Cómo configurar un Captive Portal en Starlink: una guía para ubicaciones remotas y marítimas

Hable en inglés británico con un tono seguro, autoritario y conversacional, como un consultor sénior informando a un cliente. Ritmo pausado, articulación clara, cálido pero profesional. Sin palabras de relleno. Pausas breves ocasionales para dar énfasis: Bienvenido al informe técnico de Purple. Voy a guiarle a través de todo lo que necesita saber para configurar un Captive Portal en Starlink, específicamente para ubicaciones remotas, operadores marítimos y cualquiera que ofrezca WiFi para invitados donde la fibra simplemente no es una opción. [pausa media] Empecemos con el problema. Starlink ha cambiado realmente el panorama de la conectividad para aquellos establecimientos que antes estaban limitados a conexiones por satélite lentas y caras o a una cobertura 4G inestable. Un crucero, un hotel de montaña remoto, un módulo de bienestar en una obra de construcción, el recinto de un festival en un campo... todos ellos pueden obtener ahora entre 100 y 220 megabits por segundo con una antena del tamaño de una pizza grande. Eso es extraordinario. Pero aquí está el detalle: la conectividad en bruto es solo la mitad del trabajo. En el momento en que pone esa conexión a disposición de invitados, pasajeros o tripulación, necesita autenticación, control de acceso, consentimiento que cumpla con el GDPR y gestión del ancho de banda. Starlink no ofrece nada de eso de forma nativa. Ahí es donde entra en juego un Captive Portal. Y eso es lo que vamos a crear hoy. [pausa media] Sección uno: comprender las limitaciones de red de Starlink. Antes de tocar un router, debe entender qué es lo que realmente le proporciona Starlink en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona DHCP y NAT. Por defecto, se encuentra detrás de una NAT de nivel de operador (lo que los ingenieros llaman CGNAT). Esto significa que su dirección IP WAN está en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y esto es enormemente importante para la arquitectura del Captive Portal. La solución es el modo bypass, a veces llamado modo puente. Esto se activa en la aplicación de Starlink, en Ajustes, activando la opción "Bypass Starlink WiFi router". Una vez activado, la antena de Starlink pasa la dirección CGNAT directamente al puerto WAN de su router corporativo. El router de Starlink deja de gestionar DHCP y NAT. Su router toma el control. Sigue estando detrás de CGNAT, pero ahora tiene el control total de la capa de enrutamiento. Un punto crítico: si la antena de Starlink se restablece de fábrica por cualquier motivo, el modo bypass se desactiva. Tendrá que volver a activarlo. Asegúrese de incluir esto en el manual de procedimientos de su instalación. [pausa media] Actualmente, Starlink ofrece tres niveles de planes relevantes para los operadores de establecimientos. El plan Estándar ofrece hasta 100 megabits de bajada, prioridad de mejor esfuerzo y sin opción de IP estática. El plan Business ofrece hasta 220 megabits, asignación de datos prioritarios y un complemento de IP estática. El plan Maritime ofrece las mismas velocidades con portabilidad global, algo esencial si la embarcación se desplaza entre diferentes regiones oceánicas. Para cualquier establecimiento multiusuario, recomendaría como mínimo el plan Business o Maritime. Los datos de mejor esfuerzo en el plan Estándar implican que sus invitados perderán prioridad siempre que la celda de satélite esté congestionada. [pausa media] Sección dos: la pila de arquitectura. Esta es la pila de cuatro capas que está construyendo. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o firewall empresarial (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet; cualquiera de ellos sirve). La capa tres es la segmentación VLAN a nivel de switch o punto de acceso. La capa cuatro es el Captive Portal en la nube, que gestiona la autenticación, el consentimiento y la analítica. Permítame detenerme un momento en la segmentación VLAN porque no es negociable. Necesita como mínimo tres VLAN. VLAN 10 para el personal: esta transporta sus sistemas TPV, aplicaciones de back-office y tráfico de gestión. VLAN 20 para invitados: este es el segmento de solo internet que llega al Captive Portal. VLAN 30 para IoT: cámaras, termostatos inteligentes, sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe estar bloqueado en el firewall. Un invitado en la VLAN 20 nunca