Einrichtung eines Captive Portals auf Starlink: Ein Leitfaden für abgelegene und maritime Standorte

Sprechen Sie in britischem Englisch mit einem selbstbewussten, autoritären und konversationellen Ton – wie ein leitender Berater, der einen Kunden brieft. Gemessenes Tempo, klare Artikulation, herzlich, aber professionell. Keine Füllwörter. Gelegentliche kurze Pausen zur Betonung: Willkommen beim Purple Technical Briefing. Ich werde Sie durch alles führen, was Sie über die Einrichtung eines Captive Portals auf Starlink wissen müssen – insbesondere für abgelegene Standorte, maritime Betreiber und alle, die ein Gäste-WiFi betreiben, wo Glasfaser einfach keine Option ist. [medium pause] Beginnen wir mit dem Problem. Starlink hat das Konnektivitätsbild für Standorte, die zuvor auf langsame, teure Satellitenverbindungen oder lückenhaftes 4G angewiesen waren, grundlegend verändert. Ein Kreuzfahrtschiff, ein abgelegenes Highland-Hotel, eine Baustellenunterkunft, ein Festivalgelände auf einem Feld – all diese können jetzt 100 bis 220 Megabit pro Sekunde über eine Antenne von der Größe einer großen Pizza empfangen. Das ist bemerkenswert. Aber hier ist der Haken: Die reine Konnektivität ist nur die halbe Miete. Sobald Sie diese Verbindung Gästen, Passagieren oder der Crew zur Verfügung stellen, benötigen Sie Authentifizierung, Zugriffskontrolle, GDPR-konforme Einwilligung und Bandbreitenmanagement. Starlink bietet Ihnen all das nicht standardmäßig. Hier kommt ein Captive Portal ins Spiel. Und genau das werden wir heute aufbauen. [medium pause] Abschnitt eins: Die Netzwerkbeschränkungen von Starlink verstehen. Bevor Sie einen Router anfassen, müssen Sie verstehen, was Starlink Ihnen tatsächlich an der WAN-Schnittstelle bietet. Die Standard-Starlink-Antenne wird mit einem proprietären Router verbunden, der DHCP und NAT übernimmt. Standardmäßig befinden Sie sich hinter Carrier-Grade NAT – was Ingenieure als CGNAT bezeichnen. Das bedeutet, dass Ihre WAN-IP-Adresse im Bereich von 100.64 bis 100.127 liegt. Es ist keine öffentliche IP. Sie können keine eingehenden Verbindungen aus dem Internet empfangen. Und das ist für die Architektur des Captive Portals von enormer Bedeutung. Die Lösung ist der Bypass-Modus – manchmal auch Bridge-Modus genannt. Sie aktivieren diesen in der Starlink-App unter Einstellungen und aktivieren dann „Bypass Starlink WiFi router“. Nach der Aktivierung leitet die Starlink-Antenne die CGNAT-Adresse direkt an den WAN-Port Ihres Enterprise-Routers weiter. Der Starlink-Router übernimmt kein DHCP und NAT mehr. Ihr Router übernimmt die Kontrolle. Sie befinden sich zwar immer noch hinter CGNAT, haben nun aber die volle Kontrolle über die Routing-Ebene. Ein wichtiger Punkt: Wenn die Starlink-Antenne aus irgendeinem Grund auf die Werkseinstellungen zurückgesetzt wird, ist der Bypass-Modus deaktiviert. Sie müssen ihn dann erneut aktivieren. Planen Sie das in Ihr Betriebshandbuch vor Ort ein. [medium pause] Starlink bietet drei für Standortbetreiber relevante Tarifstufen an. Standard bietet Ihnen bis zu 100 Megabit Downstream, Best-Effort-Priorität und keine Option für eine statische IP. Business bietet Ihnen bis zu 220 Megabit, prioritäre Datenzuteilung und ein statisches IP-Add-on. Maritime bietet die gleichen Geschwindigkeiten mit globaler Portabilität – unerlässlich, wenn sich das Schiff zwischen Ozeanregionen bewegt. Für jeden Standort mit mehreren Benutzern empfehle ich mindestens Business oder Maritime. Best-Effort-Daten bei Standard bedeuten, dass Ihre Gäste herabgestuft werden, sobald die