Cisco Meraki splash page 無法正常運作：疑難排解流程圖

當用戶端仍處於已授權狀態、無法發出觸發重新導向的 HTTP 請求、無法連線至允許的 splash 依賴項，或無法完成 RADIUS 驗證時，Cisco Meraki splash 頁面就會停止顯示。請先從一部受影響的用戶端開始，依其 MAC 位址篩選 Auth、DHCP 和 RADIUS 紀錄，然後測試下方相關的分支。 1 2 3 5

必須具備哪些條件，Meraki splash 頁面才能正常顯示？

請將 Captive Portal 視為一條簡短的鏈條，而非單一網頁。裝置必須關聯至正確的 SSID、取得有效的 IP 位址分配、被歸類為未授權、傳送可啟動 splash 流程的流量、連線至所需的託管服務，然後獲得授權。Cisco Meraki 將觸發機制描述為來自未授權用戶端的 HTTP GET。AP 會攔截該請求，並傳回指向 splash URL 的 HTTP 307 重新導向。 1

這解釋了常見的客戶服務需求：訪客可以加入您的訪客 WiFi，但表示 splash 頁面無法載入。這時存取點（AP）可能運作正常。如果裝置先開啟僅限 HTTPS 的目的地，則加密的請求將無法被重新導向。Cisco Meraki 明確指出這屬於瀏覽器逾時情境。在變更 SSID、頁面設計或 RADIUS 伺服器之前，請先測試受控的 HTTP 分支。 2

同樣的原則也能避免第二個常見錯誤：將每次重複出現的提示視為頁面故障。Splash 頻率取決於授權策略。Cisco Meraki 將 splash 狀態保留在閘道存取點和雲端控制器中，而瀏覽器則保留工作階段 Cookie。在您縮短設定的頻率後，處於有效授權期內的用戶端可能不會再次看到該頁面。相反地，停用或清除 Cookie 的用戶端可能會顯得過於頻繁地收到提示。 2

在變更任何內容之前，您應該擷取哪些資訊？

從一個可重現的報告開始。記錄用戶端 MAC 位址、SSID、閘道器存取點或 MX、裝置類型、當地時間、瀏覽器以及該裝置先前是否已完成 Splash 驗證。要求報告者在您進行檢查時保持裝置連線。這能為您提供事件邊界，並防止繁忙的飯店、零售據點或活動場地將廣泛的投訴變成盲目的設定變更。

開啟用戶端詳細資料並檢查其是否已授權。Cisco Meraki 會將未授權的用戶端識別為 Splash: Not authorized；已授權的用戶端則會顯示其剩餘的授權時間。請勿使用儲存的瀏覽器分頁作為測試。這可能會將過去的工作階段與目前的無線電和 DHCP 狀態混淆。 1

然後，根據用戶端 MAC 位址和事件時間篩選 Dashboard 事件記錄。對於 MR 存取點，Auth 事件類型代表 Splash 頁面驗證。802.11 顯示關聯與解除關聯，DHCP 包含租約相關事件，而 RADIUS 則識別 RADIUS 或 MAC Authentication Bypass 活動。相同的 Auth 篩選條件也適用於 MX Splash 驗證。Cisco Meraki 指出，裝置在重新連線後會上傳儲存的事件，同時保留原始時間戳記，因此在決定先發生什麼事情之前，請先調整好時區。 5

請使用以下有序記錄。它可以在不靠猜測的情況下縮小故障網域。

如何執行疑難排解流程圖？

請針對全新測試用戶端以及已知受影響的用戶端各使用一次此流程圖。兩者之間的差異非常實用。如果全新用戶端可以到達 Splash 頁面，而已知裝置卻不行，您就獲得了授權、瀏覽器狀態或特定用戶端原則問題的證據，而非全場域的斷線。

1. 確認關聯與定址。 如果事件記錄未顯示用戶端與預期 SSID 關聯，請勿對 Splash 頁面進行疑難排解。如果已關聯但 DHCP 記錄顯示錯誤，請先修正定址或 VLAN 路徑。Cisco Meraki 將 SSID 或上游交換器連接埠的 VLAN 標記識別為常見的 DHCP 失敗領域。 6

