。
• 将证书和共享密钥纳入变更控制。 在日程表中记录门户证书的到期日期。将 RADIUS 共享密钥存储在防火墙和控制器团队都可以查看的位置。
• 隔离访客流量。 将访客置于独立的 VLAN 中。PCI DSS 将网络隔离视为防止访客网络影响持卡人数据环境合规范围的方法。
• 针对 MAC 随机化做好规划。 最近发布的 iOS 和 Android 对每个网络使用随机 MAC 地址，且某些模式会随时间轮换该地址。基于 MAC 地址的会话缓存随后会要求再次到访的访客重新登录。
• 合规地收集同意。 GDPR 要求针对营销数据取得知情且明确的同意。Purple 的知情选择订阅选项针对每个用途提供单独的选择。

为再次到访的访客跳过强制门户

最持久的解决方案是完全移除针对重复到访的重定向。

• Passpoint 是基于 Hotspot 2.0 规范构建的行业认证。它允许设备使用存储的配置文件自动加入网络。
• OpenRoaming 由无线宽带联盟（WBA）运营，用于联合身份提供商。访客现有的凭据随后可在参与该计划的各个场所通用。

两者均使用 IEEE 802.1X（基于端口的网络访问控制标准），因此不存在会发生故障的门户。

Purple 的定位

Purple 访客 WiFi 作为与硬件无关的云端叠加层运行，因此您可以通过配置修复重定向故障，而无需购买新硬件。Purple 为 90 多个国家的 80,000 多个活跃场所提供服务，每年支持 5 亿用户和登录。该平台实现 99.999% 的可用性，并通过了 ISO 27001、Cyber Essentials 及 B Corp 认证。此外，它还符合 GDPR 和 CCPA 标准。

当门户发生故障时，原因几乎总是出于本地：探针规则、围墙花园条目、DHCP 地址池或防火墙规则。

这些模式在不同行业屡见不鲜：

• 酒店 在办理入住高峰期会出现重定向故障。
• 零售 园区在进行全园区防火墙变更后会出现此类故障。
• 列车 和车站随着乘客成批上车，会面临 DHCP 压力。
• 医疗 场所需要可正常工作的患者及访客 WiFi，且无需将临床工作人员卷入支持电话中。

常见问题解答

Purple 是否兼容我们现有的无线接入点？

是的。Purple 与硬件无关，它作为云端叠加层运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您可以保留现有的接入点和控制器。您只需将访客 SSID 指向 Purple 的强制门户，并根据 Purple 的集成指南添加围墙花园条目和 RADIUS 详细信息，然后进行测试。无需拆除或全面更换硬件。

解决访客 WiFi“已连接但无法上网”是否需要购买新硬件？

不需要。在几乎所有情况下，故障均为配置问题：探针受阻、围墙花园缺失、认证前 DNS、DHCP 地址池耗尽或 RADIUS 防火墙规则限制。您只需在现有的控制器、防火墙或 DHCP 服务器上修复对应项即可。只有当无线接入点密度无法满足高峰期的设备数量时，硬件才会成为问题，而现场勘测可以对此做出确认。

将访客 WiFi 迁移至 Purple 需要做什么？

迁移至 Purple 是一项配置工程，而非安装工程。在每个控制器上，将访客 SSID 设置为 Purple 的外部门户，并添加围墙花园和 RADIUS 设置。然后确认 UDP 1812 和 1813 的防火墙规则。接下来，在 Purple 中构建登录页面和同意选项，并在 iOS、Android 及 Windows 上进行测试。多场所园区可以对控制器设置进行模板化处理。

强制门户是否符合 GDPR 合规要求？

是的，前提是同意是在知情、具体且自愿的情况下给出的。GDPR 要求针对每个目的（例如营销电子邮件）提供单独的确认选择，并禁止预选框。Purple 的知情选择 Opt-in 功能可单独呈现每个选项。Purple 通过了 ISO 27001 认证，持有 Cyber Essentials 证书，并符合 GDPR 及 CCPA 要求。这可为您的数据保护官提供他们所需的标准。

再次访问的访客能否跳过登录页面？

可以。Passpoint 和 OpenRoaming 允许设备使用存储的配置文件或联合身份自动连接。两者均使用基于 WPA2 或 WPA3-Enterprise 加密的 IEEE 802.1X 认证，因此再次访问时不会发生强制门户重定向失败的情况。许多场所同时运行这两者：为首次访问的访客和数据捕获提供强制门户，并为再次光临的访客、乘客和学生提供 OpenRoaming。

我们如何才能在登录开始出现故障时收到通知？

按场所监控登录量。Purple 的 WiFi 分析功能会报告每个场馆的登录情况，因此某个位置登录量的突然下降在其正常模式和您的其他场所衬托下会非常明显。这种下降通常意味着最近的更改引发了 RADIUS、围墙花园或 DHCP 故障。在仪表板中发现此问题要比等待前台投诉传达至 IT 部门更快。

我们应该使用强制门户还是共享 WiFi 密码？

如果您希望获取第一方数据和同意，请使用强制门户；只有在两者都不需要时，才使用共享密码。共享预共享密钥虽然可以使用 WPA2 或 WPA3-Personal 对流量进行加密，但它无法告诉您连接者的身份，且密码容易泄露。强制门户可以收集获得同意的第一方数据，而 Passpoint 或 OpenRoaming 则为再次访问添加了自动加密接入功能。