So richten Sie ein Captive Portal auf Starlink ein: Ein Leitfaden für abgelegene und maritime Standorte

Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritären und lockeren Ton - wie ein Senior Consultant bei einer Kundenpräsentation. Ruhiges Tempo, klare Artikulation, herzlich, aber professionell. Keine Füllwörter. Gelegentliche kurze Pausen zur Betonung: Willkommen zum technischen Briefing von Purple. Ich werde Sie durch alles führen, was Sie wissen müssen, um ein Captive Portal auf Starlink einzurichten - insbesondere für abgelegene Veranstaltungsorte, Schifffahrtsbetreiber und alle, die ein Gäste WiFi betreiben, bei dem Glasfaser einfach keine Option ist. [mittlere Pause] Beginnen wir mit dem Problem. Starlink hat das Konnektivitätsbild für Veranstaltungsorte, die zuvor auf langsame, teure Satellitenverbindungen oder lückenhaftes 4G angewiesen waren, grundlegend verändert. Ein Kreuzfahrtschiff, ein abgelegenes Berghotel, eine Pausenunterkunft auf einer Baustelle, ein Festivalgelände auf einer Wiese - all diese können jetzt 100 bis 220 Megabit pro Sekunde über eine Antenne empfangen, die so groß ist wie eine große Pizza. Das ist bemerkenswert. Aber hier ist der Punkt: Reine Konnektivität ist nur die halbe Miete. In dem Moment, in dem Sie diese Verbindung Gästen, Passagieren oder der Crew zur Verfügung stellen, benötigen Sie Authentifizierung, Zugriffskontrolle, DSGVO-konforme Einwilligung und Bandbreitenmanagement. Starlink bietet Ihnen nichts davon von Haus aus. Hier kommt ein Captive Portal ins Spiel. Und genau das werden wir heute einrichten. [mittlere Pause] Abschnitt eins: Die Netzwerkbeschränkungen von Starlink verstehen. Bevor Sie einen Router anfassen, müssen Sie verstehen, was Starlink Ihnen tatsächlich an der WAN-Schnittstelle bietet. Die Standard-Starlink-Antenne verbindet sich mit einem proprietären Router, der DHCP und NAT übernimmt. Standardmäßig befinden Sie sich hinter Carrier-Grade NAT - was Ingenieure als CGNAT bezeichnen. Das bedeutet, dass Ihre WAN-IP-Adresse im Bereich von 100.64 bis 100.127 liegt. Es ist keine öffentliche IP. Sie können keine eingehenden Verbindungen aus dem Internet empfangen. Und das ist für die Architektur eines Captive Portals von enormer Bedeutung. Die Lösung ist der Bypass-Modus - manchmal auch als Bridge-Modus bezeichnet. Sie aktivieren diesen in der Starlink-App unter Einstellungen und aktivieren dann die Option "Starlink-WiFi-Router umgehen". Nach der Aktivierung leitet die Starlink-Antenne die CGNAT-Adresse direkt an den WAN-Port Ihres Enterprise-Routers weiter. Der Starlink-Router übernimmt kein DHCP und NAT mehr. Ihr Router übernimmt die Kontrolle. Sie befinden sich zwar immer noch hinter CGNAT, haben aber jetzt die volle Kontrolle über die Routing-Ebene. Ein wichtiger Punkt: Wenn die Starlink-Antenne aus irgendeinem Grund auf die Werkseinstellungen zurückgesetzt wird, wird der Bypass-Modus deaktiviert. Sie müssen ihn dann erneut aktivieren. Nehmen Sie das in Ihr Betriebshandbuch für den Standort auf. [mittlere Pause] Starlink bietet drei Tarifstufen an, die für Betreiber von Veranstaltungsorten relevant sind. Standard bietet Ihnen bis zu 100 Megabit Download, Best-Effort-Priorisierung und keine Option für eine statische IP. Business bietet Ihnen bis zu 220 Megabit, vorrangige Datenkontingente und ein Add-on für eine statische IP. Maritime bietet Ihnen dieselben Geschwindigkeiten mit globaler Portabilität - unverzichtbar, wenn sich das Schiff zwischen Ozeanregionen bewegt. Für jeden Veranstaltungsort mit mehreren Nutzern würde ich mindestens Business oder Maritime