Cómo configurar un Captive Portal en Starlink: una guía para ubicaciones remotas y marítimas

Hable en inglés británico con un tono seguro, autoritario y conversacional, como un consultor senior que informa a un cliente. Ritmo pausado, articulación clara, cálido pero profesional. Sin muletillas. Breves pausas ocasionales para dar énfasis: Bienvenido a la sesión informativa técnica de Purple. Le guiaré a través de todo lo que necesita saber para configurar un Captive Portal en Starlink, específicamente para ubicaciones remotas, operadores marítimos y cualquiera que ofrezca WiFi para invitados donde la fibra simplemente no es una opción. [pausa media] Empecemos por el problema. Starlink ha cambiado realmente el panorama de la conectividad para aquellos establecimientos que antes estaban limitados a conexiones de satélite lentas y caras o a un 4G inestable. Un barco de crucero, un hotel de montaña remoto, un módulo de bienestar en una obra, el recinto de un festival en un campo... todos ellos pueden obtener ahora entre 100 y 220 megabits por segundo con una antena del tamaño de una pizza grande. Eso es extraordinario. Pero aquí está el detalle: la conectividad en bruto es solo la mitad del trabajo. En el momento en que pone esa conexión a disposición de invitados, pasajeros o tripulación, necesita autenticación, control de acceso, consentimiento que cumpla con el GDPR y gestión del ancho de banda. Starlink no ofrece nada de eso de forma nativa. Ahí es donde entra en juego un Captive Portal. Y eso es lo que vamos a construir hoy. [pausa media] Sección uno: comprender las limitaciones de red de Starlink. Antes de tocar un router, debe entender qué le ofrece realmente Starlink en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona DHCP y NAT. Por defecto, se encuentra detrás de una NAT de nivel de operador, lo que los ingenieros llaman CGNAT. Eso significa que su dirección IP WAN está en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y eso es sumamente importante para la arquitectura del Captive Portal. La solución es el modo bypass, a veces llamado modo puente. Esto se activa en la aplicación de Starlink, en Configuración, y luego activando "Bypass Starlink WiFi router". Una vez activado, la antena de Starlink pasa la dirección CGNAT directamente al puerto WAN de su router empresarial. El router de Starlink deja de gestionar DHCP y NAT. Su router toma el control. Sigue estando detrás de una CGNAT, pero ahora tiene el control total de la capa de enrutamiento. Un punto crítico: si la antena de Starlink se restablece de fábrica por cualquier motivo, el modo bypass se desactiva. Tendrá que volver a activarlo. Incluya esto en el manual de procedimientos de su instalación. [pausa media] Actualmente, Starlink ofrece tres niveles de planes relevantes para los operadores de establecimientos. El plan Standard le ofrece hasta 100 megabits de bajada, prioridad de mejor esfuerzo y sin opción de IP estática. El plan Business le ofrece hasta 220 megabits, asignación de datos de prioridad y un complemento de IP estática. El plan Maritime le ofrece las mismas velocidades con portabilidad global, algo esencial si la embarcación se desplaza entre regiones oceánicas. Para cualquier establecimiento multiusuario, recomendaría como mínimo el plan Business o Maritime. Los datos de mejor esfuerzo en el plan Standard significan que sus invitados perderán prioridad siempre que la celda de satélite esté congestionada. [pausa media] Sección dos: la pila de arquitectura. Esta es la pila de cuatro capas que va a construir. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o firewall empresarial (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet; cualquiera de ellos sirve). La capa tres es la segmentación de VLAN a nivel de switch o punto de acceso. La capa cuatro es el Captive Portal en la nube, que gestiona la autenticación, el consentimiento y las analíticas. Permítame detenerme un momento en la segmentación de VLAN porque no es negociable. Necesita como mínimo tres VLAN. La VLAN 10 para el personal: esta transporta sus sistemas TPV, aplicaciones de back-office y tráfico de gestión. La VLAN 20 para invitados: este es el segmento exclusivo para internet que llega al Captive Portal. La VLAN 30 para IoT: cámaras, termostatos inteligentes y sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe estar bloqueado en el firewall. Un invitado en la VLAN 20 nunca