Cómo configurar un Captive Portal en Starlink: Una guía para establecimientos marítimos y remotos

Hable en inglés británico con un tono seguro, autoritario y conversacional, como un consultor senior informando a un cliente. Ritmo pausado, articulación clara, cálido pero profesional. Sin palabras de relleno. Pausas breves ocasionales para enfatizar: Bienvenido al Resumen Técnico de Purple. Le guiaré a través de todo lo que necesita saber para configurar un Captive Portal en Starlink, específicamente para sitios remotos, operadores marítimos y cualquiera que ofrezca WiFi para invitados donde la fibra simplemente no es una opción. [pausa media] Comencemos con el problema. Starlink realmente ha cambiado el panorama de la conectividad para los sitios que antes estaban atrapados con enlaces satelitales lentos y costosos o una cobertura 4G inestable. Un crucero, un hotel de montaña remoto, una unidad de bienestar en un sitio de construcción, el terreno de un festival en un campo; todos ellos pueden obtener ahora de 100 a 220 megabits por segundo desde una antena del tamaño de una pizza grande. Eso es extraordinario. Pero aquí está el detalle: la conectividad pura es sólo la mitad del trabajo. En el momento en que pone esa conexión a disposición de invitados, pasajeros o tripulación, necesita autenticación, control de acceso, consentimiento que cumpla con el GDPR y gestión del ancho de banda. Starlink no ofrece nada de eso de forma nativa. Ahí es donde entra un Captive Portal. Y eso es lo que vamos a construir hoy. [pausa media] Sección uno: comprensión de las limitaciones de red de Starlink. Antes de tocar un router, debe entender qué es lo que realmente le entrega Starlink en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona DHCP y NAT. Por defecto, usted se encuentra detrás de una NAT de nivel de operador, lo que los ingenieros llaman CGNAT. Eso significa que su dirección IP WAN está en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y eso es de enorme importancia para la arquitectura del Captive Portal. La solución es el modo bypass, a veces llamado modo puente. Esto se habilita en la aplicación de Starlink bajo Configuración, activando luego "Bypass Starlink WiFi router". Una vez habilitado, la antena de Starlink pasa la dirección CGNAT directamente al puerto WAN de su router empresarial. El router de Starlink deja de realizar funciones de DHCP y NAT. Su router toma el control. Sigue estando detrás de CGNAT, pero ahora tiene el control total de la capa de enrutamiento. Un punto crítico: si por alguna razón la antena de Starlink se restablece de fábrica, el modo bypass se deshabilitará. Tendrá que volver a habilitarlo. Incorpore esto en su manual de procedimientos del sitio. [pausa media] Ahora bien, Starlink ofrece tres niveles de planes relevantes para los operadores de establecimientos. Standard le ofrece hasta 100 megabits de bajada, prioridad de mejor esfuerzo y sin opción de IP estática. Business le ofrece hasta 220 megabits, asignación de datos prioritarios y un complemento de IP estática. Maritime le ofrece las mismas velocidades con portabilidad global, esencial si la embarcación se desplaza entre regiones oceánicas. Para cualquier establecimiento multiusuario, recomendaría Business o Maritime como mínimo. Los datos de mejor esfuerzo en el plan Standard significan que sus invitados perderán prioridad siempre que la celda satelital esté congestionada. [pausa media] Sección dos: la pila de arquitectura. Aquí está la pila de cuatro capas que está construyendo. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o firewall empresarial - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - cualquiera de estos funciona. La capa tres es la segmentación de VLAN a nivel de switch o punto de acceso. La capa cuatro es el portal cautivo en la nube, que maneja la autenticación, el consentimiento y la analítica. Permítame dedicar un momento a la segmentación de VLAN porque no es negociable. Necesita como mínimo tres VLANs. VLAN 10 para el personal - esta transporta sus sistemas POS, aplicaciones de oficina central y tráfico de administración. VLAN 20 para invitados - este es el segmento exclusivo de internet que llega al portal cautivo. VLAN 30 para IoT - cámaras, termostatos inteligentes, sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe bloquearse en el firewall. Un invitado en la VLAN 20 nunca debe poder llegar a