debe poder acceder a su terminal TPV en la VLAN 10. Eso no es solo una buena práctica: es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier parte de la misma infraestructura física. [medium pause] El Captive Portal en sí reside en la nube. Cuando un invitado se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El invitado se autentica (mediante correo electrónico, inicio de sesión social o un código de cupón), acepta sus condiciones de servicio y el portal indica al router que conceda acceso a internet a esa dirección MAC. Todo el flujo debería completarse en menos de 10 segundos en un dispositivo móvil. Con Purple, ese portal en la nube se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Configura la integración RADIUS o API una vez, y Purple se encarga del saludo de autenticación. No se requiere ningún servidor de autenticación local. Esto es fundamental para centros remotos donde no se puede ejecutar un servidor RADIUS local. [medium pause] Sección tres: el problema de CGNAT y cómo solucionarlo. Este es el desafío que pilla desprevenidos a la mayoría de los equipos de TI. Las arquitecturas estándar de Captive Portal asumen que el portal en la nube puede volver a conectarse a su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente con el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple gestiona esto de forma nativa: no es necesario configurar WireGuard o OpenVPN manualmente, aunque ambas son alternativas válidas si gestiona su propia infraestructura. Si necesita una IP estática (por ejemplo, si tiene un servidor RADIUS in situ o necesita una lista de IPs permitidas coherente), Starlink Business y Maritime ofrecen una IP estática como complemento. En el momento de realizar esta grabación, está disponible en la mayoría de las regiones. Consulte las páginas de planes actuales de Starlink para su territorio específico. [medium pause] Sección cuatro: GDPR y conformidad de datos. Aquí es donde las sedes remotas y marítimas suelen verse afectadas. El hecho de que su sede esté en un buque en aguas internacionales, o en una ubicación remota, no le exime del GDPR si recopila datos de residentes de la UE. Y si opera en aguas del Reino Unido después del Brexit, se aplica el UK GDPR. Su Captive Portal debe presentar una casilla de consentimiento específica y sin marcar para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y durante cuánto tiempo los conservará. Las condiciones del servicio deben ser accesibles antes de que el invitado se autentique. Y debe ser capaz de demostrar, previa solicitud, que una persona concreta dio su consentimiento en una fecha y hora específicas. Purple cuenta con la certificación ISO 27001, cumple con el GDPR, con la CCPA y cuenta con la certificación Cyber Essentials. Cada evento de inicio de sesión se registra con una marca de tiempo, una dirección IP y un registro de consentimiento. Ese rastro de auditoría es lo que le protege si un regulador hace preguntas. [medium pause] Sección cinco: gestión del ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo pasajero que reproduzca vídeo en 4K puede consumir 25 megabits por segundo de forma continua. En un barco con 50 pasajeros y una conexión de 220 megabits, eso representa una sola persona consumiendo el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y router. Establezca límites de ancho de banda por dispositivo; por ejemplo, 5 megabits de bajada y 2 megabits de subida por dispositivo de invitado. Implemente políticas de uso justo que limiten la velocidad tras superar una asignación diaria de datos. Utilice la asignación de tráfico para priorizar la navegación web y la mensajería frente a la transmisión de vídeo. Y considere el acceso por niveles: un nivel gratuito para la conectividad básica y un nivel premium de pago para el streaming. Esto convierte su WiFi de un coste en una vía de ingresos. [medium pause] Permítame presentarle dos casos reales. Primer escenario: un crucero de 120 camarotes. El operador utiliza Starlink Maritime a 220 megabits. Despliega puntos de acceso Cisco Meraki por todo el barco con tres VLAN: tripulación, pasajeros y sistemas de a bordo. El Captive Portal de Purple gestiona la autenticación de los pasajeros mediante correo electrónico o una búsqueda del número de camarote integrada con el PMS. Cada pasajero dispone de una asignación diaria de 2 gigabytes. Los pasajeros del nivel premium disponen de 10 gigabytes. El portal