Wissen
Was im Netzwerk passiert, bevor ein Gast online ist.
Ein Captive Portal ist kein Gestaltungsthema, sondern ein Umleitungsmechanismus. Diese Seite beschreibt den Ablauf im UniFi-Netz, den Walled Garden und die Erkennungslogik der Endgeräte, herstellerneutral und ohne Produktversprechen.
Der Mechanismus
Weiterleiten, anzeigen, autorisieren.
Steht der Authentifizierungstyp auf externen Portal-Server, hinterlegt der Controller die Adresse des Portals. Tritt ein Gerät dem Gäste-WLAN bei, wird es dorthin geleitet. Nach abgeschlossener Anmeldung meldet das Portal die Autorisierung an die UniFi Network Applicationzurück, die sie an den Access Point weitergibt. Erst danach ist der Weg ins Internet offen.
Die Einstellung heißt in allen Fassungen gleich, liegt in der Oberfläche aber nicht immer an derselben Stelle. Anleitungen aus dem Netz beschreiben häufig ältere Fassungen der Netzwerkanwendung, wer den Punkt nicht findet, sucht meist nicht falsch, sondern in der Beschreibung einer anderen Fassung.
Vor der Autorisierung
Der Walled Garden entscheidet, was überhaupt erreichbar ist.
Solange ein Gerät nicht autorisiert ist, erreicht es ausschließlich, was ausdrücklich freigegeben wurde. Wird etwas vergessen, lädt die Portalseite unvollständig oder gar nicht, und der Fehler sieht aus wie ein Netzproblem, obwohl er eine Freigabeliste ist.
Technisch ist die Liste keine Sammlung von Ausnahmen im Portal, sondern eine im Netz: Nur Verkehr zu den eingetragenen Namen und Adressen kommt an den Sperrregeln vorbei. Die Namensauflösung für diese Einträge übernimmt dabei der DNS-Dienst des Netzes selbst, deshalb funktionieren sie überhaupt, während das Gerät noch wartet.
Der Portalname und die Adresse dahinter
Nicht nur der Name, unter dem das Portal erreichbar ist, sondern auch die IP-Adresse, auf die er zeigt. Steht nur eines von beiden in der Liste, bleibt es je nach Konstellation beim Warten.
Alles, was die Seite nachlädt
Schriften, Bilder, Skripte und Stylesheets von weiteren Hosts brauchen ebenfalls eine Freigabe. Was von der eigenen Adresse kommt, ist unkritisch; was von fremden Hosts nachgeladen wird, fehlt am Ende.
Was gerade nicht hineingehört
Die Prüfadressen, mit denen Betriebssysteme ein Portal erkennen, gehören nicht auf diese Liste. Sie sollen abgefangen werden, nicht durchgelassen. Freigegeben liefern sie die echte Erfolgsantwort, das Gerät schließt auf Internet und öffnet nichts.
Die Namensauflösung selbst
Üblicherweise beantwortet der DNS-Dienst des Netzes die Anfragen der wartenden Geräte. Zeigt das Gastnetz stattdessen auf externe DNS-Server, müssen diese Server selbst erreichbar sein, gehören also in die Liste.
Die Uhr
Ohne korrekte Zeit scheitert die Zertifikatsprüfung, und der Gast sieht eine Warnung statt der Anmeldung. Die Zeitsynchronisierung gehört deshalb zum selben Kapitel.
Der Rückweg zur Netzwerkanwendung
Die Freigabeliste regelt den Weg des Gastes zum Portal. Der Weg des Portals zur Netzwerkanwendung ist ein anderer und muss ebenfalls offen sein, sonst erscheint die Seite und die Freigabe bleibt aus.
Erreichbarkeit
Der Walled Garden endet nicht bei Adressen.
Neben den freigegebenen Hosts müssen auch die Ports offen sein, über die das Gastportal angesprochen wird. In UniFi-Netzen sind das üblicherweise TCP 8880 für unverschlüsselte undTCP 8843 für verschlüsselte Verbindungen. Sind sie aus dem Gastnetz nicht erreichbar, bleibt die Portalseite leer, und die Ursache sieht wieder aus wie ein Netzproblem.
