So richten Sie ein Captive Portal auf Starlink ein: Ein Leitfaden für Schifffahrt, Transport und Remote-Standorte

So richten Sie ein Captive Portal auf Starlink ein: Ein Leitfaden für Schifffahrt, Transport und abgelegene Standorte [EINFÜHRUNG - ca. 1 Minute] Alles klar. Sie haben also Starlink. Sie haben die Antenne auf dem Dach Ihres Fährterminals, am Mast eines Schiffes montiert oder auf ein Baustellencamp in der Wildnis ausgerichtet. Das Internet läuft. Großartig. Aber hier ist das Problem, vor dem Sie niemand gewarnt hat: Starlink liefert Ihnen standardmäßig nur eine Leitung. Nur eine Leitung. Keine Authentifizierung. Kein Branding. Keine GDPR-konforme Einwilligungserfassung. Keine Möglichkeit zu wissen, wer in Ihrem Netzwerk ist, wie viel Bandbreite verbraucht wird oder ob Sie datenschutzrechtlich überhaupt abgesichert sind. Das ist die Lücke, die diese Episode schließt. Ich werde Ihnen genau zeigen, wie Sie ein echtes Enterprise Captive Portal über Starlink legen - mit Fokus auf die Architektur, das CGNAT-Problem, auf das Sie sofort stoßen werden, VLAN-Segmentierung für maritime und abgelegene Standorte und wie Plattformen wie Purple in diesen Stack integriert werden. Egal, ob Sie eine Fährverbindung, ein abgelegenes Hotel, eine Autobahnraststätte oder ein Baustellencamp betreiben - es ist dasselbe grundlegende Problem und die Lösung ist identisch. Legen wir los. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Zuerst müssen wir verstehen, was Starlink Ihnen auf der Netzwerkschicht tatsächlich bietet. Starlink liefert Konnektivität über Satelliten im niedrigen Erdorbit. Die Antenne verbindet sich mit einem Router - entweder dem nativen Starlink-Router oder, in den Business- und Maritime-Tarifen, einem Ethernet-Adapter, über den Sie Ihre eigene Hardware anschließen können. Die wichtigste technische Einschränkung, die Sie sofort verstehen müssen, ist CGNAT - Carrier-Grade Network Address Translation. Bei Standard-Starlink-Tarifen befinden Sie sich hinter einer gemeinsam genutzten öffentlichen IP. Sie erhalten keine dedizierte öffentliche IP-Adresse und können keine eingehenden Verbindungen akzeptieren. Das ist kein Fehler - so verwaltet Starlink den IP-Adressraum für Millionen von Abonnenten. Warum ist CGNAT für ein Captive Portal wichtig? Weil herkömmliche Captive Portal-Architekturen oft auf eingehende Verbindungen angewiesen sind - für RADIUS-Authentifizierungs-Callbacks, für den Verwaltungszugriff, für die Portal-Weiterleitungslogik. Wenn Ihr Captive Portal-System eine statische öffentliche IP oder eine eingehende Portweiterleitung erfordert, wird es hinter dem CGNAT von Starlink nicht zuverlässig funktionieren. Punkt. Die Lösung ist eine Cloud-native RADIUS-Architektur. Anstatt dass Ihr lokaler Controller versucht, eingehende Authentifizierungsanfragen zu empfangen, verläuft der Authentifizierungsfluss ausgehend - von Ihrer Hardware vor Ort zu einem Cloud-RADIUS-Server. Die Plattform von Purple macht genau das. Der Controller vor Ort initiiert eine ausgehende Verbindung zur Cloud-RADIUS-Infrastruktur von Purple. Die Splash Page wird in der Cloud gehostet. Der Authentifizierungsaustausch wird über diesen ausgehenden Tunnel abgeschlossen. CGNAT spielt keine Rolle, da Sie nie eine eingehende Verbindung benötigen. Der zweite Schritt besteht nun darin, den werkseitigen Starlink-Router zu umgehen. Der Starlink-Router ist ein Gerät für Endverbraucher. Er bietet keine VLAN-Unterstützung, keine Captive Portal-Funktionalität, keine Bandbreitenbegrenzung pro Benutzer und keine Integrationspunkte für Authentifizierungssysteme im Unternehmen. Sie müssen ihn in den Bypass-Modus versetzen - oder den Ethernet-Adapter bei Business- und Performance-Hardware verwenden - und ihn durch einen verwalteten Enterprise-Router ersetzen. Die Plattformen, mit denen wir in diesem Zusammenhang am häufigsten arbeiten, sind Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi. Alle diese Plattformen unterstützen VLAN-Tagging, RADIUS-Integration und die Walled-Garden-Konfiguration, die für Captive Portals erforderlich