So richten Sie ein Captive Portal auf Starlink ein: Ein Leitfaden für abgelegene und maritime Standorte

Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritären und konversationellen Ton - wie ein Senior Consultant, der einen Kunden brieft. Gemäßigtes Tempo, klare Artikulation, herzlich, aber professionell. Keine Füllwörter. Gelegentliche kurze Pausen zur Betonung: Willkommen beim Purple Technical Briefing. Ich werde Sie durch alles führen, was Sie über die Einrichtung von einem Captive Portal auf Starlink wissen müssen - insbesondere für abgelegene Veranstaltungsorte, Schifffahrtsbetreiber und alle, die ein Gäste-WiFi betreiben, wo Glasfaser einfach keine Option ist. [mittlere Pause] Beginnen wir mit dem Problem. Starlink hat das Konnektivitätsbild für Veranstaltungsorte, die zuvor mit langsamen, teuren Satellitenverbindungen oder lückenhaftem 4G feststeckten, wirklich verändert. Ein Kreuzfahrtschiff, ein abgelegenes Berghotel, eine Sozialstation auf einer Baustelle, ein Festivalgelände auf einer Wiese - all diese können jetzt 100 bis 220 Megabit pro Sekunde von einer Schüssel in der Größe einer großen Pizza empfangen. Das ist bemerkenswert. Aber hier ist der Haken: Reine Konnektivität ist nur die halbe Miete. In dem Moment, in dem Sie diese Verbindung Gästen, Passagieren oder der Crew zur Verfügung stellen, benötigen Sie Authentifizierung, Zugriffskontrolle, GDPR-konforme Einwilligung und Bandbreitenmanagement. Starlink bietet Ihnen nichts davon out of the box. Hier kommt ein Captive Portal ins Spiel. Und genau das werden wir heute aufbauen. [mittlere Pause] Abschnitt eins: Die Netzwerkbeschränkungen von Starlink verstehen. Bevor Sie einen Router anfassen, müssen Sie verstehen, was Starlink Ihnen tatsächlich an der WAN-Schnittstelle liefert. Die Standard-Starlink-Schüssel verbindet sich mit einem proprietären Router, der DHCP und NAT übernimmt. Standardmäßig befinden Sie sich hinter einem Carrier-Grade-NAT - was Ingenieure als CGNAT bezeichnen. Das bedeutet, dass Ihre WAN-IP-Adresse im Bereich von 100.64 bis 100.127 liegt. Es ist keine öffentliche IP. Sie können keine eingehenden Verbindungen aus dem Internet empfangen. Und das ist für die Architektur eines Captive Portal von enormer Bedeutung. Die Lösung ist der Bypass-Modus - manchmal auch Bridge-Modus genannt. Sie aktivieren diesen in der Starlink-App unter Einstellungen und aktivieren dann "Bypass Starlink WiFi router". Sobald dieser aktiviert ist, leitet die Starlink-Schüssel die CGNAT-Adresse direkt an den WAN-Port Ihres Enterprise-Routers weiter. Der Starlink-Router stellt DHCP und NAT ein. Ihr Router übernimmt. Sie befinden sich zwar immer noch hinter CGNAT, haben aber jetzt die volle Kontrolle über die Routing-Ebene. Ein wichtiger Punkt: Wenn die Starlink-Schüssel aus irgendeinem Grund auf die Werkseinstellungen zurückgesetzt wird, ist der Bypass-Modus deaktiviert. Sie müssen ihn dann erneut aktivieren. Planen Sie das in Ihrem Betriebshandbuch vor Ort ein. [mittlere Pause] Starlink bietet nun drei für Betreiber von Veranstaltungsorten relevante Tarifstufen an. Standard bietet Ihnen bis zu 100 Megabit Downstream, Best-Effort-Priorisierung und keine Option für eine statische IP. Business bietet Ihnen bis zu 220 Megabit, Prioritätsdaten-Zuweisung und ein Add-on für eine statische IP. Maritime bietet Ihnen dieselben Geschwindigkeiten mit globaler Portabilität - unerlässlich, wenn sich das Schiff zwischen Meeresregionen bewegt. Für jeden Veranstaltungsort mit mehreren Nutzern empfehle ich mindestens Business oder Maritime. Best-Effort-Daten bei Standard bedeuten, dass Ihre Gäste de-priorisiert werden, sobald