スプラッシュページの通信の流れとトラブルシューティング

EXCAP を使用したクリックスルースプラッシュ

EXCAP でクリックスルーのスプラッシュページを設定した場合、外部でホストされたカスタムスプラッシュページの「Continue」ボタンをクリックすることで認証が行われます。下図は、この処理中のトラフィックフローを説明するものです：

クラウドはスプラッシュ URL の GET リクエストを受け取ると、セッション Cookie とともに、クライアントをカスタムスプラッシュ URL にリダイレクトする HTTP 302 Found を返します：

クライアントはレスポンスを受信し、EXCAP サーバーにホストされているカスタムスプラッシュ URL に対して GET リクエストを送信します。EXCAP サーバーは、リクエストの base_grant_url と user_continue_url パラメータを使用して、スプラッシュページの 認証URL を生成します。

EXCAP サーバーは、カスタムスプラッシュ URL の GET リクエストを受信すると、カスタムクリックスルースプラッシュページとともに HTTP 200 OKを返します。このページには、continue_url パラメータで指定されたgrant URL を指す認証 URL が含まれている必要があります。

ユーザーが Continue ボタンをクリックすると、Cookieとともにcontinue_urlが付加されたグラントURLのGETが送信されますクラウドが grant URL のリクエストを受信すると、クライアントは認証されます。クラウドは、クライアントを grant_user_access URL にリダイレクトする HTTP 302 Found で応答します。また、クラウドはネットワーク内のすべてのAPに、クライアントの認証を通知します。この時点で、APはクライアントデバイスのキャプティブポータルを解除し、ネットワークへのフルアクセスが許可されます。

最後に、クライアントはgrant_user_accessのURLに対してHTTP GETを送信します。

EXCAP を使用したサインオンスプラッシュ

EXCAPによるサインオンスプラッシュページは、外部でホストされたカスタムスプラッシュページを使用し、ユーザーにログイン認証情報を要求するように構成されています。認証情報は、HTTP POST を使用してクラウドに送信されます。その後、クラウドは ダッシュボードで設定されたサーバータイプ（Meraki 認証、RADIUS、Active Directory、LDAP）に基づき、ユーザーアカウントを認証します。

下の図とHTML出力は、その詳細を示しています：

クラウドはスプラッシュURLのGETリクエストを受け取ると、セッションCookieとともに、クライアントをカスタムスプラッシュURLにリダイレクトするHTTP 302 Foundを返します。

クライアントはレスポンスを受信し、EXCAP サーバーにホストされているカスタムスプラッシュ URL に対して GET リクエストを送信します。EXCAPサーバーは、スプラッシュページの認証 URL を構築するために、リクエスト内の login_urlとcontinue_url パラメータを使用する必要があります。

EXCAP サーバーは、カスタムスプラッシュ URL の GET リクエストを受信すると、カスタムサインオンスプラッシュページと一緒に HTTP 200 OK を返します。これは、ユーザー認証情報を入力できる Web フォームである必要があります。リクエストには、ログイン URL を指す認証 URL が含まれていなければならず、continue_url パラメータが付加されています：

ユーザーがユーザー名とパスワードを入力してサインインボタンをクリックすると、認証情報とクッキーがHTTP POSTでログインURL（Cloud）にcontinue_urlを付加して送信されます。

未認証のクライアントがネットワークにフルアクセス可能

未認証のクライアントがネットワークに完全にアクセスでき、ホワイトリストに登録されていない場合は、以下を確認してください。

1. ワイヤレス > アクセス制御 > キャプティブポータルの強度 で、「サインオン前に非HTTPトラフィックを許可する」設定が有効になっていますか？この設定は、認証前にHTTP（TCPポート80）を除く完全なネットワークアクセスを許可します。クライアントが認証またはホワイトリストに登録されることなく、ウォールドガーデン外のネットワークリソースにアクセスすることを望まない場合は、キャプティブポータルの強度設定を「サインオン前のすべてのアクセスをブロック」に設定する必要があります。

2. コントローラー切断時の挙動が「オープン」に設定されていて、スプラッシュ URLや Cloud コントローラーが到達不可能な場合、スプラッシュ URLが利用可能になるまで、クライアントはフルアクセスを許可されます。これを「制限付き」に設定すると、URL が利用可能になるまでネットワークアクセスがブロックされます。

接続がタイムアウトする

未認証のクライアントが Web サイトへアクセスしようとしたときにスプラッシュページに誘導されずブラウザで接続タイムアウトエラーを報告した場合、キャプティブポータルの強度が「サインオン前のすべてのアクセスをブロック」に設定されており、Webサイトへアクセスするときにクライアントが HTTPS を使用している可能性があります。

未認証のクライアントのウェブブラウザが TCP ポート80でHTTP GETを送信すると、Meraki デバイスはそのリクエストを確認し、インターセプトして、スプラッシュサーバへのリダイレクトで応答することができます。未認証のクライアントがウォールドガーデン外のウェブページに HTTPS を使ってアクセスする場合、トラフィックは暗号化されています。そのため、AP はクライアントをうまくリダイレクトすることができず、トラフィックがブロックされることになります。このような場合、クライアントが HTTP を使用してウェブページにアクセスしていることを確認し、適切にリダイレクトできるようにしてください。

カスタム URL に到達できない

EXCAP を実装している環境でクライアントがカスタム URLにアクセスできない場合以下を確認してください。

1. EXCAP ウェブサーバーがウォールドガーデンに追加されているか

2. ダッシュボード上に設定されているカスタム URL のフォーマットが正しいか

3. EXCAP サーバー上にダッシュボードで設定した URL が存在しているか

4. EXCAP サーバー上でウェブサービスが稼働していて、カスタム URL に直接アクセスができるか

リダイレクトが多すぎます

未認証 クライアントが、EXCAP がホストするスプラッシュページではなく、ブラウザで「リダイレクトが多すぎます(too many redirects)」エラーを受け取った場合、EXCAP サーバーの IP アドレスまたはホスト名がウォールドガーデンに追加されていない可能性があります。「リダイレクトが多すぎる」エラーは、クライアントがスプラッシュサーバーから EXCAP のスプラッシュページにリダイレクトされても、そのスプラッシュページへのアクセスが許可されていないために発生します。そのため、AP は EXCAP リクエストをスプラッシュサーバーにリダイレクトし、ブラウザがタイムアウトするまでループし続けます。

そのため、認証前に EXCAP にリダイレクトされるため、ウォールドガーデンを有効にし、EXCAP サーバーの正しい IP アドレスまたはホスト名を指定する必要があります。

認証後空白ページが表示される

スプラッシュページで認証した後、空白のページが表示される場合は、ブラウザがCookieを許可していない可能性があります。また、クライアントの詳細ページでは、認証後に「未認証(Unauthorized」と表示されることもあります。

Cookie は、スプラッシュページが個々のお客様のセッションを追跡するために使用されます。ユーザーがスプラッシュページへアクセスする際にCookie が存在しない場合、スプラッシュサーバーはセッションを識別できず、クライアントを認証することができません。このような場合、Webブラウザがセッションクッキーを受け入れ、削除していないことを確認してください。