「客人连上 WiFi 了，但认证页面一直不出来」「认证成功了还是上不了网」「认证完过一会儿又要重新认证」——公共场所无线的这三类报修，成因大多不在无线信号，而在认证链路的放行与终端探测机制上。在东创伟业做过的酒店与公共场所无线项目里，这类问题的根因基本都落在下面七类里。按七类原因逐项核对，能覆盖现场绝大多数情况。
一、先理解认证链路：弹页是怎么发生的
简化后的流程是四步：
- 终端关联 WiFi 并拿到地址（DHCP）；
- 终端主动发起一次网络连通性探测（各系统都有类似的强制门户探测机制）；
- 网关、认证设备把该请求重定向到 Portal 页面；
- 终端弹出认证页，用户完成实名认证后，设备放行该终端的上网权限。
任何一步断了，表现都是“不出页面”。所以排查要按链路走，不要一上来就重启 AP。
二、原因一：终端没拿到地址或网关不对
先确认基础层正常： ipconfig /all 若终端拿到 169.254 地址或异常网段地址，先按地址问题的相关排查处理。地址层不通时，认证页面一定出不来。
三、原因二：DNS 解析不到 Portal 域名
Portal 页面通常通过域名访问，DNS 解析失败会直接导致页面打不开。
排查： nslookup portal域名 223.5.5.5 nslookup portal域名 114.114.114.114
判读：指定公共 DNS 可解析、终端当前 DNS 不可解析，说明内网 DNS 或出口的 DNS 配置有问题（详见 DNS 相关排查）。
同时确认：认证设备的白名单是否放通了 DNS（UDP 53）——未放通 DNS 时，终端解析不了域名，页面自然打不开。
四、原因三：终端用了加密 DNS（私有 DNS / DoH）
这是近年高发的一类原因：终端在系统里设置了私有 DNS（DNS-over-TLS）或浏览器开启了安全 DNS（DoH），域名解析走加密通道，不经过本地 DNS 劫持，于是探测请求无法被重定向到 Portal。
表现特征：部分终端（多为较新的安卓手机）出不来页面，其他终端正常。
处理思路： 在认证设备上放行必要的 UDP 853 或按策略引导终端关闭私有 DNS； 在连接引导页（欢迎页、房卡提示）里给出“如未弹出认证页，请关闭私有 DNS”的提示； 认证方式上增加二维码扫码入口，绕开自动弹页的依赖。
五、原因四：HTTPS 与证书问题
现在的操作系统探测多用 HTTPS，证书链或时间不正确都会导致页面被拦截：
- 设备时间不准：证书校验依赖正确时间，认证设备或终端时间偏差过大时，HTTPS 页面会报证书无效。确认 NTP 同步正常；
- 证书不被信任：自签证书在没有中间件的终端上会告警，用户点“继续”往往就停在警告页；
- HSTS 缓存：终端之前访问过该域名的 HTTPS 版本，会强制走 HTTPS，需要页面侧兼容。
判读：换一台从未连过该 WiFi 的终端测试，若新终端能正常弹页而老终端不行，多为缓存或 HSTS 问题。
六、原因五：白名单未放通关键地址
认证前，终端需要被允许访问的内容包括： DNS（UDP 53）：域名解析； Portal 页面（HTTP 80、HTTPS 443）：认证页与认证接口； 短信、微信认证接口：实名方式对应的第三方接口； 时间同步（NTP 123）：证书校验。
白名单漏配的表现是：页面能显示但提交认证时失败，或页面元素（图片、脚本）加载不全。
排查方法：用终端浏览器直接访问 Portal 地址，观察是“完全打不开”还是“能开但提交失败”，两者指向不同。
七、原因六：认证成功后仍无法上网
页面能弹、认证能提交，但认证后仍无法访问网络，常见原因：
- 放行策略未生效：认证系统未把终端加入放行表，或放行表与出口设备不同步；
