Android Captive Portal-Anmeldung: Anmelden und Fehler beheben

Sie stehen in einer Hotellobby, Ihr Smartphone zeigt Verbunden an, und nichts lädt. Keine Anmeldeseite, kein Fehler, auf den Sie reagieren können, nur rotierende Apps, während das WiFi-Symbol eine kleine Warnung anzeigt. Das liegt daran, dass das Android Captive Portal-Login seine Aufgabe schlecht erfüllt oder das Netzwerk die Prüfungen von Android auf eine Weise beantwortet, die das Smartphone zwischen verbunden und online feststecken lässt.

Die Lösung besteht selten in zufälligem Tippen. Android folgt einer klaren Erkennungs-State-Machine. Sobald Sie wissen, in welchem Status Sie sich befinden, wissen Sie auch, was Sie antippen, welche Einstellung Sie ändern müssen oder ob der Fehler beim Standort liegt. Ich würde mit der Systemaufforderung beginnen und mich dann über den Browser und die Datenschutzeinstellungen bis hin zum Portal-Design selbst vorarbeiten.

Inhaltsverzeichnis

• Anmeldung an einem Captive Portal auf Android in unter einer Minute
• Wie Android entscheidet, ob ein Netzwerk eine Anmeldung erfordert
  • Zuständigkeiten innerhalb von Android
  • Auslesen der Netzwerkantwort
• Anmeldefehler auf dem eigenen Smartphone beheben
• Bekannte Probleme bei der Captive Portal-Erkennung
  • Wo die State Machine abbricht
• Kiosk- und verwaltete Android-Geräte
• Wählen Sie ein Portal-Design, das auf Android funktioniert

Bei einem Captive Portal auf Android in unter einer Minute anmelden

Greifen Sie nach der Benachrichtigung Im Netzwerk anmelden, bevor Sie Chrome öffnen. Android öffnet diese in einer eigenen Anmeldeansicht, verfolgt Ihre Auswahl und testet das Netzwerk nach dem Abschluss erneut. Ein selbst geöffneter Browser-Tab bietet diese Funktionalität nicht. Deshalb erhalten Personen, die die Aufforderung überspringen, so häufig eine Anmeldeseite angezeigt, während das Smartphone weiterhin meldet, dass keine Internetverbindung besteht.

1. Tippen Sie auf die Benachrichtigung „Im Netzwerk anmelden“. Ziehen Sie die Benachrichtigungsleiste nach unten oder tippen Sie auf die Aufforderung unter dem Namen WiFi. Sie erscheint in der Regel wenige Sekunden nach dem Beitritt und führt Sie direkt zur Seite des Veranstaltungsorts, ohne dass Sie eine URL erraten müssen.
2. Wenn keine Benachrichtigung erscheint, öffnen Sie eine einfache HTTP-Seite. Rufen Sie in Ihrem Browser eine http-Adresse auf, kein https. Das Portal kann eine unverschlüsselte Anfrage abfangen und umleiten, während eine verschlüsselte Seite stockt oder eine Zertifikatswarnung ausgibt. Wählen Sie eine Adresse, die Sie in letzter Zeit nicht besucht haben, damit der Browser die Anfrage nicht aus seinem Cache beantwortet und das Netzwerk vollständig umgeht.
3. Schließen Sie den Schritt für den Veranstaltungsort ab. Akzeptieren Sie die Bedingungen, geben Sie Ihre Zimmernummer ein, tippen Sie den SMS-Code ein oder nutzen Sie den angebotenen Social-Login. Schließen Sie das Fenster nicht zu früh, da Android das Fertigstellungssignal für eine erneute Prüfung benötigt.
4. Warten Sie, bis die Warnung verschwindet. Das WiFi-Symbol sollte sein Warndreieck verlieren und die Kennzeichnung Kein Internet sollte verschwinden. Diese Änderung bedeutet, dass Android die Verbindung erneut überprüft hat und nicht nur eine Seite geladen wurde - das ist der Unterschied zwischen einer abgeschlossenen Anmeldung und einem Formular, das Sie umsonst ausgefüllt haben.
5. Schalten Sie WiFi einmal aus und wieder ein, wenn weiterhin „Kein Internet“ angezeigt wird. Schalten Sie WiFi aus und wieder ein, bevor Sie eingreifendere Maßnahmen versuchen. Ein erneuter Beitritt erzwingt eine neue Prüfung und löscht ein veraltetes Ergebnis.