empfehlen. Best-Effort-Daten bei Standard bedeuten, dass Ihre Gäste herabgestuft werden, sobald die Satellitenzelle überlastet ist. [mittlere Pause] Abschnitt zwei: Der Architektur-Stack. Hier ist der vierstufige Stack, den Sie aufbauen. Ebene eins ist der Starlink-Uplink im Bypass-Modus. Ebene zwei ist Ihr Enterprise-Router oder Ihre Firewall - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - jeder dieser Anbieter funktioniert. Ebene drei ist die VLAN-Segmentierung auf Switch- oder Access-Point-Ebene. Ebene vier ist das Cloud-basierte Captive Portal, das die Authentifizierung, die Zustimmung und die Analysen übernimmt. Lassen Sie mich kurz auf die VLAN-Segmentierung eingehen, da sie unverzichtbar ist. Sie benötigen mindestens drei VLANs. VLAN 10 für Mitarbeiter - dieses überträgt Ihre POS-Systeme, Backoffice-Anwendungen und den Management-Traffic. VLAN 20 für Gäste - dies ist das reine Internet-Segment, das auf das Captive Portal geleitet wird. VLAN 30 für IoT - Kameras, intelligente Thermostate, Gebäudemanagementsysteme. Diese drei Netzwerke dürfen nicht miteinander kommunizieren können. Das Inter-VLAN-Routing sollte an der Firewall blockiert werden. Ein Gast im VLAN 20 darf niemals Zugriff auf Ihr POS-Terminal im VLAN 10 erhalten. Das ist nicht nur Best Practice - das ist eine PCI-DSS-Anforderung, wenn Sie irgendwo auf derselben physischen Infrastruktur Kartenzahlungen verarbeiten. [medium pause] Das Captive Portal selbst befindet sich in der Cloud. Wenn sich ein Gast mit Ihrer Gäste-SSID verbindet und einen Browser öffnet, fängt der Router die HTTP-Anfrage ab und leitet sie auf die Login-Seite des Portals um. Der Gast authentifiziert sich - via E-Mail, Social Login oder mit einem Gutschein-Code - akzeptiert Ihre Nutzungsbedingungen, und das Portal signalisiert dem Router, dieser MAC-Adresse Internetzugang zu gewähren. Der gesamte Ablauf sollte auf einem Mobilgerät in weniger als 10 Sekunden abgeschlossen sein. Mit Purple lässt sich dieses Cloud-Portal direkt in Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren. Sie konfigurieren die RADIUS- oder API-Integration einmal, und Purple übernimmt den Authentifizierungs-Handshake. Es ist kein On-Premises-Authentifizierungsserver erforderlich. Das ist entscheidend für Remote-Standorte, an denen Sie keinen lokalen RADIUS-Server betreiben können. [medium pause] Abschnitt drei: Das CGNAT-Problem und wie man es löst. Hier ist die Herausforderung, die die meisten IT-Teams kalt erwischt. Standard-Architekturen für Captive Portals setzen voraus, dass das Cloud-Portal auf Ihr Netzwerk zugreifen kann. Mit CGNAT ist das unmöglich. Eingehende Verbindungen werden blockiert. Die Lösung ist ein Reverse-Tunnel. Ihr Router stellt eine ausgehende Verbindung zum Cloud-Portal her und hält diese dauerhaft offen. Der gesamte Authentifizierungsdatenverkehr fließt durch diesen Tunnel. Die Cloud muss niemals eine eingehende Verbindung initiieren. Die Cloud-Overlay-Architektur von Purple bewältigt dies nativ - Sie müssen WireGuard oder OpenVPN nicht manuell konfigurieren, obwohl beide gültige Alternativen sind, wenn Sie Ihre eigene Infrastruktur betreiben. Wenn Sie doch eine statische IP benötigen - zum Beispiel, wenn Sie einen RADIUS-Server vor Ort betreiben oder ein konsistentes IP-Allowlisting benötigen - bieten Starlink Business und Maritime eine statische IP als Add-on an. Zum Zeitpunkt der Aufnahme ist dies in den meisten Regionen verfügbar. Prüfen Sie die aktuellen Tarifseiten von Starlink für Ihr spezifisches Gebiet. [medium pause] Abschnitt vier: GDPR und Daten-Compliance. Hier werden abgelegene Standorte