Comment configurer un Captive Portal sur Starlink : Un guide pour les secteurs maritime, du transport et des sites isolés

Comment configurer un Captive Portal sur Starlink : Un guide pour le transport, le secteur maritime et les sites isolés [INTRODUCTION - environ 1 minute] Parfait. Vous disposez donc de Starlink. L'antenne est installée sur le toit de votre terminal de ferry, boulonnée au mât d'un navire, ou orientée vers le ciel depuis un camp de construction isolé. Internet fonctionne. C'est fantastique. Mais voici le problème pour lequel personne ne vous a mis en garde : par défaut, Starlink vous fournit un accès brut. Juste un canal d'accès. Pas d'authentification. Pas de personnalisation de marque. Pas de collecte de consentement conforme au GDPR. Aucun moyen de savoir qui est sur votre réseau, quelle quantité de bande passante ils consomment, ou même si vous êtes légalement couvert par la législation sur la protection des données. C'est précisément le vide que cet épisode vient combler. Je vais vous expliquer exactement comment superposer un véritable Captive Portal d'entreprise à votre connexion Starlink - en abordant l'architecture, le problème de CGNAT auquel vous serez immédiatement confronté, la segmentation VLAN pour les sites maritimes et isolés, et la manière dont des plateformes comme Purple s'intègrent dans cette infrastructure. Que vous gériez une ligne de ferry, un hôtel isolé, une aire d'autoroute ou un camp de construction, la problématique de base reste la même, et la solution l'est aussi. Entrons dans le vif du sujet. [ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes] Tout d'abord, comprenons ce que Starlink vous fournit réellement au niveau de la couche réseau. Starlink fournit une connectivité via des satellites en orbite terrestre basse. L'antenne se connecte à un routeur - soit le routeur Starlink d'origine, soit, pour les offres Business et Maritime, un adaptateur Ethernet qui vous permet de brancher votre propre équipement. La principale contrainte technique que vous devez immédiatement assimiler est le CGNAT - Carrier-Grade Network Address Translation. Avec les abonnements Starlink standards, vous êtes positionné derrière une IP publique partagée. Vous ne bénéficiez pas d'une adresse IP publique dédiée, et vous ne pouvez pas accepter de connexions entrantes. Ce n'est pas un bug - c'est la méthode de Starlink pour gérer l'espace d'adresses IP de ses millions d'abonnés. Pourquoi le CGNAT est-il un problème pour les portails captifs ? Parce que les architectures traditionnelles de Captive Portal reposent souvent sur des connexions entrantes - pour les retours d'authentification RADIUS, pour l'accès d'administration, pour la logique de redirection du portail. Si votre système de Captive Portal nécessite une IP publique statique ou une redirection de port entrant, il ne fonctionnera pas de manière fiable derrière le CGNAT de Starlink. Point final. La solution réside dans une architecture RADIUS cloud-native. Au lieu que votre contrôleur sur site tente de recevoir des requêtes d'authentification entrantes, le flux d'authentification s'effectue de manière sortante - depuis votre matériel sur site vers un serveur RADIUS cloud. C'est précisément ce que fait la plateforme de Purple. Le contrôleur sur site initie une connexion sortante vers l'infrastructure RADIUS cloud de Purple. La page d'accueil est hébergée dans le cloud. L'échange d'authentification s'effectue via ce tunnel sortant. Le CGNAT n'est plus un obstacle car vous n'avez jamais besoin de connexion entrante.Maintenant, la deuxième chose à faire est de contourner le routeur Starlink d'origine. Le routeur Starlink est un appareil grand public. Il ne prend pas en charge les VLAN, ne propose pas de fonctionnalité de Captive Portal, n'offre aucun contrôle de bande passante par utilisateur et ne dispose d'aucun point d'intégration pour les systèmes d'authentification d'entreprise. Vous devez le basculer en mode bypass - ou utiliser l'adaptateur ethernet sur le matériel Business et Performance - et le remplacer par un routeur d'entreprise managé. Les plateformes avec lesquelles nous travaillons le plus couramment dans ce contexte