Comment configurer un Captive Portal sur Starlink : Un guide pour les sites isolés et maritimes

Parlez en anglais britannique avec un ton confiant, autoritaire et conversationnel - comme un consultant senior briefant un client. Un rythme mesuré, une articulation claire, chaleureux mais professionnel. Pas de mots de remplissage. De brèves pauses occasionnelles pour insister : Bienvenue dans ce briefing technique Purple. Je vais vous présenter tout ce que vous devez savoir sur la configuration d'un Captive Portal sur Starlink - spécifiquement pour les sites éloignés, les opérateurs maritimes et tous ceux qui gèrent du WiFi pour les invités là où la fibre n'est tout simplement pas une option. [pause moyenne] Commençons par le problème. Starlink a véritablement changé la donne en matière de connectivité pour les sites qui devaient auparavant se contenter de liaisons satellites lentes et coûteuses ou d'une couverture 4G instable. Un navire de croisière, un hôtel isolé dans les montagnes, une base de vie de chantier, un festival au milieu d'un champ - tous peuvent désormais bénéficier de 100 à 220 mégabits par seconde grâce à une antenne de la taille d'une grande pizza. C'est remarquable. Mais voilà : la connectivité brute ne fait que la moitié du travail. Dès que vous mettez cette connexion à la disposition d'invités, de passagers ou d'équipages, vous avez besoin d'authentification, de contrôle d'accès, de recueil du consentement conforme au GDPR et de gestion de la bande passante. Starlink ne fournit rien de tout cela par défaut. C'est là qu'intervient un Captive Portal. Et c'est ce que nous allons configurer aujourd'hui. [pause moyenne] Première partie : comprendre les contraintes du réseau Starlink. Avant de toucher à un routeur, vous devez comprendre ce que Starlink vous fournit réellement au niveau de l'interface WAN. L'antenne Starlink standard se connecte à un routeur propriétaire qui gère le DHCP et le NAT. Par défaut, vous vous trouvez derrière un NAT de classe opérateur - ce que les ingénieurs appellent le CGNAT. Cela signifie que votre adresse IP WAN se situe dans la plage 100.64 à 100.127. Ce n'est pas une IP publique. Vous ne pouvez pas recevoir de connexions entrantes depuis internet. Et cela a une importance considérable pour l'architecture du Captive Portal. La solution est le mode bypass - parfois appelé mode pont. Vous l'activez dans l'application Starlink sous Paramètres, puis en activant l'option "Bypass Starlink WiFi router". Une fois activé, l'antenne Starlink transmet directement l'adresse CGNAT au port WAN de votre routeur d'entreprise. Le routeur Starlink cesse de gérer le DHCP et le NAT. Votre routeur prend le relais. Vous êtes toujours derrière le CGNAT, mais vous avez désormais le contrôle total de la couche de routage. Un point critique : si l'antenne Starlink subit une réinitialisation d'usine pour une raison quelconque, le mode bypass est désactivé. Vous devrez le réactiver. Intégrez cela dans vos procédures d'exploitation sur site. [pause moyenne] Actuellement, Starlink propose trois niveaux de forfait pertinents pour les exploitants de sites. Standard vous offre jusqu'à 100 mégabits en réception, une priorité de type "best-effort" et aucune option d'IP statique. Business vous offre jusqu'à 220 mégabits, une allocation de données prioritaires et une option d'IP statique. Maritime vous offre les mêmes vitesses avec une portabilité mondiale - essentielle si le navire se déplace entre différentes régions océaniques. Pour tout site multi-utilisateurs, je recommande au minimum Business ou Maritime. Les données "best-effort" du forfait Standard signifient que vos invités verront leur connexion dépriorisée dès que la cellule satellite sera saturée. [pause moyenne] Deuxième section : l'architecture technique. Voici la structure à quatre couches que vous allez mettre en place. La première couche est la liaison Starlink en mode bypass. La deuxième couche est votre routeur ou pare-feu d'entreprise - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - tous conviennent. La troisième couche est la segmentation VLAN au niveau du commutateur ou du point d'accès. La quatrième couche est le Captive Portal dans le cloud, qui gère l'authentification, le consentement et les analyses. Permettez-moi de m'attarder un instant sur la segmentation VLAN, car elle est indispensable. Il vous faut au minimum trois VLANs. Le VLAN 10 pour le personnel - il prend en charge vos systèmes POS, vos applications de back-office et le trafic de gestion. Le VLAN 20 pour les invités - il s'agit du segment d'accès internet uniquement qui redirige vers le Captive Portal. Le VLAN 30 pour l'IoT - caméras, thermostats connectés, systèmes de gestion technique du bâtiment. Ces trois réseaux ne doivent en aucun cas pouvoir communiquer entre eux. Le routage inter-VLAN doit être bloqué au niveau du pare-feu. Un invité sur le