Como Configurar um Captive Portal no Starlink: Um Guia para Locais Remotos e Marítimos

Fale em inglês britânico com um tom confiante, autoritário e de conversação - como um consultor sênior instruindo um cliente. Ritmo medido, articulação clara, caloroso, mas profissional. Sem palavras de preenchimento. Pausas breves ocasionais para ênfase: Bem-vindo ao Briefing Técnico da Purple. Vou orientar você em tudo o que precisa saber sobre a configuração de um Captive Portal no Starlink - especificamente para locais remotos, operadores marítimos e qualquer pessoa que ofereça WiFi para convidados onde a fibra simplesmente não é uma opção. [pausa média] Vamos começar com o problema. O Starlink realmente mudou o cenário de conectividade para locais que antes estavam presos a conexões de satélite lentas e caras ou 4G instável. Um navio de cruzeiro, um hotel remoto nas montanhas, uma unidade de bem-estar em um canteiro de obras, o local de um festival em um campo - todos estes agora podem obter de 100 a 220 megabits por segundo de uma antena do tamanho de uma pizza grande. Isso é notável. Mas a questão é: a conectividade pura é apenas metade do trabalho. No momento em que você coloca essa conexão diante de convidados, passageiros ou tripulação, você precisa de autenticação, controle de acesso, consentimento em conformidade com a GDPR e gerenciamento de largura de banda. O Starlink não oferece nada disso nativamente. É aí que entra um Captive Portal. E é isso que vamos construir hoje. [pausa média] Seção um: compreendendo as restrições de rede do Starlink. Antes de tocar em um roteador, você precisa entender o que o Starlink realmente entrega na interface WAN. A antena Starlink padrão se conecta a um roteador proprietário que lida com DHCP e NAT. Por padrão, você está atrás de um NAT de nível de operadora - o que os engenheiros chamam de CGNAT. Isso significa que seu endereço IP WAN está na faixa de 100.64 a 100.127. Não é um IP público. Você não pode receber conexões de entrada da internet. E isso importa enormemente para a arquitetura do Captive Portal. A solução é o modo bypass - às vezes chamado de modo bridge. Você ativa isso no aplicativo Starlink em Configurações e, em seguida, ativa "Bypass Starlink WiFi router". Uma vez ativado, a antena Starlink passa o endereço CGNAT diretamente para a porta WAN do seu roteador corporativo. O roteador Starlink deixa de fazer DHCP e NAT. Seu roteador assume o controle. Você ainda está atrás de CGNAT, mas agora tem controle total da camada de roteamento. Um ponto crítico: se a antena Starlink for redefinida para os padrões de fábrica por qualquer motivo, o modo bypass será desativado. Você precisará reativá-lo. Inclua isso no manual de operações do seu site. [pausa média] Agora, o Starlink oferece três níveis de planos relevantes para operadores de locais. O Standard oferece até 100 megabits de download, prioridade de melhor esforço e nenhuma opção de IP estático. O Business oferece até 220 megabits, alocação de dados prioritários e um adicional de IP estático. O Maritime oferece as mesmas velocidades com portabilidade global - essencial se a embarcação se mover entre regiões oceânicas. Para qualquer local multiusuário, eu recomendaria o Business ou o Maritime como requisito mínimo. Dados de melhor esforço no plano Standard significam que seus convidados perdem prioridade sempre que a célula de satélite estiver congestionada. [pausa média] Seção dois: a pilha de arquitetura. Aqui está a pilha de quatro camadas que você está construindo. A camada um é o uplink Starlink em modo bypass. A camada dois é o seu roteador ou firewall corporativo - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - qualquer um deles funciona. A camada três é a segmentação de VLAN no nível do switch ou ponto de acesso. A camada quatro é o Captive Portal em nuvem, que gerencia autenticação, consentimento e analytics. Deixe-me dedicar um momento à segmentação de VLAN porque ela é inegociável. Você precisa de, no mínimo, três VLANs. VLAN 10 para funcionários - esta transporta seus sistemas de PDV, aplicativos de back-office e tráfego de gerenciamento. VLAN 20 para convidados - este é o segmento apenas de internet que chega ao Captive Portal. VLAN 30 para IoT - câmeras, termostatos inteligentes, sistemas de gerenciamento predial. Essas três redes não devem conseguir se comunicar entre si. O roteamento inter-VLAN deve ser bloqueado no firewall. Um convidado na VLAN 20 nunca deve conseguir acessar seu terminal de PDV na VLAN 10. Isso não é apenas uma boa prática - é um requisito do