Портал захвата / лендинг не работает при использовании другого VLAN

Портал захвата / лендинг не работает при использовании другого VLAN — обходное решение, UniFi Network

Carminus

Guest

25.06.2025 19:30:00

Я настроил VLAN на своём файрволе FortiGate только для гостей. Затем на гостевом Wi-Fi я настроил использование этого VLAN. Однако возникла проблема при подключении устройств к гостевому Wi-Fi: устройства не могли получить доступ к captive portal/landing page. Независимо от предпринятых действий, устройства, пытавшиеся подключиться к порталу, получали белый экран или не могли подключиться вовсе. Вот как я решил проблему.*Сеть и SSID указаны для примера.*Шаг 1: Настройка файрвола:Настройте VLAN вашего файрволаПример:VLAN 1: Native VLAN 192.168.1.1/24VLAN 30: Guest VLAN 192.168.30.1/24Шаг 2: Настройка сети Unifi:Создайте свои сети в настройках (шестерёнка):Networks → New Virtual NetworkVLAN 1 (родная локальная сеть по умолчанию)VLAN 30 (гостевая сеть)Шаг 3: Настройка Captive PortalНастройте ваш captive portal в разделе "insights", затем используйте выпадающее меню, чтобы найти landing page (справа от строки поиска).*Возможно, сначала придётся перейти к шагу 4, выбрать гостевой Wi-Fi и активировать использование captive portal. Система предоставит ссылку для настройки landing page.*Шаг 4: Настройка Wi-FiSSID → "WiForce" (родная/сеть по умолчанию *vlan1)SSID → "Guest-WiFi" (VLAN 30) Отметьте "Use Captive Portal"Шаг 5: Настройка точки доступаПерейдите в устройства → Выберите вашу точку доступа → настройки (шестерёнка)Найдите "IP Settings"Отметьте "Network Override"В разделе "Virtual Network" выберите ваш гостевой VLAN (VLAN 30)Резюме:Похоже, что captive portal/landing page должен находиться в той же родной сети, что и точка доступа. Если поместить точку доступа в VLAN 30 (гостевая сеть), это позволяет порталу подключаться к точке доступа.Порт, в который физически подключена точка доступа, должен оставаться в локальной сети по умолчанию. Я обнаружил, что настройка порта на VLAN 30 переводит все SSID в этот VLAN. Если оставить порт настроенным как VLAN по умолчанию, SSID, настроенные на родную сеть, по-прежнему будут иметь к ней доступ. У меня это сработало, но ваш результат может отличаться, и с обновлениями это может измениться.Network 9.2.87

awansbb

Guest

20.08.2025 06:22:00

Привет всем, служба поддержки рассмотрела запрос и пришла к выводу, что такое странное поведение, начиная с пары версий, теперь считается ожидаемым. Так что, увы, нам придётся смириться и жить с обходными решениями.

FrankNicklin

Guest

05.08.2025 16:20:00

As the fortigate is providing the VLAN, how does the guest network know to go looking for the guest portal? If for example you have a Unifi gateway, the AP is on the default network for management, but you define a guest VLAN and enable the hotspot for the guests. When guests connect, they are directed to the portal for authentication. By moving the AP to the guest VLAN, it will eventually disconnect as it will not be able to find the management VLAN unless you allow all traffic between VLANs.

awansbb Guest	#4 04.08.2025 12:11:00 Сейчас столкнулся с той же проблемой. Поддержка посмотрела на это, и для нас это критично из-за безопасности, не смогли объяснить такое поведение.

