Comment configurer un Captive Portal sur Starlink : un guide pour les sites isolés et maritimes

Parlez en anglais britannique avec un ton confiant, autoritaire et conversationnel - comme un consultant senior briefant un client. Un rythme mesuré, une articulation claire, chaleureux mais professionnel. Pas de mots de remplissage. De brèves pauses occasionnelles pour insister : Bienvenue dans ce briefing technique de Purple. Je vais vous présenter tout ce que vous devez savoir sur la configuration d'un Captive Portal sur Starlink - en particulier pour les sites éloignés, les opérateurs maritimes et tous ceux qui gèrent un WiFi invité là où la fibre n'est tout simplement pas une option. [pause moyenne] Commençons par le problème. Starlink a véritablement transformé le paysage de la connectivité pour les sites qui étaient auparavant bloqués avec des liaisons satellites lentes et coûteuses ou de la 4G instable. Un navire de croisière, un hôtel isolé dans les Highlands, une base de vie de chantier, un festival au milieu d'un champ - tous ces lieux peuvent désormais obtenir de 100 à 220 mégabits par seconde grâce à une antenne de la taille d'une grande pizza. C'est remarquable. Mais voilà le problème : la connectivité brute ne représente que la moitié du travail. Dès que vous mettez cette connexion à la disposition d'invités, de passagers ou de membres d'équipage, vous avez besoin d'authentification, de contrôle d'accès, de consentement conforme au GDPR et de gestion de la bande passante. Starlink ne fournit rien de tout cela par défaut. C'est là qu'un Captive Portal entre en jeu. Et c'est ce que nous allons construire aujourd'hui. [pause moyenne] Section une : comprendre les contraintes réseau de Starlink. Avant de toucher à un routeur, vous devez comprendre ce que Starlink vous fournit réellement sur l'interface WAN. L'antenne Starlink standard se connecte à un routeur propriétaire qui gère le DHCP et le NAT. Par défaut, vous êtes derrière un NAT de classe opérateur - ce que les ingénieurs appellent CGNAT. Cela signifie que votre adresse IP WAN se situe dans la plage 100.64 à 100.127. Ce n'est pas une IP publique. Vous ne pouvez pas recevoir de connexions entrantes depuis Internet. Et cela a une importance considérable pour l'architecture du Captive Portal. La solution est le mode bypass - parfois appelé mode bridge. Vous activez cette option dans l'application Starlink sous Paramètres, puis vous cochez "Bypass Starlink WiFi router". Une fois activé, l'antenne Starlink transmet l'adresse CGNAT directement au port WAN de votre routeur d'entreprise. Le routeur Starlink cesse de gérer le DHCP et le NAT. Votre routeur prend le relais. Vous êtes toujours derrière un CGNAT, mais vous avez désormais le contrôle total de la couche de routage. Un point essentiel : si l'antenne Starlink est réinitialisée aux paramètres d'usine pour une raison quelconque, le mode bypass est désactivé. Vous devrez le réactiver. Intégrez cela dans vos procédures de site. [pause moyenne] Actuellement, Starlink propose trois niveaux d'abonnement pertinents pour les exploitants de sites. L'offre Standard vous offre jusqu'à 100 mégabits en réception, une priorité de type "best-effort" et aucune option d'IP fixe. L'offre Business vous offre jusqu'à 220 mégabits, une allocation de données prioritaires et une option d'IP fixe. L'offre Maritime vous offre les mêmes vitesses avec une portabilité mondiale - essentielle si le navire se déplace entre différentes régions océaniques. Pour tout site multi-utilisateur, je recommande au minimum l'offre Business ou Maritime. Les données "best-effort" sur l'offre Standard signifient que vos invités perdent leur priorité dès que la cellule satellite est saturée. [pause moyenne] Deuxième section : la pile d'architecture. Voici la pile à quatre couches que vous construisez. La première couche est la liaison montante Starlink en mode bypass. La deuxième couche est votre routeur ou pare-feu d'entreprise - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - n'importe lequel d'entre eux convient. La troisième couche est la segmentation VLAN au niveau du commutateur ou du point d'accès. La quatrième couche est le Captive Portal cloud, qui gère l'authentification, le consentement et les analyses. Permettez-moi de m'attarder un instant sur la segmentation VLAN car elle est non négociable. Vous devez disposer au minimum de trois VLAN. Le VLAN 10 pour le personnel - il transporte vos systèmes POS, vos applications de back-office et votre trafic de gestion. Le VLAN 20 pour les invités - il s'agit du segment réservé à internet qui accède au Captive Portal. Le VLAN 30 pour l'IoT - caméras, thermostats intelligents, systèmes de gestion technique du bâtiment. Ces trois réseaux ne doivent pas pouvoir communiquer entre eux. Le routage inter-VLAN doit être bloqué au niveau du pare-feu. Un invité sur le VLAN 20 ne doit jamais pouvoir