Cómo configurar un Captive Portal en Starlink: Una guía para entornos marítimos, transporte y sitios remotos

Cómo configurar un Captive Portal en Starlink: una guía para el sector marítimo, el transporte y emplazamientos remotos [INTRODUCCIÓN - aprox. 1 minuto] Muy bien. Ya tiene Starlink. Tiene la antena parabólica en el tejado de su terminal de ferris, o atornillada al mástil de un barco, o apuntando al cielo desde un campamento de construcción remoto. El internet funciona. Excelente. Pero aquí está el problema del que nadie le advirtió: Starlink, tal cual viene de fábrica, solo le proporciona una vía de conexión. Una simple vía. Sin autenticación. Sin marca corporativa. Sin captura de consentimiento compatible con el GDPR. Sin forma de saber quién está en su red, cuánto ancho de banda está consumiendo o si está cubierto legalmente por las leyes de protección de datos. Ese es el vacío que cubre este episodio. Le voy a guiar exactamente sobre cómo superponer un Captive Portal empresarial adecuado sobre Starlink - abordando la arquitectura, el problema de CGNAT con el que se topará de inmediato, la segmentación de VLAN para emplazamientos marítimos y remotos, y cómo plataformas como Purple se integran en esta infraestructura. Tanto si gestiona una ruta de ferri, un hotel remoto, una estación de servicio de autopista o un campamento de construcción, el problema de fondo es el mismo y la solución también. Comencemos. [ANÁLISIS TÉCNICO DETALLADO - aprox. 5 minutos] En primer lugar, entendamos qué le proporciona realmente Starlink en la capa de red. Starlink ofrece conectividad a través de satélites de órbita terrestre baja. La antena se conecta a un router - ya sea el router nativo de Starlink o, en los planes Business y Maritime, un adaptador ethernet que le permite conectar su propio hardware. La limitación técnica clave que debe entender de inmediato es CGNAT (Carrier-Grade Network Address Translation). En los planes estándar de Starlink, se encuentra detrás de una IP pública compartida. No dispone de una dirección IP pública dedicada y no puede aceptar conexiones entrantes. Esto no es un error - es la forma en que Starlink gestiona el espacio de direcciones IP entre millones de suscriptores. ¿Por qué es importante el CGNAT para los portales cautivos? Porque las arquitecturas tradicionales de Captive Portal suelen depender de conexiones entrantes - para devoluciones de llamada de autenticación RADIUS, para el acceso de gestión o para la lógica de redirección del portal. Si su sistema de Captive Portal requiere una IP pública estática o un reenvío de puertos entrantes, no funcionará de manera fiable detrás del CGNAT de Starlink. Fin de la historia. La solución es una arquitectura RADIUS nativa de la nube. En lugar de que su controlador local intente recibir solicitudes de autenticación entrantes, el flujo de autenticación se realiza de forma saliente - desde su hardware local hacia un servidor RADIUS en la nube. La plataforma de Purple hace exactamente esto. El controlador local inicia una conexión saliente hacia la infraestructura de RADIUS en la nube de Purple. La página de inicio está alojada en la nube. El intercambio de autenticación se completa a través de ese túnel saliente. El CGNAT resulta irrelevante porque nunca se necesita una conexión entrante. Ahora, lo segundo que debe hacer es omitir el router Starlink nativo. El router Starlink es un dispositivo de nivel de consumo. No tiene soporte para VLAN, no tiene funcionalidad de Captive Portal, carece de controles de ancho de banda por usuario y no ofrece puntos de integración para sistemas de autenticación empresarial. Debe ponerlo en modo bypass (o utilizar el adaptador ethernet en el hardware Business y Performance) y sustituirlo por un router gestionado para empresas. Las plataformas con las que trabajamos más habitualmente en este contexto son Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Todas ellas admiten el etiquetado VLAN, la integración con RADIUS y la configuración de walled garden que requieren los sistemas de Captive Portal. Permítame explicarle la arquitectura VLAN que debe implementar. En un buque marítimo, normalmente se necesitan al menos tres VLAN. La VLAN 10 para el WiFi de invitados o pasajeros (aquí es donde se aloja el Captive Portal). La VLAN 20 para la tripulación o el personal (normalmente en un SSID independiente con una autenticación diferente). La VLAN 30 para operaciones, sistemas de navegación o dispositivos IoT (completamente aislada de las otras dos, con reglas de firewall estrictas que impiden cualquier movimiento lateral). En un campamento de construcción remoto o en un centro de transporte se aplica la misma lógica: el acceso de invitados, el acceso del personal y los sistemas operativos nunca deben compartir un dominio de difusión. El flujo del propio Captive Portal funciona de la siguiente manera. Un pasajero o invitado se conecta al SSID abierto en la VLAN 10. El asistente de red cautiva (CNA) del dispositivo detecta que el acceso a Internet está bloqueado. En iOS aparece una ventana emergente. En Android se activa una notificación. En Windows se abre una ventana del navegador. Todas ellas redirigen a la página de inicio de Purple, alojada en la nube. El visitante completa el proceso de inicio de sesión (registro por correo electrónico, inicio de sesión a través de redes sociales o un código de cupón) y acepta las condiciones. El servidor de la página de inicio de Purple envía un token de autenticación de un solo uso de vuelta al controlador local. El controlador reenvía este token al servidor RADIUS en la nube de Purple. RADIUS devuelve un mensaje de acceso aceptado. El controlador elimina la restricción del Captive Portal para la dirección MAC de ese dispositivo. El visitante ya está conectado a Internet. El walled garden es un paso de configuración fundamental. Antes de que se complete la autenticación, los únicos dominios a los que puede acceder el dispositivo son los necesarios para que se cargue el portal: la infraestructura de la página de inicio