Satellitenzelle überlastet ist. [medium pause] Abschnitt zwei: Der Architektur-Stack. Hier ist der vierstufige Stack, den Sie aufbauen. Ebene eins ist der Starlink-Uplink im Bypass-Modus. Ebene zwei ist Ihr Enterprise-Router oder Ihre Firewall – Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet – all diese funktionieren. Ebene drei ist die VLAN-Segmentierung auf Switch- oder Access-Point-Ebene. Ebene vier ist das Cloud-Captive-Portal, das Authentifizierung, Einwilligung und Analysen verwaltet. Lassen Sie mich kurz auf die VLAN-Segmentierung eingehen, da diese nicht verhandelbar ist. Sie benötigen mindestens drei VLANs. VLAN 10 für das Personal – dieses überträgt Ihre POS-Systeme, Back-Office-Anwendungen und den Verwaltungsdatenverkehr. VLAN 20 für Gäste – dies ist das reine Internetsegment, das auf das Captive Portal leitet. VLAN 30 für IoT – Kameras, intelligente Thermostate, Gebäudemanagementsysteme. Diese drei Netzwerke dürfen nicht miteinander kommunizieren können. Das Inter-VLAN-Routing sollte an der Firewall blockiert werden. Ein Gast auf VLAN 20 darf niemals in der Lage sein, Ihr POS-Terminal auf VLAN 10. Das ist nicht nur Best Practice – es ist eine PCI-DSS-Anforderung, wenn Sie irgendwo auf derselben physischen Infrastruktur Kartenzahlungen verarbeiten. [medium pause] Das Captive Portal selbst befindet sich in der Cloud. Wenn sich ein Gast mit Ihrer Gäste-SSID verbindet und einen Browser öffnet, fängt der Router die HTTP-Anfrage ab und leitet sie auf die Login-Seite des Portals weiter. Der Gast authentifiziert sich – per E-Mail, Social Login oder Gutscheincode –, akzeptiert Ihre Nutzungsbedingungen, und das Portal signalisiert dem Router, dieser MAC-Adresse Internetzugang zu gewähren. Der gesamte Ablauf sollte auf einem Mobilgerät in weniger als 10 Sekunden abgeschlossen sein. Mit Purple lässt sich dieses Cloud-Portal direkt in Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren. Sie konfigurieren die RADIUS- oder API-Integration einmal, und Purple übernimmt den Authentifizierungs-Handshake. Es ist kein lokaler Authentifizierungsserver erforderlich. Das ist entscheidend für abgelegene Standorte, an denen Sie keinen lokalen RADIUS-Server betreiben können. [medium pause] Abschnitt drei: Das CGNAT-Problem und wie man es löst. Hier ist die Herausforderung, die die meisten IT-Teams übersehen. Standard-Captive-Portal-Architekturen gehen davon aus, dass das Cloud-Portal auf Ihr Netzwerk zugreifen kann. Mit CGNAT ist das unmöglich. Eingehende Verbindungen sind blockiert. Die Lösung ist ein Reverse-Tunnel. Ihr Router baut eine ausgehende Verbindung zum Cloud-Portal auf und hält diese dauerhaft offen. Der gesamte Authentifizierungsdatenverkehr fließt durch diesen Tunnel. Die Cloud muss niemals eine eingehende Verbindung initiieren. Die Cloud-Overlay-Architektur von Purple handhabt dies nativ – Sie müssen WireGuard oder OpenVPN nicht manuell konfigurieren, obwohl beide gültige Alternativen sind, wenn Sie Ihre eigene Infrastruktur betreiben. Wenn Sie eine statische IP benötigen – zum Beispiel, weil Sie einen RADIUS-Server vor Ort betreiben oder ein konsistentes IP-Allowlisting benötigen –, bieten die Tarife Starlink Business und Maritime eine statische IP als Add-on an. Zum Zeitpunkt dieser Aufnahme ist dies in den meisten Regionen verfügbar. Überprüfen Sie die aktuellen Tarife von Starlink für Ihr spezifisches Gebiet. [medium pause] Abschnitt vier: GDPR und Daten-Compliance. Hier werden abgelegene und maritime Standorte oft überrascht. Die Tatsache, dass sich Ihr Standort auf einem Schiff