su terminal POS en la VLAN 10. Eso no es solo una buena práctica - es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier parte de la misma infraestructura física. [medium pause] El portal cautivo en sí se encuentra en la nube. Cuando un invitado se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El invitado se autentica - mediante correo electrónico, inicio de sesión social o un código de cupón - acepta sus términos de servicio, y el portal indica al router que otorgue acceso a internet a esa dirección MAC. Todo el flujo debe completarse en menos de 10 segundos en un dispositivo móvil. Con Purple, ese portal en la nube se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Configura la integración RADIUS o API una vez, y Purple se encarga del saludo de autenticación. No se requiere un servidor de autenticación local. Esto es fundamental para sitios remotos donde no se puede ejecutar un servidor RADIUS local. [medium pause] Sección tres: el problema de CGNAT y cómo resolverlo. Aquí está el desafío que toma por sorpresa a la mayoría de los equipos de TI. Las arquitecturas estándar de portal cautivo asumen que el portal en la nube puede comunicarse de vuelta con su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente hacia el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple maneja esto de forma nativa - no necesita configurar WireGuard o OpenVPN manualmente, aunque ambas son alternativas válidas si ejecuta su propia infraestructura. Si necesita una IP estática - por ejemplo, si tiene un servidor RADIUS local o requiere una lista blanca de IP consistente - Starlink Business y Maritime ofrecen una IP estática como un complemento. Al momento de grabar esto, está disponible en la mayoría de las regiones. Revise las páginas de planes vigentes de Starlink para su territorio específico. [medium pause] Sección cuatro: GDPR y cumplimiento de datos. Aquí es donde las sedes remotas y marítimas suelen verse afectadas. El hecho de que su sede esté en un buque en aguas internacionales, o en una ubicación remota, no lo exime de cumplir con la GDPR si recopila datos de residentes de la UE. Y si opera en aguas del Reino Unido después del Brexit, se aplica la UK GDPR. Su Captive Portal debe presentar una casilla de verificación de consentimiento específica y desmarcada para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y cuánto tiempo los conservará. Los términos de servicio deben ser accesibles antes de que el invitado se autentique. Y debe ser capaz de demostrar, bajo solicitud, que un individuo específico dio su consentimiento en una fecha y hora específicas. Purple cuenta con certificación ISO 27001, cumple con GDPR, cumple con CCPA y tiene la certificación Cyber Essentials. Cada evento de inicio de sesión se registra con una marca de tiempo, una dirección IP y un registro de consentimiento. Ese registro de auditoría es lo que lo protege si un regulador hace preguntas. [medium pause] Sección cinco: gestión del ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo pasajero que transmite video en 4K puede consumir 25 megabits por segundo de forma continua. En un buque con 50 pasajeros y una conexión de 220 megabits, eso equivale a una sola persona consumiendo el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y router. Establezca límites de ancho de banda por dispositivo - por ejemplo, 5 megabits de bajada y 2 megabits de subida por dispositivo de invitado. Implemente políticas de uso justo que limiten la velocidad después de alcanzar una cuota de datos diaria. Utilice la priorización de tráfico para dar preferencia a la navegación web y mensajería sobre la transmisión de video. Y considere el acceso por niveles: un nivel gratuito para conectividad básica y un nivel premium de pago para streaming. Eso convierte su WiFi de un centro de costos en una fuente de ingresos. [medium pause] Ahora permítame presentarle dos escenarios del mundo real. Escenario uno: un buque de crucero de 120 cabinas. El operador utiliza Starlink Maritime a 220 megabits. Despliega puntos de acceso Cisco Meraki en todo el buque con tres VLAN - tripulación, pasajeros y sistemas del barco. El Captive Portal de Purple gestiona la autenticación de los pasajeros mediante correo electrónico o una búsqueda de número de cabina integrada con el PMS. Cada pasajero recibe una asignación diaria de 2 gigabytes. Los pasajeros del nivel premium reciben 10 