2. 確認用戶端未授權。 先前已授權的裝置可能還不需要再次顯示 Splash 頁面。Cisco Meraki 提供了用戶端授權撤銷功能以進行受控的重新測試。請在指定的裝置上使用此功能，而不是為每位場域使用者變更 Splash 頁面頻率。 2 3

3. 使用 HTTP 測試觸發。 僅在符合您測試程序的情況下清除瀏覽器快取，確認已啟用 Cookie，然後開啟一個 HTTP 目的地。Cisco Meraki 表示，無法重導向 HTTPS 優先的請求，因為該流量已加密。如果 HTTP 測試成功，請將用戶端行為記錄為原因。網路並未遺失其 Splash 重導向功能。 1 2

4. 測試頁面可達性與圍牆花園 (Walled Garden)。 圍牆花園在 Splash 驗證前允許指定的 IP 位址、範圍或主機名稱（包括萬用字元網域）。如果您使用自訂 Splash URL，Cisco Meraki 表示自訂頁面的 IP 位址和/或 URL 必須位於圍牆花園中。當該頁面依賴個別的資產、身分或服務端點時，請與服務擁有者一起審查每個必要的目的地。請勿猜測 IP 位址或新增廣泛的網際網路存取作為捷徑。 3

Purple 頁面將此區別說明得很清楚。離線 (Offline) Splash 頁面會在登入前出現，且因訪客處於圍牆花園中，所以無法包含外部連結或資源。線上 (Online) 頁面則在成功登入後出現，並可攜帶外部媒體或連結。如果離線 Purple HTML 頁面在變更後遺失了圖片、樣式表、指令碼或第三方身分元素，請在變更設計前，將這些相依性與允許的預先驗證項目進行比較。 7 8

1. 僅在頁面載入後測試登入 RADIUS。 RADIUS（此處用於集中驗證請求的協定）在未出現 Splash 頁面時並非首要懷疑對象。只有在登入表單已載入但驗證失敗或逾時時，它才具有相關性。對於此 Cisco Meraki 流程，是由 Dashboard 雲端發起 RADIUS 存取請求，而非本機 AP 或 MX。伺服器需要具備來自已記錄 Dashboard 來源範圍的公開可達性、相符的共用祕鑰，並支援 PAP。Cisco Meraki 指出，Splash 驗證不支援 RADSec。 4 6. 執行支援的 RADIUS 檢查並檢查伺服器記錄。 Cisco Meraki 針對已記錄的無線設定提供了 Dashboard RADIUS 測試，但 MX 或 Z 系列網路中不存在此測試按鈕。發生逾時意味著您應該驗證目前的 Dashboard 防火牆資訊、RADIUS 用戶端項目、公開主機可達性、共用密鑰（shared-secret）一致性以及原則行為。Cisco Meraki 的健康狀態檢查會定期傳送存取請求，並在連續 6 次無回應（每次間隔 20 秒）後將該伺服器視為無法連線。 4

您該如何隔離常見的故障點？

Splash 頁面顯示頻率似乎不正確

如果 Captive Portal 顯示的頻率低於原則設定，請檢查當頻率變更時，用戶端是否已經過授權。Cisco Meraki 表示，現有的授權期限仍然有效。撤銷所選用戶端的授權，即可對更新後的設定進行有效測試。如果該頁面顯示過於頻繁，請檢查瀏覽器 Cookie 接受設定、快取清除情況以及閘道存取點的持續性。除非瀏覽器能提供其 Cookie，否則重啟閘道可能需要重新進行驗證。 2

這在旅宿業中至關重要。以一家擁有 200 間客房的飯店為例，在變更設定後，應使用受控的手機進行測試，然後將結果評估為三個簡單的產出：用戶端狀態變更為已授權、收到預期的過期時間，以及下一個全新的 HTTP 請求行為符合預期。與詢問櫃檯投訴是否停止相比，這是一個更好的上線審查機制。

