我已经在我们的公共 Wi-Fi 上设置了 WebAuth。我们有一个 Cisco WLC 5508，当使用 iOS、Apple、Windows 设备或某些 Android 设备时，页面加载正确，但是当我使用 Chrome 53.0.2785.124 作为 Marshmallow 6.0.1 上的默认浏览器的设备时，我得到一个指示可能的 MTM 攻击的错误页面。它显示“您的连接不是私有的”，然后是其他一些文本和 NET::ERR_CERT_COMMON_NAME_INVALID。这是错误的屏幕截图。
据我了解，这是由于浏览器尝试访问 URL 并期待特定结果，但是请求的 google.com 主页上的证书与返回的 wlc.mydomain.com 上的主机证书不匹配SSL 证书。
www.google.com/chrome/browser/privacy/whitepaper.html 的一部分内容如下：
如果 Chrome 检测到 SSL 连接超时、证书错误或其他可能由强制门户（例如酒店的 WiFi 网络）引起的网络问题，Chrome 将向 http://www.gstatic 发出无 cookie 请求。 com/generate_204 并检查响应代码。如果该请求被重定向，Chrome 将在新选项卡中打开重定向目标，假设它是一个登录页面。不记录对强制门户检测页面的请求。
它实际上是向 http://connectivitycheck.android.com/generate_204 发送请求。我看到的问题是来自 WLC 的响应，状态代码是 HTTP 1.1 200 OK。我希望看到由于页面被阻止或 300 响应指示重定向而导致的错误。根据谷歌上面的文字，当它收到重定向时，听起来浏览器将进入它的 Captive Portal 模式（并打开一个新的标签页进行身份验证）。
我认为这可能是 WLC 配置的问题，但可能是 Android 上的 Chrome 53 的问题。
如果有人有推荐的解决方案，我将不胜感激。
问候， D
原来这是Chrome中的一个错误。
请参阅问题 662150
https://bugs.chromium.org/p/chromium/issues/detail?id=662150&can=2&start=0&num=100&q=&colspec=ID%20Pri%20M%20Stars%20ReleaseBlock%20Component%20Status%20Owner%20Summary%20OS% 20修改&groupby=&sort=
雨伞问题是 335933。
****更新：
我们真的需要这个来工作。谷歌在提出解决方案方面并没有快速行动。我的新 S7E 内置了一个强制门户应用程序。
我猜其他制造商仍然会有问题。我确实看到一位患者带着经历过这种情况的联想平板电脑进来。一名员工使用她的旧三星设备也有同样的情况。
我看到相当多的人遭受俘虏门户痛苦。我终于能够通过沉陷强制门户测试 FQDN 的 DNS 流量来解决这个问题。
我确实首先尝试在我的 ASA 上基于 FQDN 丢弃流量，但由于流量来自 WLC，我无法基于 VLAN 拒绝。
所以，DNS hack。
在 WLC 上，我设置了 3 个虚拟接口。1 是内部的。2 是供应商，3 是公共的。每个都有自己的 DHCP 范围，因此我可以根据他们的独特情况设置所有特定选项。3 有一个 WLAN，其中包含与之关联的强制门户。
我将供应商 WLAN 配置为使用公共 DNS 服务器 - 在该 WLAN 上使用不多。
我有两个使用 BIND 9 运行 CentOS 的公共缓存 DNS 服务器；我将它们锁定以最小化攻击面。它们是 ESXi 主机上的虚拟机，每个都安装了铜网卡，连接到隔离的虚拟交换机和我的 DMZ 网络。没花我一毛钱。
我这样做是因为一些用户（就诊医生）使用他们的个人设备，我们在没有强制门户的情况下将他们连接到供应商（他们连接一次并保持连接 - 客人有时间限制，需要接受可接受的使用政策）。
添加到 /etc/named.conf
zone "connectivitycheck.android.com" IN { type master; file "sinkhole.db"; };zone "clients3.google.com" IN { type master; file "sinkhole.db"; };/var/named/sinkhole.db
$TTL 600 @ IN SOA localhost root ( 5 ; serial 3h ; refresh 1h ; retry 1w ; expire 1h ) ; min TTL ; IN NS ns. * IN A 127.0.0.1 connectivitycheck.android.com. IN A 127.0.0.1 clients3.google.com. IN A 127.0.0.1它不漂亮，但效果很好。我希望这对其他人有帮助。