「客人连上 WiFi 了，但认证页面一直不出来」「认证成功了还是上不了网」「认证完过一会儿又要重新认证」——公共场所无线的这三类报修，成因大多不在无线信号，而在认证链路的放行与终端探测机制上。
\n
按下面七类原因逐项核对，基本能覆盖现场遇到的绝大多数情况。
\n
\n
一、先理解认证链路：弹页是怎么发生的
\n
简化后的流程是四步：
\n
- \n
- 终端关联 WiFi 并拿到地址（DHCP）；
- 终端主动发起一次「网络连通性探测」（各系统都有类似的强制门户探测机制）；
- 网关/认证设备把该请求重定向到 Portal 页面；
- 终端弹出认证页，用户完成实名认证后，设备放行该终端的上网权限。
\n
\n
\n
\n
\n
任何一步断了，表现都是「不出页面」。所以排查要按链路走，不要一上来就重启 AP。
\n
\n
二、原因一：终端没拿到地址或网关不对
\n
先确认基础层正常：
\n
ipconfig /all\n
若终端拿到 169.254 地址或异常网段地址，先按 T06 处理地址问题。地址层不通时，认证页面一定出不来。
\n
\n
三、原因二：DNS 解析不到 Portal 域名
\n
Portal 页面通常通过域名访问，DNS 解析失败会直接导致页面打不开。
\n
排查：
\n
nslookup portal域名 223.5.5.5\nnslookup portal域名 114.114.114.114\n
判读：指定公共 DNS 可解析、终端当前 DNS 不可解析 → 内网 DNS 或出口的 DNS 配置有问题（详见 T11）。
\n
同时确认：认证设备的白名单是否放通了 DNS（UDP 53）——未放通 DNS 时，终端解析不了域名，页面自然打不开。
\n
\n
四、原因三：终端用了加密 DNS（私有 DNS / DoH）
\n
这是近年高发的一类原因：终端在系统里设置了私有 DNS（DNS-over-TLS）或浏览器开启了安全 DNS（DoH），域名解析走加密通道，不经过本地 DNS 劫持，于是探测请求无法被重定向到 Portal。
\n
表现特征：部分终端（多为较新的安卓手机）出不来页面，其他终端正常。
\n
处理思路：
\n
- \n
- 在认证设备上放行必要的 UDP 853 或按策略引导终端关闭私有 DNS；
- 在连接引导页（欢迎页、房卡提示）里给出「如未弹出认证页，请关闭私有 DNS」的提示；
- 认证方式上增加二维码扫码入口，绕开自动弹页的依赖。
\n
\n
\n
\n
\n
五、原因四：HTTPS 与证书问题
\n
现在的操作系统探测多用 HTTPS，证书链或时间不正确都会导致页面被拦截：
\n
- \n
- 设备时间不准：证书校验依赖正确时间，认证设备或终端时间偏差过大时，HTTPS 页面会报证书无效。确认 NTP 同步正常；
- 证书不被信任：自签证书在没有中间件的终端上会告警，用户点「继续」往往就停在警告页；
- HSTS 缓存：终端之前访问过该域名的 HTTPS 版本，会强制走 HTTPS，需要页面侧兼容。
\n
\n
\n
\n
判读：换一台从未连过该 WiFi 的终端测试，若新终端能正常弹页而老终端不行，多为缓存或 HSTS 问题。
\n
\n
六、原因五：白名单未放通关键地址
\n
认证前，终端需要被允许访问的内容包括：
\n
| 类型 | 用途 |
|---|---|
| DNS（UDP 53） | 域名解析 |
| Portal 页面（HTTP 80 / HTTPS 443） | 认证页与认证接口 |
| 短信/微信认证接口 | 实名方式对应的第三方接口 |
| 时间同步（NTP 123） | 证书校验 |
\n
白名单漏配的表现是：页面能显示但提交认证时失败，或页面元素（图片、脚本）加载不全。
\n
排查方法：用终端浏览器直接访问 Portal 地址，观察是「完全打不开」还是「能开但提交失败」，两者指向不同。
\n
\n
七、原因六：认证成功后仍无法上网
\n
页面能弹、认证能提交，但认证后仍无法访问网络，常见原因：
\n
- \n
- 放行策略未生效：认证系统未把终端加入放行表，或放行表与出口设备不同步；
- 认证会话超时过短：终端休眠后被回收，表现为「过一会儿又要重新认证」；
