Captive Portal не работает на Mac: как исправить страницу входа в Wi-Fi отеля

Каптивный портал работает, перехватывая ваш первый незашифрованный веб-запрос и отвечая на него перенаправлением на страницу входа в сеть вместо запрошенного сайта. macOS знает об этом поведении и выполняет автоматическую проверку соединения сразу после подключения к Wi-Fi сети. Если эта проверка получает перенаправление вместо ожидаемого ответа, macOS открывает небольшое окно помощника каптивной сети с порталом внутри.

Итак, отсутствие страницы входа почти всегда означает одно из двух: либо проверка соединения никогда не получила «чистый» ответ, либо перенаправление, которое должно было прийти, было заблокировано, зашифровано или отправлено туда, куда портал не может добраться. Само соединение Wi-Fi обычно в порядке. Именно его согласование и ломается.

Обычно причины, примерно в порядке частоты их возникновения: портал не может перехватить HTTPS-запрос, поэтому всё, что вы открываете в браузере, завершается ошибкой вместо перенаправления; пользовательская или зашифрованная настройка DNS, такая как DNS-over-HTTPS, сторонний резолвер, Pi-hole или NextDNS, мешает перенаправлению достигнуть вас; активный VPN оборачивает ваш трафик до того, как сеть сможет его обработать; окно помощника каптивной сети было закрыто раньше времени и не возвращается самостоятельно; кэшированный DNS из предыдущей сети указывает вашему Mac на адреса, которые больше не применимы; приватный, рандомизированный Wi-Fi-адрес сбивает с толку отслеживание сессии портала; либо фильтр контента или брандмауэр незаметно блокируют запрос портала.

Одна важная особенность этого списка: почти каждый пункт в нём, это что-то, что защищает вашу конфиденциальность или безопасность, выполняя свою работу. Каптивные порталы полагаются на возможность перехвата трафика. Современные macOS, современные браузеры и современные средства безопасности созданы так, чтобы этого не допускать. Конфликт носит структурный характер, а не является багом с какой-то одной стороны.

Забудьте сеть и подключитесь к ней заново. Это самое эффективное решение, которое занимает около пятнадцати секунд. Откройте настройки Wi-Fi, удалите сеть из списка известных сетей, затем подключитесь к ней заново с нуля. Повторное подключение заставляет macOS выполнить проверку соединения заново, что обычно достаточно, чтобы вернуть окно помощника каптивной сети.

Откройте обычный http:// адрес в браузере. Если окно помощника не появляется, вы можете вручную вызвать перенаправление, но только с незашифрованного запроса. Ввод обычного имени сайта не сработает: браузеры сейчас по умолчанию используют HTTPS, и HTTPS-запрос не может быть перенаправлен порталом, поэтому вместо страницы входа вы получите ошибку соединения или предупреждение о сертификате. Введите адрес с http:// явно перед ним и выберите что-то маловероятное для обновления. Обычно для этого используют http://neverssl.com и http://captive.apple.com. Если портал работает вообще, один из них должен сразу перенаправить вас на страницу входа.

Отключите ваш VPN. Если VPN подключён или настроен на автоматическое подключение, портал не сможет перехватить трафик, потому что он уже зашифрован и туннелирован в другое место. Полностью отключите его, а не просто завершайте текущую сессию, войдите в систему, затем включите снова. Многие клиенты VPN имеют настройку автоподключения или Always-On, которая автоматически переподключается за секунды и тихо отменяет ваши изменения.

Проверьте время. Это кажется несвязанным, но стоит десять секунд. Если дата и время на вашем Mac сильно неправильны, проверка сертификатов не пройдёт, и страницы портала, использующие HTTPS для формы входа, откажутся загружаться. Установка времени и даты в автоматическом режиме решает проблему.

Если все четыре способа не помогли, скорее всего, причина, DNS или настройка конфиденциальности, и следующие два раздела расскажут о них подробнее.

Каптивные порталы зависят от DNS больше, чем большинство людей осознает. Когда ваш Mac ищет адрес, собственный DNS-сервер сети отвечает адресом портала вместо настоящего, и именно так начинается перенаправление. Если ваш Mac не запрашивает DNS-сервер сети, этот первый шаг никогда не происходит.

Именно поэтому вручную настроенный DNS так часто является причиной. Если вы установили на Mac сторонний резолвер или указали его на Pi-hole дома, или настроили DNS-over-HTTPS или сервис вроде NextDNS, ваши запросы идут туда, куда гостиничная сеть не может вмешаться. Решение, вернуть DNS в автоматический режим временно. В настройках сети macOS можно удалить вручную введённые DNS-серверы, что вернёт Mac к тому, что предоставляет сеть через DHCP. Войдите в систему, затем восстановите свои настройки. Защищённый DNS, установленный через профиль конфигурации, возможно, потребуется отключить, а не редактировать, но принцип тот же.

Как понять, что проблема в DNS? Хороший признак, адрес http:// без HTTPS, который не разрешается вовсе, а не перенаправляется, или не разрешается мгновенно, а после медленной задержки. Ещё один, маршрутизатор или шлюз загружаются нормально при вводе как чистого IP-адреса, но ничего, введённое как имя, не работает. Это указывает на проблему с разрешением имени, а не с подключением.

