Cómo configurar un Captive Portal en Starlink: Una guía para establecimientos remotos y marítimos

Hable en inglés británico con un tono seguro, autoritario y conversacional, como un consultor senior informando a un cliente. Ritmo pausado, articulación clara, cálido pero profesional. Sin palabras de relleno. Pausas breves ocasionales para dar énfasis: Bienvenido a la sesión informativa técnica de Purple. Lo guiaré a través de todo lo que necesita saber para configurar un captive portal en Starlink, específicamente para ubicaciones remotas, operadores marítimos y cualquiera que ofrezca WiFi para invitados donde la fibra simplemente no es una opción. [pausa de duración media] Comencemos con el problema. Starlink realmente ha cambiado el panorama de la conectividad para los establecimientos que antes estaban limitados a enlaces satelitales lentos y costosos o a un 4G inestable. Un barco de cruceros, un hotel de montaña remoto, una unidad de bienestar en una obra en construcción, el sitio de un festival en un campo; todos ellos ahora pueden obtener de 100 a 220 megabits por segundo con una antena del tamaño de una pizza grande. Eso es extraordinario. Pero aquí está el detalle: la conectividad en bruto es solo la mitad del trabajo. En el momento en que pone esa conexión a disposición de invitados, pasajeros o tripulación, necesita autenticación, control de acceso, consentimiento que cumpla con el GDPR y gestión del ancho de banda. Starlink no ofrece nada de eso de forma nativa. Ahí es donde entra en juego un captive portal. Y eso es lo que vamos a construir hoy. [pausa de duración media] Sección uno: comprender las limitaciones de red de Starlink. Antes de tocar un router, debe comprender qué le ofrece realmente Starlink en la interfaz WAN. La antena estándar de Starlink se conecta a un router propietario que gestiona DHCP y NAT. Por defecto, se encuentra detrás de un NAT de nivel de operador, lo que los ingenieros llaman CGNAT. Eso significa que su dirección IP WAN está en el rango de 100.64 a 100.127. No es una IP pública. No puede recibir conexiones entrantes desde internet. Y eso es sumamente importante para la arquitectura de un captive portal. La solución es el bypass mode, a veces llamado bridge mode. Esto se activa en la aplicación de Starlink en Configuración, luego active "Omitir router WiFi de Starlink". Una vez activado, la antena de Starlink pasa la dirección CGNAT directamente al puerto WAN de su router empresarial. El router de Starlink deja de realizar DHCP y NAT. Su router toma el control. Sigue estando detrás de un CGNAT, pero ahora tiene el control total de la capa de enrutamiento. Un punto crítico: si la antena de Starlink se restablece a los valores de fábrica por cualquier motivo, el bypass mode se desactivará. Deberá volver a activarlo. Integre esto en el manual de procedimientos de su sitio. [pausa de duración media] Ahora bien, Starlink ofrece tres niveles de planes relevantes para los operadores de establecimientos. Standard le ofrece hasta 100 megabits de bajada, prioridad de mejor esfuerzo y sin opción de IP estática. Business le ofrece hasta 220 megabits, asignación de datos de prioridad y un complemento de IP estática. Maritime le ofrece las mismas velocidades con portabilidad global, algo esencial si la embarcación se desplaza entre regiones oceánicas. Para cualquier establecimiento multiusuario, recomendaría Business o Maritime como mínimo. Los datos de mejor esfuerzo en Standard significan que sus invitados perderán prioridad siempre que la celda satelital esté congestionada. [pausa de duración media] Sección dos: la pila de arquitectura. Aquí está la pila de cuatro capas que va a construir. La capa uno es el enlace ascendente de Starlink en modo bypass. La capa dos es su router o firewall empresarial - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - cualquiera de estos funciona. La capa tres es la segmentación de VLAN a nivel de switch o punto de acceso. La capa cuatro es el portal cautivo en la nube, que maneja la autenticación, el consentimiento y la analítica. Permítame dedicar un momento a la segmentación de VLAN porque no es negociable. Necesita como mínimo tres VLAN. VLAN 10 para el personal - esta transporta sus sistemas POS, aplicaciones de back-office y tráfico de gestión. VLAN 20 para invitados - este es el segmento exclusivo para internet que se conecta al portal cautivo. VLAN 30 para IoT - cámaras, termostatos inteligentes, sistemas de gestión de edificios. Estas tres redes no deben poder comunicarse entre sí. El enrutamiento inter-VLAN debe bloquearse en el firewall. Un invitado en la VLAN 20 nunca debe poder acceder a su terminal POS en la VLAN 10. Eso