PCI-DSS se você estiver processando pagamentos com cartão em qualquer parte da mesma infraestrutura física. [medium pause] O próprio Captive Portal reside na nuvem. Quando um convidado se conecta ao seu SSID de convidados e abre um navegador, o roteador intercepta a solicitação HTTP e a redireciona para a página de login do portal. O convidado se autentica - via e-mail, login social ou um código de voucher - aceita seus termos de serviço, e o portal sinaliza ao roteador para conceder acesso à internet àquele endereço MAC. Todo o fluxo deve ser concluído em menos de 10 segundos em um dispositivo móvel. Com o Purple, esse portal em nuvem se integra diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você configura a integração RADIUS ou API uma vez, e o Purple cuida do handshake de autenticação. Nenhum servidor de autenticação local é necessário. Isso é fundamental para locais remotos onde você não pode executar um servidor RADIUS local. [medium pause] Seção três: o problema do CGNAT e como resolvê-lo. Aqui está o desafio que pega a maioria das equipes de TI de surpresa. As arquiteturas padrão de Captive Portal pressupõem que o portal em nuvem possa acessar sua rede de volta. Com CGNAT, isso é impossível. As conexões de entrada são bloqueadas. A solução é um túnel reverso. Seu roteador estabelece uma conexão de saída com o portal em nuvem e a mantém aberta de forma persistente. Todo o tráfego de autenticação flui através desse túnel. A nuvem nunca precisa iniciar uma conexão de entrada. A arquitetura de sobreposição em nuvem do Purple lida com isso nativamente - você não precisa configurar o WireGuard ou o OpenVPN manualmente, embora ambos sejam alternativas válidas se você estiver executando sua própria infraestrutura. Se você realmente precisa de um IP estático - por exemplo, se estiver executando um servidor RADIUS no local ou se precisar de uma lista de permissões de IP consistente - o Starlink Business e o Maritime oferecem um IP estático como um complemento. No momento desta gravação, isso está disponível na maioria das regiões. Verifique as páginas dos planos atuais do Starlink para o seu território específico. [medium pause] Seção quatro: GDPR e conformidade de dados. É aqui que os locais remotos e marítimos costumam ser pegos de surpresa. O fato de o seu local estar em uma embarcação em águas internacionais, ou em uma localização remota, não o isenta do GDPR se você estiver coletando dados de residentes da UE. E se você estiver operando em águas do Reino Unido pós-Brexit, o UK GDPR se aplica. Seu Captive Portal deve apresentar uma caixa de seleção de consentimento específica e desmarcada para comunicações de marketing. Ele deve indicar claramente quais dados você está coletando, por que e por quanto tempo os reterá. Os termos de serviço devem estar acessíveis antes que o convidado se autentique. E você deve ser capaz de demonstrar, mediante solicitação, que um indivíduo específico deu consentimento em uma data e hora específicas. O Purple é certificado ISO 27001, em conformidade com o GDPR, CCPA e certificado Cyber Essentials. Cada evento de login é registrado com um carimbo de data/hora, endereço IP e registro de consentimento. Essa trilha de auditoria é o que protege você caso um regulador faça perguntas. [medium pause] Seção cinco: gerenciamento de largura de banda. No Starlink, a largura de banda é o seu recurso mais limitado. Um único passageiro transmitindo vídeo em 4K pode consumir 25 megabits por segundo continuamente. Em uma embarcação com 50 passageiros e uma conexão de 220 megabits, isso representa uma pessoa consumindo 11% da capacidade total. Você resolve isso no nível do Captive Portal e do roteador. Defina limites de largura de banda por dispositivo - por exemplo, 5 megabits de download e 2 megabits de upload por dispositivo de convidado. Implemente políticas de uso justo que reduzam a velocidade após uma franquia diária de dados. Use a modelagem de tráfego para priorizar a navegação na web e mensagens em detrimento do streaming de vídeo. E considere o acesso em camadas: uma camada gratuita para conectividade básica, uma camada premium paga para streaming. Isso converte o seu WiFi de uma linha de custo em uma fonte de receita. [medium pause] Agora, deixe-me apresentar dois cenários do mundo real. Cenário um: uma embarcação de cruzeiro de 120 cabines. O operador utiliza o Starlink Maritime a 220 megabits. Eles implantam pontos de acesso Cisco Meraki em toda a embarcação com três VLANs - tripulação, passageiros e sistemas do navio. O Captive Portal do Purple