Yo he configurado varios. Normalmente, se tiene la wifi abierta sin pass. Cuando uno de conecta, el firewall detecta que intenta acceder a internet. Para poder acceder se muestra una página web para introducir usuario y contraseña. Si el dispositivo no tiene navegador web, o un plugin para mostrar web (html o html+java, por ejemplo) no puedes introducir usuario y contraseña para que el firewall/router con portal cautivo te de acceso. Cuando te validas, luego tienes acceso total a internet en cualquier protocolo o puerto, conservando la cache el firewall, normalmente, por mac....

PD: Hay miles de combinaciones en portales cautivos. No solo es un firewall. Puede ser un router o ap (p.e. aironet), un proxy por soft o appliance por hardware, etc.