gigabytes. El portal recopila datos de correo electrónico de origen directo para marketing posterior al viaje. Resultado: los ingresos de WiFi cubren el costo de la suscripción de Starlink y el operador obtiene una lista de marketing directo en crecimiento. Escenario dos: un hotel remoto en las Tierras Altas sin fibra. Operan con Starlink Business a un promedio de 150 megabits. Los puntos de acceso HPE Aruba cubren el edificio principal y tres construcciones secundarias. Los huéspedes se autentican por correo electrónico en el portal de Purple. El hotel utiliza las analíticas de Purple para comprender las horas de mayor uso y ajusta las políticas de ancho de banda en consecuencia. Han reducido las quejas del WiFi para huéspedes en un 60% en comparación con su configuración anterior de enlace 4G, según sus propios datos operativos. [medium pause] Errores comunes. Permítame repasar los cinco que veo con más frecuencia. Uno: olvidar volver a habilitar el modo bypass después de un reinicio de la antena. Documente esto en su manual de procedimientos y configure una alerta de monitoreo en la interfaz WAN de su router. Dos: no bloquear el enrutamiento inter VLAN. Cada implementación que he revisado que tuvo un incidente de seguridad tenía esto mal configurado. Verifíquelo dos veces. Tres: usar redireccionamiento HTTP para el captive portal en una red donde los huéspedes usan navegadores que priorizan HTTPS. Los navegadores modernos usan HTTPS por defecto. Su router necesita manejar la intercepción HTTPS correctamente, o de lo contrario los huéspedes verán errores de certificado antes de llegar al portal. El portal de Purple maneja esto, pero la configuración de su router debe ser correcta. Cuatro: no realizar pruebas en iOS y Android por separado. El Captive Network Assistant de Apple y la sonda de red de Android se comportan de manera diferente. Pruebe ambos antes del lanzamiento. Cinco: ignorar la latencia. La constelación LEO de Starlink ofrece una latencia de 20 a 40 milisegundos - mucho mejor que el satélite geoestacionario tradicional. Pero durante las transferencias entre satélites, se pueden observar picos breves. La configuración de tiempo de espera de su captive portal debe tener esto en cuenta. Establezca los intervalos de mantenimiento de sesión (keepalive) en 60 segundos o menos. [medium pause] Preguntas rápidas. ¿Necesito una IP estática para un captive portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con tunelización inversa. Sí, si está ejecutando RADIUS de forma local. ¿Puedo tener múltiples SSIDs en Starlink? Sí - sus puntos de acceso empresariales manejan la creación de SSIDs. Starlink en modo bypass solo proporciona el enlace ascendente. Puede tener tantos SSIDs como admitan sus puntos de acceso. ¿Funciona Purple con Starlink de forma nativa? Sí. Configura el modo bypass en la antena de Starlink, conecta sus puntos de acceso compatibles y apunta la integración RADIUS o API a la nube de Purple. El portal estará activo en menos de una hora. ¿Qué pasa si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas localmente en el router por un período configurable - normalmente 24 horas. Los huéspedes que ya están autenticados permanecen en línea. Las nuevas autenticaciones se ponen en cola hasta que se restablece la conectividad. [medium pause] En resumen. Starlink te proporciona la conexión. Tu router empresarial en modo bypass te otorga el control de la capa de ruteo. La segmentación de VLAN aísla el tráfico de tus invitados, personal y dispositivos IoT. Un Captive Portal en la nube - el de Purple, en este caso - gestiona la autenticación, el consentimiento de GDPR, las políticas de ancho de banda y la recopilación de datos de origen. La limitación de CGNAT se resuelve mediante una arquitectura de túnel inverso, no con una IP estática. Y la gestión del ancho de banda a nivel de portal es lo que mantiene tu conexión de Starlink útil para todos. Si estás evaluando esto para tu establecimiento, el siguiente paso es verificar qué hardware de punto de acceso estás utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet - y confirmar la documentación de integración de Purple para esa plataforma. Puedes encontrar la guía técnica completa en purple.ai, y el equipo de Purple puede guiarte a través de una configuración de prueba de concepto para tu sitio específico. Gracias por escuchar. Nos vemos en el próximo informe.