Come configurare un Captive Portal su Starlink per il WiFi ospiti

Benvenuti al Purple Technical Briefing. Oggi risponderemo a una domanda che sorge sempre più spesso man mano che Starlink raggiunge strutture che la fibra semplicemente non può servire: come configurare un Captive Portal adeguato per il WiFi ospiti su una connessione Starlink? Vi guiderò attraverso l'architettura, i vincoli da comprendere prima di toccare un singolo file di configurazione e i passaggi di implementazione che funzionano effettivamente in produzione. Copriremo due scenari reali, le cinque trappole più comuni e concluderemo con risposte rapide alle domande che i team IT ci pongono ogni settimana. Iniziamo con il capire perché questo non è un problema banale. Starlink ha davvero cambiato il panorama della connettività per le strutture che in precedenza erano bloccate con collegamenti satellitari lenti e costosi o con un 4G instabile. Un hotel remoto in montagna, una nave da crociera, l'area di un festival in mezzo a un campo, un modulo per il benessere in un cantiere - tutti questi possono ora ottenere tra 100 e 220 megabit al secondo da un'antenna delle dimensioni di una pizza grande. Questo è straordinario. Ma la connettività pura è solo metà del lavoro. Nel momento in cui metti quella connessione a disposizione degli ospiti, hai bisogno di autenticazione, controllo degli accessi, acquisizione del consenso conforme al GDPR e gestione della larghezza di banda. Starlink non offre nulla di tutto questo di serie. È qui che entra in gioco un Captive Portal. Sezione uno: comprendere i vincoli di rete di Starlink. Prima di toccare un router, è necessario capire cosa fornisce effettivamente Starlink sull'interfaccia WAN. L'antenna Starlink standard si collega a un router proprietario che gestisce DHCP e NAT. Per impostazione predefinita, vi trovate dietro a un Carrier Grade NAT - quello che gli ingegneri chiamano CGNAT. Il vostro indirizzo IP WAN si trova nell'intervallo da 100.64 a 100.127. Non è un IP pubblico. Non è possibile ricevere connessioni in entrata da internet. E questo ha un'importanza enorme per l'architettura del Captive Portal. I piani residenziali e Roam di Starlink limitano le sessioni simultanee a 1.200. Per un hotel affollato o uno spazio per eventi con centinaia di dispositivi, questo limite diventa un vero e proprio vincolo. La soluzione è la modalità bypass. Questa opzione si attiva nell'app Starlink alla voce Impostazioni, attivando poi l'opzione Bypass Starlink WiFi router. Una volta abilitata, l'antenna Starlink passa l'indirizzo CGNAT direttamente alla porta WAN del vostro router aziendale. Il router Starlink smette di gestire DHCP e NAT. Il vostro router prende il controllo. Sarete ancora dietro CGNAT, ma ora avrete il controllo completo del livello di instradamento. Un punto critico: se l'antenna Starlink viene ripristinata alle impostazioni di fabbrica per qualsiasi motivo, la modalità bypass viene disattivata. Sarà necessario riabilitarla. Inserite questo passaggio nel manuale operativo del vostro sito.Ora Starlink offre tre livelli di abbonamento adatti ai gestori di sedi ed eventi. I piani Residential e Roam offrono fino a 100 megabit in download, priorità di tipo "best-effort" e nessuna opzione IP statico. Starlink for Business offre fino a 220 megabit, allocazione dei dati prioritaria e un componente aggiuntivo per l'IP statico. Starlink Maritime offre le stesse velocità con portabilità globale - fondamentale se l'imbarcazione si sposta tra diverse regioni oceaniche. Per qualsiasi sede multi-utente, consiglio come minimo la versione Business o Maritime. L'uso di dati "best-effort" nel piano residenziale implica che la connessione dei tuoi ospiti perderà priorità ogni volta che la cella satellitare sarà congestionata. Seconda sezione: lo stack dell'architettura. Ecco lo stack a quattro livelli che andrai a realizzare. Il livello uno è l'uplink Starlink in modalità bypass. Il livello due è il tuo firewall o router aziendale. Il livello tre è la segmentazione VLAN a livello di switch o access point. Il livello quattro è il Captive Portal in cloud, che gestisce autenticazione, consenso e analisi dei dati. Vorrei soffermarmi