Wissen

Das Portal erscheint nicht. Was jetzt zu prüfen ist.

Portalfehler sind fast nie Hardwaredefekte. Es sind Konfigurationslücken im Weg zwischen Gerät und Portalseite, und sie lassen sich in einer festen Reihenfolge eingrenzen.

Zur Reihenfolge Die zehn Ursachen

Eingrenzen

Erst die Frage, bei wem es klemmt.

Der schnellste Weg zur Ursache führt nicht über das Portal, sondern über das Gerät des Gastes.

Welches Betriebssystem, welcher Browser?
Dieselbe Anmeldung auf demselben System nachstellen. Tritt der Fehler nur bei einem Betriebssystem auf, liegt es fast immer an dessen Prüfadresse: Sie wird nicht abgefangen, oder sie ist freigegeben und geht deshalb nach draußen.
Bekommt das Gerät überhaupt eine Adresse?
Ohne IP-Adresse aus dem Gastnetz passiert nichts. Ein erschöpfter DHCP-Bereich sieht für den Gast genauso aus wie ein kaputtes Portal.
Löst der Name auf?
Die Portaladresse aus dem Gastnetz heraus auflösen lassen. Schlägt das fehl, erreicht das Gerät die Seite nicht, egal wie vollständig die Freigabeliste ist.
Ist die Freigabeliste vollständig?
Portal-Host, alle nachgeladenen Ressourcen und die nötigen Ports. Die Prüfadressen der Betriebssysteme gehören ausdrücklich nicht hinein.

Die zehn Ursachen

Was in der Praxis dahintersteckt.

Unvollständiger Walled Garden
Die häufigste Ursache, besonders für Fehler, die nur manchmal auftreten. In die Liste gehört das Portal mit allem, was seine Seite nachlädt. Fehlt eine Ressource, lädt die Seite unvollständig, und auf Apple-Geräten genügt eine einzige unerreichbare Adresse für eine leere Seite.
Ein Eintrag wird dabei gern übersehen: Zum Namen des Portals gehört auch die IP-Adresse, auf die er zeigt. Steht nur eines von beiden in der Liste, kann es je nach Konstellation beim Warten bleiben.
Was dort nicht hineingehört, sind die Prüfadressen der Betriebssysteme. Sie sollen nicht durchgelassen, sondern beantwortet werden. Wer sie freigibt, lässt sie zum echten Ziel: Das Gerät bekommt die erwartete Erfolgsantwort, schließt daraus auf Internet und öffnet das Portal nie. Genau deshalb widersprechen sich Anleitungen an dieser Stelle scheinbar. Die Prüfung muss ankommen, aber beim Portal, nicht draußen.
Kein Weg zum Portal-Host
Die Freigabeliste sagt, was erlaubt ist, nicht, was erreichbar ist. Liegt der Portal-Host in einem anderen Netzsegment als das Gastnetz und ist die Weiterleitung dorthin unterbunden, läuft die vollständigste Freigabeliste ins Leere. Das Gerät bekommt eine Adresse, löst den Namen auf und findet trotzdem niemanden.
Der häufigste Fall dahinter: Die Netzwerkanwendung läuft auf einer Konsole im Verwaltungsnetz, und genau dorthin darf das Gastnetz nicht. Das ist als Trennung richtig gedacht und trifft hier den Weg, den die Anmeldung braucht. Gebraucht wird eine gezielte Ausnahme für die Portaladresse und ihre Ports, nicht die Aufhebung der Trennung.
Namensauflösung blockiert
Vor der Anmeldung muss der Gast DNS-Anfragen stellen dürfen und verwertbare Antworten bekommen. Wird das unterbunden oder umgeleitet, bleibt die Seite leer.
Der Fall, der dabei am häufigsten übersehen wird: Üblicherweise beantwortet der Dienst des Netzes selbst die Anfragen wartender Geräte. Zeigt das Gastnetz stattdessen auf externe Namensserver, müssen diese vor der Anmeldung erreichbar sein und gehören in die Freigabeliste. Wer das Gastnetz gehärtet hat, hat diesen Weg oft zugemacht.
Zertifikat und HSTS
Hat der Browser für eine Adresse gespeichert, dass sie nur verschlüsselt aufgerufen werden darf, lässt sich der Aufruf nicht mehr auf eine Portalseite umlenken. Der Gast sieht eine Warnung statt der Anmeldung.
Der zweite Fall ist häufiger: Das Portal wird über eine IP-Adresse aufgerufen, das Zertifikat ist aber auf einen Namen ausgestellt. Dann passt es nicht, und das Gerät meldet, dass es die Identität des Servers nicht bestätigen kann. Abhilfe schafft nur ein Name, unter dem die Seite erreichbar ist, samt dazu passendem Zertifikat.
Erschöpfter DHCP-Bereich
Gästenetze sind oft knapp bemessen. Ist der Bereich voll, bekommt das nächste Gerät keine Adresse, und der Gast meldet ein kaputtes Portal.
Das ist die häufigste Erklärung für den Satz „im Test lief es, bei der Veranstaltung nicht". Zwei Testgeräte passen immer, zwanzig Gäste mit Telefon und Tablet nicht mehr. Wer den Ernstfall vorher prüfen will, zählt die Adressen im Bereich gegen die Geräte, die an einem vollen Tag zusammenkommen, und rechnet mit mehr als einem je Person.
VPN auf dem Gerät
Ein dauerhaft aktives VPN baut die Verbindung auf, bevor die Portalanmeldung stattfinden konnte. Das Gerät hängt, ohne dass am Netz etwas falsch ist.
Der Fall tritt auch bei Gästen auf, die kein VPN zu benutzen glauben. Auf Apple-Geräten heißt die EinstellungiCloud Privat-Relay und ist in den Einstellungen unter dem eigenen Namen zu finden, nicht bei den VPN-Einträgen. Wer am Empfang nach einem VPN fragt, bekommt deshalb oft ein wahrheitsgemäßes Nein.
Verschlüsseltes DNS auf dem Gerät
Manche Geräte lösen Namen über einen eigenen, verschlüsselten Weg auf, zu einem Anbieter, den ihr Besitzer eingetragen hat. Bei Android heißt die Einstellung Privates DNS. Steht sie fest auf einen Anbieter, fragt das Gerät den Namensdienst des Netzes gar nicht erst, und die Antwort, mit der das Netz das Portal auslösen würde, kommt nie an.
Ein zweiter Weg führt zum selben Ergebnis: DNS over TLS läuft über Port 853, und der ist vor der Anmeldung meistens zu. Ein Gerät in dieser Einstellung bekommt dann gar keine Namen aufgelöst und meldet schlicht, es sei kein Internet vorhanden.
Erkennbar ist der Fall daran, dass er genau ein Gerät betrifft, während andere durchkommen. Ändern kann die Einstellung nur der Gast.
Änderung nicht ausgerollt
Kleine Änderungen an den Hotspot-Einstellungen lösen nicht immer eine vollständige Neubereitstellung der Access Points aus. Am Controller steht dann das Richtige, im Funk gilt weiter das Alte. Wer alles dreimal geprüft hat und nichts findet, stößt die Bereitstellung an.
Zwischengespeicherter Zustand am Gerät
Ein Gerät, das dieses Netz kennt, prüft nicht immer neu. Es ist einer der häufigsten Gründe dafür, dass ein Portal beim zweiten Mal nicht wieder erscheint, und er liegt am Gerät statt am Netz. Zum Prüfen gehört deshalb ein Gerät, das das Netz vergessen hat, nicht nur eines, bei dem das WLAN aus und wieder an war.
Zufällige MAC-Adresse
Erklärt nicht, warum das Portal nicht erscheint, aber warum es immer wieder erscheint, obwohl der Gast sich gestern schon angemeldet hat.