und Seeschiffe oft überrascht. Die Tatsache, dass sich Ihr Standort auf einem Schiff in internationalen Gewässern oder an einem abgelegenen Ort befindet, entbindet Sie nicht von der GDPR, wenn Sie Daten von EU-Bürgern erfassen. Und wenn Sie nach dem Brexit in britischen Gewässern operieren, gilt die UK GDPR. Ihr Captive Portal muss ein spezifisches, nicht angekreuztes Zustimmungs-Kontrollkästchen für Marketing-Kommunikation aufweisen. Es muss klar angegeben werden, welche Daten Sie erfassen, warum und wie lange Sie diese speichern. Die Nutzungsbedingungen müssen zugänglich sein, bevor sich der Gast authentifiziert. Und Sie müssen auf Anfrage nachweisen können, dass eine bestimmte Person an einem bestimmten Datum und zu einer bestimmten Uhrzeit ihre Zustimmung gegeben hat. Purple ist ISO 27001 zertifiziert, GDPR-konform, CCPA-konform und Cyber Essentials zertifiziert. Jeder Anmeldevorgang wird mit einem Zeitstempel, einer IP-Adresse und einem Zustimmungsdatensatz protokolliert. Dieser Audit-Trail schützt Sie, falls eine Aufsichtsbehörde Fragen stellt. [medium pause] Abschnitt fünf: Bandbreitenmanagement. Bei Starlink ist die Bandbreite Ihre knappste Ressource. Ein einziger Passagier, der 4K-Videos streamt, kann kontinuierlich 25 Megabit pro Sekunde verbrauchen. Auf einem Schiff mit 50 Passagieren und einer Verbindung von 220 Megabit beansprucht diese eine Person bereits 11 % der Gesamtkapazität. Dies lösen Sie auf der Ebene des Captive Portals und des Routers. Legen Sie Bandbreitenbegrenzungen pro Gerät fest - zum Beispiel 5 Megabit Download und 2 Megabit Upload pro Gastgerät. Implementieren Sie Fair-Use-Richtlinien, die nach einem täglichen Datenvolumen drosseln. Nutzen Sie Traffic-Shaping, um Web-Browsing und Messaging gegenüber Video-Streaming zu priorisieren. Und ziehen Sie einen gestuften Zugang in Betracht: ein kostenloses Paket für einfache Konnektivität, ein kostenpflichtiges Premium-Paket für Streaming. Das verwandelt Ihr WiFi von einem Kostenfaktor in eine Einnahmequelle. [medium pause] Lassen Sie mich Ihnen nun zwei Praxisbeispiele geben. Szenario eins: ein Kreuzfahrtschiff mit 120 Kabinen. Der Betreiber nutzt Starlink Maritime mit 220 Megabit. Er setzt Cisco Meraki Access Points auf dem gesamten Schiff mit drei VLANs ein - Crew, Passagiere und Schiffssysteme. Das Captive Portal von Purple übernimmt die Passagier-Authentifizierung per E-Mail oder über eine mit dem PMS integrierte Kabinenabfrage. Jeder Passagier erhält ein tägliches Datenvolumen von 2 Gigabyte. Premium-Gäste erhalten 10 Gigabyte. Das Portal erfasst First-Party-E-Mail-Daten für das Marketing nach der Reise. Das Ergebnis: Die WiFi-Einnahmen decken die Starlink-Abonnementkosten und der Betreiber verfügt über eine wachsende Direktmarketing-Liste. Szenario zwei: Ein abgelegenes Hotel in den Highlands ohne Glasfaseranschluss. Es nutzt Starlink Business mit durchschnittlich 150 Megabit. HPE Aruba Access Points decken das Hauptgebäude und drei Nebengebäude ab. Die Authentifizierung der Gäste erfolgt per E-Mail über das Portal von Purple. Das Hotel nutzt die Analysen von Purple, um Spitzenzeiten der Nutzung zu verstehen und die Bandbreitenrichtlinien entsprechend anzupassen. Nach eigenen Angaben des Hotels wurden die Beschwerden über das Gäste-WiFi im Vergleich zum vorherigen 4G-Bonding-Setup um 60 % reduziert. [medium pause] Häufige Stolperfallen. Lassen Sie mich die fünf nennen, die ich am häufigsten sehe. Erstens: Das erneute Aktivieren des Bypass-Modus nach einem Reset der Antenne wird vergessen. Dokumentieren Sie dies in Ihrem Betriebshandbuch und richten Sie