un attimo sulla segmentazione VLAN perché è un requisito non negoziabile. Sono necessarie almeno tre VLAN. VLAN 10 per lo staff - questa trasporta i sistemi POS, le applicazioni di back-office e il traffico di gestione. VLAN 20 per gli ospiti - questo è il segmento dedicato solo a internet che reindirizza al Captive Portal. VLAN 30 per l'IoT - telecamere, termostati intelligenti, sistemi di gestione dell'edificio. Queste tre reti non devono poter comunicare tra loro. Il routing inter-VLAN deve essere bloccato a livello di firewall. Un ospite sulla VLAN 20 non deve mai essere in grado di raggiungere il terminale POS sulla VLAN 10. Questa non è solo una buona pratica - è un requisito PCI DSS se gestisci pagamenti con carta su una qualsiasi parte della stessa infrastruttura fisica. Il Captive Portal stesso risiede nel cloud. Quando un ospite si connette al tuo SSID ospiti e apre un browser, il router intercetta la richiesta HTTP e la reindirizza alla pagina di login del portale. L'ospite si autentica - tramite email, login social o codice voucher - accetta i termini di servizio e il portale segnala al router di concedere l'accesso a internet a quell'indirizzo MAC. L'intero flusso dovrebbe completarsi in meno di 10 secondi su un telefono cellulare. Il portale cloud di Purple si integra direttamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Configuri l'integrazione RADIUS o API una sola volta e Purple gestisce l'handshake di autenticazione. Non è richiesto alcun server di autenticazione locale. Questo è fondamentale per le sedi remote dove non è possibile gestire un server RADIUS locale. Terza sezione: il problema del CGNAT e come risolverlo. Ecco la sfida che coglie di sorpresa la maggior parte dei team IT. Le architetture standard di Captive Portal presuppongono che il portale cloud possa raggiungere la tua rete interna. Con il CGNAT, questo è impossibile. Le connessioni in entrata sono bloccate.La soluzione è un tunnel inverso. Il tuo router stabilisce una connessione in uscita verso il portale cloud e la mantiene aperta in modo persistente. Tutto il traffico di autenticazione scorre attraverso quel tunnel. Il cloud non ha mai bisogno di avviare una connessione in entrata. L'architettura overlay cloud di Purple gestisce questo aspetto in modo nativo. Se hai effettivamente bisogno di un IP statico, Starlink Business e Maritime lo offrono come opzione aggiuntiva. Controlla le pagine dei piani attuali di Starlink per il tuo territorio specifico. Sezione quattro: GDPR e conformità dei dati. È qui che le sedi remote spesso vengono colte di sorpresa. Il fatto che la tua sede si trovi in una posizione remota non ti esenta dal GDPR se raccogli dati da residenti nel Regno Unito o nell'UE. Il tuo Captive Portal deve presentare una casella di controllo specifica e non selezionata per il consenso alle comunicazioni di marketing. Deve indicare chiaramente quali dati stai raccogliendo, perché e per quanto tempo li conserverai. Le condizioni di servizio devono essere accessibili prima che l'ospite si autentichi. Purple è certificata ISO 27001, conforme al GDPR, conforme al CCPA e certificata Cyber Essentials. Ogni evento di accesso viene registrato con un timestamp, un indirizzo IP e un registro del consenso. Questo percorso di controllo è ciò che ti protegge se un'autorità di regolamentazione pone delle domande. Sezione cinque: gestione della larghezza di banda. Su Starlink, la larghezza di banda è la tua risorsa più limitata. Un singolo ospite che riproduce video in streaming in 4K può consumare 25 megabit al secondo in modo continuo. In una sede con 50 ospiti e una connessione da 220 megabit, ciò equivale a una sola persona che occupa l'11% della capacità totale. Puoi risolvere questo problema a livello di Captive Portal e di router. Imposta limiti di larghezza di banda per dispositivo. Implementa criteri di utilizzo corretto che riducono la velocità dopo una quota di dati giornaliera. Utilizza il traffic shaping per dare priorità alla navigazione web rispetto allo streaming video. E prendi in considerazione l'accesso a livelli: un livello gratuito per la connettività di base, un livello premium a pagamento per lo streaming. Questo