Come configurare un Captive Portal su Starlink: guida per i settori marittimo, dei trasporti e dei siti remoti

Come configurare un Captive Portal su Starlink: una guida per i settori marittimo, dei trasporti e dei siti remoti [INTRODUZIONE - circa 1 minuto] Bene. Avete acquistato Starlink. Avete installato l'antenna sul tetto del vostro terminal traghetti, o l'avete imbullonata all'albero di un'imbarcazione, o orientata verso il cielo da un cantiere remoto. Internet funziona. Splendido. Ma ecco il problema di cui nessuno vi ha avvertito: Starlink, di serie, vi offre solo una linea. Solo un canale di comunicazione. Nessuna autenticazione. Nessun branding. Nessuna acquisizione del consenso conforme al GDPR. Nessun modo per sapere chi è connesso alla vostra rete, quanta larghezza di banda sta consumando o se siete legalmente coperti dalle leggi sulla protezione dei dati. Questa è la lacuna che colmeremo in questo episodio. Vi guiderò passo dopo passo su come implementare un vero captive portal aziendale sopra Starlink - esaminando l'architettura, il problema del CGNAT che incontrerete immediatamente, la segmentazione VLAN per i siti marittimi e remoti e il modo in cui le piattaforme come Purple si integrano in questo stack. Che gestiate una linea di traghetti, un hotel remoto, un'area di servizio autostradale o un cantiere edile, il problema di fondo è lo stesso e la soluzione è identica. Entriamo nel dettaglio. [APPROFONDIMENTO TECNICO - circa 5 minuti] Per prima cosa, cerchiamo di capire cosa offre effettivamente Starlink a livello di rete. Starlink fornisce connettività tramite satelliti in orbita terrestre bassa. L'antenna si collega a un router - o il router nativo di Starlink o, nei livelli Business e Maritime, un adattatore ethernet che consente di collegare il proprio hardware. Il vincolo tecnico fondamentale da comprendere subito è il CGNAT - Carrier-Grade Network Address Translation. Con i piani Starlink standard, vi trovate dietro un IP pubblico condiviso. Non disponete di un indirizzo IP pubblico dedicato e non potete accettare connessioni in entrata. Non si tratta di un bug - è il modo in cui Starlink gestisce lo spazio degli indirizzi IP per milioni di abbonati. Perché il CGNAT è importante per i captive portal? Perché le architetture tradizionali di captive portal spesso si affidano a connessioni in entrata - per i callback di autenticazione RADIUS, per l'accesso di gestione, per la logica di reindirizzamento del portale. Se il vostro sistema di captive portal richiede un IP pubblico statico o il port forwarding in entrata, non funzionerà in modo affidabile dietro il CGNAT di Starlink. Punto e basta. La soluzione è un'architettura RADIUS cloud-native. Invece di far sì che il vostro controller in loco cerchi di ricevere richieste di autenticazione in entrata, il flusso di autenticazione avviene in uscita - dall'hardware locale a un server RADIUS cloud. La piattaforma di Purple fa esattamente questo. Il controller in loco avvia una connessione in uscita verso l'infrastruttura RADIUS cloud di Purple. La splash page è ospitata nel cloud. Lo scambio di autenticazione si completa tramite quel tunnel in uscita. Il CGNAT diventa irrilevante perché non avrete mai bisogno di una connessione in entrata. Ora, la seconda cosa da fare è escludere il router Starlink nativo. Il router Starlink è un dispositivo di livello consumer. Non ha supporto VLAN, nessuna funzionalità di Captive Portal, nessun controllo della larghezza di banda per utente e nessun punto di integrazione per i sistemi di autenticazione aziendali. È necessario impostarlo in modalità bypass - o utilizzare l'adattatore ethernet sull'hardware Business e Performance - e sostituirlo con un router aziendale gestito. Le piattaforme con cui lavoriamo più comunemente in questo contesto sono Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Tutte supportano il tagging VLAN, l'integrazione RADIUS e la configurazione walled garden richiesta