ist. Lassen Sie mich die VLAN-Architektur erläutern, die Sie implementieren sollten. Auf einem Schiff benötigen Sie in der Regel mindestens drei VLANs. VLAN 10 für Gäste- oder Passagier-WiFi - hier befindet sich das Captive Portal. VLAN 20 für die Besatzung oder das Personal - in der Regel auf einer separaten SSID mit einer anderen Authentifizierung. VLAN 30 für den Betrieb, Navigationssysteme oder IoT-Geräte - völlig isoliert von den anderen beiden, mit strengen Firewall-Regeln, die jegliche laterale Bewegung verhindern. In einem abgelegenen Baulager oder an einem Verkehrsknotenpunkt gilt dieselbe Logik: Gastzugang, Personalzugang und Betriebssysteme sollten niemals dieselbe Broadcast-Domäne nutzen. Der Ablauf des Captive Portal selbst funktioniert wie folgt. Ein Passagier oder Gast verbindet sich mit der offenen SSID auf VLAN 10. Der Captive Network Assistant - der CNA - seines Geräts erkennt, dass der Internetzugang blockiert ist. Unter iOS erscheint ein Pop-up. Unter Android wird eine Benachrichtigung ausgelöst. Unter Windows öffnet sich ein Browserfenster. Alle diese leiten auf die in der Cloud gehostete Splash Page von Purple weiter. Der Besucher schließt den Anmeldevorgang ab - per E-Mail-Registrierung, Social Login oder mit einem Gutscheincode - und stimmt Ihren Bedingungen zu. Der Splash-Page-Server von Purple sendet ein einmaliges Authentifizierungs-Token an den lokalen Controller zurück. Der Controller leitet dieses an den Cloud-RADIUS-Server von Purple weiter. RADIUS gibt ein "Access Accept" zurück. Der Controller hebt die Captive Portal-Beschränkung für die MAC-Adresse dieses Geräts auf. Der Besucher ist online. Der Walled Garden ist ein entscheidender Konfigurationsschritt. Bevor die Authentifizierung abgeschlossen ist, kann das Gerät nur auf die Domänen zugreifen, die zum Laden des Portals erforderlich sind - die Infrastruktur der Purple Splash Page, alle Endpunkte für das Social Login und die CNA-Erkennungs-URLs, die von den Betriebssystemen verwendet werden. Alles andere ist blockiert. Sie konfigurieren diesen Walled Garden in Ihrem Enterprise-Router oder Wireless-Controller. Purple stellt die spezifische Domänenliste bereit, die Sie auf die Whitelist setzen müssen - die aktuelle Liste finden Sie in der Support-Dokumentation unter support.purple.ai. Noch eine Sache zur technischen Seite: SSL-Zertifikate. Wenn Sie einen Cisco WLC verwenden, gibt es ein bekanntes Problem, bei dem die Web-Authentifizierungs-Weiterleitung auf einer HTTP-URL und nicht auf HTTPS landet. Moderne Browser geben dann eine Sicherheitswarnung aus. Die Lösung besteht darin, ein öffentlich vertrauenswürdiges SSL-Zertifikat auf dem WLC zu installieren und den virtuellen Hostnamen so zu konfigurieren, dass er mit dem Common Name des Zertifikats übereinstimmt. Purple hat dazu einen speziellen Support-Artikel für Controller der Cisco Catalyst 9800-Serie - ich werde ihn in den Shownotes verlinken. [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - ca. 2 Minuten] Lassen Sie mich Ihnen die drei Dinge nennen, die bei der Bereitstellung von Starlink Captive Portals am häufigsten schiefgehen. Erstens: CGNAT am ersten Tag nicht zu berücksichtigen. Teams bestellen die Hardware, konfigurieren alles auf der Werkbank, testen es an einem Standard-Breitbandanschluss und es funktioniert einwandfrei. Dann stellen sie es hinter Starlink bereit und die Authentifizierung schlägt fehl. Die Lösung besteht darin, sich vor dem Start für einen Cloud-RADIUS-Anbieter - wie Purple - zu entscheiden und zu bestätigen, dass die gewählte Plattform reine Outbound-Authentifizierungs-Flows verwendet. Gehen Sie nicht davon aus, dass jede Captive Portal-Plattform problemlos mit CGNAT umgehen kann. Stellen Sie diese Frage explizit. Zweitens: flaches Netzwerkdesign. Das sehe ich auf Schiffen und an entfernten Standorten ständig. Starlink wird installiert, jemand schließt einen Consumer-WiFi-Router an, und plötzlich befinden sich Crew, Gäste, Navigationssysteme und Überwachungskameras im selben Subnetz. Ein einziges kompromittiertes Gerät der