So richten Sie ein Captive Portal auf Starlink für Guest WiFi ein

Willkommen beim Purple Technical Briefing. Heute behandeln wir eine Frage, die immer häufiger gestellt wird, da Starlink Standorte erreicht, an die Glasfaser einfach nicht herankommt. Wie richtet man ein ordentliches Captive Portal für Gäste WiFi über eine Starlink-Verbindung ein? Ich werde Sie durch die Architektur, die Einschränkungen, die Sie verstehen müssen, bevor Sie eine einzige Konfigurationsdatei anfassen, und die Implementierungsschritte führen, die in der Praxis tatsächlich funktionieren. Wir werden zwei reale Szenarien und die fünf am häufigsten auftretenden Fehler behandeln und mit schnellen Antworten auf die Fragen abschließen, die uns IT-Teams jede Woche stellen. Beginnen wir damit, warum dies kein triviales Problem ist. Starlink hat die Konnektivität für Standorte, die zuvor auf langsame, teure Satellitenverbindungen oder unzuverlässiges 4G angewiesen waren, grundlegend verändert. Ein abgelegenes Hotel in den Highlands, ein Kreuzfahrtschiff, ein Festivalgelände auf einer Wiese, eine Baustellenunterkunft - all diese können nun zwischen 100 und 220 Megabit pro Sekunde über eine Antenne empfangen, die so groß ist wie eine große Pizza. Das ist bemerkenswert. Aber die reine Konnektivität ist nur die halbe Miete. Sobald Sie diese Verbindung Gästen zur Verfügung stellen, benötigen Sie Authentifizierung, Zugriffskontrolle, DSGVO-konforme Einwilligungserfassung und Bandbreitenmanagement. Starlink bietet Ihnen all das standardmäßig nicht. Hier kommt ein Captive Portal ins Spiel. Abschnitt eins: Die Netzwerkeinschränkungen von Starlink verstehen. Bevor Sie einen Router anfassen, müssen Sie verstehen, was Starlink Ihnen tatsächlich an der WAN-Schnittstelle liefert. Die Standard-Starlink-Antenne stellt eine Verbindung zu einem proprietären Router her, der DHCP und NAT übernimmt. Standardmäßig befinden Sie sich hinter Carrier Grade NAT - was Ingenieure als CGNAT bezeichnen. Ihre WAN-IP-Adresse liegt im Bereich von 100.64 bis 100.127. Es handelt sich nicht um eine öffentliche IP. Sie können keine eingehenden Verbindungen aus dem Internet empfangen. Und das ist für die Architektur des Captive Portals von enormer Bedeutung. Die Residential- und Roam-Tarife von Starlink begrenzen die gleichzeitigen Sitzungen auf 1.200. Für ein gut besuchtes Hotel oder einen Veranstaltungsort mit Hunderten von Geräten wird dieses Limit zu einer echten Einschränkung. Die Lösung ist der Bypass-Modus. Sie aktivieren diesen in der Starlink-App unter Einstellungen und aktivieren dann den Bypass des Starlink WiFi-Routers. Sobald dieser aktiviert ist, leitet die Starlink-Antenne die CGNAT-Adresse direkt an den WAN-Port Ihres Enterprise-Routers weiter. Der Starlink-Router stellt DHCP und NAT ein. Ihr Router übernimmt die Kontrolle. Sie befinden sich zwar immer noch hinter CGNAT, haben aber nun die volle Kontrolle über die Routing-Ebene. Ein wichtiger Punkt: Wenn die Starlink-Antenne aus irgendeinem Grund auf die Werkseinstellungen zurückgesetzt wird, ist der Bypass-Modus deaktiviert. Sie müssen ihn dann erneut aktivieren. Nehmen Sie dies in Ihr Standort-Handbuch auf.Starlink bietet derzeit drei für Betreiber von Veranstaltungsorten relevante Tarife