die Satellitenzelle überlastet ist. [mittlere Pause] Abschnitt zwei: Der Architektur-Stack. Hier ist der vierstufige Stack, den Sie aufbauen. Ebene eins ist der Starlink-Uplink im Bypass-Modus. Ebene zwei ist Ihr Enterprise-Router oder Ihre Firewall - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - jeder dieser Anbieter funktioniert. Ebene drei ist die VLAN-Segmentierung auf Switch- oder Access-Point-Ebene. Ebene vier ist das Cloud Captive Portal, das die Authentifizierung, die Zustimmung und die Analysen übernimmt. Lassen Sie mich einen Moment auf die VLAN-Segmentierung eingehen, da diese nicht verhandelbar ist. Sie benötigen mindestens drei VLANs. VLAN 10 für Mitarbeiter - dieses überträgt Ihre POS-Systeme, Backoffice-Anwendungen und den Management-Traffic. VLAN 20 für Gäste - dies ist das reine Internetsegment, das auf das Captive Portal geleitet wird. VLAN 30 für IoT - Kameras, intelligente Thermostate, Gebäudemanagementsysteme. Diese drei Netzwerke dürfen nicht miteinander kommunizieren können. Das Inter-VLAN-Routing sollte an der Firewall blockiert werden. Ein Gast im VLAN 20 darf niemals Ihr POS-Terminal im VLAN 10 erreichen können. Das ist nicht nur Best Practice - das ist eine PCI-DSS-Anforderung, wenn Sie irgendwo auf derselben physischen Infrastruktur Kartenzahlungen verarbeiten. [medium pause] Das Captive Portal selbst befindet sich in der Cloud. Wenn sich ein Gast mit Ihrer Gäste-SSID verbindet und einen Browser öffnet, fängt der Router die HTTP-Anfrage ab und leitet sie auf die Login-Seite des Portals weiter. Der Gast authentifiziert sich - via E-Mail, Social Login oder einen Voucher-Code -, akzeptiert Ihre Nutzungsbedingungen, und das Portal signalisiert dem Router, dieser MAC-Adresse Internetzugang zu gewähren. Der gesamte Ablauf sollte auf einem Mobilgerät in weniger als 10 Sekunden abgeschlossen sein. Mit Purple lässt sich dieses Cloud-Portal direkt in Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren. Sie konfigurieren die RADIUS- oder API-Integration einmal, und Purple übernimmt den Authentifizierungs-Handshake. Es ist kein lokaler Authentifizierungsserver erforderlich. Das ist entscheidend für Remote-Standorte, an denen Sie keinen lokalen RADIUS-Server betreiben können. [medium pause] Abschnitt drei: Das CGNAT-Problem und seine Lösung. Hier ist die Herausforderung, die die meisten IT-Teams kalt erwischt. Standard-Architekturen für ein Captive Portal setzen voraus, dass das Cloud-Portal auf Ihr Netzwerk zugreifen kann. Mit CGNAT ist das unmöglich. Eingehende Verbindungen werden blockiert. Die Lösung ist ein Reverse-Tunnel. Ihr Router stellt eine ausgehende Verbindung zum Cloud-Portal her und hält diese dauerhaft offen. Der gesamte Authentifizierungsverkehr fließt durch diesen Tunnel. Die Cloud muss niemals eine eingehende Verbindung initiieren. Die Cloud-Overlay-Architektur von Purple deckt dies nativ ab - Sie müssen WireGuard oder OpenVPN nicht manuell konfigurieren, obwohl beide gültige Alternativen sind, wenn Sie Ihre eigene Infrastruktur betreiben. Wenn Sie eine statische IP-Adresse benötigen - beispielsweise, weil Sie einen RADIUS-Server vor Ort betreiben oder ein konsistentes IP-Allowlisting benötigen - bieten die Tarife Starlink Business und Maritime eine statische IP-Adresse als Add-on an. Zum Zeitpunkt der Aufnahme ist dies in den meisten Regionen verfügbar. Prüfen Sie die aktuellen Tarifseiten von Starlink für Ihr spezifisches Gebiet. [medium pause] Abschnitt vier: GDPR und Daten-Compliance. Hier geraten Betreiber an abgelegenen Orten oder im maritimen Bereich oft in Schwierigkeiten. Die Tatsache, dass sich Ihr Standort auf