Come configurare un Captive Portal su Starlink: Guida per sedi remote e marittime

Parla in inglese britannico con un tono sicuro, autorevole e colloquiale - come un consulente senior che fa un briefing a un cliente. Ritmo misurato, articolazione chiara, caloroso ma professionale. Nessuna parola di riempimento. Occasionali brevi pause per enfatizzare: Benvenuto al briefing tecnico di Purple. Ti guiderò attraverso tutto ciò che c'è da sapere sulla configurazione di un captive portal su Starlink - specificamente per sedi remote, operatori marittimi e chiunque gestisca WiFi per gli ospiti dove la fibra non è un'opzione praticabile. [pausa media] Iniziamo con il problema. Starlink ha davvero cambiato il panorama della connettività per le sedi che in precedenza erano bloccate con collegamenti satellitari lenti e costosi o con una rete 4G instabile. Una nave da crociera, un hotel in una remota zona montana, un'unità di servizio in un cantiere edile, l'area di un festival in un prato - tutti questi possono ora ottenere da 100 a 220 megabit al secondo da un'antenna delle dimensioni di una pizza grande. È straordinario. Ma il punto è questo: la connettività pura è solo metà del lavoro. Nel momento in cui metti quella connessione a disposizione di ospiti, passeggeri o equipaggio, hai bisogno di autenticazione, controllo degli accessi, consenso conforme al GDPR e gestione della larghezza di banda. Starlink non offre nulla di tutto questo di serie. È qui che entra in gioco un captive portal. Ed è proprio questo che andremo a costruire oggi. [pausa media] Sezione uno: comprendere i vincoli di rete di Starlink. Prima di toccare un router, devi capire cosa ti offre effettivamente Starlink sull'interfaccia WAN. L'antenna Starlink standard si collega a un router proprietario che gestisce DHCP e NAT. Per impostazione predefinita, ti trovi dietro un NAT di livello carrier - quello che gli ingegneri chiamano CGNAT. Ciò significa che il tuo indirizzo IP WAN è compreso nell'intervallo da 100.64 a 100.127. Non è un IP pubblico. Non puoi ricevere connessioni in entrata da Internet. E questo è estremamente importante per l'architettura del captive portal. La soluzione è la modalità bypass - a volte chiamata modalità bridge. Puoi abilitarla nell'app Starlink alla voce Impostazioni, quindi attivando "Bypass Starlink WiFi router". Una volta abilitata, l'antenna Starlink passa l'indirizzo CGNAT direttamente alla porta WAN del tuo router aziendale. Il router Starlink smette di gestire DHCP e NAT. Il tuo router subentra. Ti trovi ancora dietro CGNAT, ma ora hai il pieno controllo del livello di routing. Un punto critico: se l'antenna Starlink viene ripristinata ai dati di fabbrica per qualsiasi motivo, la modalità bypass viene disattivata. Dovrai riabilitarla. Inserisci questo passaggio nel manuale operativo del sito. [pausa media] Ora, Starlink offre tre livelli di piano rilevanti per i gestori di sedi. Lo Standard ti offre fino a 100 megabit in download, priorità best-effort e nessuna opzione di IP statico. Il Business ti offre fino a 220 megabit, allocazione dati prioritaria e un componente aggiuntivo per IP statico. Il Maritime offre le stesse velocità con portabilità globale - essenziale se l'imbarcazione si sposta tra regioni oceaniche. Per qualsiasi sede multi-utente, consiglierei come minimo il piano Business o Maritime. I dati best-effort sul piano Standard significano che i tuoi ospiti subiranno una riduzione della priorità ogni volta che la cella satellitare è congestionata. [pausa media] Sezione due: lo stack dell'architettura. Ecco lo stack a quattro livelli che stai costruendo. Il livello uno è l'uplink Starlink in modalità bypass. Il livello due è il tuo router o firewall aziendale - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Fortinet - ognuno di questi va bene. Il livello tre è la segmentazione VLAN a livello di switch o access point. Il livello quattro è il Captive Portal in cloud, che gestisce l'autenticazione, il consenso e la diagnostica. Permettimi di soffermarmi un momento sulla segmentazione VLAN perché non è negoziabile. Hai bisogno di un minimo di tre VLAN. VLAN 10 per lo staff - gestisce i sistemi POS, le applicazioni di back office e il traffico di gestione. VLAN 20 per gli ospiti - questo è il segmento solo internet che raggiunge il Captive Portal. VLAN 30 per l'IoT - telecamere, termostati intelligenti, sistemi di gestione dell'edificio. Queste tre reti non devono essere in grado di comunicare tra loro. Il routing inter-VLAN deve essere bloccato a livello di firewall. Un ospite sulla VLAN 20 non deve mai essere in grado di raggiungere il tuo terminale POS sulla VLAN 10. Questa non è solo una buona pratica - è