dai Captive Portal. Permettetemi di illustrare l'architettura VLAN da implementare. Su un'imbarcazione marittima, in genere sono necessarie almeno tre VLAN. La VLAN 10 per il WiFi di ospiti o passeggeri - qui risiede il Captive Portal. La VLAN 20 per l'equipaggio o il personale - in genere su un SSID separato con un'autenticazione diversa. La VLAN 30 per le operazioni, i sistemi di navigazione o i dispositivi IoT - completamente isolata dalle altre due, con rigide regole di firewall che impediscono qualsiasi movimento laterale. In un campo di costruzione remoto o in uno snodo di trasporto si applica la stessa logica: l'accesso degli ospiti, l'accesso del personale e i sistemi operativi non dovrebbero mai condividere un dominio di trasmissione. Il flusso del Captive Portal funziona così. Un passeggero o un ospite si connette all'SSID aperto sulla VLAN 10. Il Captive Network Assistant del dispositivo - il CNA - rileva che l'accesso a Internet è bloccato. Su iOS viene visualizzato un pop-up. Su Android si attiva una notifica. Su Windows si apre una finestra del browser. Tutti questi sistemi reindirizzano alla pagina di benvenuto di Purple, ospitata nel cloud. Il visitatore completa il percorso di accesso - registrazione via e-mail, login social o un codice coupon - e acconsente ai vostri termini. Il server della pagina di benvenuto di Purple invia un token di autenticazione univoco al controller in loco. Il controller lo inoltra al server RADIUS cloud di Purple. Il RADIUS restituisce un Access Accept. Il controller rimuove la restrizione del Captive Portal per l'indirizzo MAC di quel dispositivo. Il visitatore è online. Il walled garden è una fase di configurazione fondamentale. Prima del completamento dell'autenticazione, gli unici domini raggiungibili dal dispositivo sono quelli necessari per il caricamento del portale - l'infrastruttura della pagina di benvenuto di Purple, eventuali endpoint di social login e gli URL di rilevamento CNA utilizzati dai sistemi operativi. Tutto il resto è bloccato. Questa configurazione di walled garden viene eseguita nel router aziendale o nel controller wireless. Purple fornisce l'elenco di domini specifico da inserire nella whitelist - fare riferimento alla documentazione di supporto all'indirizzo support.purple.ai per l'elenco aggiornato. Un'ultima cosa sul lato tecnico: i certificati SSL. Se utilizzi un Cisco WLC, esiste un problema noto per cui il reindirizzamento dell'autenticazione web avviene su un URL HTTP anziché HTTPS. I browser moderni mostrano un avviso di sicurezza. La soluzione consiste nell'installare un certificato SSL pubblicamente attendibile sul WLC e configurare l'hostname virtuale in modo che corrisponda al Common Name del certificato. Purple offre un articolo di supporto dedicato a questo argomento per i controller Cisco Catalyst serie 9800 - inserirò il link nelle note dell'episodio. [CONSIGLI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI - circa 2 minuti] Permettetemi di indicarvi le tre cose che più comunemente vanno storte nelle implementazioni di Captive Portal con Starlink. Numero uno: non tenere conto del CGNAT fin dal primo giorno. I team ordinano l'hardware, configurano tutto in laboratorio, lo testano su una normale connessione a banda larga e funziona perfettamente. Poi lo distribuiscono dietro Starlink e l'autenticazione smette di funzionare. La soluzione consiste nello scegliere un provider cloud RADIUS - come Purple - prima di iniziare, e confermare che la piattaforma scelta utilizzi flussi di autenticazione solo in uscita. Non date per scontato che una qualsiasi piattaforma di Captive Portal gestisca il CGNAT senza problemi. Ponete la domanda esplicitamente. Numero due: progettazione di una rete flat. Lo vedo continuamente su imbarcazioni e siti remoti. Viene installato Starlink, qualcuno vi collega un router WiFi consumer e improvvisamente l'equipaggio, gli ospiti, i sistemi di navigazione e le telecamere a circuito chiuso