Cómo configurar un Captive Portal en Starlink para WiFi de invitados

Bienvenido al resumen técnico de Purple. Hoy abordaremos una pregunta que surge cada vez más a medida que Starlink llega a lugares donde la fibra simplemente no puede. ¿Cómo se configura un Captive Portal adecuado para WiFi de invitados en una conexión Starlink? Le guiaré a través de la arquitectura, las limitaciones que debe comprender antes de tocar un solo archivo de configuración y los pasos de implementación que realmente funcionan en producción. Cubriremos dos escenarios del mundo real, los cinco errores que veo con más frecuencia y terminaremos con respuestas rápidas a las preguntas que los equipos de TI nos hacen cada semana. Comencemos con el porqué esto no es un problema trivial. Starlink realmente ha cambiado el panorama de la conectividad para los lugares que antes estaban atrapados con enlaces satelitales lentos y costosos o una cobertura 4G inestable. Un hotel de montaña remoto, un crucero, el sitio de un festival en un campo, una unidad de bienestar en una construcción; todos estos ahora pueden obtener entre 100 y 220 megabits por segundo de una antena del tamaño de una pizza grande. Eso es extraordinario. Pero la conectividad pura es solo la mitad del trabajo. En el momento en que pone esa conexión a disposición de los huéspedes, necesita autenticación, control de acceso, captura de consentimiento que cumpla con el GDPR y gestión del ancho de banda. Starlink no le ofrece nada de eso de forma nativa. Ahí es donde entra un Captive Portal. Sección uno: comprender las limitaciones de la red Starlink. Antes de tocar un router, debe comprender qué es lo que Starlink realmente le ofrece en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona DHCP y NAT. Por defecto, usted se encuentra detrás de una NAT de grado de operador - lo que los ingenieros llaman CGNAT. Su dirección IP WAN se ubica en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y eso es sumamente importante para la arquitectura de un Captive Portal. Los planes residenciales y Roam de Starlink limitan las sesiones concurrentes a 1,200. Para un hotel concurrido o un lugar de eventos con cientos de dispositivos, ese límite se convierte en una restricción real. La solución es el modo bypass. Esto se activa en la aplicación Starlink en Configuración, luego active la opción de omitir el router WiFi de Starlink. Una vez activado, la antena Starlink pasa la dirección CGNAT directamente al puerto WAN de su router empresarial. El router Starlink deja de gestionar DHCP y NAT. Su router toma el control. Seguirá estando detrás de CGNAT, pero ahora tendrá el control total de la capa de enrutamiento. Un punto crítico: si la antena Starlink se restablece de fábrica por cualquier motivo, el modo bypass se desactivará. Tendrá que volver a activarlo. Integre eso en su manual de procedimientos del sitio. Ahora, Starlink ofrece tres niveles de planes relevantes para los operadores de establecimientos. Residential y Roam le brindan hasta 100 megabits de bajada, prioridad de mejor esfuerzo (best effort) y sin opción de IP estática. Starlink para empresas le brinda hasta 220 megabits, asignación de datos prioritarios y un complemento de IP estática. Starlink Maritime le brinda las mismas velocidades con portabilidad global, lo cual es esencial si la embarcación se mueve entre regiones oceánicas. Para cualquier establecimiento multiusuario, recomendaría como mínimo Business o Maritime. Los datos de mejor esfuerzo en el plan residencial significan que sus huéspedes pierden prioridad cada vez que la celda satelital está congestionada. Sección dos: la pila de arquitectura. Aquí está la pila de cuatro capas que está construyendo. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o firewall empresarial. La capa tres es la segmentación VLAN a nivel de switch o punto de acceso. La capa cuatro es el Captive Portal en la nube, que maneja la autenticación, el consentimiento y la analítica. Permítame dedicar un momento a la segmentación VLAN porque no es negociable. Necesita como mínimo tres VLAN. VLAN 10 para el personal - esta transporta sus sistemas de punto de venta, aplicaciones de oficina interna y tráfico de administración. VLAN 20 para huéspedes - este es el segmento de solo internet que llega al Captive Portal. VLAN 30 para IoT - cámaras, termostatos inteligentes, sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe bloquearse en el firewall. Un huésped en la VLAN 20 nunca debe poder llegar a su terminal POS en la VLAN 10. Eso no es solo una buena práctica - es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier parte de la misma infraestructura física. El Captive Portal en sí reside en la nube. Cuando un huésped se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El huésped se autentica - a través de correo electrónico, inicio de sesión social o un código de cupón - acepta sus términos de servicio, y el portal le indica al router que otorgue acceso a internet a esa dirección MAC. Todo el flujo debe completarse en menos de 10 segundos en un teléfono móvil. El portal en la nube de Purple se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Configura la integración de RADIUS o API una vez, y Purple maneja el intercambio de autenticación. No se requiere un servidor de autenticación local. Eso es crítico para establecimientos remotos donde no se puede ejecutar un servidor RADIUS local. Sección tres: el problema de CGNAT y cómo resolverlo. Este es el desafío que sorprende a la mayoría de los equipos de TI. Las arquitecturas estándar de Captive Portal asumen que el portal en la nube puede acceder de vuelta a su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente hacia el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple maneja esto de forma nativa. Si realmente necesita una IP estática, Starlink Business y Maritime ofrecen una IP estática como un complemento. Consulte las páginas