de Purple, los endpoints de inicio de sesión social y las URL de detección de CNA que utilizan los sistemas operativos. Todo lo demás está bloqueado. Este walled garden se configura en su router de empresa o controlador inalámbrico. Purple proporciona la lista de dominios específica que debe incluir en la lista blanca - consulte la documentación de soporte en support.purple.ai para obtener la lista actualizada. Una cosa más en el aspecto técnico: los certificados SSL. Si estás utilizando un Cisco WLC, existe un problema conocido por el cual la redirección de autenticación web aterriza en una URL HTTP, no HTTPS. Los navegadores modernos muestran una advertencia de seguridad. La solución consiste en instalar un certificado SSL de confianza pública en el WLC y configurar el nombre de host virtual para que coincida con el nombre común (Common Name) del certificado. Purple tiene un artículo de soporte específico sobre esto para los controladores de la serie Cisco Catalyst 9800; dejaré el enlace en las notas del programa. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aprox. 2 minutos] Permíteme indicarte las tres cosas que más suelen fallar en las implementaciones de Captive Portal con Starlink. Número uno: no tener en cuenta CGNAT desde el primer día. Los equipos piden el hardware, lo configuran todo en el banco de pruebas, lo prueban en una conexión de banda ancha estándar y funciona perfectamente. Luego lo implementan detrás de Starlink y la autenticación falla. La solución consiste en elegir un proveedor de RADIUS en la nube, como Purple, antes de empezar, y confirmar que la plataforma elegida utiliza flujos de autenticación exclusivamente salientes. No asumas que cualquier plataforma de Captive Portal gestiona CGNAT sin problemas. Haz la pregunta explícitamente. Número dos: diseño de red plano. Veo esto constantemente en embarcaciones y sitios remotos. Se instala el Starlink, alguien le conecta un router WiFi doméstico y, de repente, la tripulación, los invitados, los sistemas de navegación y las cámaras de CCTV están todos en la misma subred. Un solo dispositivo de la tripulación que esté comprometido puede acceder a los sistemas operativos. Un invitado que transmita vídeo en 4K satura el enlace para todos. La segmentación de VLAN no es opcional en una conexión satelital compartida. Es la diferencia entre una red gestionada y un riesgo de seguridad. Número tres: olvidarse del CNA en macOS. El macOS de Apple no permite cookies en la sesión de navegador del CNA. El Captive Portal de Purple requiere una cookie de sesión para mantener el proceso de inicio de sesión. En los portátiles macOS, la ventana emergente del CNA redirigirá a los visitantes a neverssl.com - un sitio HTTP sin formato que activa la redirección correctamente sin interferencias de SSL. Asegúrate de que tu personal de soporte lo sepa y considera añadir una nota en tu portal cautivo para los usuarios de portátiles. En cuanto al hardware: para implementaciones marítimas, utiliza el kit Starlink Performance, la unidad con carcasa de aluminio diseñada para entornos difíciles. Está clasificada para una supervivencia de 10 años y funciona tanto con corriente alterna (CA) como continua (CC). Para sitios terrestres remotos, el kit Business estándar suele ser suficiente, pero planifica un SAI si la estabilidad de la energía es un problema. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aprox. 1 minuto] Preguntas rápidas que me hacen todo el tiempo. ¿Puedo utilizar el router nativo de Starlink para un Captive Portal? No. No tiene soporte para VLAN ni integración con RADIUS. Omítelo. ¿Necesito una IP estática para que funcione el Captive Portal de Purple? No. La arquitectura RADIUS en la nube de Purple funciona detrás de CGNAT. No se requiere IP estática. ¿Qué ocurre cuando Starlink se desconecta a mitad de la sesión? Las sesiones autenticadas suelen persistir hasta que expira el tiempo de espera de la sesión. Las nuevas autenticaciones se pondrán en cola hasta que se restablezca la conectividad. Configure el tiempo de espera de su sesión para que coincida con el intervalo de interrupción previsto. ¿Cumple esto con el GDPR? Sí, cuando se configura correctamente. Purple captura el consentimiento explícito de los usuarios mediante opciones de aceptación consciente en la página de inicio. Los datos se procesan de acuerdo con el GDPR y Purple cuenta con la certificación ISO 27001. ¿Puedo gestionar varios centros desde un único panel? Sí. La plataforma de Purple gestiona más de 80 000 ubicaciones activas desde un único panel de control. Los centros remotos, las embarcaciones y los centros de transporte aparecen en la misma interfaz de gestión. [RESUMEN Y PRÓXIMOS PASOS - aprox. 1 minuto] Bien, vamos a terminar. El mensaje principal es este: Starlink resuelve el problema de conectividad en centros remotos y marítimos, pero no resuelve el problema del control de acceso, el cumplimiento normativo ni la analítica. Necesita una capa empresarial adicional. Las tres cosas que debe hacer esta semana: primero, confirme su nivel de hardware de Starlink y si dispone de acceso al adaptador ethernet para el modo de derivación (bypass). Segundo, seleccione un controlador WiFi empresarial de la lista de hardware compatible (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi son excelentes opciones). Tercero, hable con Purple sobre el plan Connect; es el punto de partida para la implementación de un Captive Portal e incluye cloud RADIUS, el editor de páginas de inicio y la captura de consentimiento conforme al GDPR. La guía escrita completa con diagramas de arquitectura, ejemplos prácticos y referencias de configuración está disponible en purple.ai. Si va a realizar la implementación específicamente en un contexto marítimo o de transporte, la sección de guías incluye un artículo dedicado a esta configuración exacta. Gracias por escucharnos. En el próximo episodio, trataremos la configuración de la autenticación RADIUS para redes empresariales multicentro: mismo público, misma profundidad. Nos vemos allí.