si trovano tutti sulla stessa sottorete. Un singolo dispositivo dell'equipaggio compromesso può raggiungere i sistemi operativi. Un ospite che riproduce video in streaming 4K satura la banda per tutti. La segmentazione VLAN non è opzionale su una connessione satellitare condivisa. Rappresenta la differenza tra una rete gestita e un fattore di rischio. Numero tre: dimenticarsi del CNA su macOS. Il macOS di Apple non consente i cookie nella sessione del browser CNA. Il Captive Portal di Purple richiede un cookie di sessione per mantenere il percorso di login. Sui laptop macOS, il pop-up del CNA reindirizzerà i visitatori su neverssl.com - un sito HTTP semplice che avvia correttamente il reindirizzamento senza interferenze SSL. Assicuratevi che il vostro personale di supporto lo sappia e valutate la possibilità di aggiungere una nota nella vostra splash page per gli utenti di laptop. Sul lato hardware: per le installazioni marittime, utilizzate il kit Starlink Performance - l'unità racchiusa in un telaio di alluminio progettata per ambienti difficili. È certificata per una durata di 10 anni e funziona sia con alimentazione CA che CC. Per i siti terrestri remoti, il kit Business standard è solitamente sufficiente, ma prevedete un gruppo di continuità UPS se la stabilità dell'alimentazione rappresenta un problema. [DOMANDE E RISPOSTE RAPIDE - circa 1 minuto] Domande rapide che mi vengono poste continuamente. Posso utilizzare il router Starlink nativo per un Captive Portal? No. Non ha supporto VLAN e nessuna integrazione RADIUS. Escludetelo. Ho bisogno di un IP statico affinché il Captive Portal di Purple funzioni? No. L'architettura cloud RADIUS di Purple funziona dietro CGNAT. Non è richiesto alcun IP statico. Cosa succede quando Starlink va offline durante una sessione? Le sessioni autenticate in genere persistono fino alla scadenza del timeout di sessione. Le nuove autenticazioni verranno messe in coda fino al ripristino della connettività. Configura il timeout di sessione in base alla finestra di interruzione prevista. Questo sistema è conforme al GDPR? Sì, se configurato correttamente. Purple acquisisce i consensi consapevoli tramite opt-in con consenso esplicito sulla splash page. I dati vengono trattati in conformità con il GDPR e Purple possiede la certificazione ISO 27001. Posso gestire più sedi da un'unica dashboard? Sì. La piattaforma di Purple gestisce oltre 80.000 sedi attive da un unico pannello di controllo. Sedi remote, imbarcazioni e hub di trasporto appaiono tutti nella stessa interfaccia di gestione. [RIASSUNTO E PROSSIMI PASSI - circa 1 minuto] Bene, concludiamo. Il messaggio centrale è questo: Starlink risolve il problema della connettività nelle sedi remote e marittime. Non risolve il problema del controllo degli accessi, della conformità o della reportistica. Hai bisogno di un livello enterprise aggiuntivo. Le tre cose da fare questa settimana: in primo luogo, conferma il livello hardware del tuo Starlink e se disponi dell'accesso all'adattatore ethernet per la modalità bypass. In secondo luogo, seleziona un controller WiFi enterprise dall'elenco degli hardware supportati - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi sono tutte ottime scelte. In terzo luogo, contatta Purple per parlare del piano Connect - è il punto di partenza per l'implementazione del Captive Portal e include il cloud RADIUS, l'editor della splash page e l'acquisizione del consenso conforme al GDPR. La guida scritta completa con diagrammi di architettura, esempi pratici e riferimenti di configurazione è disponibile su purple.ai. Se stai effettuando l'implementazione in un contesto specifico marittimo o di trasporto, la sezione delle guide contiene un articolo dedicato proprio a questa configurazione. Grazie per l'ascolto. Nel prossimo episodio parleremo della configurazione dell'autenticazione RADIUS per reti enterprise multi-sede - stesso pubblico, stesso livello di approfondimento. Ci vediamo lì.