Como configurar um Captive Portal no Starlink para Guest WiFi

Bem-vindo ao Informativo Técnico da Purple. Hoje vamos abordar uma questão que surge cada vez mais frequentemente à medida que a Starlink chega a locais que a fibra simplesmente não alcança. Como configurar um Captive Portal adequado para WiFi de convidados em uma conexão Starlink? Vou orientar você pela arquitetura, as restrições que você precisa entender antes de tocar em um único arquivo de configuração e as etapas de implementação que realmente funcionam em produção. Abordaremos dois cenários do mundo real, as cinco armadilhas que vejo com mais frequência e terminaremos com respostas rápidas às perguntas que as equipes de TI nos fazem todas as semanas. Vamos começar explicando por que este não é um problema trivial. A Starlink realmente mudou o cenário de conectividade para locais que antes estavam limitados a links de satélite lentos e caros ou 4G instável. Um hotel remoto nas montanhas, uma embarcação de cruzeiro, o local de um festival em um campo, uma unidade de apoio de construção - todos eles agora podem obter entre 100 e 220 megabits por segundo de uma antena do tamanho de uma pizza grande. Isso é notável. Mas a conectividade bruta é apenas metade do trabalho. No momento em que você coloca essa conexão à disposição dos convidados, você precisa de autenticação, controle de acesso, captura de consentimento em conformidade com a GDPR e gerenciamento de largura de banda. A Starlink não oferece nada disso nativamente. É aí que entra um Captive Portal. Seção um: entendendo as restrições de rede da Starlink. Antes de tocar em um roteador, você precisa entender o que a Starlink realmente entrega na interface WAN. A antena padrão da Starlink se conecta a um roteador proprietário que lida com DHCP e NAT. Por padrão, você está atrás de um Carrier Grade NAT - o que os engenheiros chamam de CGNAT. Seu endereço IP WAN fica na faixa de 100.64 a 100.127. Não é um IP público. Você não pode receber conexões de entrada da internet. E isso importa enormemente para a arquitetura do Captive Portal. Os planos residenciais e Roam da Starlink limitam as sessões simultâneas a 1.200. Para um hotel movimentado ou local de eventos com centenas de dispositivos, esse limite se torna uma restrição real. A solução é o modo bypass. Você ativa isso no aplicativo Starlink em Configurações, depois ativa Ignorar roteador WiFi Starlink. Uma vez ativado, a antena Starlink passa o endereço CGNAT diretamente para a porta WAN do seu roteador corporativo. O roteador Starlink deixa de fazer DHCP e NAT. Seu roteador assume o controle. Você ainda está atrás do CGNAT, mas agora tem controle total da camada de roteamento. Um ponto crítico: se a antena Starlink for restaurada para os padrões de fábrica por qualquer motivo, o modo bypass será desativado. Você precisará reativá-lo. Inclua isso no manual de procedimentos do seu local.Agora, a Starlink oferece três níveis de plano relevantes para operadores de locais físicos. Os planos Residencial e Roam oferecem até 100 megabits de download, prioridade de melhor esforço (best-effort) e sem opção de IP estático. O Starlink for Business oferece até 220 megabits, alocação de dados prioritária e um opcional de IP estático. O Starlink Maritime oferece as mesmas velocidades com portabilidade global - essencial se a embarcação se mover entre regiões oceânicas. Para qualquer local com vários usuários, eu recomendaria o Business ou o Maritime como o mínimo. Dados de melhor esforço no plano residencial significam que seus convidados perdem prioridade sempre que a célula do satélite estiver congestionada. Seção dois: a pilha de arquitetura. Aqui está a pilha de quatro camadas que você está construindo. A camada um é o uplink da Starlink em modo bypass. A camada dois é o seu roteador ou firewall corporativo. A camada três é a segmentação de VLAN no nível do switch ou ponto de acesso. A camada quatro é o Captive Portal em nuvem, que lida com autenticação, consentimento e analytics. Deixe-me passar um momento na segmentação de VLAN