Ein erfolgreicher Vorgang ist unauffällig - und genau das ist das Ziel. Die Benachrichtigung verschwindet, die gewünschte Seite lädt und Ihre Apps funktionieren nach dem Verlassen des Browsers weiterhin. Wenn Sie standardisierte Anweisungen für Mitarbeiter oder Gäste erstellen, können Sammlungen von Schritt-für-Schritt-Anleitungen helfen, diese Schritte in einem leicht verständlichen Format für den Empfangsbereich bereitzustellen.

Wie Android entscheidet, ob ein Netzwerk eine Anmeldung erfordert

Android entscheidet nicht durch Betrachtung Ihres Browsers. Es stellt im Hintergrund eine Anfrage und bewertet dann die Antwort.

Wenn sich Ihr Smartphone mit WiFi verbindet, sendet es eine Klartext-HTTP-Probe an einen bekannten Konnektivitäts-Endpunkt und erwartet eine spezifische leere Erfolgsantwort. Wenn das Netzwerk diese Anfrage abfängt und stattdessen eine Umleitung oder Anmeldeseite zurückgibt, stuft Android das Netzwerk als Captive ein und fordert Sie zur Anmeldung auf. Die Android 11 Captive Portal-Dokumentation weist darauf hin, dass Android die integrierte Captive Portal-Erkennung mit Android 5.0 (veröffentlicht 2014, entsprechend API Level 21) eingeführt hat und dass die Probe historisch connectivitycheck.gstatic.com nutzte.

Dieses Datum ist für Betreiber wichtig. Die Portal-Handhabung ist kein Browser-Trick, den man nachträglich hinzufügt. Es ist eine Betriebssystemfunktion, die Eingabeaufforderungen, Validierungs-Bezeichnungen und die Information steuert, ob Apps davon ausgehen, online zu sein.

Wer macht was innerhalb von Android

Android teilt die Arbeit auf. NetworkMonitor testet die Erreichbarkeit und den Portal-Status. Die vorinstallierte Captive Portal Login App zeigt die Authentifizierungsseite an und teilt dem System Ihre Auswahl mit.

Nachdem Sie sich angemeldet haben, führt Android einen erneuten Test durch. Wenn die Probe nun erfolgreich ist, wechselt das Netzwerk in den Status "Validiert" und die Warnung erlischt. Wenn sie nicht erfolgreich ist, haben Sie möglicherweise ein ausgefülltes Anmeldeformular, aber weiterhin kein nutzbares Internet.

Der neuere Pfad ist sauberer. Ein Netzwerk kann sein Portal während DHCP über DHCP-Option 114 ankündigen, was auf einen Android Captive Portal API Endpoint verweist. Die Android NetworkCapabilities-Referenz unterstützt die zugehörige app-seitige Abwicklung dieses Ablaufs, bei der Android 11 und höher diesen Endpoint während der DHCP-Verarbeitung abrufen können und eine JSON-Antwort mit captive: true dazu führt, dass Android die Anmeldeoberfläche des Systems direkt anzeigt. Wenn dieser API nicht verfügbar ist, greift Android auf Probes zurück.

Für App-Entwickler liegt das Signal im Netzwerk-Callback. NET_CAPABILITY_CAPTIVE_PORTAL bedeutet, dass die neueste Probe ein Portal erkannt hat. NET_CAPABILITY_VALIDATED bedeutet, dass das Netzwerk die Validierung bestanden hat.

Eine HTTP 200-Seite des Portals ist kein Nachweis für einen Internetzugang. Werten Sie die Anmeldung erst dann als erfolgreich, wenn das Netzwerk den validierten Status erreicht.

