Comment configurer un Captive Portal sur Starlink pour le WiFi invité

Bienvenue dans ce Point Technique Purple. Aujourd'hui, nous abordons une question qui revient de plus en plus souvent à mesure que Starlink s'implante dans des lieux que la fibre ne peut tout simplement pas atteindre. Comment configurer un véritable Captive Portal pour le WiFi invité sur une connexion Starlink ? Je vais vous guider à travers l'architecture, les contraintes à comprendre avant même de toucher à un seul fichier de configuration, et les étapes de mise en œuvre qui fonctionnent réellement en production. Nous aborderons deux scénarios réels, les cinq pièges que je vois le plus souvent, et nous terminerons par des réponses rapides aux questions que les équipes informatiques nous posent chaque semaine. Commençons par expliquer pourquoi ce n'est pas un problème anodin. Starlink a véritablement changé la donne en matière de connectivité pour les établissements qui étaient auparavant bloqués avec des liaisons satellites lentes et coûteuses ou de la 4G instable. Un hôtel isolé dans les Highlands, un navire de croisière, un festival au milieu d'un champ, une base de vie de chantier - tous peuvent désormais obtenir entre 100 et 220 mégabits par seconde grâce à une antenne de la taille d'une grande pizza. C'est remarquable. Mais la connectivité brute ne fait que la moitié du travail. Dès que vous mettez cette connexion à la disposition d'invités, vous avez besoin d'authentification, de contrôle d'accès, de collecte de consentement conforme au GDPR, et de gestion de la bande passante. Starlink ne propose rien de tout cela de base. C'est là qu'intervient un Captive Portal. Première partie : comprendre les contraintes réseau de Starlink. Avant de toucher à un routeur, vous devez comprendre ce que Starlink vous fournit réellement sur l'interface WAN. L'antenne Starlink standard se connecte à un routeur propriétaire qui gère le DHCP et le NAT. Par défaut, vous êtes derrière un CGNAT (Carrier Grade NAT). Votre adresse IP WAN se situe dans la plage 100.64 à 100.127. Ce n'est pas une IP publique. Vous ne pouvez pas recevoir de connexions entrantes depuis Internet. Et cela a une importance considérable pour l'architecture du Captive Portal. Les abonnements résidentiels et Roam de Starlink limitent le nombre de sessions simultanées à 1 200. Pour un hôtel très fréquenté ou un lieu d'événement accueillant des centaines d'appareils, cette limite devient une réelle contrainte. La solution est le mode bypass. Vous l'activez dans l'application Starlink sous Paramètres, puis cochez Contourner le routeur WiFi Starlink. Une fois activé, l'antenne Starlink transmet directement l'adresse CGNAT au port WAN de votre routeur d'entreprise. Le routeur Starlink cesse de gérer le DHCP et le NAT. Votre routeur prend le relais. Vous êtes toujours derrière le CGNAT, mais vous avez désormais le contrôle total de la couche de routage. Un point essentiel : si l'antenne Starlink subit une réinitialisation d'usine pour une raison quelconque, le mode bypass est désactivé. Vous devrez le réactiver. Intégrez cela dans vos procédures opérationnelles sur site. Désormais, Starlink propose trois niveaux de forfaits adaptés aux exploitants de sites. Les offres Résidentiel et Roam vous offrent jusqu'à 100 mégabits en téléchargement, une priorité de type "best-effort" et aucune option d'IP statique. Starlink pour Entreprises vous offre jusqu'à 220 mégabits, une allocation de données prioritaires et un module complémentaire d'IP statique. Starlink Maritime vous offre les mêmes vitesses avec une portabilité mondiale - essentielle si le navire se déplace d'une région océanique à une autre. Pour tout site multi-utilisateur, je recommanderais au minimum l'offre Entreprises ou Maritime. Les données "best-effort" du forfait résidentiel signifient que vos invités sont dépriorisés chaque fois que la cellule satellite est encombrée. Section deux : la pile d'architecture. Voici la pile à quatre couches que vous construisez. La couche un est la liaison Starlink en mode bypass. La couche deux est votre routeur d'entreprise ou pare-feu. La couche trois est la segmentation VLAN au niveau du commutateur ou du point d'accès. La couche quatre est le Captive Portal cloud, qui gère l'authentification, le consentement et les analyses. Permettez-moi de m'attarder un instant sur