einem Schiff in internationalen Gewässern oder an einem abgelegenen Ort befindet, entbindet Sie nicht von der GDPR, wenn Sie Daten von EU-Bürgern erfassen. Und wenn Sie nach dem Brexit in britischen Gewässern operieren, gilt die UK GDPR. Ihr Captive Portal muss ein spezifisches, nicht vorab ausgewähltes Kontrollkästchen für die Einwilligung in Marketing-Kommunikation enthalten. Es muss klar angegeben werden, welche Daten Sie erfassen, warum und wie lange Sie diese aufbewahren. Die Nutzungsbedingungen müssen zugänglich sein, bevor sich der Gast authentifiziert. Zudem müssen Sie auf Anfrage nachweisen können, dass eine bestimmte Person an einem bestimmten Datum und zu einer bestimmten Uhrzeit ihre Einwilligung erteilt hat. Purple ist ISO 27001 zertifiziert, GDPR-konform, CCPA-konform und Cyber Essentials zertifiziert. Jedes Login-Ereignis wird mit einem Zeitstempel, einer IP-Adresse und einem Einwilligungsnachweis protokolliert. Dieser Audit-Trail schützt Sie, falls eine Aufsichtsbehörde Fragen stellt. [medium pause] Abschnitt fünf: Bandbreitenmanagement. Bei Starlink ist die Bandbreite Ihre am stärksten begrenzte Ressource. Ein einzelner Passagier, der ein 4K-Video streamt, kann kontinuierlich 25 Megabit pro Sekunde verbrauchen. Auf einem Schiff mit 50 Passagieren und einer Verbindung von 220 Megabit beansprucht diese eine Person 11 % der Gesamtkapazität. Dies lösen Sie auf der Ebene des Captive Portals und des Routers. Legen Sie Bandbreitenbegrenzungen pro Gerät fest - beispielsweise 5 Megabit im Download und 2 Megabit im Upload pro Gastgerät. Implementieren Sie Fair-Use-Richtlinien, die nach einem täglichen Datenvolumen drosseln. Nutzen Sie Traffic Shaping, um das Surfen im Web und Messaging gegenüber Videostreaming zu priorisieren. Und ziehen Sie einen gestaffelten Zugang in Betracht: einen kostenlosen Tarif für die Basis-Konnektivität und einen kostenpflichtigen Premium-Tarif für Streaming. Das verwandelt Ihr WiFi von einem Kostenfaktor in eine Einnahmequelle. [medium pause] Lassen Sie mich Ihnen nun zwei Praxisbeispiele vorstellen. Szenario eins: Ein Kreuzfahrtschiff mit 120 Kabinen. Der Betreiber nutzt Starlink Maritime mit 220 Megabit. Er setzt Cisco Meraki Access Points auf dem gesamten Schiff mit drei VLANs ein - Crew, Passagiere und Schiffssysteme. Das Captive Portal von Purple übernimmt die Passagier-Authentifizierung per E-Mail oder über eine mit dem PMS integrierte Kabinenabfrage. Jeder Passagier erhält ein tägliches Datenvolumen von 2 Gigabyte. Passagiere im Premium-Tarif erhalten 10 Gigabyte. Das Portal erfasst First-Party-E-Mail-Daten für das Marketing nach der Reise. Das Ergebnis: Die WiFi-Einnahmen decken die Kosten für das Starlink-Abonnement, und der Betreiber baut eine wachsende Direktmarketing-Liste auf. Szenario zwei: ein abgelegenes Hotel in den Highlands ohne Glasfaseranschluss. Es nutzt Starlink Business mit durchschnittlich 150 Megabit. HPE Aruba Access Points decken das Hauptgebäude und drei Nebengebäude ab. Die Authentifizierung der Gäste erfolgt per E-Mail über das Portal von Purple. Das Hotel nutzt die Analysen von Purple, um Spitzenzeiten der Nutzung zu verstehen und die Bandbreitenrichtlinien entsprechend anzupassen. Laut eigenen Betriebsdaten wurden die Beschwerden der Gäste über das WiFi im Vergleich zum vorherigen 4G-Bonding-Setup um 60 % reduziert. [medium pause] Häufige Fallstricke. Lassen Sie mich die fünf nennen, die mir am häufigsten begegnen. Erstens: Das Vergessen, den Bypass-Modus nach einem Reset der Antenne wieder zu aktivieren. Dokumentieren Sie dies in Ihrem Runbook und richten Sie einen Überwachungsalarm für die