an. „Residential“ und „Roam“ bieten Ihnen bis zu 100 Megabit im Download, Best-Effort-Priorisierung und keine Option für eine statische IP. Starlink für Business bietet Ihnen bis zu 220 Megabit, priorisierte Datenzuteilung und eine Option für eine statische IP. Starlink Maritime bietet Ihnen die gleichen Geschwindigkeiten bei weltweiter Portabilität - unerlässlich, wenn sich das Schiff zwischen Ozeanregionen bewegt. Für jeden Veranstaltungsort mit mehreren Nutzern würde ich mindestens Business oder Maritime empfehlen. Best-Effort-Daten beim Residential-Tarif bedeuten, dass die Daten Ihrer Gäste immer dann de-priorisiert werden, wenn die Satellitenzelle überlastet ist. Abschnitt zwei: Der Architektur-Stack. Hier ist der vierstufige Stack, den Sie aufbauen. Ebene eins ist der Starlink-Uplink im Bypass-Modus. Ebene zwei ist Ihr Enterprise-Router oder Ihre Firewall. Ebene drei ist die VLAN-Segmentierung auf Switch- oder Access-Point-Ebene. Ebene vier ist das Cloud-basierte Captive Portal, das die Authentifizierung, die Zustimmung und die Analysen übernimmt. Lassen Sie mich kurz auf die VLAN-Segmentierung eingehen, da diese nicht verhandelbar ist. Sie benötigen mindestens drei VLANs. VLAN 10 für Mitarbeiter - dieses überträgt Ihre Point-of-Sale-Systeme, Backoffice-Anwendungen und den Verwaltungsdatenverkehr. VLAN 20 für Gäste - dies ist das reine Internet-Segment, das auf das Captive Portal geleitet wird. VLAN 30 für IoT - Kameras, intelligente Thermostate, Gebäudemanagementsysteme. Diese drei Netzwerke dürfen nicht miteinander kommunizieren können. Das Routing zwischen den VLANs sollte an der Firewall blockiert werden. Ein Gast in VLAN 20 darf niemals Zugriff auf Ihr POS-Terminal in VLAN 10 erhalten. Das ist nicht nur Best Practice - das ist eine PCI-DSS-Anforderung, wenn Sie irgendwo auf derselben physischen Infrastruktur Kartenzahlungen verarbeiten. Das Captive Portal selbst befindet sich in der Cloud. Wenn sich ein Gast mit Ihrer Gäste-SSID verbindet und einen Browser öffnet, fängt der Router die HTTP-Anfrage ab und leitet sie an die Login-Seite des Portals weiter. Der Gast authentifiziert sich - via E-Mail, Social Login oder Gutscheincode -, akzeptiert Ihre Nutzungsbedingungen, und das Portal signalisiert dem Router, dieser MAC-Adresse den Internetzugang freizugeben. Der gesamte Ablauf sollte auf einem Mobiltelefon in weniger als 10 Sekunden abgeschlossen sein. Das Cloud-Portal von Purple lässt sich direkt mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren. Sie konfigurieren die RADIUS- oder API-Integration einmal, und Purple übernimmt den Authentifizierungs-Handshake. Es ist kein lokaler Authentifizierungsserver erforderlich. Das ist für abgelegene Standorte, an denen Sie keinen lokalen RADIUS-Server betreiben können, von entscheidender Bedeutung. Abschnitt drei: Das CGNAT-Problem und wie man es löst. Hier liegt die Herausforderung, die die meisten IT-Teams überrumpelt. Standard-Architekturen für ein Captive Portal gehen davon aus, dass das Cloud-Portal auf Ihr Netzwerk zugreifen kann. Mit CGNAT ist das unmöglich. Eingehende Verbindungen werden blockiert. Die Lösung ist ein Reverse-Tunnel. Ihr Router baut eine ausgehende Verbindung zum Cloud-Portal auf und hält diese dauerhaft