no es solo una buena práctica - es un requisito de PCI-DSS si procesa pagos con tarjeta en cualquier parte de la misma infraestructura física. [pausa media] El propio portal cautivo reside en la nube. Cuando un invitado se conecta a su SSID de invitados y abre un navegador, el router intercepta la solicitud HTTP y la redirige a la página de inicio de sesión del portal. El invitado se autentica - mediante correo electrónico, inicio de sesión social o un código de cupón - acepta sus términos de servicio, y el portal indica al router que conceda acceso a internet a esa dirección MAC. Todo el flujo debe completarse en menos de 10 segundos en un dispositivo móvil. Con Purple, ese portal en la nube se integra directamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Usted configura la integración de RADIUS o API una vez, y Purple se encarga del saludo de autenticación. No se requiere un servidor de autenticación local. Esto es fundamental para sitios remotos donde no se puede ejecutar un servidor RADIUS local. [pausa media] Sección tres: el problema de CGNAT y cómo solucionarlo. Aquí está el desafío que toma por sorpresa a la mayoría de los equipos de TI. Las arquitecturas de portal cautivo estándar asumen que el portal en la nube puede conectarse de vuelta a su red. Con CGNAT, eso es imposible. Las conexiones entrantes están bloqueadas. La solución es un túnel inverso. Su router establece una conexión saliente con el portal en la nube y la mantiene abierta de forma persistente. Todo el tráfico de autenticación fluye a través de ese túnel. La nube nunca necesita iniciar una conexión entrante. La arquitectura de superposición en la nube de Purple maneja esto de forma nativa - no necesita configurar WireGuard o OpenVPN manualmente, aunque ambos son alternativas válidas si ejecuta su propia infraestructura. Si realmente necesita una IP estática (por ejemplo, si está ejecutando un servidor RADIUS en el sitio o necesita un filtrado de IP consistente) Starlink Business y Maritime ofrecen una IP estática como un complemento. Al momento de la grabación, esto está disponible en la mayoría de las regiones. Revise las páginas de planes actuales de Starlink para su territorio específico. [medium pause] Sección cuatro: GDPR y cumplimiento de datos. Aquí es donde las sedes remotas y marítimas a menudo se ven atrapadas. El hecho de que su sede se encuentre en un barco en aguas internacionales, o en una ubicación remota, no lo exime del GDPR si está recopilando datos de residentes de la UE. Y si opera en aguas del Reino Unido después del Brexit, se aplica el UK GDPR. Su Captive Portal debe presentar una casilla de verificación de consentimiento específica y sin marcar para las comunicaciones de marketing. Debe indicar claramente qué datos recopila, por qué y cuánto tiempo los conservará. Los términos de servicio deben ser accesibles antes de que el invitado se autentique. Y debe ser capaz de demostrar, bajo solicitud, que una persona específica dio su consentimiento en una fecha y hora específicas. Purple cuenta con la certificación ISO 27001, cumple con GDPR, cumple con CCPA y tiene la certificación Cyber Essentials. Cada evento de inicio de sesión se registra con una marca de tiempo, dirección IP y registro de consentimiento. Ese historial de auditoría es lo que lo protege si un regulador hace preguntas. [medium pause] Sección cinco: administración de ancho de banda. En Starlink, el ancho de banda es su recurso más limitado. Un solo pasajero que transmita video en 4K puede consumir 25 megabits por segundo de forma continua. En una embarcación con 50 pasajeros y una conexión de 220 megabits, eso equivale a una sola persona que consume el 11% de la capacidad total. Esto se resuelve a nivel de Captive Portal y router. Establezca límites de ancho de banda por dispositivo; por ejemplo, 5 megabits de bajada y 2 megabits de subida por dispositivo invitado. Implemente políticas de uso justo que reduzcan la velocidad después de una cuota de datos diaria. Utilice el modelado de tráfico para priorizar la navegación web y la mensajería sobre la transmisión de video. Y considere el acceso escalonado: un nivel gratuito para conectividad básica y un nivel premium de pago para streaming. Eso convierte su WiFi de un costo a una fuente de ingresos. [medium pause] Ahora permítame presentarle dos escenarios del mundo real. Escenario uno: un crucero de 120 cabinas. El operador ejecuta Starlink Maritime a 220 megabits. Despliega puntos de acceso Cisco Meraki en toda la embarcación con tres VLAN: tripulación, pasajeros y sistemas del barco. El Captive Portal de Purple gestiona la autenticación de los pasajeros mediante correo electrónico