Come configurare un Captive Portal su Starlink: una guida per sedi remote e marittime

Parla in inglese britannico con un tono sicuro, autorevole e colloquiale - come un consulente senior che fa un briefing con un cliente. Ritmo misurato, articolazione chiara, caloroso ma professionale. Nessuna parola di riempimento. Occasionali brevi pause per enfatizzare i passaggi chiave: Benvenuti al briefing tecnico di Purple. Oggi vi guiderò attraverso tutto ciò che c'è da sapere sulla configurazione di un captive portal su Starlink - specificamente per location remote, operatori marittimi e chiunque offra WiFi per gli ospiti dove la fibra non è un'opzione praticabile. [pausa media] Cominciamo dal problema. Starlink ha davvero rivoluzionato il panorama della connettività per quelle location che prima erano costrette a usare connessioni satellitari lente e costose o un 4G instabile. Una nave da crociera, un hotel di montagna isolato, un container per il benessere del personale in un cantiere, l'area di un festival in mezzo a un prato - tutti questi scenari possono ora ottenere da 100 a 220 megabit al secondo da un'antenna grande quanto una pizza gigante. È straordinario. Ma c'è un punto fondamentale: la connettività pura e semplice è solo metà dell'opera. Nel momento in cui mettete quella connessione a disposizione di ospiti, passeggeri o dell'equipaggio, avrete bisogno di autenticazione, controllo degli accessi, consenso conforme al GDPR e gestione della larghezza di banda. Starlink non offre nulla di tutto questo di serie. Ed è qui che entra in gioco un captive portal. Ed è proprio questo che andremo a configurare oggi. [pausa media] Sezione uno: comprendere i vincoli di rete di Starlink. Prima di toccare un router, dovete capire cosa vi fornisce effettivamente Starlink sull'interfaccia WAN. L'antenna Starlink standard si collega a un router proprietario che gestisce DHCP e NAT. Per impostazione predefinita, vi trovate dietro a un NAT di tipo carrier-grade - quello che gli ingegneri chiamano CGNAT. Ciò significa che il vostro indirizzo IP WAN rientra nell'intervallo da 100.64 a 100.127. Non è un IP pubblico. Non potete ricevere connessioni in entrata da internet. E questo ha un impatto enorme sull'architettura del captive portal. La soluzione è la modalità bypass - a volte chiamata modalità bridge. Potete abilitarla nell'app Starlink sotto Impostazioni, attivando l'opzione "Bypass Starlink WiFi router". Una volta abilitata, l'antenna Starlink trasmette l'indirizzo CGNAT direttamente alla porta WAN del vostro router aziendale. Il router Starlink smette di gestire DHCP e NAT. Il vostro router prende il controllo. Sarete ancora dietro a CGNAT, ma ora avrete il controllo completo del livello di routing. Un punto critico: se l'antenna Starlink viene ripristinata alle impostazioni di fabbrica per qualsiasi motivo, la modalità bypass si disattiva. Dovrete riabilitarla. Inserite questo passaggio nel manuale operativo del vostro sito. [pausa media] Ora, Starlink offre tre piani tariffari rilevanti per i gestori delle location. Standard offre fino a 100 megabit in download, priorità "best-effort" e nessuna opzione di IP statico. Business offre fino a 220 megabit, allocazione prioritaria dei dati e l'opzione per un IP statico aggiuntivo. Maritime offre le stesse velocità con portabilità globale - fondamentale se l'imbarcazione si sposta tra diverse regioni oceaniche. Per qualsiasi location multi-utente, consiglio come minimo Business o Maritime. I dati "best-effort" del piano Standard significano che il traffico dei vostri ospiti perderà priorità ogni volta che la cella satellitare sarà congestionata. [pausa media] Seconda sezione: lo stack dell'architettura. Ecco lo stack a quattro livelli che andrai a costruire. Il livello uno è l'uplink Starlink in bypass mode. Il livello due è il tuo router o firewall enterprise - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - ognuno di questi va bene. Il livello tre è la segmentazione VLAN a livello di switch o access point. Il livello quattro è il Captive Portal in cloud, che gestisce autenticazione, consenso e analytics. Vorrei soffermarmi un attimo sulla segmentazione VLAN perché non è negoziabile. Hai bisogno di almeno tre VLAN. La VLAN 10 per lo staff - questa trasporta i tuoi sistemi POS, le applicazioni di back-office e il traffico di gestione. La VLAN 20 per gli ospiti - questo è il segmento di solo internet che reindirizza al Captive Portal. La VLAN 30 per l'IoT - telecamere, termostati intelligenti, sistemi di gestione dell'edificio. Queste tre reti non devono essere in grado di comunicare tra loro. Il routing inter-VLAN deve essere bloccato a livello di firewall. Un