offen. Der gesamte Authentifizierungsverkehr läuft über diesen Tunnel. Die Cloud muss niemals eine eingehende Verbindung initiieren. Die Cloud-Overlay-Architektur von Purple unterstützt dies nativ. Wenn Sie dennoch eine statische IP benötigen, bieten Starlink Business und Maritime diese als Add-on an. Prüfen Sie die aktuellen Starlink-Tarifseiten für Ihre spezifische Region. Abschnitt vier: GDPR und Daten-Compliance. Hier geraten abgelegene Standorte oft in die Falle. Die Tatsache, dass sich Ihr Standort in einer abgelegenen Region befindet, entbindet Sie nicht von der GDPR, wenn Sie Daten von Personen mit Wohnsitz in Großbritannien oder der EU erfassen. Ihr Captive Portal muss ein spezifisches, nicht vorab ausgewähltes Kontrollkästchen für die Einwilligung zu Marketing-Inhalten enthalten. Es muss klar angegeben werden, welche Daten Sie erfassen, warum und wie lange Sie diese speichern. Die Nutzungsbedingungen müssen zugänglich sein, bevor sich der Gast authentifiziert. Purple ist ISO 27001 zertifiziert, GDPR konform, CCPA konform und Cyber Essentials zertifiziert. Jeder Anmeldevorgang wird mit einem Zeitstempel, einer IP-Adresse und einem Einwilligungsnachweis protokolliert. Dieser Audit-Trail schützt Sie, falls eine Regulierungsbehörde Fragen stellt. Abschnitt fünf: Bandbreitenmanagement. Bei Starlink ist die Bandbreite Ihre am stärksten begrenzte Ressource. Ein einzelner Gast, der 4K-Videos streamt, kann kontinuierlich 25 Megabit pro Sekunde verbrauchen. In einem Betrieb mit 50 Gästen und einer 220-Megabit-Verbindung beansprucht damit eine einzige Person 11 % der Gesamtkapazität. Sie steuern dies auf der Ebene des Captive Portal und des Routers. Legen Sie Bandbreitenlimits pro Gerät fest. Implementieren Sie Fair-Use-Richtlinien, die die Geschwindigkeit nach Erreichen eines täglichen Datenlimits drosseln. Nutzen Sie Traffic Shaping, um das Surfen im Web gegenüber dem Videostreaming zu priorisieren. Und ziehen Sie einen gestuften Zugang in Betracht: ein kostenloser Tarif für grundlegende Konnektivität und ein kostenpflichtiger Premium-Tarif für Streaming. Dadurch wird Ihr WiFi von einem Kostenfaktor zu einer Einnahmequelle. Hier sind zwei Praxisbeispiele. Szenario eins: Ein abgelegenes Hotel in den Highlands mit 40 Zimmern und ohne Glasfaseranschluss. Sie nutzen Starlink for Business mit durchschnittlich 150 Megabit. HPE Aruba Access Points decken das Hauptgebäude und drei Nebengebäude ab. Die Gäste authentifizieren sich per E-Mail über das Purple-Portal. Die Beschwerden über das Gäste-WiFi gingen im Vergleich zur vorherigen 4G-Bündelung um 60 % zurück. Das Portal erfasst zudem First-Party-E-Mail-Daten, die direkt in die Marketingkampagnen nach dem Aufenthalt einfließen. Szenario zwei: Ein Kreuzfahrtschiff mit 120 Kabinen, das Starlink Maritime mit 220 Megabit nutzt. Der Betreiber setzt im gesamten Schiff Cisco Meraki Access Points mit drei VLANs ein - für die Besatzung, die Passagiere und die Schiffssysteme. Das Purple Captive Portal übernimmt die Passagierauthentifizierung per E-Mail oder über die Abfrage der Kabinennummer, die in das Hotelmanagementsystem integriert ist. Die WiFi-Einnahmen decken die Kosten für das Starlink-Abonnement, und der Betreiber baut eine wachsende