- 认证会话超时过短：终端休眠后被回收，表现为“过一会儿又要重新认证”；
- 终端 MAC 随机化：部分手机默认开启随机 MAC，认证放行按 MAC 记录时会出现“换了个身份”的情况，需要在终端侧关闭随机 MAC 或改用账号、手机号维度放行；
- 多终端同时在线：按房号加姓名认证时，同一账号允许的终端数限制会拦住后续设备。
八、原因七：合规侧与性能侧
公共场所无线的认证不只是体验问题，也关系到合规： 按网络安全法第 26 条相关要求，提供网络接入服务需落实真实身份信息认证； 按第 23 条相关要求，网络日志留存不少于六个月，工程上通常按 180 天规划； 按公安部 82 号令相关要求，日志需包含可溯源要素并支持按标准格式导出； 认证与日志设备本身的性能要按峰值终端数核算，认证高峰出现排队会表现为“提交转圈”。
涉及公安网安检查，统一表述为迎检全程护航：技术措施与配合支持由服务方提供，检查结论由主管部门作出，不由我方承诺。
九、处理与验证
地址层异常：按地址类排查处理；验证终端拿到正确网段地址； DNS 异常：核对 DNS 配置与放行；验证 nslookup 可解析 Portal 域名； 私有 DNS、DoH：引导关闭或策略兼容；验证新系统手机可正常弹页； 证书与时间：校准 NTP，更换合规证书；验证 HTTPS 页面无告警； 白名单漏配：补齐 DNS、Portal、认证接口；验证页面元素完整、提交成功； 随机 MAC：关闭随机 MAC 或改账号维度放行；验证认证后持续在线； 认证性能：按峰值核算设备规格；验证高峰提交无明显等待。
回退：白名单与放行策略调整前导出配置；认证系统变更安排在低谷时段，保留原配置便于回退。
十、避坑小结
- 弹页是链路问题，先看地址与 DNS，别先重启 AP；
- 加密 DNS 会让自动弹页失效，需要有替代入口；
- 随机 MAC 会破坏按 MAC 的放行逻辑；
- 时间与证书是 HTTPS 弹页的隐形依赖；
- 认证与日志要一起设计，只做认证不做日志留存，合规要求无法闭环。
速查：认证类问题 完全不弹页：优先查地址层，再到 DNS，再到探测机制被加密 DNS 绕过； 页面打不开：优先查白名单放通、Portal 服务状态； 页面能开提交失败：优先查认证接口放行、第三方短信、微信通道； 认证后仍无法上网：优先查放行策略同步、会话超时； 过一会儿要重认证：优先查会话超时、随机 MAC； 部分手机异常：优先查私有 DNS、随机 MAC、系统版本差异。
常见问题（FAQ）
Q：公共场所 WiFi 一定要做实名认证吗？ A：按网络安全法第 26 条相关要求，提供网络接入服务需落实真实身份信息认证。酒店客房无线、商场与餐饮的顾客 WiFi 都属于此类场景。常见的实名方式有短信验证码、微信认证、证件核验、酒店房号加姓名核验等，具体方式与属地网安要求对齐。客房 WiFi 与公共区域 WiFi 都要纳入，不能只做公共区域。
Q：认证通过后上网日志要留存多久？ A：按网络安全法第 23 条相关要求，网络日志留存不少于六个月，工程上通常按 180 天规划。日志需包含可溯源要素（实名信息、上下线时间、分配的 IP 与端口、MAC 地址、访问记录等），并支持按公安标准格式导出。具体口径以属地网安要求为准，建议上线前做一次自检演练。
Q：客人手机设置了私有 DNS 导致不弹认证页，有办法兼容吗？ A：技术上有几种思路：在认证设备上按策略处理加密 DNS 流量、提供二维码扫码入口绕开自动弹页、在欢迎页或房卡提示中引导关闭私有 DNS。由于各品牌系统的设置位置不同，工程上通常同时保留“自动弹页、扫码入口、引导提示”三条路径，而不是只依赖自动弹页一种方式。