Случай с VPN имеет свою особенность. При активном VPN соединение кажется полностью рабочим, клиент может даже показывать рабочий туннель, но сайт не загружается и портал не появляется. Некоторые клиенты VPN используют режим каптивного портала или обнаружения точки доступа, который кратковременно позволяет незашищённый трафик для входа. Если у вас есть такой режим, включите его. Если нет, полностью отключите VPN, войдите в систему и подключитесь заново.

Застарелый DNS из предыдущей сети тоже может мешать. Если вы только что переключились между сетями и Mac пытается разрешить адреса, которые не имеют смысла для вашего местоположения, очистка кеша DNS поможет. Обычно это делается через Terminal командой sudo dscacheutil -flushcache, а затем sudo killall -HUP mDNSResponder, хотя точная команда могла измениться в разных версиях macOS. Если не хотите вводить команды, перезагрузка Mac достигает того же результата, а отключение и включение Wi-Fi очищает значительную часть кеша.

Private Wi-Fi Address. По умолчанию macOS использует случайный аппаратный адрес для каждой сети Wi-Fi, что значительно усложняет отслеживание вашего устройства операторами сети и людьми поблизости между разными местами и со временем. Это действительно хорошая функция. Она также сбивает с толку некоторые captive-порталы, особенно те, что привязывают платную или ограниченную по времени сессию к аппаратному адресу, и гостиничные системы, которые ожидают, что устройство будет выглядеть одинаково при каждом повторном подключении. Обычно это проявляется так: вы успешно входите, а через несколько минут снова попадаете на страницу входа, или оплаченная вчера сессия сегодня вас не распознает.

Вы можете отключить Private Wi-Fi Address для отдельной сети в ее настройках Wi-Fi. Но важно понимать компромисс: это не настройка для глобального отключения. Отключить ее для одной гостиничной сети на время проживания, это локальное решение. Отключить ее везде, значит передать стабильный идентификатор каждой сети, к которой вы когда-либо подключаетесь. Если вы отключаете ее для портала, включите обратно или забудьте сеть полностью, когда уйдете.

Encrypted DNS and content filters. Тот же принцип применим к DNS-over-HTTPS и DNS-over-TLS. Они существуют именно для того, чтобы сеть не могла видеть или изменять ваши запросы, а это как раз то, что порталу нужно делать. Обойти это хитро не получится: для самого входа сети нужно окно. Правильный подход узкий, временно вернуть DNS в автоматический режим только на время аутентификации.

Фильтры контента и инструменты родительского контроля относятся к той же категории. Все, что проверяет, переписывает или блокирует DNS- и HTTP-запросы, может молча сорвать перенаправление портала, и поскольку такие инструменты рассчитаны на тихий отказ, вы часто не увидите вообще никакой ошибки, только страницу, которая так и не загружается. Если вы используете такой инструмент, добавьте его в свой список проверок, прежде чем решать, что сеть сломана.

Browser behaviour. Браузеры все чаще принудительно переходят на HTTPS, блокируют небезопасные перенаправления и активно используют кэш. Попробуйте другой браузер или приватное окно, этого может быть достаточно, чтобы портал отобразился. Safari часто оказывается самым сговорчивым, поскольку помощник для captive-network построен на том же движке.

После нескольких таких ситуаций становится очевидна закономерность: каждое исправление в этом руководстве означает временно ослабить защиту. Отключить VPN. Отказаться от собственного DNS. Показать свой реальный аппаратный адрес. Пропустить незашифрованный запрос. А потом, после входа в ненадежной сети, надо не забыть вернуть все обратно. Большинство людей этого не делают, и именно так ноутбук может три дня просидеть в гостиничном Wi-Fi, а защита все еще будет выключена со вторника.

В этом и есть настоящая цена, и ее стоит назвать прямо, потому что ответ не в том, чтобы отказаться от защиты. Публичный Wi-Fi, это как раз тот случай, когда Mac выигрывает от более строгого режима, чем дома: меньше приложений, которым разрешен выход в интернет, фоновые службы приторможены, и есть четкое понимание того, что именно общается в сети, которую вы не контролируете.

Выход из этого конфликта, это инструменты, которые понимают, что такое captive portal, а не те, которые приходится отключать вокруг него. Именно так устроена hotspot protection в NetMute. Когда ваш Mac подключается к неизвестной или публичной сети, он автоматически применяет более строгий профиль и обрабатывает captive portal так, чтобы страница входа все равно загружалась, а не блокировалась вместе со всем остальным. Вы входите как обычно, и строгий профиль остается в силе на все время.

Остальная часть приложения следует той же идее. Профили сети привязаны к Wi-Fi, к которому вы подключены, поэтому домашние правила и правила для аэропорта могут действительно отличаться, и вам не нужно об этом думать. Персональный брандмауэр блокирует любое приложение одним щелчком, а временные правила истекают сами, что удобно, когда нужно пропустить одно приложение на несколько минут. Мониторинг трафика показывает, какие приложения общаются и куда.

NetMute можно бесплатно скачать в Mac App Store, а Premium, это разовая внутренняя покупка, а не подписка. Если вы много времени проводите в гостиничном Wi-Fi и аэропортовом Wi-Fi, Mac, который сам ужесточает настройки и при этом все равно пропускает вас через страницу входа, убирает ту часть проблемы, которую не решит ни один чеклист: необходимость помнить, что все нужно снова включить.