in internationalen Gewässern oder an einem abgelegenen Ort befindet, entbindet Sie nicht von der GDPR, wenn Sie Daten von EU-Bürgern erfassen. Und wenn Sie nach dem Brexit in Gewässern des Vereinigten Königreichs operieren, gilt die UK GDPR. Ihr Captive Portal muss ein spezifisches, nicht vorab ausgewähltes Kontrollkästchen für die Einwilligung zu Marketingmitteilungen enthalten. Es muss klar angegeben werden, welche Daten Sie erfassen, warum und wie lange Sie diese aufbewahren. Die Nutzungsbedingungen müssen zugänglich sein, bevor sich der Gast authentifiziert. Und Sie müssen auf Anfrage nachweisen können, dass eine bestimmte Person an einem bestimmten Datum und zu einer bestimmten Uhrzeit ihre Einwilligung erteilt hat. Purple ist ISO 27001-zertifiziert, GDPR-konform, CCPA-konform und Cyber Essentials-zertifiziert. Jedes Login-Ereignis wird mit einem Zeitstempel, einer IP-Adresse und einem Einwilligungsdatensatz protokolliert. Dieser Audit-Trail schützt Sie, falls eine Regulierungsbehörde Fragen stellt. [medium pause] Abschnitt fünf: Bandbreitenmanagement. Bei Starlink ist die Bandbreite Ihre am stärksten begrenzte Ressource. Ein einzelner Passagier, der 4K-Videos streamt, kann kontinuierlich 25 Megabit pro Sekunde verbrauchen. Auf einem Schiff mit 50 Passagieren und einer 220-Megabit-Verbindung entspricht das einer Person, die 11 % der Gesamtkapazität beansprucht. Sie müssen dies auf der Ebene des Captive Portals und des Routers angehen. Richten Sie Bandbreitenbegrenzungen pro Gerät ein – zum Beispiel 5 Megabit Downstream und 2 Megabit Upstream pro Gastgerät. Implementieren Sie Fair-Use-Richtlinien, die nach einem täglichen Datenkontingent drosseln. Nutzen Sie Traffic Shaping, um das Surfen im Web und Messaging gegenüber Videostreaming zu priorisieren. Und ziehen Sie einen gestaffelten Zugang in Betracht: einen kostenlosen Tarif für die Basis-Konnektivität, einen kostenpflichtigen Premium-Tarif für Streaming. Dadurch wird Ihr WiFi von einem Kostenfaktor zu einer Einnahmequelle. [medium pause] Lassen Sie mich Ihnen nun zwei reale Szenarien vorstellen. Szenario eins: Ein Kreuzfahrtschiff mit 120 Kabinen. Der Betreiber nutzt Starlink Maritime mit 220 Megabit. Er installiert Cisco Meraki Access Points auf dem gesamten Schiff mit drei VLANs – Crew, Passagiere und Schiffssysteme. Das Captive Portal von Purple übernimmt die Passagier-Authentifizierung per E-Mail oder über eine mit dem PMS integrierte Abfrage der Kabinennummer. Jeder Passagier erhält ein tägliches Kontingent von 2 Gigabyte. Premium-Passagiere erhalten 10 Gigabyte. Das Portal erfasst First-Party-E-Mail-Daten für das Marketing nach der Reise. Ergebnis: Die WiFi-Einnahmen decken die Starlink-Abonnementkosten, und der Betreiber verfügt über eine wachsende Direktmarketing-Liste. Szenario zwei: Ein abgelegenes Highland-Hotel ohne Glasfaser. Sie nutzen Starlink Business mit durchschnittlich 150 Megabit. HPE Aruba Access Points decken das Hauptgebäude und drei Nebengebäude ab. Gäste authentifizieren sich per E-Mail über das Portal von Purple. Das Hotel nutzt die Analysen von Purple, um die Hauptnutzungszeiten zu verstehen, und passt die Bandbreitenrichtlinien entsprechend an. Sie haben die Beschwerden über das Gäste-WiFi im Vergleich zu ihrem vorherigen 4G-Bonding-Setup laut eigenen Betriebsdaten um 60 % reduziert. [medium pause] Häufige Fehler. Lassen Sie mich die fünf nennen, die ich am häufigsten sehe. Erstens: Vergessen, den Bypass-Modus nach einem Reset der Antenne wieder zu aktivieren. Dokumentieren Sie dies in Ihrem Betriebshandbuch