Interactive IT network diagnostic

Captive portal vs Passpoint readiness simulator

Test how modern operating systems (Apple iOS, Android 15, Samsung One UI) interact with your guest WiFi architecture and uncover why legacy splash screens are failing.

1. Select client operating system

2. Select guest WiFi architecture

3. Wireless controller or AP vendor

⚠️ Friction & Failure Prone

Apple iOS & iPadOS on Legacy open SSID + HTTP redirection

Probe: http://captive.apple.com/hotspot-detect.html

CNA sheet and browser behaviour

Launches sandboxed Captive Network Assistant (CNA) web sheet without shared Safari cookies, passkey autofill, or external OAuth redirect support.

MAC randomisation and CRM impact

Uses a private WiFi address per network. Since iOS 18 users can choose Fixed or Rotating (rotates about every two weeks); rotating addresses break MAC-based CRM re-identification.

Encrypted DNS and DoH vulnerability

iCloud Private Relay and encrypted DNS bypass the local resolver, so DNS hijacking fails. An HTTP 302 on the plain-HTTP probe still triggers the CNA.

Protocol architecture	User onboarding experience	Security and encryption	Returning guest recognition
Legacy open SSID + HTTP redirection	High friction. User connects, waits for CNA popup or opens browser, manually enters credentials.	Critical risk (vulnerable to evil twins, eavesdropping and man-in-the-middle sniffing).	Poor (MAC-based return recognition is unreliable with private and rotating addresses).

⚙️ Network controller blueprint (MERAKI)

# Next-generation guest WiFi migration blueprint: Apple iOS & iPadOS
# Hardware target: MERAKI enterprise infrastructure
# Target architecture: Legacy open SSID + HTTP redirection

[1] CAPTIVE PROBE HANDLING
 - Client Probe Target: http://captive.apple.com/hotspot-detect.html
 - Recommended Probe Response: Migrate from HTTP 302 to RFC 8908 DHCP Option 114

[2] ENCRYPTION & SECURITY
 - WPA Mode: OWE (WiFi Enhanced Open) with an open transition SSID for older clients
 - Client Isolation: Enabled on all guest VLANs (block inter-station traffic)
 - Peer-to-Peer Blocking: Enforce RFC 1918 subnet isolation at default gateway

[3] PRIVATE DNS & MAC RANDOMISATION MITIGATION
 - Private DNS Policy: WARNING: DoH/DoT will bypass legacy DNS interception. Deploy RFC 8908 API.
 - Identity Resolution: Transition from ephemeral MAC tracking to Passpoint cryptographic token or verified captive OAuth profile

[4] PURPLE PLATFORM OVERLAY
 - Seamless integration with existing APs without replacing controllers
 - ISO 27001-certified, GDPR-aligned first-party data capture
 - Automated migration roadmap to zero-touch Passpoint / OpenRoaming

Enterprise network consultation

Request a Passpoint migration assessment

Speak directly with a Purple WiFi enterprise network architect to review your controller configuration, RFC 8908 readiness, and seamless Passpoint onboarding across your venues.

✓Hardware compatibility audit

✓RFC 8908 API & Passpoint plan

✓CRM identity continuity

First name *

Last name *

Company name *

Business email *

Phone number

Country *

What product are you interested in?

Anything you'd like us to know?

Remove captive portal friction with Purple Passpoint and the RFC 8908 API

Purple overlays seamlessly onto your existing Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist or Ubiquiti UniFi controllers. Transition smoothly from legacy splash pages to encrypted, zero-touch Passpoint without replacing hardware.

Explore guest WiFi

Useful? Link to this tool

關鍵要點：淘汰傳統 Captive Portal

作業系統廠商限制：iOS 18 和 Android 15 中的行動作業系統更新對 Captive Network Assistant (CNA) 進行了沙盒化處理，停用 Cookie、網頁自動填入和密碼管理器，以減少使用者登入阻礙。
MAC 位址隨機化：隨機化的私有 MAC 位址干擾了持續性的裝置識別，迫使訪客必須在傳統 Captive Portal 上重複進行身分驗證。
Passpoint (Hotspot 2.0 / 802.11u)：以自動化的 WPA3 Enterprise 加密取代手動瀏覽器彈出視窗，在進入場域訊號覆蓋範圍時立即自動連接已識別的裝置。
OpenRoaming 聯盟：允許場域訪客使用單一安全的憑證設定檔，在全求參與的 WiFi 網路之間進行連接，無需透過網頁入口畫面。
第一方數據轉移：現代場域正從強制彈出登入的阻礙，轉變為背景驗證結合選擇性加入的連線後互動管道。

如果您為實體場域管理訪客 WiFi，您與 Captive Portal 的關係正經歷根本性的轉變。多年來，瀏覽器登入頁面一直是公共網路的數位大門。Purple 花了十多個年頭，為全球企業場域精進該引導上網體驗。

然而，主要的行動作業系統廠商正積極淘汰傳統的 captive portals，轉而採用無縫、加密的網路引導上網標準。

快顯網頁入口網站正從業界標準轉變為營運上的限制。對於 IT 總監、網路架構師和場域營運商而言，為無密碼、自動化的 WiFi 存取做好準備現在至關重要。探索我們的完整 captive portal 導覽以取得完整的架構背景資訊。

為什麼行動 OS 廠商正針對傳統 captive portals 進行限制

Apple、Google 和 Samsung 控制著主要的行動作業系統。為了提供更流暢、更安全的行動體驗，這些廠商正在最近的 OS 版本中，系統性地限制傳統的 captive portal 行為。