porque ela é inegociável. Você precisa de, no mínimo, três VLANs. VLAN 10 para funcionários - que transporta seus sistemas de ponto de venda, aplicativos de back-office e tráfego de gerenciamento. VLAN 20 para convidados - que é o segmento apenas de internet que acessa o Captive Portal. VLAN 30 para IoT - câmeras, termostatos inteligentes, sistemas de gerenciamento predial. Essas três redes não devem conseguir se comunicar entre si. O roteamento inter-VLAN deve ser bloqueado no firewall. Um convidado na VLAN 20 nunca deve conseguir alcançar seu terminal de PDV na VLAN 10. Isso não é apenas uma boa prática - é um requisito do PCI-DSS se você estiver processando pagamentos com cartão em qualquer lugar na mesma infraestrutura física. O próprio Captive Portal fica na nuvem. Quando um convidado se conecta ao seu SSID de convidados e abre um navegador, o roteador intercepta a solicitação HTTP e a redireciona para a página de login do portal. O convidado se autentica - via e-mail, login social ou código de voucher - aceita seus termos de serviço, e o portal sinaliza ao roteador para conceder acesso à internet para aquele endereço MAC. Todo o fluxo deve ser concluído em menos de 10 segundos em um telefone celular. O portal em nuvem da Purple se integra diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Você configura a integração de RADIUS ou API uma vez, e a Purple lida com o handshake de autenticação. Nenhum servidor de autenticação local é necessário. Isso é fundamental para locais remotos onde você não pode executar um servidor RADIUS local. Seção três: o problema do CGNAT e como resolvê-lo. Aqui está o desafio que pega a maioria das equipes de TI de surpresa. Arquiteturas padrão de Captive Portal assumem que o portal em nuvem pode alcançar de volta a sua rede. Com o CGNAT, isso é impossível. Conexões de entrada são bloqueadas. A solução é um túnel reverso. Seu roteador estabelece uma conexão de saída para o portal de nuvem e a mantém aberta continuamente. Todo o tráfego de autenticação flui por esse túnel. A nuvem nunca precisa iniciar uma conexão de entrada. A arquitetura de sobreposição em nuvem da Purple lida com isso nativamente. Se você realmente precisar de um IP estático, o Starlink Business e o Maritime oferecem um IP estático como um recurso adicional. Verifique as páginas dos planos atuais da Starlink para o seu território específico. Seção quatro: GDPR e conformidade de dados. É aqui que as filiais remotas costumam ser pegas de surpresa. O fato de sua filial estar em um local remoto não a isenta do GDPR se você estiver coletando dados de residentes do Reino Unido ou da UE. Seu Captive Portal deve apresentar uma caixa de seleção de consentimento específica e desmarcada para comunicações de marketing. Ele deve indicar claramente quais dados você está coletando, por que e por quanto tempo os reterá. Os termos de serviço devem estar acessíveis antes de o visitante se autenticar. A Purple é certificada ISO 27001, em conformidade com o GDPR, em conformidade com a CCPA e certificada Cyber Essentials. Cada evento de login é registrado com um registro de data e hora, endereço IP e registro de consentimento. Essa trilha de auditoria é o que protege você caso um regulador faça perguntas. Seção cinco: gerenciamento de largura de banda. Na Starlink, a largura de banda é o seu recurso mais limitado. Um único visitante transmitindo vídeo em 4K pode consumir 25 megabits por segundo continuamente. Em uma filial com 50 visitantes e uma conexão de 220 megabits, isso representa uma única pessoa consumindo 11% da capacidade total. Você resolve isso no nível do Captive Portal e do roteador. Defina limites de largura de banda por dispositivo. Implemente políticas de uso justo que reduzem a velocidade após uma franquia diária de dados. Use modelagem de tráfego para priorizar a navegação na web sobre a transmissão de vídeo. E considere o acesso em camadas: uma camada gratuita para conectividade básica e uma camada premium paga para streaming. Isso converte o seu WiFi de uma linha de custo em uma fonte de