Cómo configurar un Captive Portal en Starlink para WiFi de invitados

Le damos la bienvenida a la Sesión Técnica de Purple. Hoy vamos a abordar una pregunta que surge cada vez más a medida que Starlink llega a lugares donde la fibra simplemente no puede. ¿Cómo se configura un Captive Portal adecuado para el WiFi de invitados en una conexión de Starlink? Le guiaré a través de la arquitectura, las limitaciones que debe comprender antes de tocar un solo archivo de configuración y los pasos de implementación que realmente funcionan en entornos de producción. Analizaremos dos escenarios del mundo real, los cinco errores más comunes que suelo ver y terminaremos con respuestas rápidas a las preguntas que los equipos de TI nos hacen cada semana. Comencemos por explicar por qué este no es un problema trivial. Starlink ha cambiado realmente el panorama de la conectividad para aquellos establecimientos que antes estaban limitados a conexiones por satélite lentas y costosas o a una cobertura 4G inestable. Un hotel remoto en la montaña, un crucero, el recinto de un festival en pleno campo, un módulo de obra - todos ellos pueden obtener ahora entre 100 y 220 megabits por segundo con una antena del tamaño de una pizza grande. Eso es algo extraordinario. Pero la conectividad pura es solo la mitad del trabajo. En el momento en que pone esa conexión a disposición de los invitados, necesita autenticación, control de acceso, captura de consentimiento conforme al GDPR y gestión del ancho de banda. Starlink no ofrece nada de eso de forma nativa. Ahí es donde entra en juego un Captive Portal. Sección uno: comprender las limitaciones de la red de Starlink. Antes de tocar un router, debe entender qué es lo que realmente le ofrece Starlink en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona el DHCP y el NAT. Por defecto, se encuentra detrás de un NAT de grado de operador - lo que los ingenieros llaman CGNAT. Su dirección IP WAN se sitúa en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y esto es sumamente importante para la arquitectura del Captive Portal. Los planes residenciales y Roam de Starlink limitan las sesiones simultáneas a 1.200. Para un hotel concurrido o un recinto de eventos con cientos de dispositivos, ese límite se convierte en una restricción real. La solución es el modo bypass. Puede activar esto en la aplicación de Starlink, dentro de Ajustes, y luego activar la opción Desactivar el router WiFi de Starlink. Una vez activado, la antena de Starlink pasa la dirección CGNAT directamente al puerto WAN de su router corporativo. El router de Starlink deja de gestionar el DHCP y el NAT. Su router toma el control. Seguirá estando detrás de CGNAT, pero ahora tendrá el control total de la capa de enrutamiento. Un punto crítico: si la antena de Starlink se restablece de fábrica por cualquier motivo, el modo bypass se desactivará. Tendrá que volver a activarlo. Asegúrese de incluir esto en el manual de procedimientos de su instalación.Ahora, Starlink ofrece tres niveles de planes relevantes para los operadores de espacios. Residencial y Roam le ofrecen hasta 100 megabits de bajada, prioridad de mejor esfuerzo (best-effort) y sin opción de IP estática. Starlink para empresas le ofrece hasta 220 megabits, asignación de datos prioritarios y un complemento de IP estática. Starlink Marítimo le ofrece las mismas velocidades con portabilidad global, algo esencial si la embarcación se desplaza entre regiones oceánicas. Para cualquier espacio multiusuario, recomendaría como mínimo Empresas o Marítimo. Los datos de mejor esfuerzo en el plan residencial significan que sus invitados pierden prioridad siempre que la celda satelital esté congestionada. Sección dos: la pila de arquitectura. Aquí está la pila de cuatro capas que está construyendo. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o cortafuegos empresarial. La capa tres es la segmentación VLAN a nivel de conmutador o punto de acceso. La capa cuatro es el Captive Portal en la nube, que gestiona la autenticación, el consentimiento y las analíticas. Permítame dedicar un momento a la segmentación VLAN porque no es negociable. Necesita como mínimo tres VLAN. VLAN 10 para el personal: esta transporta sus sistemas de punto de venta, aplicaciones de back-office y tráfico de gestión. VLAN 20 para invitados: este es el segmento exclusivo para internet que llega al Captive Portal. VLAN 30 para IoT: cámaras, termostatos inteligentes y sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe bloquearse en el cortafuegos. Un invitado en la VLAN 20 nunca debe poder acceder a su terminal de punto de venta en la VLAN 10. Eso no es solo una buena práctica; es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier parte de la misma infraestructura física. El propio Captive Portal reside en la nube. Cuando un invitado se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El invitado se autentica (a través de correo electrónico, inicio de sesión social o un código de cupón), acepta sus condiciones de servicio y el portal indica al router que conceda acceso a internet a esa dirección MAC. Todo el flujo debe completarse en menos de 10 segundos en un teléfono móvil. El portal en la nube de Purple se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Configura la integración RADIUS o API una vez, y Purple se encarga del saludo de autenticación. No se requiere un servidor de autenticación local. Esto es fundamental para espacios remotos donde no se puede ejecutar un servidor RADIUS local. Sección tres: el problema de CGNAT y cómo solucionarlo. Este es el desafío que sorprende a la mayoría de los equipos de TI. Las arquitecturas de Captive Portal estándar asumen que el portal en la nube puede volver a conectarse a su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente con el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple gestiona esto de forma nativa. Si realmente necesita una IP estática, Starlink Business y Maritime ofrecen una IP estática como complemento. Consulte las