Requisitos de rede

1. Walled garden — o que o aparelho acessa antes de logar

No controller: Settings → WiFi → Guest Hotspot → Authorization Access → Pre-Authorization Allowances. O SSID bloqueia tudo até o aparelho ser autorizado; esta lista é a exceção que deixa a tela de login carregar.

MFA por notificação exige um detalhe. A aprovação por push do Microsoft Authenticator viaja fora desta lista, então um aparelho que só tem o WiFi da empresa não recebe a notificação. O código de 6 dígitos do próprio app funciona sem internet e resolve — está explicado no guia do usuário. Não tente liberar isso no walled garden: os endereços de push não são estáveis.

2. Firewall — o portal precisa alcançar seu controller

O portal roda na nossa infraestrutura e conversa com o seu controller UniFi pela API, para autorizar cada aparelho que fez login. É a única conexão que parte de nós para você.

Versões testadas. UniFi Network 10.0, 10.4 e 10.6 no controller instalado em servidor, e 10.5 no UniFi OS Server. Os consoles UniFi OS em hardware (Dream Machine, Cloud Gateway, Cloud Key) usam a mesma API do UniFi OS Server, mas ainda não foram testados num aparelho. Se o seu é um deles, fale com a Winserv antes de contratar.

Um portal atende um site do controller. Se o seu controller tem vários sites (filiais, prédios), o portal funciona no site escolhido no cadastro; nos demais, o login e os vouchers não liberam o acesso. Tem mais de um site? Fale com a Winserv antes de contratar.

O controller precisa estar publicado na internet nessa porta, com certificado válido, e ter uma conta dedicada para o portal. Crie-a em Settings → Admins → Add New Site Admin com o papel Site Administrator, dando permissão apenas ao site que o portal atende — não é preciso, e não queremos, uma conta de super administrador ou dona do controller.

Não use o papel "Hotspot" da tela de administradores. Ele cria um administrador vinculado a uma conta Ubiquiti e envia um convite por e-mail; essa conta autentica na nuvem da Ubiquiti, não no controller, então a API local recusa o login. Verificado no controller 10.4.57, onde os papéis por site disponíveis são só Site Administrator e View Only — e "View Only" não consegue autorizar convidado.

O que a conta faz, e nada além disso: autoriza e desautoriza convidados no site (cmd/stamgr); lê a lista de sites uma vez, no cadastro, para descobrir o identificador interno do seu site; lê a rede em que um aparelho está conectado quando alguém resgata um voucher (stat/sta), para o voucher valer só na rede de convidados; e lê as configurações do hotspot (rest/setting/guest_access) quando você abre a conferência do portal, para dizer o que ainda falta. Nenhuma configuração do controller é alterada.

3. Controller — três opções na tela do hotspot

Em Settings → WiFi → Guest Hotspot → Landing Page Settings:

1. External Portal Server = 5.161.45.166. Esse campo aceita apenas IP — o nome não funciona nele.
2. Domain = SEU-PORTAL.winserv-auth.com (o endereço exato está na página de conferência do seu portal). É o que faz o AP mandar o usuário para o nome, e não para o IP. Sem isso o certificado não confere e o navegador recusa a conexão.
3. Secure Portal ligado. Faz o aparelho ir direto em HTTPS, sem uma primeira volta em texto claro numa rede aberta.

Os dois primeiros parecem redundantes e não são: um diz para onde a conexão vai, o outro diz que nome o navegador vê. Trocá-los é o erro mais comum desta tela.

4. Duas redes: funcionários e visitantes (opcional)

Para separar a rede dos funcionários da rede dos visitantes: duas redes WiFi no UniFi, as duas com Hotspot (portal cativo) e cada uma na sua rede/VLAN. As duas usam o mesmo portal — o UniFi aceita um portal por site. No console do portal (/admin → Redes), informe o nome de cada uma: na corporativa aparece só a entrada com a Microsoft; na de visitantes, só o voucher.

Quem separa visitantes da rede interna é o seu firewall, não o UniFi. Com um gateway que não é da Ubiquiti (FortiGate, por exemplo), a lista Post-Authorization Restrictions do Hotspot não bloqueia o acesso depois do login — medimos: com as três faixas privadas na lista, um aparelho autenticado abriu outro aparelho da rede local. Ou seja: a lista parece proteger e não protege — não conte com ela. Então:

1. No firewall, na VLAN dos visitantes: bloqueie as redes internas (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) e libere só a internet. Na VLAN corporativa, aplique a política da empresa.
2. Confirme dos dois lados: de um aparelho na rede corporativa, já logado, um sistema interno abre; de um aparelho na rede de visitantes, não abre.

Gateway UniFi (UDM, USG)? Nesse caso não medimos, e a lista provavelmente é aplicada — o que vale nos dois sentidos: protege os visitantes, mas numa rede com Hotspot também pode impedir os funcionários de alcançar impressora e sistemas internos. Faça o mesmo teste dos dois lados antes de liberar a rede.

Uma rede só para todos? Funciona — a tela mostra a entrada Microsoft e o voucher juntos —, mas funcionário e visitante ficam na mesma VLAN e o firewall não consegue separá-los: com o voucher ligado, o visitante alcança o que o funcionário alcança na rede interna. Se há impressora, servidor ou sistema interno a proteger, use duas redes; ou mantenha uma rede só para funcionários, com o voucher desligado no console.

Client Device Isolation (na tela de cada rede WiFi, em Security) — impede que os aparelhos da mesma rede sem fio se enxerguem:

1. Rede de visitantes: marcada. Um visitante não deve alcançar o celular do outro.
2. Rede corporativa: desmarque se os funcionários usam pela WiFi impressora, espelhamento de tela (AirPlay, Chromecast) ou compartilhamento entre aparelhos; marque se não usam — é mais seguro.

Ela não controla o acesso à rede cabeada interna — isso é o firewall, acima. A rede corporativa pode ficar aberta, sem senha: quem entra é quem passa pela Microsoft, e um visitante que tente usar o voucher nela é desconectado em até um minuto.

TVs, ar-condicionado e outros aparelhos sem tela de login não conseguem passar por portal cativo. Coloque-os numa terceira rede, com senha, na VLAN deles e sem Hotspot. Cada AP transmite até 4 redes por banda (8 com o Wireless Meshing desligado), então funcionários, visitantes e aparelhos cabem com folga.

DNS, se a sua rede usa resolvedor próprio

Os hosts da tabela acima precisam resolver a partir da rede WiFi dos convidados, antes da autenticação. Redes com DNS interno restrito costumam ser o ponto onde isso quebra — e o sintoma imita "portal fora do ar".