Der andere Fall

Wenn es lief und plötzlich nicht mehr läuft.

Die Ursachen oben beantworten, warum ein Portal nicht erscheint. Wer es monatelang laufen hatte, sucht etwas anderes: nicht welche Ursache es sein könnte, sondern was sich geändert hat. Meistens war es niemand.

Etwas ist abgelaufen. Zertifikate haben ein Enddatum. Läuft eines ab, wird aus der Seite, die gestern lud, eine Warnung, und je nach Aufruf lässt sie sich nicht wegklicken.

Etwas hat sich gefüllt. Ein DHCP-Bereich reicht, bis er nicht mehr reicht. Der Tag, an dem er nicht mehr reicht, ist der mit den meisten Gästen.

Etwas ist umgezogen. Bezieht der Portal-Host seine Adresse selbst, kann sie nach einem Neustart eine andere sein. Steht die alte in der Freigabeliste, zeigt sie ins Leere, und im Controller sieht alles unverändert aus.

Etwas wurde geändert, aber nicht am Portal. Eine neue Fassung der Netzwerkanwendung, eine zusätzliche Regel in der Firewall, ein anderer Namensserver im Gastnetz. Wer nach der Änderung am Portal sucht, sucht am falschen Ort.

Die Reihenfolge ist in diesem Fall umgekehrt: erst fragen, was sich seit dem letzten funktionierenden Tag geändert hat, dann die Ursachen durchgehen. Das spart die Hälfte der Liste.

Warum ein Zertifikat die Anmeldung ganz verhindert

Zuständigkeit

Das ist Netzwerkarbeit, nicht Portalarbeit.

Freigabeliste, DNS, DHCP-Bereich und Zertifikate werden im Netzwerk eingerichtet, nicht im Gästeportal. Diese Seite hilft beim Eingrenzen, die Änderungen selbst finden am Controller und am Gateway statt.

Zwei der Ursachen sehen allerdings anders aus, je nachdem wo das Portal steht. Wird es unter eigenem Namen mit gültigem Zertifikat ausgeliefert, entfällt der Fall, in dem eine IP-Adresse aufgerufen wird und das Zertifikat nicht dazu passt. Und ein Portal ausserhalb des eigenen Netzes kann nicht in einem Segment liegen, in das aus dem Gastnetz keine Weiterleitung führt. Die übrigen acht bleiben, wo sie sind.

Welche der beiden Warnungen vermeidbar ist

Was das Personal in zwei Minuten prüfen kann

Was ein Eigenbau davon selbst tragen muss

Weiter