und richten Sie einen Überwachungsalarm an der WAN-Schnittstelle Ihres Routers ein. Zweitens: Das Inter-VLAN-Routing nicht blockieren. Bei jeder von mir überprüften Bereitstellung, bei der es zu einem Sicherheitsvorfall kam, war dies falsch konfiguriert. Überprüfen Sie es zweimal. Drittens: Verwendung einer HTTP-Weiterleitung für das Captive Portal in einem Netzwerk, in dem Gäste HTTPS-First-Browser verwenden. Moderne Browser verwenden standardmäßig HTTPS. Ihr Router muss das Abfangen von HTTPS korrekt handhaben, da Gäste andernfalls Zertifikatsfehler sehen, bevor sie das Portal erreichen. Das Portal von Purple handhabt dies, aber Ihre Router-Konfiguration muss korrekt sein. Viertens: Nicht separat auf iOS und Android testen. Apples Captive Network Assistant und der Netzwerk-Probe von Android verhalten sich unterschiedlich. Testen Sie beide vor dem Live-Gang. Fünftens: Latenz ignorieren. Die LEO-Konstellation von Starlink bietet eine Latenz von 20 bis 40 Millisekunden – weitaus besser als herkömmliche geostationäre Satelliten. Bei Übergaben zwischen Satelliten kann es jedoch zu kurzen Spitzen kommen. Die Timeout-Einstellungen Ihres Captive Portals müssen dies berücksichtigen. Stellen Sie die Session-Keepalive-Intervalle auf maximal 60 Sekunden ein. [medium pause] Schnelle Fragen und Antworten. Benötige ich eine statische IP für ein Captive Portal auf Starlink? Nein, wenn Ihr Portal eine Cloud-basierte Architektur mit Reverse-Tunneling nutzt. Ja, wenn Sie ein lokales RADIUS-System betreiben. Kann ich mehrere SSIDs auf Starlink betreiben? Ja – Ihre Enterprise Access Points übernehmen die Erstellung der SSIDs. Starlink im Bypass-Modus stellt lediglich den Uplink bereit. Sie können so viele SSIDs betreiben, wie Ihre Access Points unterstützen. Funktioniert Purple standardmäßig mit Starlink? Ja. Sie konfigurieren den Bypass-Modus auf der Starlink-Antenne, verbinden Ihre unterstützten Access Points und verweisen mit der RADIUS- oder API-Integration auf die Cloud von Purple. Das Portal ist innerhalb einer Stunde live. Was passiert, wenn die Starlink-Verbindung abbricht? Das Portal von Purple speichert aktive Sitzungen für einen konfigurierbaren Zeitraum – in der Regel 24 Stunden – lokal auf dem Router zwischen. Bereits authentifizierte Gäste bleiben online. Neue Authentifizierungen werden in die Warteschlange gestellt, bis die Verbindung wiederhergestellt ist. [medium pause] Zusammenfassend lässt sich sagen: Starlink liefert die Leitung. Ihr Enterprise-Router im Bypass-Modus gibt Ihnen die Kontrolle über die Routing-Ebene. Die VLAN-Segmentierung isoliert Ihren Gast-, Personal- und IoT-Datenverkehr. Ein Cloud-Captive-Portal – in diesem Fall das von Purple – übernimmt die Authentifizierung, die GDPR-Einwilligung, die Bandbreitenrichtlinien und die Erfassung von First-Party-Daten. Die CGNAT-Einschränkung wird durch eine Reverse-Tunnel-Architektur gelöst, nicht durch eine statische IP. Und das Bandbreitenmanagement auf Portalebene sorgt dafür, dass Ihre Starlink-Verbindung für alle nutzbar bleibt. Wenn Sie dies für Ihren Standort evaluieren, besteht der nächste Schritt darin, zu prüfen, welche Access-Point-Hardware Sie verwenden – Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme oder Fortinet – und die Integrationsdokumentation von Purple für diese Plattform zu bestätigen. Den vollständigen technischen Leitfaden finden Sie unter purple.ai, und das Purple-Team kann Sie durch eine Proof-of-Concept-Konfiguration für Ihren spezifischen Standort führen. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.