o una búsqueda por número de cabina integrada con el PMS. Cada pasajero recibe una asignación diaria de 2 gigabytes. Los pasajeros de nivel premium reciben 10 gigabytes. El portal recopila datos de correo electrónico de primera mano para marketing posterior al viaje. Resultado: los ingresos de WiFi cubren el costo de la suscripción de Starlink y el operador tiene una lista de marketing directo en constante crecimiento. Escenario dos: un hotel remoto en las Highlands sin fibra. Utilizan Starlink Business a un promedio de 150 megabits. Los puntos de acceso de HPE Aruba cubren el edificio principal y tres dependencias exteriores. Los huéspedes se autentican a través de correo electrónico en el portal de Purple. El hotel utiliza los análisis de Purple para comprender las horas de mayor uso y ajusta las políticas de ancho de banda en consecuencia. Han reducido las quejas sobre el WiFi para huéspedes en un 60% en comparación con su configuración anterior de enlace 4G, según sus propios datos operativos. [medium pause] Errores comunes. Permítanme repasar los cinco que veo con más frecuencia. Uno: olvidar volver a activar el modo bypass después de reiniciar la antena. Documente esto en su libro de tareas y configure una alerta de monitoreo en la interfaz WAN de su enrutador. Dos: no bloquear el enrutamiento inter-VLAN. Cada implementación que he revisado que tuvo un incidente de seguridad tenía esto mal configurado. Verifíquelo dos veces. Tres: utilizar el redireccionamiento HTTP para el Captive Portal en una red donde los huéspedes utilizan navegadores que priorizan HTTPS. Los navegadores modernos utilizan HTTPS de forma predeterminada. Su enrutador debe gestionar la intercepción HTTPS correctamente, o de lo contrario los huéspedes verán errores de certificado antes de llegar al portal. El portal de Purple maneja esto, pero la configuración de su enrutador debe ser correcta. Cuatro: no realizar pruebas en iOS y Android por separado. El Captive Network Assistant de Apple y la sonda de red de Android se comportan de forma diferente. Pruebe ambos antes del lanzamiento. Cinco: ignorar la latencia. La constelación LEO de Starlink ofrece una latencia de 20 a 40 milisegundos - muy superior a la del satélite geoestacionario tradicional. Pero durante los traspasos entre satélites, se pueden observar picos breves. La configuración del tiempo de espera de su Captive Portal debe tener esto en cuenta. Establezca los intervalos de mantenimiento de sesión (keepalive) en 60 segundos o menos. [medium pause] Preguntas rápidas. ¿Necesito una IP estática para un Captive Portal en Starlink? No, si su portal utiliza una arquitectura alojada en la nube con tunelización inversa. Sí, si está ejecutando un RADIUS local. ¿Puedo ejecutar múltiples SSIDs en Starlink? Sí - sus puntos de acceso empresariales gestionan la creación de SSIDs. Starlink en modo bypass sólo proporciona el enlace de subida. Puede ejecutar tantos SSIDs como admitan sus puntos de acceso. ¿Funciona Purple con Starlink de forma nativa? Sí. Configure el modo bypass en la antena de Starlink, conecte sus puntos de acceso compatibles y apunte la integración RADIUS o API a la nube de Purple. El portal estará activo en menos de una hora. ¿Qué pasa si se cae la conexión de Starlink? El portal de Purple almacena en caché las sesiones activas localmente en el enrutador durante un periodo configurable - normalmente 24 horas. Los huéspedes que ya están autenticados permanecen conectados. Las nuevas autenticaciones se ponen en cola hasta que se restablece la conectividad. [medium pause] En resumen, Starlink le proporciona el canal de datos. Su router empresarial en modo bypass le otorga el control de la capa de enrutamiento. La segmentación de VLAN aísla el tráfico de sus invitados, personal e IoT. Un Captive Portal en la nube - en este caso, el de Purple - gestiona la autenticación, el consentimiento de GDPR, las políticas de ancho de banda y la recopilación de datos de primera mano. La limitación de CGNAT se soluciona mediante una arquitectura de túnel inverso, no con una IP estática. Y la gestión del ancho de banda a nivel de portal es lo que mantiene su conexión de Starlink utilizable para todos. Si está evaluando esto para su recinto, el siguiente paso es comprobar qué hardware de punto de acceso está utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme o Fortinet - y confirmar la documentación de integración de Purple para esa plataforma. Puede encontrar la guía técnica completa en purple.ai, y el equipo de Purple puede guiarle a través de una configuración de prueba de concepto para su sitio específico. Gracias por escuchar. Nos vemos en el próximo informe.