Cisco Meraki Captive Portal 疑難排解：Splash 頁面、Walled Garden 與 RADIUS 檢查清單

Meraki Captive Portal 發生故障時，通常是以下四個原因之一：Splash 頁面類型錯誤、Walled Garden 缺少 Portal 的網域和資產、授權 URL 傳遞失效，或是存取點（Access Point）無法以相符的共用金鑰連線至 RADIUS。Meraki 事件記錄會顯示您遇到的是哪一種故障。

運作不正常的 Meraki Captive Portal 看起來像怎樣？

大多數的支援工單都與以下三種症狀有關。每一種症狀都指向登入鏈中不同的環節：

• Splash 頁面從未出現。 裝置已加入 SSID 並取得 IP 位址，但沒有彈出登入提示。
• Portal 陷入無限循環。 訪客填寫完表單，點擊連線後，又重新回到登入頁面。
• Portal 接受了詳細資料，但從未授予存取權限。 頁面顯示成功，但裝置仍處於被限制作業（Captive）的狀態。

第四個症狀比較不明顯：回訪訪客被要求重新登入的頻率遠高於預期。這通常不是 Portal 的問題，而是 Splash 頻率設定所致。

在變更任何設定之前，請先確認整個運作鏈的正常運作方式。在 Purple 部署中，Meraki 存取點會將裝置重新導向至 Purple 的 Splash 頁面伺服器。Splash 頁面會收集訪客的詳細資料，並發放一次性登入憑證。接著，存取點會將該登入憑證傳送給 Purple 的 RADIUS 伺服器以完成驗證。Purple Captive Portal 支援文章 詳細說明了此流程。上述的每個症狀，都對應到這三個傳遞環節中某一個發生了失敗。

本指南假設 SSID 已經建立。本指南為 Meraki Captive Portal 設定指南的補充說明，不會重複設定步驟。

通常是什麼原因導致 Meraki Splash 頁面無法顯示或陷入循環？

Splash 頁面類型與 Portal 不相符

Meraki 提供了 Click-through（點擊通過）、搭配 RADIUS 伺服器的 Sign-on（登入），以及外部 Captive Portal 等選項。Portal 與 SSID 必須預期使用相同的驗證方法。

Click-through 外部 Portal 會透過呼叫授權 URL 來放行裝置；而 Sign-on 外部 Portal 則會傳送憑證，由存取點向 RADIUS 進行核對。如果 SSID 與 Portal 設定不一致，傳遞就會失敗，導致訪客陷入無限循環。

Walled Garden 設定不完整

Walled Garden 列出了裝置在通過驗證前可以存取的目的地。Meraki 接受以網域或 IP 範圍形式輸入。如果漏掉了 Portal 本身的網域，Splash 頁面就完全無法載入。

缺少資產會導致更隱蔽的故障。樣式表（CSS）、圖片、字型、內容傳遞網路（CDN）和社群登入提供商，都是從各自的主機載入。如果其中任何一個被阻擋，頁面轉譯就會出錯，或者登入按鈕會毫無反應。

Walled Garden 也可能開放得太多。裝置會執行 Captive 網路助手（CNA）以檢查預設的網域來測試網際網路存取。如果在登入前就可以連線到該探測網域，裝置就會判定自己已經上網，進而永遠不會顯示登入提示。

授權 URL 或繼續 URL 遺失

使用外部 captive portal 時，Meraki 會將參數附加到重定向中。這些參數包括基礎授權 URL，以及訪客原本請求的持續 URL。Portal 必須將裝置送回該授權 URL 才能釋放裝置。

如果 portal 遺失、重寫或快取了這些參數，存取點將永遠無法收到授權。訪客會看到成功訊息，但下一次載入頁面時，系統又會將他們重定向到登入頁面。

RADIUS 無法連線或共用金鑰錯誤

使用 RADIUS 進行登入取決於存取點能否連線到 RADIUS 伺服器。RADIUS 是在 RFC 2865 中定義的遠端驗證撥號使用者服務協定。伺服器將每個發送者視為 RADIUS 用戶端，並在每次請求時檢查共用金鑰。

最常見的兩種故障是：防火牆阻擋了來自存取點的 RADIUS 流量，或是儀表板與伺服器之間的共用金鑰不一致。不論是哪種情況，portal 收集了詳細資訊，但驗證永遠無法完成。

NAT 模式與橋接模式改變了需要檢查的項目

在 NAT 模式下，存取點會自行指派用戶端位址。上游裝置只會看到來自存取點的流量，而不是來自用戶端。在橋接模式下，用戶端會從您 LAN 或 VLAN 上的 DHCP 伺服器取得位址。