Auslesen der Netzwerkantwort

Netzwerkantwort	Schlussfolgerung von Android	Benutzeranzeige
HTTP 204 vom Probe-Endpunkt	Internet ist offen, kein Portal	Keine Aufforderung, Surfen funktioniert
HTTP 200 mit Portal-HTML statt 204	Captive Portal erkannt	Anmeldebenachrichtigung erscheint
Probe blockiert, Zeitüberschreitung oder DNS-Fehler	Validierung fehlgeschlagen, Portal nicht identifiziert	Keine Aufforderung, Status „Kein Internet“
Captive-JSON über DHCP-Option 114 (Android 11 und höher)	Anmeldung erforderlich	System-Anmeldeseite öffnet sich direkt
Probe erfolgreich nach der Anmeldung	Netzwerk validiert	Warnung verschwindet und Apps können sich verbinden

Lesen Sie die Tabelle von links nach rechts. Android beurteilt nicht Ihr Branding, Ihre Formularfelder oder ob die Seite fertig aussieht. Es beurteilt, ob sich die Probe-Antwort vor der Anmeldung wie erwartet geändert hat und ob sie danach wieder zum Normalzustand zurückkehrt.

Angenommen, ein Hotel-Tablet verbindet sich mit dem Gästenetzwerk, zeigt aber keine Aufforderung an. Das Personal vermutet häufig einen Fehler auf der Anmeldeseite und beginnt, Schaltflächen neu zu gestalten. Überprüfen Sie zuerst den Probe-Test: Wenn das Netzwerk diesen blockiert, ein Zeitlimit überschreitet oder zu uneingeschränkt durchlässt, erreicht Android möglicherweise nie den Captive-Status, der die Aufforderung auslöst.

Das ist das mentale Modell, das Sie beibehalten sollten. Die Aufforderung hängt davon ab, wie das Netzwerk auf eine automatisierte Prüfung antwortet. Ein ausgereiftes Portal kann eine falsche Probe-Antwort nicht korrigieren, und eine korrekte Probe-Antwort kann selbst ein einfaches Portal zuverlässig wirken lassen.

Anmeldefehler auf Ihrem eigenen Smartphone beheben

Gehen Sie die folgenden Symptome durch, bevor Sie mehrere Einstellungen auf einmal ändern. Eine Änderung, ein erneuter Test, dann weiter.

Symptom	Wahrscheinliche Ursache	Lösung
Keine Anmeldebenachrichtigung nach dem Beitritt	Prüfung blockiert oder altes gecachtes Ergebnis	Netzwerk ignorieren, erneut beitreten und dann eine einfache HTTP-Seite im Browser öffnen
Anmeldeseite erscheint nur auf HTTPS-Seiten	Portal leitet nur einfache HTTP-Anfragen um	Öffnen Sie eine HTTP-Seite, um die Umleitung auszulösen
Angemeldet, aber weiterhin „Kein Internet“	Private DNS oder VPN blockiert die Prüfung	Schalten Sie Private DNS und VPN aus und schalten Sie dann WiFi aus und wieder ein
Portal erscheint immer wieder	Zufällige MAC-Adresse für die Sitzung geändert	Stellen Sie das Netzwerk so ein, dass die Geräte-MAC-Adresse für dieses Netzwerk verwendet wird
Anmeldeseite ist leer oder lässt sich nicht absenden	Veralteter Browser-Cache oder alte Portalseite	Löschen Sie den Browser-Cache und versuchen Sie einen anderen Browser
Funktioniert auf einem Smartphone, auf einem anderen nicht	Unterschiedliche Android-Version oder Datenschutz-Einstellungen	Vergleichen Sie die Android-Versionen und testen Sie mit deaktivierter zufälliger MAC-Adresse
Verbunden, aber Apps funktionieren weiterhin nicht	Konnektivität noch nicht erneut bestätigt	Warten Sie 30 Sekunden und schalten Sie dann den Flugmodus aus und wieder ein

Ich würde diese Reihenfolge wählen, da sie mit der günstigsten Lösung beginnt und vermeidet, den Datenschutz einzuschränken, sofern es nicht erforderlich ist.