sont Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi. Elles prennent toutes en charge le marquage VLAN, l'intégration RADIUS et la configuration de walled garden requise par les Captive Portals. Laissez-moi vous présenter l'architecture VLAN à implémenter. Sur un navire maritime, vous avez généralement besoin d'au moins trois VLAN. Le VLAN 10 pour le WiFi des invités ou des passagers - c'est là que se trouve le Captive Portal. Le VLAN 20 pour l'équipage ou le personnel - généralement sur un SSID distinct avec une authentification différente. Le VLAN 30 pour les opérations, les systèmes de navigation ou les appareils IoT - complètement isolé des deux autres, avec des règles de pare-feu strictes empêchant tout mouvement latéral. Sur un camp de construction isolé ou un hub de transport, la même logique s'applique : l'accès invité, l'accès du personnel et les systèmes opérationnels ne doivent jamais partager un domaine de diffusion. Le flux du Captive Portal lui-même fonctionne ainsi. Un passager ou un invité se connecte au SSID ouvert sur le VLAN 10. L'assistant de réseau captif de son appareil - le CNA - détecte que l'accès à internet est bloqué. Sur iOS, un pop-up apparaît. Sur Android, une notification se déclenche. Sur Windows, une fenêtre de navigateur s'ouvre. Tous ces éléments redirigent vers la splash page de Purple, hébergée dans le cloud. Le visiteur effectue son parcours de connexion - inscription par e-mail, connexion via les réseaux sociaux ou code coupon - et accepte vos conditions. Le serveur de la splash page de Purple renvoie un jeton d'authentification unique au contrôleur local. Le contrôleur transmet ce jeton au serveur cloud RADIUS de Purple. Le RADIUS renvoie un message Access Accept. Le contrôleur supprime la restriction du Captive Portal pour l'adresse MAC de cet appareil. Le visiteur est connecté. Le walled garden est une étape de configuration essentielle. Avant la fin de l'authentification, les seuls domaines que l'appareil peut atteindre sont ceux requis pour le chargement du portail - l'infrastructure de la splash page de Purple, tous les points de terminaison de connexion sociale et les URL de détection CNA utilisées par les systèmes d'exploitation. Tout le reste est bloqué. Vous configurez ce walled garden dans votre routeur d'entreprise ou votre contrôleur sans fil. Purple fournit la liste de domaines spécifique que vous devez ajouter à la liste blanche - reportez-vous à la documentation d'assistance sur support.purple.ai pour obtenir la liste à jour.Encore une chose sur le plan technique : les certificats SSL. Si vous utilisez un Cisco WLC, il existe un problème connu où la redirection d'authentification web atterrit sur une URL HTTP, et non HTTPS. Les navigateurs modernes affichent alors un avertissement de sécurité. La solution consiste à installer un certificat SSL de confiance publique sur le WLC et à configurer le nom d'hôte virtuel pour qu'il corresponde au Common Name du certificat. Purple propose un article de support dédié à ce sujet pour les contrôleurs de la gamme Cisco Catalyst 9800 - je le mettrai en lien dans les notes de l'émission. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Laissez-moi vous présenter les trois problèmes les plus courants lors des déploiements de portails captifs Starlink. Numéro un : ne pas prendre en compte le CGNAT dès le premier jour. Les équipes commandent le matériel, configurent tout sur table, testent sur une connexion haut débit standard, et cela fonctionne parfaitement. Puis elles le déploient derrière Starlink et l'authentification échoue. La solution consiste à choisir un fournisseur RADIUS cloud - comme Purple - avant de commencer, et à confirmer que la plateforme choisie utilise des flux d'authentification uniquement sortants. Ne supposez pas qu'une plateforme de Captive Portal gère le CGNAT sans problème. Posez explicitement la question. Numéro deux : une conception de réseau à plat. Je vois cela constamment sur les navires et les sites isolés. Le Starlink est installé, quelqu'un y branche un routeur WiFi grand public, et soudain l'équipage, les invités, les systèmes de navigation et les caméras de vidéosurveillance se retrouvent