橋接模式增加了您必須自行負責的故障點。這些包括 DHCP 範圍耗盡、VLAN 未中繼到存取點，以及上游 DNS 或防火牆規則阻擋了 portal 主機。

您該如何找出根本原因？

請從用戶端向外進行排查。使用一部裝置進行測試，並在每次嘗試之間忘記該網路，以便每次測試都從乾淨的狀態開始。

症狀	事件記錄顯示的內容	最可能的可能原因	首要檢查項目
未出現 splash 頁面	已關聯，但沒有 splash 重定向	CNA 探測網域可連線，或 DHCP 或 DNS 故障	確認裝置已取得 IP 與 DNS，然後開啟 neverssl.com
Splash 頁面空白或無樣式	Splash 重定向，頁面不完整	圍牆花園（Walled Garden）缺少資產主機	瀏覽器開發者工具，列出每個被阻擋的主機
提交後無限循環	重複的 splash 重定向，無授權	授權 URL 參數遺失，或 splash 類型不匹配	比較重定向查詢字串與 portal 回傳的內容
出現成功訊息，但無法上網	驗證嘗試失敗或逾時	RADIUS 被阻擋或共用金鑰不匹配	檢查 RADIUS 伺服器記錄中是否有來自存取點的請求
回訪客再度收到提示	已知裝置出現新的 splash 事件	Splash 頻率設定太短	SSID 上的 splash 頻率設定
桌上型電腦出現憑證警告	重定向完成	登入頁面透過 HTTP 傳送	Portal 主機上的憑證

讀取 Meraki 事件記錄

在 Meraki 儀表板中開啟網路事件記錄，並依照測試裝置的 MAC 位址進行篩選。然後篩選出 splash 與驗證事件類型。

請依時間順序閱讀事件：關聯、IP 位址分配、Splash 頁面重新導向、驗證。序列停止之處即為故障所在。若無 Splash 事件，表示重新導向從未觸發。有 Splash 事件但無驗證事件，則指向 Portal 或 Grant URL。驗證失敗事件則指向 RADIUS。

如何在 Meraki MR 網路和用戶端裝置上解決此問題？

請遵循 Purple Captive Portal 支援文章 中的廠商步驟。下方的修正方法會說明您需要變更的內容以及原因。

修正 Walled Garden (圍牆花園)

在客用網路之外的裝置上載入 Splash 頁面，並開啟開發者工具。記錄該頁面呼叫的所有主機，包括社群登入提供者。將每一個主機以網域或 IP 範圍的形式加入到 Walled Garden 中。移除任何與 CNA 探測網域相符的項目。

修正 Grant URL 轉接

從發生失敗的裝置中擷取完整的重新導向 URL。確認 Portal 將裝置引導回保留完整參數的基礎 Grant URL。檢查 Portal 與裝置之間是否沒有任何代理伺服器、縮網址服務或快取。

修正 RADIUS

確認無線基地台 (Access Point) 能夠透過設定的連接埠連入 RADIUS 伺服器。同時從同一份複製的內容重新輸入雙方的共用金鑰 (Shared Secret)。然後檢查伺服器記錄，確認是否有來自無線基地台位址的請求抵達。

修正用戶端行為

Android 會顯示「您可能需要登入」的通知以開啟 CNA。部分手機製造商會修改此行為，因此請在您的賓客所使用的手機型號上進行測試。若賓客漏掉了該提示，Purple 建議開啟瀏覽器並造訪 neverssl.com。該網站可避免 SSL 重新導向問題，因為它從不使用 HTTPS。

當登入頁面透過純 HTTP 傳送時，桌上型電腦瀏覽器會發出警告。Purple 的 Cisco WLC 憑證文章 介紹了 Cisco WLC 上的同等故障。該處的修正方法是使用其一般名稱 (Common Name) 與 Portal 主機名稱相符的公開信任憑證。同樣的原則適用於任何 Portal 主機。

其他廠商

Purple 支援任何硬體。相同的檢查步驟也適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 以及 Fortinet。僅選單名稱有所不同。

兩個實際案例

重新設計 Portal 後的 200 間客房飯店

狀況。 一家市中心的 旅宿 場所使用新字型和社群登入按鈕更新了其 Splash 頁面。更新後，賓客看到的是一個沒有登入按鈕的空白網頁。

處理過程。 IT 小組在開啟開發者工具的情況下載入新網頁，發現了兩個被阻擋的主機。一個是字型傳遞網路，另一個是社群登入提供者。兩者皆被加入到 Walled Garden 中。