訪客 WiFi 未進行重新導向

請勿宣稱 HTTPS 「破壞了」Captive Portal。Cisco Meraki 的記錄行為較為具體：重新導向機制在未經授權的 HTTP GET 上運作，而優先使用 HTTPS 的請求則無法被重新導向。現代裝置可能會在關聯時啟動其作業系統的 Captive Portal 偵測流程。如果未出現該提示，請使用 HTTP 測試來確定網路分支是否正常運作。 1 2

以零售業的部署為例，商店的 IT 團隊可以使用店員的測試裝置在賣場的 SSID 上重現該問題。驗收證明並非模糊的網頁載入聲明。請擷取關聯記錄、有效位址、未授權狀態、HTTP 測試後的 Auth 事件以及產生的授權狀態。此記錄可在不洩露訪客憑證的情況下跨分店進行比較。

Walled Garden（圍牆花園）不完整

Walled Garden 是在授權前故意限制的存取權限。它不應該變成免過濾清單。請先檢查 Splash 主機，然後檢查您的預先驗證頁面真正需要的相依性。Cisco Meraki 允許使用 IP 位址、IP 範圍、主機名稱以及萬用字元網域。當啟用該功能時，Cisco 還要求在 Walled Garden 中加入自訂的 Splash 頁面 URL 或 IP 位址。 3

Purple 離線頁面是限制最多的階段。Purple 指出，當訪客處於 walled garden（圍牆花園）時，無法使用外部連結或資源。HTML 編輯器允許您的團隊將資產上傳到 Portal 中並預覽目前頁面，這可以減少不必要的遠端依賴關係。在發布已編輯的範本之前，請遵循 Purple 已發布的步驟。 7 8

登入 Splash 頁面逾時或拒絕憑證

請區分「拒絕」與「逾時」。拒絕是驗證或策略的結果。而逾時或「連線困難」訊息，則首先指向 Dashboard 與已設定的 RADIUS 伺服器之間的連通性。Cisco Meraki 文件指出，登入 Splash 請求源自 Dashboard 雲端，且無法為 RADIUS 伺服器使用私有 LAN 位址。 4

請確認伺服器在此 Splash 模式下預期使用 PAP、文件記載的 Dashboard 來源範圍已獲允許、所有相關的來源 IP 皆已設定為 RADIUS 用戶端，且雙方的共用密鑰一致。Cisco Meraki 也表示，外部 Splash 整合必須直接使用提供的 login_url 而不進行修改，且過濾機制必須允許其變動的主機名稱，而非單一固定的模式。 4

事件記錄中的 Meraki Splash 事件代表什麼意義？

請將記錄視為時間軸來閱讀。802.11 association 表示用戶端已加入 AP。這並不代表用戶端已取得位址、到達 Splash 頁面或已取得網際網路存取權限。Auth 事件是 Splash 頁面驗證的事件類別。大約在同一時間發生的 DHCP 事件可能會將調查重點轉移到位址分配。RADIUS 事件對於以 RADIUS 為基礎的登入流程至關重要，但它並不能證明瀏覽器已成功載入該頁面。 5 6

避免將 802.1X 與登入 Splash 頁面混淆。Cisco Meraki 識別 WPA2-Enterprise SSID 的 802.1X 與 RADIUS 訊息。其獨立的登入 Splash RADIUS 文件描述了 Dashboard 雲端與您的 RADIUS 伺服器之間的 PAP。在本指南中，請使用 association、Auth、DHCP 與 RADIUS 類別來定位失敗的階段。請勿單憑一行記錄來推斷確切的根本原因。 4 6

Cisco Meraki 也透過其載於說明文件的 Dashboard API 公開 Splash 登入嘗試。該記錄包含登入時間、SSID、閘道器裝置 MAC、用戶端 MAC 以及授權狀態。對於多據點的 IT 團隊而言，這讓您能夠將場地工單與驗證結果進行比對，而無需將傳聞視為事件證據。 9