la segmentation VLAN car elle est non négociable. Vous avez besoin d'au moins trois VLAN. Le VLAN 10 pour le personnel - il transporte vos systèmes de point de vente, vos applications de back-office et votre trafic de gestion. Le VLAN 20 pour les invités - il s'agit du segment réservé à internet qui accède au Captive Portal. Le VLAN 30 pour l'IoT - caméras, thermostats intelligents, systèmes de gestion technique du bâtiment. Ces trois réseaux ne doivent pas pouvoir communiquer entre eux. Le routage inter-VLAN doit être bloqué au niveau du pare-feu. Un invité sur le VLAN 20 ne doit jamais pouvoir atteindre votre terminal de point de vente sur le VLAN 10. Ce n'est pas seulement une bonne pratique - c'est une exigence PCI-DSS si vous traitez des paiements par carte sur la même infrastructure physique. Le Captive Portal lui-même réside dans le cloud. Lorsqu'un invité se connecte à votre SSID invité et ouvre un navigateur, le routeur intercepte la requête HTTP et la redirige vers la page de connexion du portail. L'invité s'authentifie - par e-mail, connexion sociale ou code promotionnel - accepte vos conditions d'utilisation, et le portail signale au routeur d'accorder à cette adresse MAC un accès à internet. L'ensemble du flux doit s'effectuer en moins de 10 secondes sur un téléphone mobile. Le portail cloud de Purple s'intègre directement avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, et Fortinet. Vous configurez l'intégration RADIUS ou API une seule fois, et Purple gère le protocole d'authentification. Aucun serveur d'authentification sur site n'est requis. C'est essentiel pour les sites distants où vous ne pouvez pas exploiter un serveur RADIUS local. Section trois : le problème du CGNAT et comment le résoudre. Voici le défi auquel la plupart des équipes informatiques sont confrontées. Les architectures de Captive Portal standard supposent que le portail cloud peut communiquer en retour avec votre réseau. Avec le CGNAT, c'est impossible. Les connexions entrantes sont bloquées. La solution est un tunnel inversé. Votre routeur établit une connexion sortante vers le portail cloud et la maintient ouverte en permanence. Tout le trafic d'authentification passe par ce tunnel. Le cloud n'a jamais besoin d'initier une connexion entrante. L'architecture d'overlay cloud de Purple gère cela nativement. Si vous avez besoin d'une IP fixe, Starlink Business et Maritime proposent une IP fixe en option. Consultez les pages des forfaits actuels de Starlink pour votre territoire spécifique. Section quatre : GDPR et conformité des données. C'est là que les sites isolés se font souvent piéger. Le fait que votre établissement se trouve dans un lieu reculé ne vous exempte pas de la conformité GDPR si vous collectez des données auprès de résidents du Royaume-Uni ou de l'Union Européenne. Votre Captive Portal doit présenter une case à cocher spécifique, non pré-cochée, pour consentir aux communications marketing. Il doit indiquer clairement quelles données vous collectez, pourquoi, et combien de temps vous les conserverez. Les conditions d'utilisation doivent être accessibles avant que l'invité ne s'authentifie. Purple est certifié ISO 27001, conforme au GDPR, au CCPA et certifié Cyber Essentials. Chaque session de connexion est enregistrée avec un horodatage, une adresse IP et un historique de consentement. Cette piste d'audit est ce qui vous protège si un organisme de réglementation pose des questions. Section cinq : gestion de la bande passante. Sur Starlink, la bande passante est votre ressource la plus limitée. Un seul invité diffusant du contenu vidéo 4K peut consommer en continu 25 mégabits par seconde. Dans un établissement accueillant 50 invités avec une connexion de 220 mégabits, cela représente une seule personne consommant 11 % de la capacité totale. Vous gérez cela au niveau du Captive Portal et du routeur. Définissez des limites de bande passante par appareil. Mettez en place des politiques d'utilisation équitable qui réduisent le débit après un certain quota de données quotidien. Utilisez la régulation du trafic pour prioriser la navigation web par rapport au streaming vidéo. Et envisagez un accès par paliers : un forfait gratuit pour une connectivité de base, un forfait premium payant pour le streaming. Cela transforme votre WiFi d'un centre de coût en une source de revenus. Laissez-moi