Der zweite häufige Grund ist die Namensauflösung: Erreicht das Gerät den DNS-Dienst nicht, hilft auch die vollständigste Freigabeliste nichts.
Geräteerkennung
Jedes Betriebssystem sucht das Portal anders.
Endgeräte prüfen nach dem Verbinden selbstständig, ob ein Portal im Weg steht. Sie tun das über eigene Prüfabrufe, und reagieren unterschiedlich, wenn die Antwort nicht dem entspricht, was sie erwarten.
Apple: Captive Network Assistant
Nach dem Verbinden ruft das Gerät eine bekannte Prüfadresse ab. Kommt nicht die erwartete Antwort, öffnet sich das Portal in einem eigenen Fenster.
Android: Prüfabrufe auf feste Adressen
Sind die geprüften Adressen erreichbar, geht das Gerät von einem freien Netz aus. Andernfalls erscheint eine Anmelde-Benachrichtigung.
Standardisierter Weg: RFC 8908 und RFC 8910
RFC 8908 beschreibt eine Captive-Portal-API, RFC 8910 die Bekanntgabe ihrer Adresse über DHCP (bei IPv4 als Option 114) und über Router Advertisements. Damit muss das Gerät nicht mehr raten.
Zu beachten
Wird die Portalseite über HTTPS mit gültigem Zertifikat ausgeliefert, öffnet sich das Anmeldefenster auf Apple-Geräten in manchen Konstellationen nicht. Das Gerät wirkt verbunden, und die Weiterleitung erscheint erst, wenn im Browser eine unverschlüsselte Adresse aufgerufen wird. Das Verhalten hängt von Betriebssystemversion und Netzkonfiguration ab und ist in Hersteller- und Community-Foren umfangreich dokumentiert. Wer ein Portal plant, sollte es auf den tatsächlich eingesetzten Gerätetypen prüfen statt auf einem einzigen Testgerät.
Wiedererkennung
Das Gerät von gestern ist heute ein anderes.
Die Autorisierung wird an die MAC-Adresse des Endgeräts geknüpft. Aktuelle Mobilbetriebssysteme vergeben dafür seit einigen Jahren standardmäßig eine zufällige Adresse je Netzwerk statt der fest eingebauten. Ändert sich diese Adresse, ist das Gerät für das Netz ein neues, die frühere Freigabe gilt nicht mehr.
Wie lange sie gleich bleibt, hängt an der Sicherung des Netzes. Apple beschreibt drei Einstellungen und ihre Vorgaben: fest bei WPA2 oder stärker, rotierend bei schwacher oder fehlender Sicherung, und rotierend heißt alle zwei Wochen. Ein offenes Gästenetz fällt in den zweiten Fall. Damit ist die Adresse innerhalb einer Woche verlässlich und über einen Monat hinweg nicht.
Für Orte, an denen Gäste wiederkommen, heißt das: Wiedererkennung über die MAC-Adresse ist keine verlässliche Grundlage mehr. Wer damit plant, sollte es vorher mit den tatsächlich eingesetzten Gerätetypen prüfen, statt sich auf das Verhalten eines einzelnen Testgeräts zu verlassen.
Was danach kommt
Passpoint löst das Portal nicht ab. Es ergänzt es.
Passpoint, auch als Hotspot 2.0 bekannt, ist ein Standard der Wi-Fi Alliance: Endgeräte verbinden sich anhand hinterlegter Zugangsdaten automatisch, ohne Portalseite. OpenRoamingbaut darauf auf und erweitert das über Standortgrenzen hinweg.
Beides ersetzt das Captive Portal nicht, sondern läuft daneben. Ein Netz, in dem sich Geräte mit hinterlegten Zugangsdaten selbst anmelden, ist technisch ein anderes als eines, das eine offene Portalseite zeigt; beide stehen deshalb nebeneinander. Das Portal trägt damit weiterhin den ersten Kontakt, und übernimmt genau die Aufgabe, die durch die zufälligen MAC-Adressen sonst niemand mehr erledigt: den Gast überhaupt einmal begrüßen und einordnen.
Weiter
Vom Mechanismus zur Umsetzung.
Der Ablauf ist bei jedem externen Portal derselbe. Unterschiedlich ist, was auf der Seite dazwischen passiert.