SAG

Guest

01.09.2025 12:24:00

Мы сталкиваемся с теми же проблемами. FortiGate Firewalls, гостевая сеть на VLAN A, управляющая сеть для точек доступа на VLAN B, контроллер Unifi Network Controller на серверном VLAN C. Гостевой VLAN терминируется на файрволе, управляющий и серверный VLAN — на ядре. Всё работало безупречно до обновления контроллера до версии 9.3.43 (сейчас 9.3.45). Кто-нибудь из Ubiquiti может объяснить, что и как мы должны изменить, чтобы всё снова заработало?

ryan.galyen

Guest

26.08.2025 14:31:00

У нас в организации тоже стоят Fortigates. Самостоятельно хостим Unifi-контроллер в центральном офисе, филиалы подключены через Fortinet SD-WAN. Устройства Unifi используют сетевой переопределение, чтобы направлять управляющий трафик в выделенную Management VLAN. Гостевые устройства тоже находятся в отдельной VLAN.
В каждом филиале у нас есть два правила в файрволе — они выглядят так:

Гостевые устройства → Интернет
ОТКУДА: GUEST (интерфейс VLAN)
КУДА: WAN (интерфейс)
Источник: адреса или диапазон IP гостевой VLAN-подсети
Назначение: NOT-RFC1918 (всё, КРОМЕ RFC1918, то есть любой адрес, не являющийся типичным локальным LAN-адресом)
RFC1918 — это набор предопределённых групп во «многих» файрволах, которые заранее задают большинство локальных подсетей (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 — удобная универсальная штука; если в вашем файрволе их нет, советую создать их самостоятельно — они могут быть ЧРЕЗВЫЧАЙНО полезными).

Гостевые устройства → Captive Portal
ОТКУДА: GUEST (интерфейс VLAN)
КУДА: <интерфейс,_где_находится_ваш_контроллер> — в моём случае это наш SD-WAN-линк
Источник: адреса или диапазон IP гостевой VLAN-подсети
Назначение: <IP_Unifi_контроллера> или <хост_captive_portal>

Затем на файрволе нашего SD-WAN-хаба у нас есть правило, разрешающее трафик из гостевых VLAN филиалов и управляющий трафик к Unifi-контроллеру — это может быть как нужно, так и нет, в зависимости от общей конфигурации вашей сети.

И ещё добавлю свои пять копеек: если вы используете VLAN или планируете пойти по этому пути, вам стоит настроить отдельную VLAN для управляющего трафика и использовать её в сетевом переопределении в Unifi, а затем применять правила файрвола для гостевого трафика.

strogge Guest	#7 20.08.2025 16:43:00 Та же проблема здесь... я покопался глубже и могу дать немного больше информации о своей конфигурации:Контроллер: UCK-GEN2+ 9.3.45Коммутатор: USW-PRO-MAX-48 4.1.26Точка доступа: U7 Pro 8.0.49VLAN по умолчанию: 2016VLAN управления точками доступа: 2021Гостевой VLAN: 2028Всё работает отлично, когда я настраиваю обычный PSK Wi-Fi на VLAN 2028. Клиент получает IP, может серфить.Когда я переключаюсь на хотспот / Captive Portal, клиент получает IP, но дальше ничего не происходит. Когда я смотрю в Wireshark, клиент пытается отправлять DNS-пакеты, но никто не отвечает. Также заглянул в лог файрвола — никакого IP-трафика от этого клиента.Ещё попробовал отредактировать список предварительных разрешений — без толку.Вчера я офонарел, достал своё «старое» тестовое оборудование и настроил его так же, как живую систему.CloudKey и файрвол те же, коммутатор — USW-8-PoE, точка доступа — старая UAP-AC-PRO (последняя доступная прошивка).И там, к сожалению, ВСЁ РАБОТАЕТ! СЮРПРИЗ-СЮРПРИЗ!Ещё глубже покопался в дампе Wireshark и увидел, что теперь клиент получает DNS-ответы до аутентификации. Благодаря этим DNS-ответам клиент пытается подключиться к разным сайтам через HTTPS и HTTP. В ответ AP отправляет ему «временно перемещён» с IP CloudKey, и клиент видит лендинг.@UI-Glenn, ты помогал мне в прошлом. Можешь взглянуть? Пока я думаю, что проблема в точке доступа U7-PRO и/или прошивке. Спасибо! Завтра протестирую с AP-AC-PRO в рабочей среде. Держу в курсе!

Читают тему (гостей: 1)