VLAN 20 ne doit jamais pouvoir accéder à votre terminal POS sur le VLAN 10. Ce n'est pas seulement une bonne pratique - c'est une exigence PCI-DSS si vous traitez des paiements par carte sur la même infrastructure physique. [pause moyenne] Le Captive Portal lui-même réside dans le cloud. Lorsqu'un invité se connecte à votre SSID invité et ouvre un navigateur, le routeur intercepte la requête HTTP et la redirige vers la page de connexion du portail. L'invité s'authentifie - par e-mail, connexion sociale ou code coupon - accepte vos conditions d'utilisation, et le portail signale au routeur d'autoriser l'accès internet pour cette adresse MAC. L'ensemble du parcours doit durer moins de 10 secondes sur un appareil mobile. Avec Purple, ce portail cloud s'intègre directement avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous configurez l'intégration RADIUS ou API une seule fois, et Purple gère l'échange d'authentification. Aucun serveur d'authentification sur site n'est requis. C'est un aspect essentiel pour les sites distants où vous ne pouvez pas exploiter un serveur RADIUS local. [pause moyenne] Troisième section : le problème du CGNAT et sa résolution. Voici le défi qui surprend la plupart des équipes informatiques. Les architectures de Captive Portal standard supposent que le portail cloud peut communiquer directement vers votre réseau local. Avec le CGNAT, c'est impossible. Les connexions entrantes sont bloquées. La solution est un tunnel inversé. Votre routeur établit une connexion sortante vers le portail cloud et la maintient ouverte en permanence. Tout le trafic d'authentification passe par ce tunnel. Le cloud n'a jamais besoin d'initier une connexion entrante. L'architecture de superposition cloud de Purple gère cela nativement - vous n'avez pas besoin de configurer manuellement WireGuard ou OpenVPN, bien que ces deux options restent des alternatives valables si vous gérez votre propre infrastructure. Si vous avez réellement besoin d'une IP fixe - par exemple, si vous gérez un serveur RADIUS sur site ou si vous avez besoin d'une liste blanche d'IP constante - Starlink Business et Maritime proposent une IP fixe en option. Au moment de l'enregistrement, cette option est disponible dans la plupart des régions. Consultez les pages des forfaits actuels de Starlink pour votre territoire spécifique. [medium pause] Section quatre : GDPR et conformité des données. C'est ici que les sites isolés et maritimes se font souvent piéger. Le fait que votre site se trouve sur un navire dans les eaux internationales, ou dans un endroit reculé, ne vous exempte pas de la conformité GDPR si vous collectez des données auprès de résidents de l'UE. Et si vous opérez dans les eaux britanniques après le Brexit, le UK GDPR s'applique. Votre Captive Portal doit présenter une case à cocher de consentement spécifique et non pré-cochée pour les communications marketing. Il doit indiquer clairement quelles données vous collectez, pourquoi, et combien de temps vous les conservez. Les conditions d'utilisation doivent être accessibles avant que l'invité ne s'authentifie. Et vous devez être en mesure de prouver, sur demande, qu'un individu spécifique a donné son consentement à une date et heure précises. Purple est certifié ISO 27001, conforme au GDPR, conforme à la CCPA et certifié Cyber Essentials. Chaque événement de connexion est enregistré avec un horodatage, une adresse IP et un enregistrement de consentement. Cette piste d'audit est ce qui vous protège si un régulateur pose des questions. [medium pause] Section cinq : gestion de la bande passante. Sur Starlink, la bande passante est votre ressource la plus limitée. Un seul passager diffusant de la vidéo 4K peut consommer 25 mégabits par seconde en continu. Sur un navire de 50 passagers disposant d'une connexion de 220 mégabits, cela représente une seule personne consommant 11 % de la capacité totale. Vous devez gérer cela au niveau du Captive Portal et du routeur. Définissez des limites de bande passante par appareil - par exemple, 5 mégabits en téléchargement et 2 mégabits en envoi par appareil invité. Mettez en place des politiques d'utilisation équitable qui réduisent le débit après un quota de données quotidien. Utilisez le modelage du trafic pour donner la priorité à la navigation web et à la messagerie plutôt qu'à la diffusion vidéo. Et envisagez un accès multiniveau : un niveau gratuit pour la connectivité de base, un niveau premium payant pour le streaming. Cela transforme votre WiFi d'un poste de coût en une source de revenus. [medium pause] Laissez-moi maintenant vous présenter deux scénarios réels. Scénario un : un navire de croisière de 120 cabines. L'opérateur utilise Starlink Maritime à 220 mégabits. Il déploie des points d'accès Cisco Meraki dans tout le navire avec trois VLAN - équipage, passagers et systèmes du navire. Le Captive Portal de Purple gère