gerencia a autenticação dos passageiros por e-mail ou por uma busca pelo número da cabine integrada ao PMS. Cada passageiro recebe uma franquia diária de 2 gigabytes. Os passageiros da categoria premium recebem 10 gigabytes. O portal coleta dados de e-mail proprietários para marketing pós-viagem. Resultado: a receita do WiFi cobre o custo de assinatura do Starlink, e o operador passa a ter uma lista de marketing direto em crescimento. Cenário dois: um hotel remoto nas Terras Altas sem fibra. Eles operam com Starlink Business a uma média de 150 megabits. Os pontos de acesso HPE Aruba cobrem o edifício principal e três anexos. Os hóspedes se autenticam via e-mail no portal da Purple. O hotel utiliza as ferramentas de analytics da Purple para entender os horários de pico de uso e ajusta as políticas de largura de banda de acordo. Eles reduziram as reclamações de WiFi de hóspedes em 60% em comparação com a configuração anterior de agregação de 4G, segundo seus próprios dados operacionais. [medium pause] Armadilhas comuns. Deixe-me apresentar as cinco que vejo com mais frequência. Uma: esquecer de reativar o modo bypass após reiniciar a antena. Documente isso em seu manual de procedimentos e defina um alerta de monitoramento na interface WAN do seu roteador. Duas: não bloquear o roteamento inter-VLAN. Todas as implantações que analisei e que tiveram um incidente de segurança apresentavam essa configuração incorreta. Verifique duas vezes. Três: usar redirecionamento HTTP para o Captive Portal em uma rede onde os hóspedes usam navegadores que priorizam HTTPS. Os navegadores modernos usam HTTPS por padrão. Seu roteador precisa lidar com a interceptação HTTPS corretamente, caso contrário, os hóspedes verão erros de certificado antes de chegarem ao portal. O portal da Purple lida com isso, mas a configuração do seu roteador precisa estar correta. Quatro: não testar em iOS e Android separadamente. O Captive Network Assistant da Apple e a verificação de rede do Android se comportam de maneira diferente. Teste ambos antes de entrar em operação. Cinco: ignorar a latência. A constelação LEO da Starlink oferece latência de 20 a 40 milissegundos - muito melhor do que o satélite geoestacionário tradicional. Mas durante as transições entre satélites, você pode observar breves picos. As configurações de tempo limite do seu Captive Portal precisam considerar isso. Defina os intervalos de keepalive da sessão para 60 segundos ou menos. [medium pause] Perguntas rápidas. Preciso de um IP estático para um Captive Portal na Starlink? Não, se o seu portal utilizar uma arquitetura hospedada na nuvem com tunelamento reverso. Sim, se você estiver executando RADIUS local. Posso executar múltiplos SSIDs na Starlink? Sim - seus pontos de acesso corporativos controlam a criação de SSIDs. A Starlink em modo bypass apenas fornece o uplink. Você pode executar quantos SSIDs seus pontos de acesso suportarem. A Purple funciona com a Starlink diretamente de fábrica? Sim. Você configura o modo bypass na antena Starlink, conecta seus pontos de acesso suportados e aponta a integração de RADIUS ou API para a nuvem da Purple. O portal fica ativo em menos de uma hora. O que acontece se a conexão da Starlink cair? O portal da Purple armazena em cache as sessões ativas localmente no roteador por um período configurável - normalmente 24 horas. Os hóspedes que já estão autenticados permanecem online. Novas autenticações entram na fila até que a conectividade seja restaurada. [medium pause] Para resumir. A Starlink fornece o canal de dados. O seu roteador corporativo em modo bypass oferece controle sobre a camada de roteamento. A segmentação de VLAN isola o tráfego de convidados, funcionários e IoT. Um Captive Portal em nuvem - o da Purple, neste caso - lida com autenticação, consentimento da GDPR, políticas de largura de banda e coleta de dados primários. A limitação do CGNAT é resolvida por meio de uma arquitetura de túnel reverso, e não por IP estático. E o gerenciamento de largura de banda no nível do portal é o que mantém sua conexão Starlink utilizável para todos. Se você estiver avaliando isso para o seu estabelecimento, o próximo passo é verificar qual hardware de ponto de acesso você está utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet - e confirmar a documentação de integração da Purple para essa plataforma. Você pode encontrar o guia técnico completo em purple.ai, e a equipe da Purple pode orientá-lo em uma configuração de prova de conceito para o seu site específico. Obrigado por ouvir. Nos vemos no próximo briefing.