páginas de planes actuales de Starlink para su territorio específico. Sección cuatro: GDPR y conformidad de datos. Aquí es donde las sedes remotas suelen verse atrapadas. El hecho de que su sede se encuentre en una ubicación remota no le exime de cumplir el GDPR si está recopilando datos de residentes en el Reino Unido o la UE. Su Captive Portal debe presentar una casilla de verificación de consentimiento específica y desmarcada para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y durante cuánto tiempo los conservará. Las condiciones de servicio deben ser accesibles antes de que el invitado se autentique. Purple cuenta con la certificación ISO 27001, cumple con GDPR y CCPA, y cuenta con la certificación Cyber Essentials. Cada inicio de sesión se registra con una marca de tiempo, una dirección IP y un registro de consentimiento. Esa pista de auditoría es lo que le protege si un regulador le hace preguntas. Sección cinco: gestión del ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo invitado que reproduzca vídeo en 4K puede consumir 25 megabits por segundo de forma continua. En una sede con 50 invitados y una conexión de 220 megabits, esto representa una sola persona consumiendo el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y de router. Establezca límites de ancho de banda por dispositivo. Implemente políticas de uso justo que reduzcan la velocidad tras un límite diario de datos. Utilice la priorización del tráfico para dar preferencia a la navegación web sobre la transmisión de vídeo. Y considere el acceso por niveles: un nivel gratuito para conectividad básica y un nivel premium de pago para streaming. Esto convierte su WiFi de un coste en una vía de ingresos. Permítame presentarle dos escenarios del mundo real. Escenario uno: un hotel remoto en las Highlands con 40 habitaciones y sin fibra. Utilizan Starlink para empresas con una media de 150 megabits. Los puntos de acceso de HPE Aruba cubren el edificio principal y tres edificios anexos. Los huéspedes se autentican por correo electrónico en el portal de Purple. Las quejas sobre el WiFi de invitados disminuyeron un 60% en comparación con su anterior configuración de agregación 4G. El portal también captura datos de correo electrónico de primera mano, que se envían directamente a sus campañas de marketing posteriores a la estancia. Escenario dos: un buque de crucero de 120 camarotes que utiliza Starlink Maritime a 220 megabits. El operador despliega puntos de acceso Cisco Meraki por todo el barco con tres VLAN: tripulación, pasajeros y sistemas del barco. El Captive Portal de Purple gestiona la autenticación de los pasajeros mediante correo electrónico o una búsqueda de número de camarote integrada con el sistema de gestión del establecimiento. Los ingresos del WiFi cubren el coste de la suscripción a Starlink y el operador cuenta con una lista de marketing directo en constante crecimiento. Errores de implementación. Permítame repasar los cinco que veo con más frecuencia. Uno: olvidar volver a activar el modo bypass después de un restablecimiento de la antena. Documente esto en su libro de ruta. Dos: no bloquear el enrutamiento inter-VLAN. Todas las implementaciones que he revisado y que tuvieron un incidente de seguridad tenían esto mal configurado. Compruébelo dos veces. Tres: usar redirección HTTP en una red donde los invitados utilizan navegadores configurados con HTTPS por defecto. Los navegadores modernos usan HTTPS por defecto. Su router debe gestionar la interceptación HTTPS correctamente o los invitados verán errores de certificado antes de llegar al portal. Cuatro: no realizar pruebas en iOS y Android por separado. El asistente de red cautiva de Apple y el sondeo de red de Android se comportan de manera diferente. Pruebe ambos antes de la puesta en marcha. Cinco: ignorar la latencia. La constelación de órbita terrestre baja de Starlink ofrece una latencia de 20 a 40 milisegundos. Sin embargo, durante las transferencias entre satélites, se pueden observar picos breves. Establezca los intervalos de mantenimiento de actividad de la sesión (keepalive) en 60 segundos o menos. Preguntas rápidas. ¿Necesito una IP estática para un Captive Portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con túnel inverso. Sí, si está ejecutando un servidor RADIUS local. ¿Puedo tener múltiples SSIDs en Starlink? Sí. Sus puntos de acceso empresariales gestionan la creación de SSID. Starlink en modo bypass simplemente proporciona el enlace ascendente. ¿Funciona Purple con Starlink de forma nativa? Sí. Configura el modo bypass en la antena de Starlink, conecta sus puntos de acceso compatibles y apunta la integración RADIUS o API a la nube de Purple. El portal estará activo en menos de una hora. ¿Qué ocurre si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas de forma local en el router durante un periodo configurable, normalmente 24 horas. Los invitados que ya estén autenticados permanecerán conectados. En resumen: Starlink le proporciona la conexión. Su router empresarial en modo bypass le ofrece el control de la capa de enrutamiento. La segmentación de VLAN aísla el tráfico de sus invitados, personal e IoT. Un Captive Portal en la nube gestiona la autenticación, el consentimiento de conformidad con el GDPR, las políticas de ancho de banda y la recopilación de datos de origen. El límite de CGNAT se resuelve mediante una arquitectura de túnel inverso, no mediante una IP estática. Purple opera en más de 80.000 establecimientos activos en más de 90 países y procesó 440 millones de inicios de sesión en 2024. La plataforma es independiente del hardware, nativa de la nube y se implementa como una capa de software sobre su infraestructura existente. Sin necesidad de reemplazar equipos. Si desea ver cómo funciona esto en su entorno específico, visite purple.ai y reserve una consulta técnica. El equipo adaptará la arquitectura a su hardware y pondrá en marcha una prueba de concepto en un solo día. Gracias por escuchar. Nos vemos en la próxima sesión.