maintenant vous présenter deux scénarios réels. Scénario un : un hôtel isolé dans les Highlands avec 40 chambres et sans fibre. Ils utilisent Starlink for Business avec une moyenne de 150 mégabits. Des points d'accès HPE Aruba couvrent le bâtiment principal et trois dépendances. Les invités s'authentifient par e-mail sur le portail Purple. Les réclamations concernant le WiFi des invités ont diminué de 60 % par rapport à leur configuration précédente de liaison 4G combinée. Le portail collecte également des adresses e-mail de première main, qui alimentent directement leurs campagnes de marketing post-séjour. Scénario deux : un navire de croisière de 120 cabines équipé de Starlink Maritime à 220 mégabits. L'opérateur déploie des points d'accès Cisco Meraki dans tout le navire avec trois VLAN - équipage, passagers et systèmes du navire. Le Captive Portal Purple gère l'authentification des passagers par e-mail ou par recherche de numéro de cabine intégrée au système de gestion de l'établissement. Les revenus du WiFi couvrent le coût de l'abonnement Starlink, et l'opérateur dispose d'une liste de marketing direct en pleine croissance. Pièges de mise en œuvre. Laissez-moi passer en revue les cinq que je rencontre le plus souvent. Un : oublier de réactiver le mode bypass après une réinitialisation de l'antenne. Documentez cela dans votre carnet de route. Deux : ne pas bloquer le routage inter-VLAN. Chaque déploiement que j'ai analysé et qui a subi un incident de sécurité présentait cette mauvaise configuration. Vérifiez-le à deux reprises. Trois : utiliser la redirection HTTP sur un réseau où les invités utilisent des navigateurs qui privilégient le HTTPS. Les navigateurs modernes utilisent le HTTPS par défaut. Votre routeur doit gérer correctement l'interception HTTPS, sinon les invités verront des erreurs de certificat avant d'accéder au portail. Quatre : ne pas tester séparément sur iOS et Android. Les assistants de réseau captif Apple Captive Network Assistant et Android se comportent différemment. Testez les deux avant le lancement. Cinq : ignorer la latence. La constellation en orbite terrestre basse de Starlink offre une latence de 20 à 40 millisecondes. Cependant, lors des transferts entre satellites, vous pouvez constater de brèves pointes. Définissez les intervalles de maintien de session (keepalive) à 60 secondes ou moins. Questions rapides. Ai-je besoin d'une IP fixe pour un Captive Portal sur Starlink ? Non, si votre portail utilise une architecture hébergée dans le cloud avec un tunnel inversé. Oui, si vous utilisez un serveur RADIUS sur site. Puis-je configurer plusieurs SSID sur Starlink ? Oui. Vos points d'accès d'entreprise gèrent la création de SSID. Starlink en mode bypass fournit simplement la liaison montante. Est-ce que Purple fonctionne nativement avec Starlink ? Oui. Vous configurez le mode bypass sur l'antenne Starlink, connectez vos points d'accès pris en charge et pointez l'intégration RADIUS ou API vers le cloud Purple. Le portail est actif en moins d'une heure. Que se passe-t-il si la connexion Starlink est interrompue ? Le portail Purple met en cache les sessions actives localement sur le routeur pendant une période configurable - généralement 24 heures. Les invités déjà authentifiés restent en ligne. En résumé. Starlink vous fournit le canal. Votre routeur d'entreprise en mode bypass vous donne le contrôle de la couche de routage. La segmentation VLAN isole vos flux d'invités, de personnel et d'IoT. Un Captive Portal cloud gère l'authentification, le consentement GDPR, la politique de bande passante et la collecte de données de première partie. La contrainte du CGNAT est résolue par une architecture de tunnel inversé, et non par une IP fixe. Purple est déployé dans plus de 80 000 sites actifs répartis dans plus de 90 pays et a traité 440 millions de connexions en 2024. La plateforme est indépendante du matériel, cloud-native et se déploie comme une couche au-dessus de votre infrastructure existante. Pas besoin de tout remplacer. Si vous souhaitez voir comment cela fonctionne dans votre environnement spécifique, visitez purple.ai et réservez une consultation technique. L'équipe adaptera l'architecture à votre matériel et mettra en place une preuve de concept en moins d'une journée. Merci pour votre écoute. On se retrouve lors de la prochaine présentation.