einen Überwachungsalarm auf der WAN-Schnittstelle Ihres Routers ein. Zweitens: Das Blockieren des Inter-VLAN-Routings wird versäumt. Bei jeder von mir überprüften Bereitstellung, bei der es zu einem Sicherheitsvorfall kam, war dies falsch konfiguriert. Überprüfen Sie dies lieber zweimal. Drittens: Die Verwendung einer HTTP-Weiterleitung für das Captive Portal in einem Netzwerk, in dem Gäste HTTPS-first-Browser verwenden. Moderne Browser verwenden standardmäßig HTTPS. Ihr Router muss das HTTPS-Abfangen korrekt verarbeiten, da die Gäste sonst Zertifikatsfehler sehen, bevor sie das Portal erreichen. Das Portal von Purple verarbeitet dies, aber Ihre Router-Konfiguration muss korrekt sein. Viertens: Das Ausbleiben separater Tests auf iOS und Android. Der Captive Network Assistant von Apple und der Netzwerk-Probe von Android verhalten sich unterschiedlich. Testen Sie beide vor dem Go-Live. Fünftens: Die Latenz wird ignoriert. Die LEO-Konstellation von Starlink bietet eine Latenz von 20 bis 40 Millisekunden - weitaus besser als herkömmliche geostationäre Satelliten. Bei Übergaben zwischen Satelliten kann es jedoch zu kurzen Spitzen kommen. Die Timeout-Einstellungen Ihres Captive Portals müssen dies berücksichtigen. Richten Sie die Session-Keepalive-Intervalle auf 60 Sekunden oder weniger ein. [medium pause] Schnelle Fragerunde. Benötige ich eine statische IP für ein Captive Portal auf Starlink? Nein, wenn Ihr Portal eine in der Cloud gehostete Architektur mit Reverse-Tunneling nutzt. Ja, wenn Sie ein lokales RADIUS betreiben. Kann ich mehrere SSIDs auf Starlink betreiben? Ja - Ihre Enterprise Access Points übernehmen die Erstellung der SSID. Starlink im Bypass-Modus stellt lediglich den Uplink bereit. Sie können so viele SSIDs betreiben, wie Ihre Access Points unterstützen. Funktioniert Purple sofort mit Starlink? Ja. Sie konfigurieren den Bypass-Modus auf der Starlink-Antenne, schließen Ihre unterstützten Access Points an und richten die RADIUS- oder API-Integration auf die Cloud von Purple aus. Das Portal ist innerhalb einer Stunde live. Was passiert, wenn die Starlink-Verbindung abbricht? Das Portal von Purple speichert aktive Sitzungen für einen konfigurierbaren Zeitraum - in der Regel 24 Stunden - lokal auf dem Router zwischen. Bereits authentifizierte Gäste bleiben online. Neue Authentifizierungen werden in eine Warteschlange gestellt, bis die Verbindung wiederhergestellt ist. [medium pause] Zusammenfassend lässt sich sagen: Starlink stellt Ihnen die Leitung zur Verfügung. Ihr Enterprise-Router im Bypass-Modus gibt Ihnen die Kontrolle über die Routing-Ebene. Die VLAN-Segmentierung isoliert Ihren Datenverkehr für Gäste, Mitarbeiter und IoT. Ein Cloud Captive Portal - in diesem Fall von Purple - übernimmt die Authentifizierung, die GDPR-Einwilligung, die Bandbreitenrichtlinie und die Erfassung von First-Party-Daten. Die CGNAT-Einschränkung wird durch eine Reverse-Tunnel-Architektur gelöst, nicht durch eine statische IP. Und das Bandbreitenmanagement auf Portal-Ebene sorgt dafür, dass Ihre Starlink-Verbindung für alle nutzbar bleibt. Wenn Sie dies für Ihren Standort prüfen, besteht der nächste Schritt darin, zu überprüfen, welche Access-Point-Hardware Sie verwenden - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks oder Fortinet - und die Integrationsdokumentation von Purple für diese Plattform zu bestätigen. Die vollständige technische Anleitung finden Sie unter purple.ai, und das Purple-Team kann Sie durch eine Proof-of-Concept-Konfiguration für Ihren spezifischen Standort führen. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.