Direktmarketing-Liste auf. Häufige Fehler bei der Implementierung. Lassen Sie mich die fünf nennen, die ich am häufigsten sehe. Erstens: Das erneute Aktivieren des Bypass-Modus nach einem Reset der Antenne wird vergessen. Dokumentieren Sie dies in Ihrem Betriebshandbuch. Zweitens: Das Blockieren von Inter-VLAN-Routing wird vergessen. Bei jeder von mir überprüften Bereitstellung, bei der es zu einem Sicherheitsvorfall kam, war dies falsch konfiguriert. Überprüfen Sie es zweimal. Drittens: Verwendung von HTTP-Redirect in einem Netzwerk, in dem Gäste HTTPS-First-Browser verwenden. Moderne Browser verwenden standardmäßig HTTPS. Ihr Router muss das Abfangen von HTTPS korrekt handhaben, da Gäste sonst Zertifikatsfehler sehen, bevor sie das Portal erreichen. Viertens: Keine separaten Tests auf iOS und Android. Der Apple Captive Network Assistant und die Android-Netzwerkprüfung verhalten sich unterschiedlich. Testen Sie beide vor dem Live-Gang. Fünftens: Latenz ignorieren. Die erdnahe Satellitenkonstellation von Starlink bietet eine Latenz von 20 bis 40 Millisekunden. Bei Übergaben zwischen Satelliten kann es jedoch zu kurzen Spitzen kommen. Stellen Sie die Session-Keepalive-Intervalle auf 60 Sekunden oder weniger ein. Kurze Fragen und Antworten. Benötige ich eine statische IP für ein Captive Portal auf Starlink? Nein, wenn Ihr Portal eine in der Cloud gehostete Architektur mit Reverse-Tunneling nutzt. Ja, wenn Sie ein lokales RADIUS betreiben. Kann ich mehrere SSIDs auf Starlink betreiben? Ja. Ihre Enterprise Access Points übernehmen die SSID-Erstellung. Starlink im Bypass-Modus stellt lediglich den Uplink bereit. Funktioniert Purple direkt mit Starlink? Ja. Sie konfigurieren den Bypass-Modus auf der Starlink-Antenne, verbinden Ihre unterstützten Access Points und richten die RADIUS- oder API-Integration auf die Purple Cloud ein. Das Portal ist innerhalb einer Stunde live. Was passiert, wenn die Starlink-Verbindung abbricht? Das Purple Portal speichert aktive Sitzungen für einen konfigurierbaren Zeitraum - in der Regel 24 Stunden - lokal auf dem Router zwischen. Bereits authentifizierte Gäste bleiben online. Zusammenfassend lässt sich sagen: Starlink liefert Ihnen die Leitung. Ihr Enterprise-Router im Bypass-Modus gibt Ihnen die Kontrolle über die Routing-Ebene. Die VLAN-Segmentierung isoliert den Datenverkehr von Gästen, Mitarbeitern und IoT-Geräten. Ein Cloud-basiertes Captive Portal übernimmt die Authentifizierung, die GDPR-Zustimmung, Bandbreitenrichtlinien und die Erfassung von First-Party-Daten. Die CGNAT-Einschränkung wird durch eine Reverse-Tunnel-Architektur gelöst, nicht durch eine statische IP. Purple ist an 80.000 Live-Standorten in über 90 Ländern im Einsatz und hat im Jahr 2024 440 Millionen Logins verarbeitet. Die Plattform ist hardwareunabhängig, cloud-native und lässt sich als Ebene über Ihre bestehende Infrastruktur legen. Kein Austausch von Hardware erforderlich. Wenn Sie sehen möchten, wie das in Ihrer spezifischen Umgebung funktioniert, besuchen Sie purple.ai und buchen Sie eine technische Beratung. Das Team wird die Architektur auf Ihre Hardware abstimmen und innerhalb eines Tages einen Proof of Concept in Betrieb nehmen. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.