text: 強制門戶的訪問許可權。呈現至客戶端的強制門戶有可能存放在閘道器或網頁伺服器上。閘道器也可白名單特定網站或TCP埠以使使用者在不使用網路門戶的情況下訪問網路。已連線客戶端的MAC地址可用於繞過特定裝置的登入流程。用途.強制門戶主要用於開放的無線網路中，使用者將收到歡迎資訊及服務條款。管理員以此來使其使用者對自己的行為負責，並避免自身可能的法律責任。但這種責任授權是否具有法律效力仍有爭議。強制門戶通常用於營銷和商業交流用途。使用者往往需要先在網頁瀏覽器中開啟登記表單，填寫自己的個人資料後才能訪問網際網路。這種表單可能會自動在使用者的瀏覽器中開啟，也有可能會在使用者使用瀏覽器開啟任意網頁時出現。換言之，使用者被“捕獲”登入，這種型別的服務有時被稱為“社交Wi-Fi”。近年來，隨著多個公司開始提供基於Wi-Fi資料的市場營銷，社交Wi-Fi強制門戶也漸漸成為家常便飯。實現.市面上存在多種實現強制門戶的方式。HTTP重定向.常見方法之一是將所有全球資訊網流量定向至網頁伺服器，同時向強制門戶返回HTTP重定向。 當現代網際網路裝置首次連線至網路時，其將發出HTTP請求並期望返回HTTP 204狀態碼。若裝置接收到HTTP 204狀態碼，則裝置將認為自己擁有無限的網際網路訪問許可權；若裝置接收到HTTP 302狀態碼，則裝置顯示強制門戶提示。ICMP重定向.閘道器也可使用網路層的網際網路控制訊息協議重定向客戶端流量。重定向DNS.當客戶端請求網際網路資源時，瀏覽器會查詢DNS。在強制門戶中，防火牆將確保僅有網路DHCP伺服器提供的DNS可被未認證的客戶端使用。隨後，網路提供的DNS伺服器將對所有的DNS查詢結果返回強制門戶頁面的IP地址。強制門戶使用進行DNS重定向。為了減輕DNS投毒的影響，伺服器通常將存活時間設定為0。繞過強制門戶.據瞭解，強制門戶的防火牆規則不夠完善。在部分部署情形下，防火牆將轉發客戶端DNS請求至網際網路，或者所提供的DNS伺服器將履行客戶端的任意DNS請求。這使得客戶端可繞過強制門戶並透過DNS包內的任意隧道流量訪問開放網際網路。部分強制門戶可能被配置為允許被特定使用者代理檢測並自動認證。使用者代理及如蘋果《Captive Portal Assistant》一類的軟體有時能在擁有正確憑證的情況下違背服務提供商的意願，繞過強制門戶的內容顯示；或者它們可能會嘗試使用不正確或過期的憑證認證，導致賬戶鎖定一類的意外後果。根據MAC地址追蹤已連線裝置的強制門戶有時可透過連線到允許設定MAC地址的路由器上的方法規避。路由器韌體通常將此行為稱之為MAC地址克隆。一旦計算機或平板電腦已使用有效的使用者名稱及密碼在強制門戶上認證，路由器可複製其MAC地址連線到強制門戶，同時路由器的MAC地址也將顯示為被克隆裝置的地址。侷限性.上述的部分實現僅需使用者的IP及MAC地址允許透過閘道器後訪問經SSL加密的登入頁面。此方法可使用資料包分析器破解。一旦發現其他已認證裝置的IP及MAC地址，任何主機均可使用此資訊欺騙閘道器。正因如此，部分強制門戶解決方式建立了擴充認證機制以減小欺騙風險。強制門戶通常需要使用網頁瀏覽器；這也通常是使用者連線至網際網路後使用的首個應用程式，但使用需要網際網路連線的電子郵件或其他應用程式的使用者可能會發現應用無法正常工作，並需要開啟網頁瀏覽器驗證。但是有時使用者也可使用不依賴DNS的電子郵件或其他軟體。此問題在客戶端使用AJAX或已載入網頁至網路瀏覽器之後連線網路的情況下同樣存在，網頁在嘗試向其源伺服器上傳送HTTP請求時可能會造成未定義行為。相似地，由於HTTPS連線無法被重定向。擁有Wi-Fi和TCP/IP棧但沒有支援HTTPS的瀏覽器的平臺無法使用大部分強制門戶。市面上也存在使用基於XML的認證協議或基於其他協議/MAC地址的非瀏覽器認證方案。平臺供應商也可經由大量強制門戶熱點的運營商並透過其封閉平臺透過對平臺供應商伺服器的免費或優惠訪問。其中一個例子是2005年任天堂與直接達成了交易，以在特定的麥當勞餐廳為任天堂DS使用者提供免費Wi-Fi。另外，閘道器需允許VoIPSIP埠繞過其本身才能讓VoIP電話正常工作。
metadata: erhwenkuo/wikipedia-zhtw
metadata: 強制門戶
metadata: https://zh.wikipedia.org/wiki?curid=6573925