debe poder acceder a su terminal TPV en la VLAN 10. Eso no es solo una buena práctica - es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier lugar de la misma infraestructura física. [pausa media] El propio Captive Portal reside en la nube. Cuando un invitado se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El invitado se autentica (mediante correo electrónico, inicio de sesión social o un código de cupón), acepta sus condiciones de servicio y el portal indica al router que conceda acceso a internet a esa dirección MAC. Todo el flujo debe completarse en menos de 10 segundos en un dispositivo móvil. Con Purple, ese portal en la nube se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Configura la integración de RADIUS o API una vez y Purple se encarga del intercambio de autenticación. No se requiere ningún servidor de autenticación local. Esto es fundamental para centros remotos donde no se puede ejecutar un servidor RADIUS local. [pausa media] Sección tres: el problema de CGNAT y cómo solucionarlo. Este es el desafío que pilla desprevenidos a la mayoría de los equipos de TI. Las arquitecturas estándar de Captive Portal asumen que el portal en la nube puede volver a acceder a su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente con el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple gestiona esto de forma nativa; no es necesario configurar WireGuard o OpenVPN manualmente, aunque ambas son alternativas válidas si gestiona su propia infraestructura. Si realmente necesita una IP estática (por ejemplo, si tiene un servidor RADIUS in situ o necesita una lista de IPs permitidas consistente), Starlink Business y Maritime ofrecen una IP estática como un complemento. En el momento de la grabación, esto está disponible en la mayoría de las regiones. Consulte las páginas de planes actuales de Starlink para su territorio específico. [medium pause] Sección cuatro: GDPR y cumplimiento de datos. Aquí es donde las ubicaciones remotas y marítimas a menudo se ven atrapadas. El hecho de que su ubicación esté en un buque en aguas internacionales, o en una ubicación remota, no le exime del GDPR si está recopilando datos de residentes de la UE. Y si opera en aguas del Reino Unido después del Brexit, se aplica el UK GDPR. Su Captive Portal debe presentar una casilla de verificación de consentimiento específica y desmarcada para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y cuánto tiempo los conservará. Las condiciones del servicio deben ser accesibles antes de que el invitado se autentique. Y debe ser capaz de demostrar, bajo petición, que una persona específica dio su consentimiento en una fecha y hora específicas. Purple cuenta con la certificación ISO 27001, cumple con el GDPR, con la CCPA y está certificada en Cyber Essentials. Cada evento de inicio de sesión se registra con una marca de tiempo, una dirección IP y un registro de consentimiento. Ese registro de auditoría es lo que le protege si un regulador hace preguntas. [medium pause] Sección cinco: gestión del ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo pasajero que reproduzca vídeo en 4K puede consumir 25 megabits por segundo de forma continua. En un buque con 50 pasajeros y una conexión de 220 megabits, eso representa una sola persona consumiendo el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y de router. Establezca límites de ancho de banda por dispositivo (por ejemplo, 5 megabits de bajada y 2 megabits de subida por dispositivo de invitado). Implemente políticas de uso justo que reduzcan la velocidad tras un límite de datos diario. Utilice la priorización de tráfico para dar prioridad a la navegación web y a la mensajería frente al streaming de vídeo. Y considere el acceso escalonado: un nivel gratuito para la conectividad básica y un nivel premium de pago para el streaming. Eso convierte su WiFi de un coste en una fuente de ingresos. [medium pause] Ahora permítame presentarle dos escenarios del mundo real. Escenario uno: un buque de crucero de 120 camarotes. El operador utiliza Starlink Maritime a 220 megabits. Despliega puntos de acceso Cisco Meraki por todo el buque con tres VLANs: tripulación, pasajeros y sistemas del barco. El Captive Portal de Purple gestiona la autenticación de los pasajeros mediante correo electrónico o una búsqueda de número de camarote integrada con el PMS. Cada pasajero tiene una franquicia diaria de 2 gigabytes. Los