l'authentification des passagers par e-mail ou par une recherche de numéro de cabine intégrée au PMS. Chaque passager bénéficie d'un quota quotidien de 2 gigaoctets. Les passagers du niveau premium bénéficient de 10 gigaoctets. Le portail collecte des données d'e-mail de première main pour le marketing post-voyage. Résultat : les revenus du WiFi couvrent le coût de l'abonnement Starlink, et l'opérateur dispose d'une liste de marketing direct en pleine croissance. Scénario deux : un hôtel isolé dans les Highlands sans fibre. Ils utilisent Starlink Business à une moyenne de 150 mégabits. Des points d'accès HPE Aruba couvrent le bâtiment principal et trois dépendances. Les clients s'authentifient par e-mail sur le portail de Purple. L'hôtel utilise les analyses de Purple pour comprendre les heures de pointe et ajuste les politiques de bande passante en conséquence. Ils ont réduit les plaintes concernant le WiFi pour les clients de 60 % par rapport à leur configuration précédente en agrégation 4G, selon leurs propres données opérationnelles. [medium pause] Pièges courants. Laissez-moi passer en revue les cinq que je vois le plus souvent. Premièrement : oublier de réactiver le mode bypass après une réinitialisation de l'antenne. Documentez cela dans votre guide d'exploitation et configurez une alerte de surveillance sur l'interface WAN de votre routeur. Deuxièmement : ne pas bloquer le routage inter-VLAN. Chaque déploiement que j'ai examiné et qui a connu un incident de sécurité présentait cette mauvaise configuration. Vérifiez-le deux fois. Troisièmement : utiliser la redirection HTTP pour le Captive Portal sur un réseau où les clients utilisent des navigateurs HTTPS-first. Les navigateurs modernes utilisent le HTTPS par défaut. Votre routeur doit gérer l'interception HTTPS correctement, sinon les clients verront des erreurs de certificat avant d'atteindre le portail. Le portail de Purple gère cela, mais la configuration de votre routeur doit être correcte. Quatrièmement : ne pas tester séparément sur iOS et Android. L'assistant réseau captif d'Apple et la sonde réseau d'Android se comportent différemment. Testez les deux avant la mise en service. Cinquièmement : ignorer la latence. La constellation LEO de Starlink offre une latence de 20 à 40 millisecondes - bien meilleure que celle des satellites géostationnaires traditionnels. Mais lors des transitions entre satellites, vous pouvez observer de brèves pointes. Les paramètres de délai d'expiration de votre Captive Portal doivent en tenir compte. Définissez les intervalles de maintien de session (keepalive) à 60 secondes ou moins. [medium pause] Questions rapides. Ai-je besoin d'une IP fixe pour un Captive Portal sur Starlink ? Non, si votre portail utilise une architecture hébergée dans le cloud avec tunnel inversé. Oui, si vous utilisez un serveur RADIUS sur site. Puis-je diffuser plusieurs SSID sur Starlink ? Oui - vos points d'accès d'entreprise gèrent la création des SSID. Starlink en mode bypass fournit simplement la liaison montante. Vous pouvez diffuser autant de SSID que vos points d'accès le permettent. Est-ce que Purple fonctionne avec Starlink dès le départ ? Oui. Vous configurez le mode bypass sur l'antenne Starlink, connectez vos points d'accès compatibles et pointez l'intégration RADIUS ou API vers le cloud de Purple. Le portail est opérationnel en moins d'une heure. Que se passe-t-il si la connexion Starlink s'interrompt ? Le portail de Purple met en cache les sessions actives localement sur le routeur pendant une période configurable - généralement 24 heures. Les clients déjà authentifiés restent en ligne. Les nouvelles authentifications sont mises en attente jusqu'à ce que la connectivité soit rétablie. [medium pause] Pour résumer. Starlink vous fournit le canal. Votre routeur d'entreprise en mode bypass vous donne le contrôle de la couche de routage. La segmentation VLAN isole votre trafic invités, personnel et IoT. Un Captive Portal cloud - celui de Purple, en l'occurrence - gère l'authentification, le consentement GDPR, les politiques de bande passante et la collecte de données de première main. La contrainte du CGNAT est résolue par une architecture de tunnel inverse, et non par une IP statique. Et la gestion de la bande passante au niveau du portail est ce qui permet de maintenir votre connexion Starlink utilisable pour tout le monde. Si vous évaluez cette solution pour votre site, la prochaine étape consiste à vérifier le matériel de point d'accès que vous utilisez - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks ou Fortinet - et à consulter la documentation d'intégration de Purple pour cette plateforme. Vous trouverez le guide technique complet sur purple.ai, et l'équipe Purple peut vous accompagner dans la configuration d'une preuve de concept pour votre site spécifique. Merci pour votre écoute. On se retrouve au prochain briefing.