Cómo configurar un Captive Portal en Starlink: Una guía para entornos marítimos, de transporte y sitios remotos

Cómo configurar un Captive Portal en Starlink: Una guía para los sectores marítimo, de transporte y sitios remotos [INTRODUCCIÓN - aprox. 1 minuto] Muy bien. Ya tiene Starlink. Tiene la antena en el techo de su terminal de transbordadores, o atornillada al mástil de una embarcación, o apuntando al cielo desde un campamento de construcción remoto. El internet está funcionando. Excelente. Pero aquí está el problema del que nadie le advirtió: Starlink, tal como viene de fábrica, solo le da un canal de comunicación. Solo eso. Sin autenticación. Sin personalización de marca. Sin captura de consentimiento que cumpla con GDPR. Sin forma de saber quién está en su red, cuánto ancho de banda está consumiendo o si siquiera está cubierto legalmente bajo las leyes de protección de datos. Esa es la brecha que este episodio viene a resolver. Le guiaré paso a paso sobre cómo implementar un Captive Portal empresarial adecuado sobre Starlink, cubriendo la arquitectura, el problema de CGNAT con el que se topará de inmediato, la segmentación de VLAN para sitios marítimos y remotos, y cómo plataformas como Purple se integran en esta infraestructura. Ya sea que opere una ruta de transbordadores, un hotel remoto, un área de servicio en autopista o un campamento de construcción, el problema de fondo es el mismo y la solución también. Comencemos. [ANÁLISIS TÉCNICO DETALLADO - aprox. 5 minutos] Primero, entendamos qué es lo que realmente ofrece Starlink en la capa de red. Starlink ofrece conectividad a través de satélites de órbita terrestre baja. La antena se conecta a un router, ya sea el router nativo de Starlink o, en los planes Business y Maritime, a un adaptador ethernet que le permite conectar su propio hardware. La principal limitación técnica que debe entender de inmediato es CGNAT - Carrier-Grade Network Address Translation. En los planes estándar de Starlink, usted se encuentra detrás de una IP pública compartida. No obtiene una dirección IP pública dedicada y no puede aceptar conexiones entrantes. Eso no es un error, es la forma en que Starlink gestiona el espacio de direcciones IP entre millones de suscriptores. ¿Por qué es importante CGNAT para los Captive Portals? Porque las arquitecturas tradicionales de Captive Portal a menudo dependen de conexiones entrantes para llamadas de autenticación RADIUS, acceso de administración o lógica de redireccionamiento del portal. Si su sistema de Captive Portal requiere una IP pública estática o reenvío de puertos entrantes, no funcionará de manera confiable detrás del CGNAT de Starlink. Así de simple. La solución es una arquitectura RADIUS nativa de la nube. En lugar de que su controlador local intente recibir solicitudes de autenticación entrantes, el flujo de autenticación se realiza de manera saliente, desde su hardware local hacia un servidor RADIUS en la nube. La plataforma de Purple hace exactamente esto. El controlador en el sitio inicia una conexión saliente hacia la infraestructura RADIUS en la nube de Purple. La página de inicio (splash page) se hospeda en la nube. El intercambio de autenticación se completa a través de ese túnel saliente. El CGNAT deja de ser un problema porque nunca necesitará una conexión entrante.Ahora, lo segundo que debe hacer es omitir el router nativo de Starlink. El router de Starlink es un dispositivo de consumo. No tiene soporte para VLAN, no tiene funcionalidad de Captive Portal, no tiene controles de ancho de banda por usuario ni puntos de integración para sistemas de autenticación empresarial. Debe ponerlo en modo de omisión - o usar el adaptador ethernet en el hardware Business y Performance - y reemplazarlo con un router empresarial administrado. Las plataformas con las que trabajamos más comúnmente en este contexto son Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Todas ellas admiten etiquetado VLAN, integración con RADIUS y la configuración de walled garden que requieren los captive portals. Permítame explicarle la arquitectura VLAN que debería implementar. En una embarcación marítima, por lo general se necesitan como mínimo tres VLAN. VLAN 10 para el WiFi de invitados o pasajeros; aquí es donde se ubica el Captive Portal. VLAN 20 para la tripulación o el personal; por lo general en un SSID independiente con una autenticación diferente. VLAN 30 para operaciones, sistemas de navegación o dispositivos IoT; completamente aislada de las otras dos, con reglas de firewall estrictas que evitan cualquier movimiento lateral. En un campamento de construcción remoto o en un centro de transporte se aplica la misma lógica: el acceso de invitados, el acceso del personal y los sistemas operativos nunca deben compartir un dominio de difusión. El flujo del Captive Portal en sí funciona de la siguiente manera. Un pasajero o invitado se conecta al SSID abierto en la VLAN 10. El asistente de red cautiva (CNA) de su dispositivo detecta que el acceso a internet está bloqueado. En iOS aparece una ventana emergente. En Android se activa una notificación. En Windows se abre una ventana del navegador. Todo esto redirige a la página de bienvenida de Purple, alojada en la nube. El visitante completa el proceso de inicio de sesión (registro de correo electrónico, inicio de sesión social o un código de cupón) y acepta sus términos. El servidor de la página de bienvenida de Purple envía un token de autenticación de un solo uso de regreso al controlador local. El controlador reenvía esto al servidor RADIUS en la nube de Purple. RADIUS devuelve un Access Accept. El controlador elimina la restricción del Captive Portal para la dirección MAC de ese dispositivo. El visitante ya está en línea. El walled garden es un paso de configuración crítico. Antes de que se complete la autenticación, los únicos dominios a los que el dispositivo puede acceder son aquellos necesarios para que se cargue el portal: la infraestructura de la página de