1. Schalten Sie WiFi um, entfernen Sie das Netzwerk und verbinden Sie es erneut. Dadurch wird ein zwischengespeichertes Validierungsergebnis gelöscht und eine neue Überprüfung erzwungen.
2. Überprüfen Sie privates DNS, VPN und randomisierte MAC-Adressen. Diese Einstellungen befinden sich direkt im Pfad von DNS, Routing und Geräteidentität und sind daher die nächsten wahrscheinlichen Blockaden.
3. Löschen Sie den Browser-Cache oder versuchen Sie einen zweiten Browser. Tun Sie dies, wenn die Seite leer oder nur halb geladen ist oder sich nicht absenden lässt.

Datenschutzhinweis: Das Deaktivieren von Privates DNS oder eines VPNs verringert Ihren Schutz in einem öffentlichen Netzwerk. Schalten Sie beides wieder ein, sobald die Anmeldung erfolgreich war, und führen Sie erst dann Banking-Transaktionen oder Passwortänderungen durch.

Die Zeile für die randomisierte MAC-Adresse wird häufig übersehen. Wenn das Portal eine MAC-Identität autorisiert hat und Ihr Smartphone bei der nächsten Verbindung eine andere verwendet, sieht der Standort ein neues Gerät und zeigt das Portal erneut an. Wenn Sie für dieses spezielle Netzwerk die Geräte-MAC festlegen, wird die Sitzung stabilisiert. Sie sollten dies jedoch nicht global für jedes Netzwerk ändern.

Wenn nichts davon funktioniert, hören Sie auf, die Einstellungen zurückzusetzen. Notieren Sie Uhrzeit, Netzwerkname und Gerätemodell und geben Sie diese Details an den Veranstaltungsort weiter, damit dieser die Portalseite überprüfen kann. Wenn das Problem über die WiFi-Anmeldung hinausgeht, können Sie Hilfe bei Smartphone-Problemen finden, die umfassendere Gerätefehler abdeckt. Ein Portal am Veranstaltungsort, das nie validiert wird, lässt sich jedoch nicht durch ein Zurücksetzen auf die Werkseinstellungen beheben.

Bekannte Probleme bei der Erkennung von Captive Portals

Die instinktive Lösung des Betreibers besteht darin, vor der Anmeldung weitere Domänen zuzulassen. Dieser Instinkt kann den Android Captive Portal-Login komplett außer Kraft setzen.

Der aktuelle Captifi-Leitfaden für nicht angezeigte Captive Portals erklärt, dass Android automatisierte Konnektivitätsprüfungen durchführt, die gewöhnlich eine HTTP 204-Antwort von einem Google-Konnektivitätsprüfungs-Endpunkt erwarten. Wenn ein Walled Garden diesen Endpunkt zu weitgehend zulässt, kann Android zu dem Schluss kommen, dass ein uneingeschränkter Internetzugang besteht, und die Anmeldeaufforderung unterdrücken. Einfach ausgedrückt: Ihre Positivliste kann das Smartphone davon überzeugen, dass kein Portal vorhanden ist.

Das ist der Kompromiss, den Betreiber übersehen. Eine zu strenge Positivliste blockiert möglicherweise ein Zahlungsskript oder einen Identitätsanbieter, den das Portal benötigt. Eine breite Positivliste sorgt dafür, dass die Seite ansprechend bleibt, entfernt jedoch den Auslöser, der sie öffnet.

Wo die Zustandsmaschine fehlschlägt

Fehler äußern sich nicht immer durch eine fehlende Aufforderung. DNS-Fehler können die Validierung blockieren. Eine VPN- oder Private DNS-Einstellung kann den Resolver des Standorts umgehen. Nichts als HTTPS-Verhalten bietet dem Portal keine Möglichkeit für eine sichere Weiterleitung. MAC-Randomisierung kann dazu führen, dass ein Smartphone bei mehreren Verbindungen wie unterschiedliche Geräte erscheint.

Solche Fälle können Sie nicht anhand eines Screenshots der Anmeldeseite analysieren. Zeichnen Sie die Sitzungssignale auf, die zeigen, welchen Status Android erreicht hat und wo der Vorgang gestoppt wurde.