- 终端 MAC 随机化：部分手机默认开启随机 MAC，认证放行按 MAC 记录时会出现「换了个身份」的情况，需要在终端侧关闭随机 MAC 或改用账号/手机号维度放行；
- 多终端同时在线：按房号+姓名认证时，同一账号允许的终端数限制会拦住后续设备。
\n
\n
\n
\n
\n
\n
八、原因七：合规侧与性能侧
\n
公共场所无线的认证不只是体验问题，也关系到合规：
\n
- \n
- 按《网络安全法》第 26 条，提供网络接入服务需落实真实身份信息认证；
- 按第 23 条，网络日志留存不少于六个月（工程上通常按 180 天规划）；
- 按公安部 82 号令相关要求，日志需包含可溯源要素并支持按标准格式导出；
- 认证与日志设备本身的性能要按峰值终端数核算，认证高峰出现排队会表现为「提交转圈」。
\n
\n
\n
\n
\n
涉及公安网安检查，统一表述为迎检全程护航：技术措施与配合支持由服务方提供，检查结论由主管部门作出，不由我方承诺。
\n
\n
九、处理与验证
\n
| 原因 | 处理 | 验证 |
|---|---|---|
| 地址层异常 | 按 T06 处理地址 | 终端拿到正确网段地址 |
| DNS 异常 | 核对 DNS 配置与放行 | nslookup 可解析 Portal 域名 |
| 私有 DNS/DoH | 引导关闭或策略兼容 | 新系统手机可正常弹页 |
| 证书与时间 | 校准 NTP，更换合规证书 | HTTPS 页面无告警 |
| 白名单漏配 | 补齐 DNS、Portal、认证接口 | 页面元素完整、提交成功 |
| 随机 MAC | 关闭随机 MAC 或改账号维度放行 | 认证后持续在线 |
| 认证性能 | 按峰值核算设备规格 | 高峰提交无明显等待 |
\n
回退：白名单与放行策略调整前导出配置；认证系统变更安排在低谷时段，保留原配置便于回退。
\n
\n
十、避坑小结
\n
- \n
- 弹页是链路问题，先看地址与 DNS，别先重启 AP；
- 加密 DNS 会让自动弹页失效，需要有替代入口；
- 随机 MAC 会破坏按 MAC 的放行逻辑；
- 时间与证书是 HTTPS 弹页的隐形依赖；
- 认证与日志要一起设计，只做认证不做日志留存，合规要求无法闭环。
\n
\n
\n
\n
\n
\n
速查表：认证类问题
\n
| 现象 | 优先排查 |
|---|---|
| 完全不弹页 | 地址层 → DNS → 探测机制被加密 DNS 绕过 |
| 页面打不开 | 白名单放通、Portal 服务状态 |
| 页面能开提交失败 | 认证接口放行、第三方短信/微信通道 |
| 认证后仍无法上网 | 放行策略同步、会话超时 |
| 过一会儿要重认证 | 会话超时、随机 MAC |
| 部分手机异常 | 私有 DNS、随机 MAC、系统版本差异 |
\n
\n\n
常见问题（FAQ）
\n
Q：公共场所WiFi一定要做实名认证吗？
\n
A：按《网络安全法》第 26 条相关要求，提供网络接入服务需落实真实身份信息认证。酒店客房无线、商场与餐饮的顾客 WiFi 都属于此类场景。常见的实名方式有短信验证码、微信认证、证件核验、酒店房号+姓名核验等，具体方式与属地网安要求对齐。客房 WiFi 与公共区域 WiFi 都要纳入，不能只做公共区域。
\n
Q：认证通过后上网日志要留存多久？
\n
A：按《网络安全法》第 23 条相关要求，网络日志留存不少于六个月，工程上通常按 180 天规划。日志需包含可溯源要素（实名信息、上下线时间、分配的 IP 与端口、MAC 地址、访问记录等），并支持按公安标准格式导出。具体口径以属地网安要求为准，建议上线前做一次自检演练。
\n
Q：客人手机设置了私有DNS导致不弹认证页，有办法兼容吗？
\n
A：技术上有几种思路：在认证设备上按策略处理加密 DNS 流量、提供二维码扫码入口绕开自动弹页、在欢迎页或房卡提示中引导关闭私有 DNS。由于各品牌系统的设置位置不同，工程上通常同时保留「自动弹页 + 扫码入口 + 引导提示」三条路径，而不是只依赖自动弹页一种方式。
\n
本文由 58120 智能网络 原创发布。转载请注明出处并保留原文链接。
评论 0
还没有评论，来抢沙发吧。