un requisito PCI-DSS se gestisci pagamenti con carta ovunque sulla stessa infrastruttura fisica. [pausa media] Il Captive Portal stesso risiede nel cloud. Quando un ospite si connette al tuo SSID ospiti e apre un browser, il router intercetta la richiesta HTTP e la reindirizza alla pagina di login del portale. L'ospite si autentica - tramite email, login social o un codice coupon - accetta i tuoi termini di servizio, e il portale segnala al router di concedere a quell'indirizzo MAC l'accesso a internet. L'intero flusso dovrebbe completarsi in meno di 10 secondi su un dispositivo mobile. Con Purple, quel portale in cloud si integra direttamente con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme e Fortinet. Configuri l'integrazione RADIUS o API una volta sola, e Purple gestisce l'handshake di autenticazione. Nessun server di autenticazione on-premises richiesto. Questo è fondamentale per le sedi remote dove non è possibile gestire un server RADIUS locale. [pausa media] Sezione tre: il problema CGNAT e come risolverlo. Ecco la sfida che coglie di sorpresa la maggior parte dei team IT. Le architetture standard di Captive Portal presuppongono che il portale in cloud possa ricollegarsi alla tua rete. Con il CGNAT, questo è impossibile. Le connessioni in entrata sono bloccate. La soluzione è un tunnel inverso. Il tuo router stabilisce una connessione in uscita verso il portale in cloud e la mantiene aperta in modo persistente. Tutto il traffico di autenticazione scorre attraverso quel tunnel. Il cloud non ha mai bisogno di avviare una connessione in entrata. L'architettura di overlay in cloud di Purple gestisce questo aspetto in modo nativo - non è necessario configurare manualmente WireGuard o OpenVPN, sebbene entrambi siano valide alternative se gestisci la tua infrastruttura. Se avete bisogno di un IP statico - ad esempio, se gestite un server RADIUS in loco o se avete bisogno di una whitelist di IP coerente - Starlink Business e Maritime offrono un IP statico come componente aggiuntivo. Al momento della registrazione, questo è disponibile nella maggior parte delle regioni. Controllate le pagine dei piani tariffari attuali di Starlink per il vostro territorio specifico. [medium pause] Sezione quattro: GDPR e conformità dei dati. Questo è il punto in cui le sedi remote e marittime spesso vengono colte di sorpresa. Il fatto che la vostra sede si trovi su un'imbarcazione in acque internazionali, o in una posizione remota, non vi esenta dal GDPR se raccogliete dati da residenti nell'UE. E se operate in acque del Regno Unito dopo la Brexit, si applica il UK GDPR. Il vostro Captive Portal deve presentare una casella di controllo specifica e non selezionata per il consenso alle comunicazioni di marketing. Deve indicare chiaramente quali dati state raccogliendo, perché e per quanto tempo li conserverete. Le condizioni di servizio devono essere accessibili prima dell'autenticazione dell'ospite. E dovete essere in grado di dimostrare, su richiesta, che un individuo specifico ha fornito il consenso in una data e in un'ora specifiche. Purple è certificata ISO 27001, conforme al GDPR, conforme al CCPA e certificata Cyber Essentials. Ogni evento di accesso viene registrato con un timestamp, un indirizzo IP e un registro del consenso. Questa traccia di controllo è ciò che vi protegge se un'autorità di regolamentazione vi pone delle domande. [medium pause] Sezione cinque: gestione della larghezza di banda. Su Starlink, la larghezza di banda è la risorsa più limitata. Un singolo passeggero che trasmette video in 4K può consumare 25 megabit al secondo in modo continuo. Su un'imbarcazione con 50 passeggeri e una connessione da 220 megabit, si tratta di una persona che assorbe l'11% della capacità totale. Questo problema va affrontato a livello di Captive Portal e di router. Impostate limiti di larghezza di banda per dispositivo - ad esempio, 5 megabit in download e 2 megabit in upload per dispositivo ospite. Implementate policy di utilizzo corretto che riducano la velocità dopo una quota di dati giornaliera. Utilizzate il traffic shaping per dare priorità alla navigazione web e alla messaggistica rispetto allo streaming video. E prendete in considerazione un accesso a livelli: un livello gratuito per la connettività di base, un livello premium a pagamento per lo streaming. In questo modo il vostro WiFi si trasforma da voce di costo a fonte di ricavo. [medium pause] Ora vi presento due scenari reali. Scenario uno: una nave da crociera da 120 cabine. L'operatore gestisce Starlink Maritime a 220 megabit. Distribuisce access point Cisco Meraki in tutta la nave con tre VLAN - equipaggio, passeggeri e sistemi di bordo. Il Captive Portal