網頁快顯入口網站對行動使用者而言，代表著阻礙、安全漏洞以及不可預測的連線失敗。三大關鍵技術因素驅使了這一架構轉變：

沙盒化的隨機入口網路助理 (CNA)：作業系統會啟動輕量級的網頁檢視以顯示歡迎頁面。為保護裝置安全，廠商會限制這些微型瀏覽器，封鎖持續性 Cookie、阻止密碼管理器整合，並停用複雜的多因素驗證 (MFA) 流程。
私有 MAC 位址隨機化：現代裝置會針對每個網路或每個工作階段輪替 MAC 位址。依賴未隨機化 MAC 位址進行工作階段追蹤的傳統 Captive Portal 無法辨識回訪訪客，迫使使用者必須重複面對登入畫面。
網路釣魚與邪惡雙胞胎漏洞：顯示未經驗證網頁表單的未加密開放式 WiFi 網路，會讓使用者暴露於中間人攻擊的風險中。安全指南建議採用加密的連結層驗證，而非開放式網頁表單。在我們的 enterprise WiFi security guide 中了解更多資訊。

比較傳統 captive portals 與 Passpoint 及 OpenRoaming

從瀏覽器登入頁面過渡到自動化網路驗證，可提升安全性、訪客滿意度以及網路管理效率：

功能 / 指標	傳統 Captive Portal	Passpoint (Hotspot 2.0)	WBA OpenRoaming
身分驗證方式	網頁瀏覽器彈出式表單	WPA3 / 802.1X 企業級設定檔	全球聯盟身分識別設定檔
用戶登入阻力	高 (每次連線皆需手動網頁輸入)	零 (背景即時連線)	零 (即時全球漫遊)
空中加密	無 (開放式未加密網路)	企業級 WPA3 / AES 加密	企業級 WPA3 / AES 加密
MAC 隨機化彈性	低 (強制重新驗證)	高 (使用憑證 / ANQP 憑證)	高 (使用聯盟 Passpoint 設定檔)
訪客回訪率準確性	因專用 MAC 輪替而降低	100% 準確的裝置識別	100% 準確的裝置識別
硬體相容性	標準開放式 SSID 硬體	802.11u 企業級無線基地台	Passpoint Release 2/3 認證 AP

Passpoint 與 OpenRoaming 如何取代傳統登入畫面

Passpoint (基於 WiFi 聯盟 Hotspot 2.0 規格與 IEEE 802.11u) 使行動裝置能夠自動探索、選擇並與 WiFi 網路進行驗證。使用者一旦安裝了安全的 Passpoint 設定檔，其裝置只要進入場域覆蓋範圍就會自動連線。

OpenRoaming 由無線寬頻聯盟 (WBA) 主導，將 Passpoint 擴展為全球聯盟。擁有 OpenRoaming 設定檔的裝置可在參與的機場、場館、零售據點和交通樞紐自動連線。Purple 作為認證的 OpenRoaming 身分驗證提供者，使場館能夠在維持合規性與存取控制的同時，提供即時的上網引導。

過渡到自動化背景連線可提供顯著優勢：

增強的連結層加密：Passpoint 使用 WPA3 Enterprise 加密技術保護空中傳輸的資料，防止訪客流量在公開網路上被截聽。
免密碼的使用者體驗：訪客無需填寫網頁表單或尋找網路密碼，即可獲得與行動網路漫遊完全相同的連線體驗。
高品質的客戶互動：場域無須在授予網路存取權限前強迫使用者輸入資料，而是可以在連線後透過應用程式通知、網頁重導向或已同意的 CRM 溝通與訪客進行互動。請閱讀我們 WiFi marketing guide 和 WiFi analytics guide 中的詳細內容。

場域營運商的實作步驟

審計現有的無線基礎架構：Purple 可覆蓋來自 Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti, UniFi 及 Juniper Mist 的現有無線基地台，無需更換硬體。
啟用 Passpoint (802.11u) SSID：在過渡階段，設定您的企業級無線區域網路控制器，以在廣播傳統 SSID 的同時，一併廣播 Passpoint ANQP 設定檔。
部署雲端 RADIUS 驗證：將 Passpoint 驗證請求路由至 Purple 雲端 RADIUS 伺服器，以處理憑證管理與設定檔佈署。
提供設定檔佈署：允許訪客透過您網站、應用程式或電子郵件邀請中的一鍵式設定檔下載連結進行上網引導。

關於 captive portal 淘汰的常見問題

Apple 和 Google 是否正在完全淘汰 Captive Portal？

Apple 和 Google 正在透過沙盒化、Cookie 阻擋和 MAC 位址隨機化來限制 Captive Network Assistant (CNA)。雖然網頁入口畫面仍可用於簡單的點擊連結存取，但作業系統廠商更優先考慮使用自動化的 Passpoint 和 OpenRoaming 設定檔，以提供安全、流暢的連線。

Passpoint 與傳統 Captive Portal 有何不同？

傳統 Captive Portal 需要在開放、未加密的 WiFi 網路上透過手動瀏覽器提交表單。Passpoint (Hotspot 2.0) 則使用企業級 WPA3 加密自動驗證裝置，無需進行網頁互動。

什麼是 OpenRoaming？它對場域營運商有何益處？

OpenRoaming 是由無線寬頻聯盟 (Wireless Broadband Alliance) 建立的全球聯盟。它使場域訪客能夠使用單一安全設定檔，在數千個合作網路中自動連線，在消除登入阻礙的同時保留場域分析功能。

我需要更換現有的 WiFi 硬體才能支援 Passpoint 嗎？

不需要。大多數來自 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi 和 Juniper Mist 的企業級基地台，都支援透過軟體設定來提供 802.11u 和 Passpoint。Purple 可與您現有的硬體無縫整合。

Captive Portal 的終結：為什麼 Apple、Google 和 Samsung 正在逐步淘汰傳統的訪客 WiFi

Captive portal vs Passpoint readiness simulator