如何防止已修復的 Splash 頁面再次發生故障？

請為您的 Guest WiFi 服務負責人準備一份簡短的作業操作手冊。該手冊應指出測試 SSID、測試裝置、授權撤銷程序、預期的頁面主機、預先驗證相依性、RADIUS 擁有權以及呈報聯絡人。它還應說明部署的控制器中斷連線行為。Cisco Meraki 針對雲端控制器無法使用時的情況，提供了開放、受限和預設行為的說明文件。 3

對於使用 Captive Portal 進行同意、品牌宣傳和存取原則的場域，請將離線頁面視為受控的應用程式元件。Purple 提供離線、線上和非營業時間的頁面類型。請參閱已發佈的 Splash Pages 指南以進行存取流程變更，並參閱 HTML editor 指南以進行上傳資產和預覽。請將後續的日常診斷與全新配置分開處理。 7 8

當這成為重複發生的場地問題時，請將證據集中化，而不是憑空猜測。將事件時間、用戶端 MAC、AP 或 MX、SSID、授權狀態、事件記錄類別和 RADIUS 伺服器回應進行關聯。這種方法適用於 Hospitality 、 Retail 和 Transport 據點，在這些地方，在地團隊需要明確的呈報界限，而網路團隊則需要可重現的證據。關於更廣泛的服務設計，請參閱 Guest WiFi Management: Smart Authentication & Segmentation 。

常見問題

Purple 是否支援現有的 Cisco Meraki 基地台？

是的。Purple 支援套用在現有基礎架構（包括 Cisco Meraki）之上的顧客 WiFi 部署。本指南涵蓋 Meraki 顯示頁面失敗的第二天診斷。它並不能取代新 Captive Portal 所需的設計與上線工作。請參閱已發佈的 Purple Splash Pages 指南以了解支援的頁面類型與存取歷程變更。 7

將 Meraki 顯示頁面移轉至 Purple 需要多少工作量？

工作量取決於現有的驗證流程、預先驗證相依性以及頁面設計。首先請盤點目前的頁面主機、Walled Garden 項目、登入方式以及登入後的目的地。Purple 支援標準與 HTML 顯示頁面範本，包括上傳的資產與即時預覽。請將移轉規劃為受控的變更，而非突發事件修復。 7 8

Cisco Meraki 顯示頁面是否可以重新導向僅限 HTTPS 的要求？

不行。Cisco Meraki 文件指出，當未授權的用戶端傳送 HTTP GET 時，其顯示頁面重新導向便會開始。HTTPS 優先的流量已加密，無法透過該機制進行重新導向。請使用 HTTP 目的地進行測試，然後區分用戶端瀏覽器行為與全網顯示頁面失敗之間的差異。 1 2

自訂 Meraki 顯示頁面需要哪些 Walled Garden 項目？

啟用 Walled Garden 時，必須允許自訂顯示頁面的 IP 位址和/或 URL。然後僅允許該頁面真正需要的其他預先驗證端點。Cisco Meraki 支援 IP 位址、範圍與主機名稱，包括萬用字元網域。請勿以不受限制的網際網路存取來取代該審查。 3

為什麼 Meraki 登入顯示頁面在使用 RADIUS 時會逾時？

逾時通常意味著 Cisco Meraki Dashboard 雲端無法從設定的 RADIUS 伺服器取得回應。請檢查外部連通性、目前的 Dashboard 來源範圍、相符的 RADIUS 用戶端共用金鑰以及 PAP 支援。本機 AP 或 MX 並非顯示頁面 RADIUS 要求的來源。 4

我們如何監控多個場地中的顯示頁面登入失敗？

使用 Meraki 事件記錄來篩選受影響的用戶端與時間範圍，然後關聯 Auth、DHCP 和 RADIUS 類別。Cisco 的 splash-login-attempts API 可以傳回登入時間、SSID、閘道裝置、用戶端識別碼與授權狀態。這為多站點支援服務台建立了致的證據記錄。 5 9

參考資料