di Purple gestisce l'autenticazione dei passeggeri tramite e-mail o tramite la ricerca del numero di cabina integrata con il PMS. Ogni passeggero riceve una quota giornaliera di 2 gigabyte. I passeggeri della categoria premium ricevono 10 gigabyte. Il portale raccoglie i dati e-mail di prima parte per il marketing post-viaggio. Risultato: i ricavi del WiFi coprono il costo dell'abbonamento a Starlink e l'operatore ha una lista di marketing diretto in crescita. Scenario due: un hotel remoto nelle Highlands senza fibra. Utilizzano Starlink Business a una media di 150 megabit. Gli access point HPE Aruba coprono l'edificio principale e tre dependance. Gli ospiti si autenticano tramite e-mail sul portale di Purple. L'hotel utilizza gli analytics di Purple per comprendere i tempi di utilizzo di picco e adegua di conseguenza le policy di larghezza di banda. Hanno ridotto i reclami relativi al WiFi degli ospiti del 60% rispetto alla loro precedente configurazione con bonding 4G, in base ai propri dati operativi. [medium pause] Errori comuni. Permettetemi di passare in rassegna i cinque che vedo più spesso. Uno: dimenticare di riabilitare la modalità bypass dopo un ripristino dell'antenna. Documentate questo passaggio nel vostro runbook e impostate un avviso di monitoraggio sull'interfaccia WAN del router. Due: non bloccare il routing inter-VLAN. Ogni installazione che ho esaminato e che ha subito un incidente di sicurezza presentava questa errata configurazione. Controllatela due volte. Tre: utilizzare il reindirizzamento HTTP per il Captive Portal su una rete in cui gli ospiti utilizzano browser orientati all'HTTPS-first. I browser moderni utilizzano HTTPS per impostazione predefinita. Il router deve gestire correttamente l'intercettazione HTTPS, altrimenti gli ospiti visualizzeranno errori di certificato prima di raggiungere il portale. Il portale di Purple gestisce questo aspetto, ma la configurazione del router deve essere corretta. Quattro: non testare separatamente su iOS e Android. Il Captive Network Assistant di Apple e il probe di rete di Android si comportano in modo diverso. Testateli entrambi prima del go-live. Cinque: ignorare la latenza. La costellazione LEO di Starlink offre una latenza da 20 a 40 millisecondi - di gran lunga migliore rispetto al tradizionale satellite geostazionario. Ma durante i passaggi tra i satelliti, si possono verificare brevi picchi. Le impostazioni di timeout del vostro Captive Portal devono tenerne conto. Impostate gli intervalli di sessione keepalive a 60 secondi o meno. [medium pause] Domande a raffica. Ho bisogno di un IP statico per un Captive Portal su Starlink? No, se il vostro portale utilizza un'architettura ospitata in cloud con reverse tunnelling. Sì, se eseguite un RADIUS on-premises. Posso gestire più SSID su Starlink? Sì - i vostri access point aziendali gestiscono la creazione degli SSID. Starlink in modalità bypass fornisce solo l'uplink. È possibile gestire tutti gli SSID supportati dai propri access point. Purple funziona con Starlink nativamente? Sì. Si configura la modalità bypass sull'antenna Starlink, si collegano gli access point supportati e si punta l'integrazione RADIUS o API verso il cloud di Purple. Il portale è attivo entro un'ora. Cosa succede se la connessione Starlink si interrompe? Il portale di Purple memorizza nella cache le sessioni attive localmente sul router per un periodo configurabile - in genere 24 ore. Gli ospiti che sono già autenticati rimangono online. Le nuove autenticazioni vengono messe in coda fino al ripristino della connettività. [medium pause] Per riassumere. Starlink ti fornisce la connessione. Il tuo router aziendale in bypass mode ti dà il controllo sul livello di routing. La segmentazione VLAN isola il traffico di ospiti, personale e IoT. Un Captive Portal in cloud - in questo caso quello di Purple - gestisce l'autenticazione, il consenso GDPR, le policy di larghezza di banda e la raccolta di dati di prima parte. Il limite del CGNAT viene risolto da un'architettura a tunnel inverso, non da un IP statico. E la gestione della larghezza di banda a livello di portale è ciò che mantiene la tua connessione Starlink utilizzabile per tutti. Se stai valutando questa soluzione per la tua sede, il passo successivo consiste nel verificare quale hardware per access point stai utilizzando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet - e confermare la documentazione di integrazione di Purple per quella piattaforma. Puoi trovare la guida tecnica completa su purple.ai, e il team di Purple può guidarti attraverso una configurazione di proof-of-concept per il tuo sito specifico. Grazie per l'attenzione. Ci vediamo al prossimo briefing.