• Probe-Ergebnis: Hat die Prüfung 204, eine Umleitung, Portal-HTML oder nichts zurückgegeben?
• DNS-Ergebnis: Wurde der Endpoint über den Resolver des Standorts aufgelöst?
• Umleitungsstatus: Hat das Gateway das Gerät an die Portal-URL weitergeleitet?
• WebView-Fehler: Konnte die Anmeldeansicht nicht gerendert oder übermittelt werden?
• Randomisierte MAC-Identität: Welche MAC hat das Portal autorisiert?
• Validierung nach der Authentifizierung: War das Netzwerk nach dem Ausfüllen des Formulars erfolgreich verbunden?

Angenommen, Ihre Protokolle zeigen zulässige Probes und eine erfolgreiche Anmeldung, jedoch erfolgt nie eine Validierung. Suchen Sie die Schuld nicht zuerst beim Handset. Überprüfen Sie die Weiterleitung nach der Anmeldung und die Autorisiereungsfreigabe, da das Portal das Formular möglicherweise akzeptiert hat, ohne dem Netzwerk mitzuteilen, dass es das Gerät durchlassen soll.

Ich würde vier Änderungen in dieser Reihenfolge vornehmen.

1. Beschränken Sie die Pre-Auth-Allowlist auf das Minimum, das das Portal und seine Anmeldeanbieter benötigen.
2. Protokollieren Sie jedes obige Telemetriefeld für jede fehlgeschlagene und erfolgreiche Sitzung.
3. Testen Sie HTTPS-sicheres Onboarding, damit Gäste nicht von einem einzelnen einfachen HTTP-Auslöser abhängig sind.
4. Planen Sie einen Pfad ohne Portal für Geräte ein, die nicht von einem Portal abhängen sollten, und nutzen Sie Optionen wie OpenRoaming WiFi, Passpoint oder verwaltete Zertifikate.

Kiosk- und verwaltete Android-Geräte

Ein verwaltetes Tablet kann sich in einem korrekt weiterleitenden Netzwerk befinden und dennoch nie ein Anmeldefenster anzeigen. Das ist kein Signalstärkeproblem. Es liegt meist an Richtlinien.

Ratschläge für Verbraucher gehen davon aus, dass Sie auf Benachrichtigungen tippen, ein VPN deaktivieren und WiFi Datenschutz-Einstellungen anpassen können. Bei der Nutzung eines Kiosk-Systems ist dies häufig nicht möglich. Die Enterprise-Mobility-Richtlinien für Kiosk-Captive-Portale besagen, dass Captive Portals von einer vorinstallierten Anwendung verarbeitet werden und die Kiosk-Richtlinie dies explizit zulassen muss. Ein blockiertes Captive-Portal-Systempaket führt also dazu, dass die Anmeldung selbst bei ordnungsgemäß funktionierendem Netzwerk niemals startet.

Dies macht sich an Orten bemerkbar, an denen niemand das Gerät als Smartphone wahrnimmt. Denken Sie an Tablets in Krankenhäusern und Schulen, Handhelds im Einzelhandel, Hotel-Tablets und Check-in-Bildschirme des Veranstaltungsorts. Das persönliche Smartphone des Gastes meldet sich problemlos an, weshalb das Personal das Netzwerk für funktionsfähig erklärt, während die verwaltete Geräteflotte offline bleibt.

Angenommen, ein Retail-Handheld funktioniert, wenn ein Manager dasselbe Netzwerk auf einem Mitarbeiter-Smartphone testet, aber die Kiosk-Version bleibt getrennt. Überprüfen Sie die Richtlinien-Positivliste, bevor Sie das Portal anpassen. Das Smartphone beweist, dass die Weiterleitung existiert. Das Handheld beweist, dass das verwaltete Image sie nicht öffnen wird.

Führen Sie die Betreiberprüfungen in dieser Reihenfolge durch.