de planes actuales de Starlink para su territorio específico. Sección cuatro: GDPR y cumplimiento de datos. Aquí es donde las sedes remotas suelen verse sorprendidas. El hecho de que su sede se encuentre en una ubicación remota no le exime del cumplimiento de GDPR si recopila datos de residentes del Reino Unido o la UE. Su Captive Portal debe presentar una casilla de verificación de consentimiento específica y desmarcada para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y durante cuánto tiempo los conservará. Los términos de servicio deben ser accesibles antes de que el invitado se autentique. Purple cuenta con la certificación ISO 27001, cumple con GDPR, cumple con CCPA y tiene la certificación Cyber Essentials. Cada evento de inicio de sesión se registra con una marca de tiempo, dirección IP y registro de consentimiento. Esa pista de auditoría es lo que le protege si un regulador hace preguntas. Sección cinco: gestión del ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo invitado que reproduzca video en 4K puede consumir 25 megabits por segundo de forma continua. En una sede con 50 invitados y una conexión de 220 megabits, eso significa que una sola persona consume el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y de router. Establezca límites de ancho de banda por dispositivo. Implemente políticas de uso justo que reduzcan la velocidad tras un límite diario de datos. Utilice la priorización de tráfico para dar preferencia a la navegación web sobre la transmisión de video. Y considere el acceso por niveles: un nivel gratuito para conectividad básica y un nivel premium de pago para streaming. Eso convierte su WiFi de un gasto en una fuente de ingresos. Ahora permítame presentarle dos escenarios del mundo real. Escenario uno: un hotel de montaña remoto con 40 habitaciones y sin fibra. Utilizan Starlink para empresas con un promedio de 150 megabits. Los puntos de acceso HPE Aruba cubren el edificio principal y tres edificios anexos. Los huéspedes se autentican por correo electrónico en el portal de Purple. Las quejas sobre el WiFi para invitados disminuyeron un 60% en comparación con su configuración anterior de enlace 4G. El portal también captura datos de correo electrónico de origen, que se integran directamente en sus campañas de marketing posteriores a la estadía. Escenario dos: un barco de crucero de 120 cabinas que opera Starlink Maritime a 220 megabits. El operador despliega puntos de acceso Cisco Meraki en todo el barco con tres VLAN: tripulación, pasajeros y sistemas de a bordo. El Captive Portal de Purple gestiona la autenticación de los pasajeros por correo electrónico o mediante una búsqueda de número de cabina integrada con el sistema de gestión de propiedades. Los ingresos de WiFi cubren el costo de la suscripción de Starlink y el operador cuenta con una lista de marketing directo en crecimiento. Errores de implementación. Permítame repasar los cinco que veo con más frecuencia. Uno: olvidar volver a habilitar el modo bypass después de un reinicio de la antena. Documente esto en su manual de procedimientos. Dos: no bloquear el enrutamiento inter-VLAN. Cada implementación que he revisado que tuvo un incidente de seguridad tenía esto mal configurado. Verifíquelo dos veces. Tres: usar redireccionamiento HTTP en una red donde los invitados usan navegadores que priorizan HTTPS. Los navegadores modernos usan HTTPS de forma predeterminada. Su enrutador debe manejar la intercepción HTTPS correctamente, o los invitados verán errores de certificado antes de llegar al portal. Cuatro: no realizar pruebas en iOS y Android por separado. Apple Captive Network Assistant y la sonda de red de Android se comportan de manera diferente. Pruebe ambos antes del lanzamiento. Cinco: ignorar la latencia. La constelación de órbita terrestre baja de Starlink ofrece una latencia de 20 a 40 milisegundos. Pero durante las transferencias entre satélites, se pueden ver picos breves. Establezca los intervalos de mantenimiento de actividad de la sesión en 60 segundos o menos. Preguntas rápidas. ¿Necesito una IP estática para un captive portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con tunelización inversa. Sí, si está ejecutando un RADIUS local. ¿Puedo ejecutar múltiples SSIDs en Starlink? Sí. Sus puntos de acceso empresariales se encargan de la creación de SSIDs. Starlink en modo bypass solo proporciona el enlace ascendente. ¿Funciona Purple con Starlink de forma nativa? Sí. Configure el modo bypass en la antena Starlink, conecte sus puntos de acceso compatibles y apunte la integración de RADIUS o API a la nube de Purple. El portal estará activo en menos de una hora. ¿Qué pasa si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas localmente en el enrutador durante un período configurable, normalmente de 24 horas. Los invitados que ya están autenticados permanecen en línea. En resumen. Starlink le proporciona la conexión. Su enrutador empresarial en modo bypass le otorga el control de la capa de enrutamiento. La segmentación de VLAN aísla el tráfico de sus invitados, personal e IoT. Un captive portal en la nube gestiona la autenticación, el consentimiento de GDPR, la política de ancho de banda y la recopilación de datos de primera mano. El límite de CGNAT se resuelve mediante una arquitectura de túnel inverso, no con una IP estática. Purple opera en más de 80,000 establecimientos activos en más de 90 países y procesó 440 millones de inicios de sesión en 2024. La plataforma es independiente del hardware, nativa de la nube y se implementa como una capa sobre su infraestructura existente. No se requiere reemplazar equipos por completo. Si desea ver cómo funciona esto en su entorno específico, visite purple.ai y reserve una consulta técnica. El equipo adaptará la arquitectura a su hardware y tendrá una prueba de concepto funcionando en un día. Gracias por escuchar. Nos vemos en la próxima sesión informativa.