WAN-Schnittstelle Ihres Routers ein. Zweitens: Das Blockieren des Inter-VLAN-Routings zu versäumen. Bei jeder von mir überprüften Bereitstellung, bei der es zu einem Sicherheitsvorfall kam, war dies falsch konfiguriert. Überprüfen Sie es zweimal. Drittens: Die Verwendung von HTTP-Redirect für das Captive Portal in einem Netzwerk, in dem Gäste HTTPS-First-Browser verwenden. Moderne Browser verwenden standardmäßig HTTPS. Ihr Router muss das Abfangen von HTTPS korrekt handhaben, da den Gästen andernfalls Zertifikatsfehler angezeigt werden, bevor sie das Portal erreichen. Das Portal von Purple verarbeitet dies, aber Ihre Router-Konfiguration muss korrekt sein. Viertens: Keine separaten Tests auf iOS und Android durchzuführen. Der Captive Network Assistant von Apple und der Netzwerk-Probe-Mechanismus von Android verhalten sich unterschiedlich. Testen Sie beides vor dem Live-Gang. Fünftens: Die Latenz zu ignorieren. Die LEO-Konstellation von Starlink bietet Latenzen von 20 bis 40 Millisekunden - weitaus besser als herkömmliche geostationäre Satelliten. Während der Übergaben zwischen Satelliten kann es jedoch zu kurzen Spitzen kommen. Die Timeout-Einstellungen Ihres Captive Portals müssen dies berücksichtigen. Stellen Sie die Session-Keepalive-Intervalle auf 60 Sekunden oder weniger ein. [medium pause] Schnellfeuer-Fragen. Benötige ich eine statische IP für ein Captive Portal auf Starlink? Nein, wenn Ihr Portal eine in der Cloud gehostete Architektur mit Reverse-Tunneling nutzt. Ja, wenn Sie ein lokales RADIUS betreiben. Kann ich mehrere SSIDs auf Starlink betreiben? Ja - Ihre Enterprise Access Points übernehmen die Erstellung der SSIDs. Starlink im Bypass-Modus stellt lediglich den Uplink bereit. Sie können so viele SSIDs betreiben, wie Ihre Access Points unterstützen. Funktioniert Purple direkt einsatzbereit mit Starlink? Ja. Sie konfigurieren den Bypass-Modus auf der Starlink-Antenne, schließen Ihre unterstützten Access Points an und richten die RADIUS- oder API-Integration auf die Cloud von Purple aus. Das Portal ist innerhalb einer Stunde live. Was passiert, wenn die Starlink-Verbindung unterbrochen wird? Das Portal von Purple speichert aktive Sitzungen für einen konfigurierbaren Zeitraum - in der Regel 24 Stunden - lokal auf dem Router zwischen. Gäste, die bereits authentifiziert sind, bleiben online. Neue Authentifizierungen werden in die Warteschlange gestellt, bis die Verbindung wiederhergestellt ist. [medium pause] Zusammenfassend lässt sich sagen: Starlink stellt Ihnen die Leitung zur Verfügung. Ihr Enterprise-Router im Bypass-Modus gibt Ihnen die Kontrolle über den Routing-Layer. Eine VLAN-Segmentierung isoliert den Datenverkehr von Gästen, Mitarbeitern und IoT-Geräten. Ein Cloud Captive Portal - in diesem Fall von Purple - übernimmt die Authentifizierung, die GDPR-Einwilligung, die Bandbreitenrichtlinien und die Erfassung von First-Party-Daten. Die CGNAT-Einschränkung wird durch eine Reverse-Tunnel-Architektur gelöst, nicht durch eine statische IP. Und das Bandbreitenmanagement auf Portal-Ebene sorgt dafür, dass Ihre Starlink-Verbindung für alle nutzbar bleibt. Wenn Sie dies für Ihren Standort evaluieren, besteht der nächste Schritt darin, zu prüfen, welche Access-Point-Hardware Sie verwenden - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme oder Fortinet - und die Integrationsdokumentation von Purple für diese Plattform zu prüfen. Den vollständigen technischen Leitfaden finden Sie unter purple.ai, und das Purple-Team kann Sie durch eine Proof-of-Concept-Konfiguration für Ihren spezifischen Standort führen. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.