trasforma il tuo WiFi da una voce di costo in una fonte di ricavi. Ora ti presento due scenari del mondo reale. Scenario uno: un hotel di montagna remoto con 40 camere e senza fibra. Utilizzano Starlink per il Business a una media di 150 megabit. Gli access point HPE Aruba coprono l'edificio principale e tre dependance. Gli ospiti si autenticano tramite email sul portale Purple. I reclami relativi al WiFi degli ospiti sono diminuiti del 60% rispetto alla loro precedente configurazione con bonding 4G. Il portale acquisisce anche dati email di prima parte, che alimentano direttamente le loro campagne di marketing post soggiorno. Scenario due: una nave da crociera con 120 cabine che utilizza Starlink Maritime a 220 megabit. L'operatore distribuisce access point Cisco Meraki in tutta la nave con tre VLAN - equipaggio, passeggeri e sistemi di bordo. Il Captive Portal di Purple gestisce l'autenticazione dei passeggeri tramite email o una ricerca del numero di cabina integrata con il sistema di gestione della struttura. I ricavi del WiFi coprono il costo dell'abbonamento Starlink e l'operatore dispone di un elenco di marketing diretto in costante crescita. Errori di implementazione. Permettimi di passare in rassegna i cinque che vedo più spesso. Uno: dimenticare di riabilitare la modalità bypass dopo un ripristino dell'antenna. Documenta questo aspetto nel tuo manuale operativo. Due: non bloccare il routing inter-VLAN. Ogni installazione che ho esaminato che ha avuto un incidente di sicurezza presentava questa errata configurazione. Controllalo due volte. Tre: utilizzare il reindirizzamento HTTP su una rete in cui gli ospiti utilizzano browser che prediligono HTTPS. I browser moderni utilizzano HTTPS per impostazione predefinita. Il router deve gestire correttamente l'intercettazione HTTPS, altrimenti gli ospiti visualizzeranno errori di certificato prima di raggiungere il portale. Quattro: non testare separatamente su iOS e Android. Apple Captive Network Assistant e il probe di rete di Android si comportano in modo diverso. Testali entrambi prima del go-live. Cinque: ignorare la latenza. La costellazione in orbita bassa terrestre di Starlink offre una latenza da 20 a 40 millisecondi. Ma durante i passaggi di consegna tra i satelliti, si possono riscontrare brevi picchi. Imposta gli intervalli di sessione keepalive a 60 secondi o meno. Domande a raffica. Ho bisogno di un IP statico per un Captive Portal su Starlink? No, se il tuo portale utilizza un'architettura ospitata in cloud con reverse tunneling. Sì, se utilizzi un RADIUS on-premises. Posso eseguire più SSID su Starlink? Sì. I tuoi access point aziendali gestiscono la creazione degli SSID. Starlink in bypass mode fornisce semplicemente l'uplink. Purple funziona con Starlink nativamente? Sì. Configuri la bypass mode sulla parabola Starlink, connetti i tuoi access point supportati e indirizzi l'integrazione RADIUS o API al cloud di Purple. Il portale è attivo entro un'ora. Cosa succede se la connessione Starlink si interrompe? Il portale Purple memorizza nella cache locale del router le sessioni attive per un periodo configurabile - in genere 24 ore. Gli ospiti che sono già autenticati rimangono online. Per riassumere. Starlink ti fornisce la banda. Il tuo router aziendale in bypass mode ti offre il controllo sul livello di routing. La segmentazione VLAN isola il traffico di ospiti, personale e IoT. Un Captive Portal in cloud gestisce l'autenticazione, il consenso GDPR, la policy sulla larghezza di banda e la raccolta di dati di prima parte. Il vincolo CGNAT viene risolto dall'architettura con reverse tunnel, non dall'IP statico. Purple opera in oltre 80.000 sedi attive in più di 90 paesi e ha elaborato 440 milioni di accessi nel 2024. La piattaforma è indipendente dall'hardware, cloud-native e si distribuisce come un livello superiore alla tua infrastruttura esistente. Nessuna sostituzione radicale richiesta. Se desideri vedere come funziona nel tuo ambiente specifico, visita purple.ai e prenota una consulenza tecnica. Il team mapperà l'architettura sul tuo hardware e renderà operativo un proof of concept entro un giorno. Grazie per l'attenzione. Ci vediamo nel prossimo briefing.