强制网络门户中的 SSL 证书错误

Question

情况：酒店客人试图通过我们的强制门户访问互联网。问题：谷歌、雅虎和现在越来越多的网站将所有主页重定向到 HTTPS，因此当我们将访客重定向到我们的登录页面时，他们会收到证书错误。赞赏 SSL 的目的就是要做到这一点，但想知道是否有另一种方法来管理访客登录确认过程以确认他们的身份，然后才能通过防火墙进行访问。这让不明白的客人吓坏了。基本上需要一个不同的架构来进行强制门户/身份验证过程，并想知道任何人有什么想法。谢谢。

Answer 1

Chromium 项目有一个很好的页面，描述了他们的逻辑如何用于检测强制门户：

1. 尝试连接（纯 HTTP）到知名主机 + URI
2. 预计 HTTP 204 No Content
3. 如果收到不同的响应，则假定它是一个强制门户。

提供的链接中还有其他详细信息，说明在尝试解析知名主机时如何处理 DNS 故障等。这只是一个示例，但（以我的个人经验）现代操作系统设计正在使用与此类似的流程来检测并且在某些情况下甚至在用户打开浏览器之前提示用户。（考虑：只想使用 IMAP 客户端或其他非 HTTP 服务的人。）在这种情况下，检测不是通过 SSL/TLS 进行的，因此可以避免您的担忧。

RFC 6585 第 6 节提出了一个新的 HTTP 状态代码511 Network Authentication Required，它对您的 SSL/TLS 情况没有帮助，但如果您还没有使用它，则可能会考虑另一个标准。

Answer 2

“强制门户”的整个定义围绕着“在用户不知情的情况下重定向用户”，这正是 SSL 旨在避免的事情之一。

如果浏览器尝试打开的第一个 URL 是 HTTPS，则无法在不创建证书错误的情况下重定向流量。