結果。 網頁在下一次測試中完整呈現。櫃台關於賓客上網權限的投訴在當天即停止。

防火牆變更後的 40 家連鎖零售店

狀況。 一家 零售 連鎖店收緊了總部的防火牆。隔天早上，每家店鋪的顧客都能看到成功頁面，卻無法瀏覽網路。

處理措施。 事件記錄顯示每個站點都出現驗證逾時。新規則阻擋了來自店鋪基地台的 RADIUS 流量。團隊僅針對 RADIUS 連接埠恢復了規則。

結果。 變更後的一小時內，所有 40 家店鋪的驗證事件皆恢復正常。

如何防止 Meraki Captive Portal 故障再次發生？

• 將 Walled Garden 與入口網頁變更進行綁定。 每次設計變更在正式上線前，都會觸發 Walled Garden 審查。
• 保持 SSID 開放。 Purple 建議訪客上網使用開放網路，因為這種做法符合大眾習慣，並能減少連接阻礙。
• 成對輪替共用金鑰。 在同一個維護視窗內，同時變更儀表板與 RADIUS 伺服器。
• 在四個平台上進行測試。 Android、iOS、Windows 與 macOS 處理 CNA 的方式各有不同。
• 使用信任的憑證。 透過 HTTPS 以及公開信任的憑證來提供登入頁面。
• 將員工與訪客分流。 員工應透過身分進行驗證，而非透過訪客歡迎頁面。請參閱 如何啟用單一登入。

Purple 在全球超過 80,000 個實體場所運作 Guest WiFi，並在 2024 年處理了 4.4 億次登入（Purple 內部數據）。相同的檢查清單亦適用於為旅客提供服務的 交通 樞紐，以及為病患和訪客提供服務的 醫療保健 場所。

常見問題

Purple 是否支援我現有的 Cisco Meraki 基地台？

是的，Purple 以雲端重疊（cloud overlay）的方式運行在您現有的 Cisco Meraki MR 基地台上。您只需將 SSID 的歡迎頁面指向 Purple，並在 Meraki 儀表板中設定 Purple 的 RADIUS 詳細資訊即可。不需要新增硬體。 Purple captive portal 支援文章 涵蓋了詳細的設定步驟。此方法同樣適用於其他混合品牌的設備。

Purple 可以在混合廠商的設備中運行 Guest WiFi 嗎？

是的，Purple 與硬體無關，支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。您可以從單一平台管理所有廠商的單一歡迎頁面與單一登入流程。這非常適合那些收購了擁有不同硬體站點的集團，也適合那些計劃逐步汰換基地台而非一次性替換的企業。

訪客上網應該在開放的 SSID 還是加密的 SSID 上運行？

Purple 建議訪客上網使用開放的 SSID，因為這已是目前的標準做法，且訪客對此非常熟悉。Captive Portal 會處理登入步驟，因此訪客在連接前不需要輸入密碼。開放網路能減少連接時的阻礙。請將員工裝置保留在獨立的、基於身分驗證的網路上，而不是共用訪客 SSID。

透過 splash page 收集的訪客資料是否符合 GDPR 規範？

是的，Purple 已通過 ISO 27001 和 Cyber Essentials 認證，且營運完全符合 GDPR 和 CCPA 規範。訪客在 splash page 上進行自主選擇的勾選同意，因此行銷同意是明確的。您所收集的資料為第一方資料，歸您的組織所有。Purple 也是一家獲得認證的 B Corp。請確保您自己的隱私權聲明與您 splash page 所收集的欄位一致。

為什麼桌上型電腦瀏覽器在登入頁面之前會顯示憑證警告？

當入口網站透過純 HTTP 重新導向至登入頁面時，桌上型電腦瀏覽器會顯示警告。現代瀏覽器要求登入頁面必須使用 HTTPS，因此會將該連線標記為非私密連線。解決方法是在入口網站主機上安裝受公開信任的 SSL/TLS 憑證。憑證的通用名稱 (Common Name) 必須與重新導向所使用的通用名稱相符。該警告不會阻止存取，但會損害訪客的信任。

當 Purple 運作入口網站時，由誰處理 RADIUS 驗證？

Purple 的 RADIUS 伺服器會完成登入程序。splash page 會發行一次性登入，而 Meraki 存取點會將其傳送至 Purple 的 RADIUS 伺服器。您需要在 Meraki 儀表板中輸入 Purple 的 RADIUS 詳細資訊和共用金鑰。您的防火牆必須允許來自存取點的 RADIUS 流量到達 Purple。如果任何一側的共用金鑰不一致，驗證就會失敗。

從 Meraki splash page 轉移到 Purple 需要花費多少心力？

此轉移只是針對每個 SSID 的設定變更，而非硬體專案。您需要變更 splash page 類型、新增 walled garden 條目，並輸入 Purple 的 RADIUS 詳細資訊。大部分的心力會花在上线前於 Android、iOS、Windows 和 macOS 上進行測試。建議先規劃一個試點場域，然後再將測試過的設定套用至其餘的所有場域。