pasajeros del nivel premium obtienen 10 gigabytes. El portal recopila datos de correo electrónico de origen para el marketing posterior al viaje. Resultado: los ingresos de WiFi cubren el coste de la suscripción a Starlink y el operador tiene una lista de marketing directo en constante crecimiento. Escenario dos: un hotel remoto en las Highlands sin fibra. Utilizan Starlink Business a una media de 150 megabits. Los puntos de acceso HPE Aruba cubren el edificio principal y tres edificios anexos. Los huéspedes se autentican por correo electrónico en el portal de Purple. El hotel utiliza las analíticas de Purple para conocer las horas de mayor uso y ajusta las políticas de ancho de banda en consecuencia. Han reducido las quejas sobre el WiFi para huéspedes en un 60% en comparación con su anterior configuración de agregación 4G, según sus propios datos operativos. [medium pause] Errores comunes. Permítame repasar los cinco que veo con más frecuencia. Uno: olvidar volver a activar el modo bypass tras reiniciar la antena. Documente esto en su libro de ruta y configure una alerta de monitorización en la interfaz WAN de su router. Dos: no bloquear el enrutamiento inter-VLAN. Todos los despliegues que he revisado que tuvieron un incidente de seguridad tenían esto mal configurado. Compruébelo dos veces. Tres: utilizar el redireccionamiento HTTP para el Captive Portal en una red donde los huéspedes utilizan navegadores que priorizan HTTPS. Los navegadores modernos usan HTTPS por defecto. Su router debe gestionar la interceptación HTTPS correctamente o los huéspedes verán errores de certificado antes de llegar al portal. El portal de Purple gestiona esto, pero la configuración de su router debe ser correcta. Cuatro: no realizar pruebas en iOS y Android por separado. El Captive Network Assistant de Apple y la sonda de red de Android se comportan de forma diferente. Pruebe ambos antes de la puesta en marcha. Cinco: ignorar la latencia. La constelación LEO de Starlink ofrece una latencia de 20 a 40 milisegundos, mucho mejor que la de los satélites geoestacionarios tradicionales. Pero durante las transferencias entre satélites, se pueden observar picos breves. Los ajustes de tiempo de espera de su Captive Portal deben tener esto en cuenta. Establezca los intervalos de keepalive de la sesión en 60 segundos o menos. [medium pause] Preguntas rápidas. ¿Necesito una IP estática para un Captive Portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con túnel inverso. Sí, si está ejecutando RADIUS de forma local. ¿Puedo tener múltiples SSIDs en Starlink? Sí, sus puntos de acceso empresariales gestionan la creación de SSIDs. Starlink en modo bypass solo proporciona el enlace ascendente. Puede tener tantos SSIDs como admitan sus puntos de acceso. ¿Funciona Purple con Starlink de forma nativa? Sí. Configura el modo bypass en la antena de Starlink, conecta sus puntos de acceso compatibles y apunta la integración RADIUS o API a la nube de Purple. El portal está activo en menos de una hora. ¿Qué ocurre si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas localmente en el router durante un período configurable, normalmente 24 horas. Los huéspedes que ya están autenticados permanecen conectados. Las nuevas autenticaciones se ponen en cola hasta que se restablece la conectividad. [medium pause] Para resumir. Starlink le proporciona la línea. Su router empresarial en modo bypass le ofrece el control de la capa de enrutamiento. La segmentación VLAN aísla el tráfico de sus invitados, empleados e IoT. Un Captive Portal en la nube - el de Purple, en este caso - gestiona la autenticación, el consentimiento de GDPR, la política de ancho de banda y la recopilación de datos de origen. La limitación de CGNAT se resuelve mediante una arquitectura de túnel inverso, no mediante una IP estática. Y la gestión del ancho de banda a nivel de portal es lo que mantiene su conexión Starlink utilizable para todo el mundo. Si está evaluando esto para su establecimiento, el siguiente paso es comprobar qué hardware de punto de acceso está utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - y confirmar la documentación de integración de Purple para esa plataforma. Puede encontrar la guía técnica completa en purple.ai, y el equipo de Purple puede guiarle a través de una configuración de prueba de concepto para su ubicación específica. Gracias por escuchar. Nos vemos en el próximo informe.