accéder à votre terminal POS sur le VLAN 10. Ce n'est pas seulement une bonne pratique - c'est une exigence PCI-DSS si vous traitez des paiements par carte sur la même infrastructure physique. [pause moyenne] Le Captive Portal lui-même réside dans le cloud. Lorsqu'un invité se connecte à votre SSID invité et ouvre un navigateur, le routeur intercepte la requête HTTP et la redirige vers la page de connexion du portail. L'invité s'authentifie - via e-mail, connexion sociale ou code coupon - accepte vos conditions d'utilisation, et le portail signale au routeur d'accorder l'accès internet à cette adresse MAC. L'ensemble du processus doit se dérouler en moins de 10 secondes sur un appareil mobile. Avec Purple, ce portail cloud s'intègre directement avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous configurez l'intégration RADIUS ou API une seule fois, et Purple gère la liaison d'authentification. Aucun serveur d'authentification sur site n'est requis. C'est essentiel pour les sites distants où vous ne pouvez pas exécuter de serveur RADIUS local. [pause moyenne] Troisième section : le problème du CGNAT et comment le résoudre. Voici le défi qui surprend la plupart des équipes informatiques. Les architectures de Captive Portal standard supposent que le portail cloud peut accéder à votre réseau. Avec le CGNAT, c'est impossible. Les connexions entrantes sont bloquées. La solution est un tunnel inverse. Votre routeur établit une connexion sortante vers le portail cloud et la maintient ouverte de manière persistante. Tout le trafic d'authentification passe par ce tunnel. Le cloud n'a jamais besoin d'initier une connexion entrante. L'architecture d'overlay cloud de Purple gère cela de manière native - vous n'avez pas besoin de configurer manuellement WireGuard ou OpenVPN, bien que les deux soient des alternatives valides si vous gérez votre propre infrastructure. Si vous avez absolument besoin d'une IP statique - par exemple, si vous gérez un serveur RADIUS sur site ou si vous devez configurer une liste d'autorisation d'IP cohérente - Starlink Business et Maritime proposent une IP statique en option. Au moment de cet enregistrement, cette option est disponible dans la plupart des régions. Consultez les pages des forfaits actuels de Starlink pour votre territoire spécifique. [medium pause] Section quatre : GDPR et conformité des données. C'est là que les sites isolés et maritimes se font souvent piéger. Le fait que votre établissement se trouve sur un navire dans les eaux internationales, ou dans un lieu éloigné, ne vous exempte pas du GDPR si vous collectez des données auprès de résidents de l'UE. Et si vous opérez dans les eaux britanniques après le Brexit, le UK GDPR s'applique. Votre Captive Portal doit présenter une case à cocher de consentement spécifique et non pré-cochée pour les communications marketing. Il doit indiquer clairement quelles données vous collectez, pourquoi, et combien de temps vous les conservez. Les conditions d'utilisation doivent être accessibles avant que l'invité ne s'authentifie. Et vous devez être en mesure de prouver, sur demande, qu'une personne spécifique a donné son consentement à une date et une heure précises. Purple est certifié ISO 27001, conforme au GDPR, conforme au CCPA et certifié Cyber Essentials. Chaque événement de connexion est enregistré avec un horodatage, une adresse IP et un enregistrement de consentement. Cette piste d'audit est ce qui vous protège si un régulateur pose des questions. [medium pause] Section cinq : gestion de la bande passante. Sur Starlink, la bande passante est votre ressource la plus limitée. Un seul passager diffusant de la vidéo 4K peut consommer 25 mégabits par seconde en continu. Sur un navire de 50 passagers disposant d'une connexion de 220 mégabits, cela représente une seule personne accaparant 11 % de la capacité totale. Vous devez traiter ce problème au niveau du Captive Portal et du routeur. Définissez des limites de bande passante par appareil - par exemple, 5 mégabits en téléchargement et 2 mégabits en téléversement par appareil invité. Mettez en œuvre des politiques d'utilisation équitable qui limitent le débit après un quota de données quotidien. Utilisez le façonnage du trafic pour prioriser la navigation web et la messagerie par rapport au streaming vidéo. Et envisagez un accès à plusieurs niveaux : un niveau gratuit pour la connectivité de base, un niveau premium payant pour le streaming. Cela transforme votre WiFi d'un centre de coût en une source de revenus. [medium pause] Laissez-moi maintenant vous présenter deux scénarios concrets. Scénario un : un navire de croisière de 120 cabines. L'opérateur utilise Starlink Maritime à 220 mégabits. Ils déploient des points d'accès Cisco Meraki dans tout le navire avec trois VLAN - équipage, passagers et systèmes du navire. Le Captive Portal de Purple gère l'authentification des passagers