bienvenida de Purple, cualquier endpoint de inicio de sesión social y las URL de detección de CNA que utilizan los sistemas operativos. Todo lo demás está bloqueado. Usted configura este walled garden en su router empresarial o controlador inalámbrico. Purple proporciona la lista de dominios específica que debe incluir en la lista de permitidos; consulte la documentación de soporte en support.purple.ai para obtener la lista actual.Una cosa más sobre el aspecto técnico: los certificados SSL. Si estás utilizando un Cisco WLC, existe un problema conocido donde la redirección de autenticación web aterriza en una URL HTTP, no HTTPS. Los navegadores modernos muestran una advertencia de seguridad. La solución es instalar un certificado SSL de confianza pública en el WLC y configurar el nombre de host virtual para que coincida con el Common Name del certificado. Purple tiene un artículo de soporte dedicado sobre esto para los controladores de la serie Cisco Catalyst 9800 - dejaré el enlace en las notas del programa. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aprox. 2 minutos] Déjame darte las tres cosas que más comúnmente salen mal en las implementaciones de Captive Portal con Starlink. Número uno: no tomar en cuenta el CGNAT desde el primer día. Los equipos ordenan el hardware, configuran todo en el laboratorio de pruebas, lo prueban en una conexión de banda ancha estándar y funciona perfectamente. Luego lo implementan detrás de Starlink y la autenticación falla. La solución es elegir un proveedor de RADIUS en la nube - como Purple - antes de comenzar, y confirmar que la plataforma elegida utilice flujos de autenticación que solo requieran tráfico de salida (outbound-only). No asumas que cualquier plataforma de Captive Portal maneja CGNAT sin problemas. Haz la pregunta explícitamente. Número dos: diseño de red plana. Veo esto constantemente en embarcaciones y sitios remotos. Se instala el Starlink, alguien conecta un router WiFi de consumo masivo y, de repente, la tripulación, los invitados, los sistemas de navegación y las cámaras de seguridad CCTV están todos en la misma subred. Un solo dispositivo de tripulación comprometido puede acceder a los sistemas operativos. Un invitado que transmite video en 4K satura el enlace para todos. La segmentación por VLAN no es opcional en una conexión satelital compartida. Es la diferencia entre una red gestionada y un riesgo de seguridad. Número tres: olvidarse del CNA en macOS. El macOS de Apple no permite cookies en la sesión de navegador del CNA. El Captive Portal de Purple requiere una cookie de sesión para mantener el proceso de inicio de sesión. En las laptops macOS, la ventana emergente del CNA redirigirá a los visitantes a neverssl.com - un sitio HTTP sin cifrar que activa la redirección correctamente sin interferencia de SSL. Asegúrate de que tu personal de soporte sepa esto y considera agregar una nota en tu portal cautivo para los usuarios de laptops. Por el lado del hardware: para implementaciones marítimas, utiliza el kit Starlink Performance - la unidad con carcasa de aluminio diseñada para entornos hostiles. Está clasificada para una supervivencia de 10 años y funciona tanto con alimentación de CA como de CC. Para sitios terrestres remotos, el kit Business estándar suele ser suficiente, pero planifica el uso de un UPS si la estabilidad de la energía es una preocupación. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aprox. 1 minuto] Preguntas rápidas que me hacen todo el tiempo. ¿Puedo usar el router nativo de Starlink para un Captive Portal? No. No tiene soporte para VLAN ni integración con RADIUS. Ponlo en modo bypass. ¿Necesito una IP estática para que funcione el Captive Portal de Purple? No. La arquitectura RADIUS en la nube de Purple funciona detrás de CGNAT. No se requiere una IP estática. ¿Qué sucede si Starlink se desconecta a mitad de una sesión? Las sesiones autenticadas suelen persistir hasta que expira el límite de tiempo de la sesión. Las nuevas autenticaciones se pondrán en cola hasta que se restablezca la conectividad. Configure el límite de tiempo de su sesión para que coincida con el periodo de interrupción previsto. ¿Esto cumple con el GDPR? Sí, cuando se configura correctamente. Purple registra el consentimiento explícito de elección consciente en la splash page. Los datos se procesan de acuerdo con el GDPR y Purple cuenta con la certificación ISO 27001. ¿Puedo gestionar múltiples sitios desde un solo panel? Sí. La plataforma de Purple gestiona más de 80,000 ubicaciones activas desde un único panel de control. Los sitios remotos, las embarcaciones y los centros de transporte aparecen en la misma interfaz de administración. [RESUMEN Y PRÓXIMOS PASOS - aprox. 1 minuto] Muy bien, concluyamos. El mensaje principal es este: Starlink resuelve el problema de conectividad en sitios remotos y marítimos. No resuelve el problema de control de acceso, cumplimiento o analíticas. Necesita una capa empresarial adicional. Las tres cosas que debe hacer esta semana: primero, confirme su nivel de hardware de Starlink y si tiene acceso al adaptador ethernet para el modo bypass. Segundo, seleccione un controlador WiFi empresarial de la lista de hardware compatible - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi son excelentes opciones. Tercero, hable con Purple sobre el plan Connect - es el punto de partida para la implementación de Captive Portal e incluye cloud RADIUS, el editor de splash page y el registro de consentimiento conforme al GDPR. La guía escrita completa con diagramas de arquitectura, ejemplos prácticos y referencias de configuración está disponible en purple.ai. Si realiza la implementación específicamente en un contexto marítimo o de transporte, la sección de guías tiene un artículo dedicado a esta configuración exacta. Gracias por escuchar. En el próximo episodio, cubriremos la configuración de autenticación RADIUS para redes empresariales de múltiples sitios - misma audiencia, misma profundidad. Nos vemos allí.