Wissen
Fünf Dinge müssen stimmen. Mehr nicht.
Wer wissen will, wie viel Arbeit ein externes Gästeportal auf der eigenen Seite macht, braucht keine Anleitung mit Bildschirmfotos. Er braucht die Liste der Bedingungen, die am Ende erfüllt sein müssen.
Zur Form
Bedingungen halten länger als Klickpfade.
Die Netzwerkanwendung ordnet ihre Oberfläche zwischen den Fassungen um. Eine Anleitung, die beschreibt, wo etwas liegt, ist deshalb ab der nächsten Fassung ein Stück falsch, und wer sie befolgt, sucht an einer Stelle, die es nicht mehr gibt.
Was sich nicht ändert, ist die Sache selbst: Ein Gerät muss den Weg zum Portal finden, das Portal muss den Weg zurück finden, und dazwischen darf nichts blockieren. Diese Seite beschreibt deshalb Zustände, keine Wege durch ein Menü.
Die Liste
Was am Ende erfüllt sein muss.
Alle fünf betreffen Ihr Netzwerk, und alle fünf lassen sich vorher prüfen, ohne dass ein Gast im Haus ist.
Ein getrenntes Gästenetz
Eine eigene SSID genügt nicht. Gästegeräte gehören in ein eigenes Netzsegment, und untereinander sollen sie sich auch dort nicht sehen. Das ist Netzwerkarbeit und steht vor allem anderen.
Der externe Portal-Server ist hinterlegt
Für das Gästenetz steht der Authentifizierungstyp auf externen Portal-Server, und die Adresse des Portals ist eingetragen. Das ist die eine Einstellung, um die es geht.
Die Freigabeliste ist vollständig
Name und IP-Adresse des Portals und alles, was die Seite nachlädt. Fehlt ein Eintrag, scheitert genau ein Gerätetyp und kein anderer. Die Prüfadressen der Betriebssysteme gehören nicht hinein, sie sollen abgefangen werden.
Der Hinweg ist offen
Aus dem Gästenetz muss das Portal erreichbar sein, über die dafür vorgesehenen Ports und über eine funktionierende Namensauflösung. Erlaubt und erreichbar sind zwei verschiedene Dinge.
Der Rückweg ist offen
Nach der Anmeldung meldet das Portal die Freigabe an die Netzwerkanwendung. Ist dieser Weg zu, erscheint die Seite, der Gast stimmt zu, und nichts passiert.
Was in dieser Liste fehlt, ist die Portalseite selbst: Adresse, Gestaltung, Zertifikat und dessen Erneuerung. Das bringt Immernetz mit, und deshalb steht es hier nicht unter dem, was Sie einrichten.
Die Kehrseite
Was die Trennung kostet.
Bedingung eins verlangt ein eigenes Netzsegment und Geräte, die einander darin nicht sehen. Das ist richtig, und es hat einen Preis, den kaum jemand vorher nennt: Alles, was ein Gerät im selben Netz finden muss, findet es dann nicht mehr.
Am häufigsten trifft es zwei Wünsche. Ein Gast will von seinem Telefon etwas ausdrucken, und der Drucker antwortet nicht, weil die Anfrage nach ihm im Gastnetz nicht weitergereicht wird. Oder ein Gast will etwas auf den Fernseher im Zimmer werfen, und das Gerät findet ihn nicht. Beide Dienste suchen ihr Ziel, indem sie im eigenen Netz danach rufen, und genau dieses Rufen unterbindet die Trennung.
Steht das Zielgerät stattdessen im Netz des Hauses, hilft das nicht weiter: Ein Gastnetz kommt dorthin ohnehin nicht, das ist der Sinn der Sache. Wer beides will, braucht eine bewusste Ausnahme im Netz oder ein eigenes Netz für diese Geräte. Beides ist Netzwerkarbeit, und keines davon ist eine Einstellung am Portal.
Die Entscheidung gehört an den Anfang, nicht ans Ende. Wer die Trennung einrichtet und danach merkt, dass gedruckt werden soll, baut zweimal.
Zwei deutsche Sonderfälle
Was der Rückweg vom Anschluss verlangt.
Bedingung fünf verlangt einen offenen Rückweg: Das Portal muss die Freigabe an die Netzwerkanwendung melden können. In Deutschland scheitert das häufiger an zwei Eigenschaften des Anschlusses als an einer Firewall.
Bei einem Anschluss mit DS-Lite gibt es keine eigene öffentliche IPv4-Adresse. Die Adresse wird über ein Gateway des Anbieters mit anderen Kunden geteilt. Verbindungen von außen kommen darüber nicht an, und eine Portfreigabe im Router ändert daran nichts, weil es nichts freizugeben gibt. Das ist kein Defekt, sondern der vertragsgemäße Zustand, und in Kabelnetzen ist er verbreitet.
Zwei Wege führen daran vorbei. Anbieter richten auf Nachfrage eine öffentliche IPv4-Adresse ein; Berichte in ihren Foren beschreiben das als gängigen Vorgang, teils gegen Aufpreis. Der andere Weg ist IPv6, wo beide Seiten es können: Dort gibt es kein geteiltes Gateway, und eine Freigabe ist eine Regel in der Firewall.
Der zweite Fall: Die Adresse wechselt. Auch ein Anschluss mit eigener öffentlicher Adresse behält sie nicht unbedingt. Feste Adressen gibt es üblicherweise nur in Geschäftstarifen, oft gegen Aufpreis. Wie oft eine dynamische Adresse wechselt, hängt vom Anbieter ab: Die frühere tägliche Zwangstrennung ist bei heutigen Anschlüssen nicht mehr die Regel, einzelne Anbieter halten aber daran fest.
Dagegen hilft ein Name, der der Adresse folgt, also ein Eintrag bei einem Dienst für dynamisches DNS. Er löst allerdings nur das Wechseln der Adresse. Die Minuten, in denen die Verbindung nach einem Wechsel fehlt, bleiben Minuten ohne Rückweg.
Für den Gast ändert beides nichts. Betroffen ist nur der Rückweg, also die Freischaltung. Wer vor dem Kauf wissen will, ob einer der Punkte zutrifft, sieht im Router nach: ob dort eine öffentliche IPv4-Adresse steht oder ein Hinweis auf einen Tunnel, und ob die Adresse als fest oder dynamisch geführt wird.
Zum Schluss
Ein Testgerät beweist nichts.
Betriebssysteme suchen das Portal auf unterschiedlichen Wegen. Was auf einem Android-Telefon sofort erscheint, kann auf einem iPhone ausbleiben, und umgekehrt. Wer mit einem Gerät testet, prüft einen Weg von mehreren.
Dazu kommt eine Einstellung, um die sich die Anleitungen im Netz widersprechen: die Behandlung verschlüsselter Aufrufe. Je nach Fassung und Netz hilft die eine oder die andere Stellung. Das ist kein Grund zur Sorge, aber ein Grund, mit den Gerätetypen zu prüfen, die an diesem Ort tatsächlich vorkommen.
Weiter
Und davor die Frage, ob es überhaupt nötig ist.
Für einen einzelnen Standort mit einem Auftritt reicht oft das mitgelieferte Portal. Der Aufwand oben lohnt sich, wenn mehr dahintersteht.