tous sur le même sous-réseau. Un seul appareil d'équipage compromis peut alors accéder aux systèmes opérationnels. Un seul invité diffusant de la vidéo 4K sature la liaison pour tout le monde. La segmentation VLAN n'est pas optionnelle sur une connexion satellite partagée. C'est la différence entre un réseau managé et un risque majeur. Numéro trois : oublier l'assistant de connexion réseau (CNA) sur macOS. Le macOS d'Apple n'autorise pas les cookies dans la session du navigateur CNA. Le Captive Portal de Purple nécessite un cookie de session pour maintenir le parcours de connexion. Sur les ordinateurs portables macOS, la fenêtre contextuelle du CNA redirigera les visiteurs vers neverssl.com - un site HTTP simple qui déclenche correctement la redirection sans interférence SSL. Assurez-vous que votre équipe de support le sait, et envisagez d'ajouter une note sur votre portail de connexion pour les utilisateurs d'ordinateurs portables. Côté matériel : pour les déploiements maritimes, utilisez le kit Starlink Performance - l'unité sous boîtier en aluminium conçue pour les environnements difficiles. Elle est certifiée pour une durée de vie de 10 ans et fonctionne à la fois sur alimentation CA et CC. Pour les sites terrestres isolés, le kit Business standard est généralement suffisant, mais prévoyez un onduleur si la stabilité de l'alimentation pose question. [QUESTIONS-RÉPONSES RAPIDES - environ 1 minute] Questions rapides que l'on me pose tout le temps. Puis-je utiliser le routeur Starlink natif pour un Captive Portal ? Non. Il ne gère pas les VLAN et ne propose pas d'intégration RADIUS. Contournez-le. Ai-je besoin d'une IP fixe pour que le Captive Portal de Purple fonctionne ? Non. L'architecture RADIUS cloud de Purple fonctionne derrière un CGNAT. Aucune IP fixe n'est requise. Que se passe-t-il lorsque Starlink se déconnecte en cours de session ? Les sessions authentifiées persistent généralement jusqu'à l'expiration de leur délai de session. Les nouvelles authentifications se mettront en file d'attente jusqu'au rétablissement de la connectivité. Configurez votre délai de session pour qu'il corresponde à votre fenêtre d'interruption attendue. Est-ce conforme au GDPR ? Oui, lorsqu'il est configuré correctement. Purple capture des abonnements par choix conscient avec un consentement explicite sur la splash page. Les données sont traitées conformément au GDPR et Purple détient la certification ISO 27001. Puis-je gérer plusieurs sites depuis un seul tableau de bord ? Oui. La plateforme de Purple gère plus de 80 000 sites actifs à partir d'un écran unique. Les sites distants, les navires et les plateformes de transport apparaissent tous dans la même interface de gestion. [RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute] Très bien, résumons. Le message principal est le suivant : Starlink résout le problème de connectivité sur les sites distants et maritimes. Il ne résout pas le problème du contrôle d'accès, de la conformité ou des analyses. Vous avez besoin d'une couche d'entreprise par-dessus. Les trois choses à faire cette semaine : premièrement, confirmez le niveau de votre équipement Starlink et déterminez si vous disposez d'un accès par adaptateur ethernet pour le mode bypass. Deuxièmement, sélectionnez un contrôleur WiFi d'entreprise dans la liste des équipements compatibles - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist ou Ubiquiti UniFi sont tous de bons choix. Troisièmement, contactez Purple au sujet de l'offre Connect - c'est le point de départ pour le déploiement de Captive Portal et elle comprend le cloud RADIUS, l'éditeur de splash page et la capture de consentement conforme au GDPR. Le guide écrit complet avec les schémas d'architecture, les exemples pratiques et les références de configuration est disponible sur purple.ai. Si vous effectuez un déploiement spécifiquement dans un contexte maritime ou de transport, la section des guides propose un article dédié à cette configuration exacte. Merci pour votre écoute. Dans le prochain épisode, nous aborderons la configuration de l'authentification RADIUS pour les réseaux d'entreprise multi-sites - même public, même niveau de détail. À bientôt.