1. Erlauben Sie das Captive-Portal-Systempaket in Ihrer EMM- oder MDM-Richtlinie, übertragen Sie die Richtlinie anschließend und treten Sie dem Netzwerk auf einem Testgerät erneut bei.
2. Testen Sie Android System-WebView genau auf diesem Geräte-Image, da ein veraltetes oder deaktiviertes WebView dazu führen kann, dass das Portal leer bleibt oder keine Übermittlung möglich ist.
3. Definieren Sie einen Ausweichpfad für das Onboarding für Geräte, die kein interaktives Portal anzeigen können, z. B. über ein vorkonfiguriertes Profil oder einen zertifikatsbasierten Beitritt - ähnlich wie beim strukturierten BYOD-Onboarding statt eines gemeinsam genutzten Passworts.

Richtlinie an erster Stelle, WebView an zweiter Stelle, Fallback an dritter Stelle. Wenn Sie diese Reihenfolge umkehren, erstellen Sie Workarounds für Geräte, die nur die Berechtigung zur Anzeige der bereits erkannten Seite Android benötigten.

Wählen Sie ein Portal-Design, das auf Android funktioniert

Beginnen Sie mit drei Kriterien, nicht mit dem Design einer Anmeldeseite. Wie oft Gäste wiederkehren, ob Geräte persönlich oder verwaltet sind und welche Android-Versionen funktionieren müssen, sollte das Design bestimmen.

Für einmalige Gäste ist ein Captive Portal weiterhin praktisch. Halten Sie die Pre-Auth-Allowlist so klein wie möglich, unterstützen Sie die von Gästen erwarteten Anmeldemethoden und stellen Sie sicher, dass die Freigabe nach dem Login schnell genug erfolgt, damit Android die Verbindung validiert, bevor der Benutzer Einstellungen ändert. Unser eigenes Portal kann in unter 15 Minuten mit der Splash-URL und RADIUS zu einem Controller hinzugefügt werden. Es bietet Anmeldeoptionen wie SSO, Google, Apple, Facebook und SMS - die schnelle Einrichtung entbindet Sie jedoch nicht von der Notwendigkeit, das Probe-Verhalten zu testen.

Bei wiederkehrenden Gästen würde ich, sofern vermeidbar, nicht bei jedem Besuch ein Portal erzwingen. Passpoint oder OpenRoaming ermöglicht es einem einmal installierten Profil, sich bei der Rückkehr automatisch zu verbinden - ohne Portal-Reibung und ohne wiederholtes Formular. Vergleichen Sie diesen Pfad bei der Überprüfung von Gäste-WiFiWiFi-Lösungen mit Ihrem aktuellen Setup und bestätigen Sie vor Ihrer Zusage, dass Ihre Controller- und RADIUS-Einrichtung diese Option unterstützt.

Testen Sie dann wie ein Betreiber, nicht wie ein Designer.

• Älteste unterstützte Android-Version: Bestätigen Sie, dass die Aufforderung erscheint und die Validierung abgeschlossen wird.
• Aktuelles Android-Gerät: Bestätigen Sie, dass Standardeinstellungen für Private DNS und randomisierte MAC-Adressen den Benutzer nicht blockieren.
• Verwaltetes Kiosk-Build: Bestätigen Sie, dass die Richtlinie die Portal-App zulässt und WebView die Seite rendert.

Warten Sie auf jedem Gerät auf den Status Validiert und öffnen Sie zwei Apps, nicht nur den Browser. Ein erfolgreiches Smartphone beweist sehr wenig, da die Erkennung je nach Android-Version, DHCP-Unterstützung und Geräterichtlinie variiert. Rollen Sie erst dann an Gäste aus, wenn alle drei erfolgreich getestet wurden.

---

Wenn Ihre Android-Gäste immer wieder auf ein Portal stoßen, das nicht auffordert, nicht validiert oder nicht angemeldet bleibt, kann Ihnen Purple Access dabei helfen, ein gebrandetes Captive Portal für einmalige Gäste und Passpoint oder OpenRoaming für wiederkehrende Geräte auf den Access Points zu betreiben, die Sie bereits besitzen. Sprechen Sie mit uns über das Testen Ihres ältesten Android-Geräts, Ihrer aktuellen Handsets und aller verwalteten Kiosk-Builds vor Ihrem nächsten Rollout, damit die Anmeldung beim ersten Mal funktioniert.