ospite sulla VLAN 20 non deve mai essere in grado di raggiungere il tuo terminale POS sulla VLAN 10. Questa non è solo una buona pratica - è un requisito PCI-DSS se elabori pagamenti con carta in qualsiasi punto della stessa infrastruttura fisica. [medium pause] Il Captive Portal stesso risiede nel cloud. Quando un ospite si connette al tuo SSID ospite e apre un browser, il router intercetta la richiesta HTTP e la reindirizza alla pagina di login del portale. L'ospite si autentica - tramite email, social login o un codice voucher - accetta i tuoi termini di servizio, e il portale segnala al router di concedere l'accesso a internet a quell'indirizzo MAC. L'intero flusso dovrebbe completarsi in meno di 10 secondi su un dispositivo mobile. Con Purple, quel portale in cloud si integra direttamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Configuri l'integrazione RADIUS o API una sola volta, e Purple gestisce l'handshake di autenticazione. Nessun server di autenticazione on-premises richiesto. Questo è fondamentale per le sedi remote in cui non è possibile eseguire un server RADIUS locale. [medium pause] Terza sezione: il problema del CGNAT e come risolverlo. Ecco la sfida che coglie di sorpresa la maggior parte dei team IT. Le architetture standard di Captive Portal presuppongono che il portale in cloud possa accedere a ritroso alla tua rete. Con il CGNAT, questo è impossibile. Le connessioni in entrata sono bloccate. La soluzione è un tunnel inverso. Il tuo router stabilisce una connessione in uscita verso il portale in cloud e la mantiene aperta in modo persistente. Tutto il traffico di autenticazione scorre attraverso quel tunnel. Il cloud non ha mai bisogno di avviare una connessione in entrata. L'architettura cloud overlay di Purple gestisce questo aspetto in modo nativo - non è necessario configurare manualmente WireGuard o OpenVPN, sebbene entrambi siano valide alternative se gestisci la tua infrastruttura.Se hai effettivamente bisogno di un IP statico - ad esempio, se utilizzi un server RADIUS in loco o se hai bisogno di un allowlisting IP coerente - Starlink Business e Maritime offrono un IP statico come componente aggiuntivo. Al momento della registrazione, questo è disponibile nella maggior parte delle regioni. Controlla le pagine dei piani attuali di Starlink per il tuo territorio specifico. [medium pause] Sezione quattro: GDPR e conformità dei dati. Questo è il punto in cui le sedi remote e marittime spesso vengono colte di sorpresa. Il fatto che la tua sede si trovi su una nave in acque internazionali, o in una posizione remota, non ti esenta dal GDPR se raccogli dati da residenti nell'UE. E se operi in acque del Regno Unito dopo la Brexit, si applica il UK GDPR. Il tuo Captive Portal deve presentare una casella di controllo specifica e non selezionata per il consenso alle comunicazioni di marketing. Deve indicare chiaramente quali dati stai raccogliendo, perché e per quanto tempo li conserverai. I termini di servizio devono essere accessibili prima che l'ospite si autentichi. E devi essere in grado di dimostrare, su richiesta, che un individuo specifico ha fornito il consenso in una data e in un'ora specifiche. Purple è certificato ISO 27001, conforme al GDPR, conforme al CCPA e certificato Cyber Essentials. Ogni evento di accesso viene registrato con un timestamp, un indirizzo IP e un record di consenso. Questa traccia di controllo è ciò che ti protegge se un'autorità di regolamentazione pone domande. [medium pause] Sezione cinque: gestione della larghezza di banda. Su Starlink, la larghezza di banda è la tua risorsa più limitata. Un singolo passeggero che trasmette video in 4K può consumare 25 megabit al secondo continuamente. Su una nave con 50 passeggeri e una connessione a 220 megabit, si tratta di una sola persona che consuma l'11% della capacità totale. Puoi risolvere questo problema a livello di Captive Portal e router. Imposta limiti di larghezza di banda per dispositivo - ad esempio, 5 megabit in download e 2 megabit in upload per dispositivo ospite. Implementa policy di utilizzo corretto che riducono la velocità dopo una quota di dati giornaliera. Utilizza il traffic shaping per dare priorità alla navigazione web e alla messaggistica rispetto allo streaming video. E considera l'accesso a livelli: un livello gratuito per la connettività di base, un livello premium a pagamento per lo streaming. Ciò trasforma il tuo WiFi da un costo a una fonte di ricavo. [medium pause] Ora lascia che ti presenti due scenari reali. Scenario uno: una nave da crociera con 120 cabine. L'operatore utilizza Starlink Maritime a 220 megabit. Distribuisce access point Cisco Meraki in tutta la nave con tre