receita. Agora, permita-me apresentar dois cenários do mundo real. Cenário um: um hotel remoto nas Highlands com 40 quartos e sem fibra óptica. Eles operam com Starlink for Business a uma média de 150 megabits. Os pontos de acesso HPE Aruba cobrem o edifício principal e três anexos. Os visitantes se autenticam por e-mail no portal Purple. As reclamações de WiFi dos visitantes caíram 60% em comparação com a configuração anterior de agregação de 4G. O portal também captura dados de e-mail primários, que alimentam diretamente suas campanhas de marketing pós-estadia. Cenário dois: uma embarcação de cruzeiro de 120 cabines operando com Starlink Maritime a 220 megabits. A operadora implanta pontos de acesso Cisco Meraki por toda a embarcação com três VLANs - tripulação, passageiros e sistemas de bordo. O Captive Portal da Purple lida com a autenticação de passageiros via e-mail ou por meio de uma consulta ao número da cabine integrada ao sistema de gerenciamento de propriedade. A receita do WiFi cobre o custo de assinatura da Starlink, e a operadora tem uma lista crescente de marketing direto. Armadilhas de implementação. Deixe-me abordar as cinco que vejo com mais frequência. Um: esquecer de reativar o modo bypass após um reset da antena. Documente isso em seu manual de operações. Dois: não bloquear o roteamento inter-VLAN. Todas as implantações que analisei e que tiveram um incidente de segurança apresentavam essa configuração incorreta. Verifique duas vezes. Três: usar redirecionamento HTTP em uma rede onde os visitantes usam navegadores que priorizam HTTPS. Os navegadores modernos usam HTTPS por padrão. Seu roteador precisa lidar com a interceptação HTTPS corretamente, ou os visitantes verão erros de certificado antes de chegarem ao Captive Portal. Quatro: não testar em iOS e Android separadamente. O Apple Captive Network Assistant e o teste de rede do Android se comportam de maneira diferente. Teste ambos antes de entrar em operação. Cinco: ignorar a latência. A constelação de órbita terrestre baixa da Starlink oferece latência de 20 a 40 milissegundos. Mas durante as transições entre satélites, você pode notar picos breves. Defina os intervalos de keepalive da sessão para 60 segundos ou menos. Perguntas rápidas. Preciso de um IP estático para um Captive Portal na Starlink? Não, se o seu portal usa uma arquitetura hospedada na nuvem com tunelamento reverso. Sim, se você estiver executando RADIUS local. Posso executar vários SSIDs na Starlink? Sim. Seus pontos de acesso corporativos controlam a criação de SSID. A Starlink em modo bypass apenas fornece o uplink. O Purple funciona com a Starlink de forma nativa? Sim. Você configura o modo bypass na antena Starlink, conecta seus pontos de acesso compatíveis e aponta a integração de RADIUS ou API para a nuvem Purple. O portal fica ativo em menos de uma hora. O que acontece se a conexão da Starlink cair? O portal Purple armazena em cache as sessões ativas localmente no roteador por um período configurável - normalmente 24 horas. Os visitantes que já estão autenticados permanecem online. Para resumir. A Starlink fornece a conexão. Seu roteador corporativo em modo bypass oferece o controle da camada de roteamento. A segmentação de VLAN isola o tráfego de visitantes, funcionários e IoT. Um Captive Portal em nuvem gerencia a autenticação, o consentimento da GDPR, a política de largura de banda e a coleta de dados primários. A limitação do CGNAT é resolvida pela arquitetura de túnel reverso, não por IP estático. A Purple opera em mais de 80.000 locais ativos em mais de 90 países e processou 440 milhões de logins em 2024. A plataforma é independente de hardware, cloud-native e é implantada como uma camada sobre sua infraestrutura existente. Não é necessário remover e substituir nada. Se você quiser ver como isso funciona em seu ambiente específico, visite purple.ai e agende uma consultoria técnica. A equipe mapeará a arquitetura para o seu hardware e terá uma prova de conceito funcionando em um dia. Obrigado por ouvir. Vejo você na próxima apresentação.