Crew kann auf Betriebssysteme zugreifen. Ein Gast, der 4K-Videos streamt, blockiert die Verbindung für alle anderen. Eine VLAN-Segmentierung ist bei einer gemeinsam genutzten Satellitenverbindung nicht optional. Sie ist der Unterschied zwischen einem verwalteten Netzwerk und einem Sicherheitsrisiko. Drittens: die CNA auf macOS zu vergessen. macOS von Apple erlaubt keine Cookies in der CNA-Browsersitzung. Das Captive Portal von Purple benötigt ein Session-Cookie, um den Anmeldevorgang aufrechtzuerhalten. Auf macOS-Laptops leitet das CNA-Pop-up die Besucher auf neverssl.com weiter - eine einfache HTTP-Seite, die die Weiterleitung ohne SSL-Interferenzen korrekt auslöst. Stellen Sie sicher, dass Ihre Support-Mitarbeiter dies wissen, und ziehen Sie in Betracht, einen entsprechenden Hinweis auf Ihrer Splash-Page für Laptop-Benutzer hinzuzufügen. Auf der Hardware-Seite: Verwenden Sie für maritime Einsätze das Starlink Performance Kit - die in Aluminium gekapselte Einheit, die für raue Umgebungen entwickelt wurde. Sie ist für eine Lebensdauer von 10 Jahren ausgelegt und wird sowohl mit Wechselstrom als auch mit Gleichstrom betrieben. Für abgelegene Landstandorte reicht in der Regel das Standard-Business-Kit aus, aber planen Sie eine USV ein, wenn die Stromstabilität ein Problem darstellt. [RAPID-FIRE Q AND A - ca. 1 Minute] Schnelle Fragen, die mir ständig gestellt werden. Kann ich den nativen Starlink-Router für ein Captive Portal verwenden? Nein. Er hat keine VLAN-Unterstützung und keine RADIUS-Integration. Umgehen Sie ihn. Benötige ich eine statische IP, damit das Captive Portal von Purple funktioniert? Nein. Die Cloud-RADIUS-Architektur von Purple funktioniert hinter CGNAT. Es ist keine statische IP erforderlich. Was passiert, wenn Starlink mitten in einer Sitzung offline geht? Authentifizierte Sitzungen bleiben in der Regel bestehen, bis das Sitzungs-Timeout abläuft. Neue Authentifizierungen werden in die Warteschlange gestellt, bis die Verbindung wiederhergestellt ist. Konfigurieren Sie Ihr Sitzungs-Timeout so, dass es Ihrem erwarteten Ausfallfenster entspricht. Ist dies GDPR-konform? Ja, bei korrekter Konfiguration. Purple erfasst bewusste Opt-ins mit ausdrücklicher Zustimmung auf der Splash-Page. Die Datenverarbeitung erfolgt im Einklang mit der GDPR und Purple besitzt eine ISO 27001-Zertifizierung. Kann ich mehrere Standorte über ein einziges Dashboard verwalten? Ja. Die Plattform von Purple verwaltet mehr als 80.000 Live-Standorte über eine einzige Benutzeroberfläche. Entfernte Standorte, Schiffe und Verkehrsknotenpunkte werden alle in derselben Verwaltungsoberfläche angezeigt. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Gut, fassen wir zusammen. Die Kernbotschaft lautet: Starlink löst das Verbindungsproblem an abgelegenen und maritimen Standorten. Es löst jedoch nicht das Problem der Zugriffskontrolle, der Compliance oder der Analysen. Sie benötigen eine Enterprise-Ebene darüber. Die drei Dinge, die Sie diese Woche tun sollten: Erstens, überprüfen Sie Ihre Starlink-Hardware-Stufe und ob Sie über einen Ethernet-Adapter-Zugang für den Bypass-Modus verfügen. Zweitens, wählen Sie einen Enterprise-WiFi-Controller aus der Liste der unterstützten Hardware - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist oder Ubiquiti UniFi sind alle eine solide Wahl. Drittens, sprechen Sie mit Purple über den Connect-Tarif - dies ist der Ausgangspunkt für die Bereitstellung von Captive Portals und umfasst Cloud RADIUS, den Splash-Page-Editor sowie die GDPR-konforme Einwilligungserfassung. Der vollständige schriftliche Leitfaden mit Architekturdiagrammen, Praxisbeispielen und Konfigurationsreferenzen ist unter purple.ai zu finden. Wenn Sie die Bereitstellung speziell im maritimen oder Transportbereich durchführen, finden Sie im Leitfaden-Bereich einen speziellen Artikel genau zu diesem Setup. Vielen Dank fürs Zuhören. In der nächsten Folge behandeln wir die Konfiguration der RADIUS-Authentifizierung für standortübergreifende Enterprise-Netzwerke - gleiche Zielgruppe, gleiche Tiefe. Bis zum nächsten Mal.