VLAN - equipaggio, passeggeri e sistemi di bordo. Il Captive Portal di Purple gestisce l'autenticazione dei passeggeri tramite e-mail o ricerca del numero di cabina integrata con il PMS. Ogni passeggero riceve una quota giornaliera di 2 gigabyte. I passeggeri del livello premium ricevono 10 gigabyte. Il portale raccoglie dati e-mail di prima parte per il marketing post-viaggio. Risultato: le entrate del WiFi coprono il costo dell'abbonamento Starlink e l'operatore dispone di un elenco di marketing diretto in continua crescita. Scenario due: un hotel remoto nelle Highland senza fibra. Utilizzano Starlink Business a una media di 150 megabit. Gli access point HPE Aruba coprono l'edificio principale e tre dependance. Gli ospiti si autenticano tramite email sul portale di Purple. L'hotel utilizza gli analytics di Purple per comprendere gli orari di picco e adegua di conseguenza le policy di larghezza di banda. Hanno ridotto i reclami sul WiFi degli ospiti del 60% rispetto alla loro precedente configurazione di bonding 4G, secondo i loro dati operativi. [medium pause] Errori comuni. Vi illustro i cinque che vedo più spesso. Uno: dimenticare di riattivare la modalità bypass dopo il riavvio della parabola. Documentate questo passaggio nel vostro runbook e impostate un avviso di monitoraggio sull'interfaccia WAN del router. Due: non bloccare il routing inter-VLAN. Ogni installazione che ho esaminato con problemi di sicurezza presentava questa errata configurazione. Controllatela due volte. Tre: utilizzare il reindirizzamento HTTP per il Captive Portal su una rete in cui gli ospiti utilizzano browser che prediligono l'HTTPS. I browser moderni utilizzano l'HTTPS come impostazione predefinita. Il router deve gestire correttamente l'intercettazione HTTPS, altrimenti gli ospiti visualizzeranno errori di certificato prima di raggiungere il portale. Il portale di Purple gestisce questo aspetto, ma la configurazione del router deve essere corretta. Quattro: non effettuare test separati su iOS e Android. Il Captive Network Assistant di Apple e il probe di rete di Android si comportano in modo diverso. Testateli entrambi prima del lancio. Cinque: ignorare la latenza. La costellazione LEO di Starlink offre una latenza da 20 a 40 millisecondi - di gran lunga migliore rispetto al tradizionale satellite geostazionario. Ma durante i passaggi da un satellite all'altro, si possono verificare brevi picchi. Le impostazioni di timeout del vostro Captive Portal devono tenerne conto. Impostate gli intervalli di sessione keepalive a 60 secondi o meno. [medium pause] Domande rapide. Ho bisogno di un IP statico per un Captive Portal su Starlink? No, se il portale utilizza un'architettura ospitata in cloud con reverse tunnelling. Sì, se si utilizza un RADIUS on-premises. Posso gestire più SSID su Starlink? Sì - i vostri access point aziendali gestiscono la creazione degli SSID. Starlink in modalità bypass fornisce semplicemente l'uplink. È possibile gestire tutti gli SSID supportati dagli access point. Purple funziona con Starlink fin da subito? Sì. Si configura la modalità bypass sulla parabola Starlink, si collegano gli access point supportati e si punta l'integrazione RADIUS o API verso il cloud di Purple. Il portale è attivo entro un'ora. Cosa succede se la connessione Starlink si interrompe? Il portale di Purple memorizza nella cache locale del router le sessioni attive per un periodo configurabile - in genere 24 ore. Gli ospiti già autenticati rimangono online. Le nuove autenticazioni vengono messe in coda fino al ripristino della connettività. [medium pause] Per riassumere. Starlink fornisce la connessione. Il router aziendale in bypass mode offre il controllo del routing. La segmentazione VLAN isola il traffico di ospiti, personale e dispositivi IoT. Un Captive Portal in cloud - in questo caso quello di Purple - gestisce l'autenticazione, il consenso GDPR, i criteri di larghezza di banda e la raccolta di dati di prima parte. Il limite del CGNAT viene risolto da un'architettura a tunnel inverso, non da un IP statico. E la gestione della larghezza di banda a livello di portale è ciò che mantiene la connessione Starlink utilizzabile per tutti. Se stai valutando questa soluzione per la tua sede, il passo successivo consiste nel verificare quale hardware per access point stai utilizzando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet - e confermare la documentazione di integrazione di Purple per quella piattaforma. Puoi trovare la guida tecnica completa su purple.ai, e il team di Purple può guidarti attraverso una configurazione proof-of-concept per il tuo sito specifico. Grazie per l'attenzione. Ci vediamo al prossimo briefing.