recopila datos de correo electrónico de origen para acciones de marketing posteriores al viaje. Resultado: los ingresos del WiFi cubren el coste de la suscripción a Starlink y el operador cuenta con una lista de marketing directo en constante crecimiento. Escenario dos: un hotel remoto en las Highlands sin fibra. Utilizan Starlink Business con una media de 150 megabits. Los puntos de acceso HPE Aruba cubren el edificio principal y tres edificios anexos. Los huéspedes se autentican a través del correo electrónico en el portal de Purple. El hotel utiliza las analíticas de Purple para comprender las horas de mayor uso y ajusta las políticas de ancho de banda en consecuencia. Han reducido las quejas sobre el WiFi de los huéspedes en un 60% en comparación con su configuración anterior de agregación de 4G, según sus propios datos operativos. [medium pause] Errores comunes. Permítame repasar los cinco que veo con más frecuencia. Uno: olvidar volver a activar el modo bypass después de un restablecimiento de la antena. Documente esto en su manual de operaciones y configure una alerta de monitorización en la interfaz WAN de su router. Dos: no bloquear el enrutamiento inter-VLAN. Cada implementación que he revisado y que ha tenido un incidente de seguridad tenía esto mal configurado. Compruébelo dos veces. Tres: utilizar la redirección HTTP para el Captive Portal en una red donde los huéspedes utilizan navegadores que priorizan HTTPS. Los navegadores modernos utilizan HTTPS por defecto. Su router debe gestionar la interceptación HTTPS correctamente, o de lo contrario los huéspedes verán errores de certificado antes de llegar al portal. El portal de Purple gestiona esto, pero la configuración de su router debe ser correcta. Cuatro: no realizar pruebas en iOS y Android por separado. El Captive Network Assistant de Apple y la sonda de red de Android se comportan de forma diferente. Pruebe ambos antes del lanzamiento. Cinco: ignorar la latencia. La constelación LEO de Starlink ofrece una latencia de 20 a 40 milisegundos, mucho mejor que la del satélite geoestacionario tradicional. Pero durante los traspasos entre satélites, se pueden observar breves picos. Los ajustes de tiempo de espera de su Captive Portal deben tener esto en cuenta. Establezca los intervalos de mantenimiento de sesión (keepalive) en 60 segundos o menos. [medium pause] Preguntas rápidas. ¿Necesito una IP estática para un Captive Portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con túnel inverso. Sí, si utiliza RADIUS de forma local. ¿Puedo tener múltiples SSIDs en Starlink? Sí, sus puntos de acceso empresariales gestionan la creación de SSIDs. Starlink en modo bypass solo proporciona el enlace ascendente. Puede ejecutar tantos SSIDs como admitan sus puntos de acceso. ¿Funciona Purple con Starlink de forma nativa? Sí. Configure el modo bypass en la antena de Starlink, conecte sus puntos de acceso compatibles y apunte la integración RADIUS o API a la nube de Purple. El portal estará activo en menos de una hora. ¿Qué ocurre si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas localmente en el router durante un período configurable, normalmente 24 horas. Los huéspedes que ya estén autenticados permanecerán conectados. Las nuevas autenticaciones se ponen en cola hasta que se restablezca la conectividad. [medium pause] En resumen: Starlink le proporciona el canal. Su router empresarial en modo bypass le ofrece el control de la capa de enrutamiento. La segmentación VLAN aísla el tráfico de invitados, del personal y de IoT. Un Captive Portal en la nube - el de Purple, en este caso - gestiona la autenticación, el consentimiento de GDPR, la política de ancho de banda y la recopilación de datos de origen. La limitación de CGNAT se resuelve mediante una arquitectura de túnel inverso, no por IP estática. Y la gestión del ancho de banda a nivel de portal es lo que mantiene su conexión Starlink utilizable para todo el mundo. Si está evaluando esto para su establecimiento, el siguiente paso es comprobar qué hardware de punto de acceso está utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - y consultar la documentación de integración de Purple para esa plataforma. Puede encontrar la guía técnica completa en purple.ai, y el equipo de Purple puede guiarle a través de una configuración de prueba de concepto para su sitio específico. Gracias por su atención. Nos vemos en la próxima sesión informativa.