par e-mail ou par recherche de numéro de cabine intégrée au PMS. Chaque passager bénéficie d'un quota quotidien de 2 gigaoctets. Les passagers du niveau premium bénéficient de 10 gigaoctets. Le portail collecte des adresses e-mail de première partie pour le marketing post-voyage. Résultat : les revenus du WiFi couvrent le coût de l'abonnement Starlink, et l'opérateur dispose d'une liste de marketing direct en pleine croissance. Scénario deux : un hôtel isolé dans les Highlands sans fibre. Ils utilisent Starlink Business à une moyenne de 150 mégabits. Des points d'accès HPE Aruba couvrent le bâtiment principal et trois dépendances. Les clients s'authentifient par e-mail sur le portail de Purple. L'hôtel utilise les analyses de Purple pour comprendre les heures de pointe et ajuste les politiques de bande passante en conséquence. Ils ont réduit les plaintes concernant le WiFi pour les clients de 60 % par rapport à leur configuration précédente en agrégation de liens 4G, selon leurs propres données opérationnelles. [medium pause] Pièges courants. Laissez-moi passer en revue les cinq que je rencontre le plus souvent. Un : oublier de réactiver le mode bypass après une réinitialisation de l'antenne. Documentez cela dans votre guide d'exploitation et configurez une alerte de surveillance sur l'interface WAN de votre routeur. Deux : ne pas bloquer le routage inter-VLAN. Tous les déploiements que j'ai examinés et qui ont connu un incident de sécurité présentaient cette mauvaise configuration. Vérifiez-le à deux fois. Trois : utiliser une redirection HTTP pour le Captive Portal sur un réseau où les clients utilisent des navigateurs HTTPS-first. Les navigateurs modernes utilisent HTTPS par défaut. Votre routeur doit gérer l'interception HTTPS correctement, sinon les clients verront des erreurs de certificat avant d'accéder au portail. Le portail de Purple gère cela, mais la configuration de votre routeur doit être correcte. Quatre : ne pas tester sur iOS et Android séparément. Le Captive Network Assistant d'Apple et la détection réseau d'Android se comportent différemment. Testez les deux avant la mise en service. Cinq : ignorer la latence. La constellation LEO de Starlink offre une latence de 20 à 40 millisecondes - bien meilleure que celle des satellites géostationnaires traditionnels. Mais pendant les transferts entre satellites, vous pouvez constater de brèves hausses. Les paramètres de délai d'expiration de votre Captive Portal doivent en tenir compte. Définissez les intervalles de maintien de session (keepalive) à 60 secondes ou moins. [medium pause] Questions rapides. Ai-je besoin d'une IP fixe pour un Captive Portal sur Starlink ? Non, si votre portail utilise une architecture hébergée dans le cloud avec tunnel inversé. Oui, si vous utilisez un serveur RADIUS sur site. Puis-je configurer plusieurs SSIDs sur Starlink ? Oui - vos points d'accès d'entreprise gèrent la création de SSIDs. Starlink en mode bypass fournit simplement la liaison montante. Vous pouvez configurer autant de SSIDs que vos points d'accès le permettent. Est-ce que Purple fonctionne avec Starlink sans configuration complexe ? Oui. Vous configurez le mode bypass sur l'antenne Starlink, connectez vos points d'accès pris en charge et pointez l'intégration RADIUS ou API vers le cloud de Purple. Le portail est opérationnel en moins d'une heure. Que se passe-t-il si la connexion Starlink est interrompue ? Le portail de Purple met en cache les sessions actives localement sur le routeur pendant une période configurable - généralement 24 heures. Les clients déjà authentifiés restent en ligne. Les nouvelles authentifications sont mises en attente jusqu'au rétablissement de la connexion. [medium pause] En résumé. Starlink vous fournit le tuyau. Votre routeur d'entreprise en mode bypass vous donne le contrôle de la couche de routage. La segmentation VLAN isole les flux de vos invités, de votre personnel et de vos objets connectés. Un Captive Portal cloud - celui de Purple, en l'occurrence - gère l'authentification, le consentement GDPR, la politique de bande passante et la collecte de données de première partie. La contrainte du CGNAT est résolue par une architecture de tunnel inversé, et non par une IP statique. Enfin, la gestion de la bande passante au niveau du portail est ce qui maintient votre connexion Starlink utilisable pour tout le monde. Si vous évaluez cette solution pour votre site, la prochaine étape consiste à vérifier le matériel de point d'accès que vous utilisez - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks ou Fortinet - et à valider la documentation d'intégration de Purple pour cette plateforme. Vous trouverez le guide technique complet sur purple.ai, et l'équipe Purple peut vous accompagner dans la configuration d'un proof-of-concept pour votre site spécifique. Merci pour votre écoute. On se retrouve lors de la prochaine présentation.