Como Configurar um Captive Portal no Starlink: Um Guia para Locais Remotos e Marítimos

Fale em inglês britânico com um tom confiante, autoritário e de conversação - como um consultor sênior instruindo um cliente. Ritmo medido, articulação clara, caloroso mas profissional. Sem palavras de preenchimento. Breves pausas ocasionais para dar ênfase: Bem-vindo ao Briefing Técnico da Purple. Vou orientar você em tudo o que precisa saber sobre como configurar um Captive Portal no Starlink - especificamente para locais remotos, operadores marítimos e qualquer pessoa que execute WiFi de convidados onde a fibra simplesmente não é uma opção. [pausa média] Vamos começar com o problema. O Starlink mudou genuinamente o cenário de conectividade para locais que antes estavam presos a conexões de satélite lentas e caras ou 4G instável. Um navio de cruzeiro, um hotel remoto nas montanhas, uma unidade de bem-estar em um canteiro de obras, o local de um festival em um campo - todos eles agora podem obter de 100 a 220 megabits por segundo a partir de uma antena do tamanho de uma pizza grande. Isso é notável. Mas aqui está o detalhe: a conectividade bruta é apenas metade do trabalho. No momento em que você coloca essa conexão diante de convidados, passageiros ou tripulantes, você precisa de autenticação, controle de acesso, consentimento em conformidade com a GDPR e gerenciamento de largura de banda. O Starlink não oferece nada disso nativamente. É aí que entra um Captive Portal. E é isso que vamos construir hoje. [pausa média] Seção um: compreendendo as restrições de rede do Starlink. Antes de tocar em um roteador, você precisa entender o que o Starlink realmente entrega na interface WAN. A antena padrão do Starlink conecta-se a um roteador proprietário que gerencia DHCP e NAT. Por padrão, você está atrás de um NAT de nível de operadora - o que os engenheiros chamam de CGNAT. Isso significa que seu endereço IP WAN está na faixa de 100.64 a 100.127. Não é um IP público. Você não pode receber conexões de entrada da internet. E isso importa enormemente para a arquitetura do Captive Portal. A solução é o modo bypass - às vezes chamado de modo bridge. Você ativa isso no aplicativo Starlink em Configurações e, em seguida, ativa "Bypass Starlink WiFi router". Uma vez ativado, a antena do Starlink passa o endereço CGNAT diretamente para a porta WAN do seu roteador corporativo. O roteador Starlink para de fazer DHCP e NAT. Seu roteador assume o controle. Você ainda está atrás do CGNAT, mas agora tem controle total da camada de roteamento. Um ponto crítico: se a antena do Starlink for redefinida para os padrões de fábrica por qualquer motivo, o modo bypass é desativado. Você precisará reativá-lo. Inclua isso no manual de operações do seu site. [pausa média] Agora, o Starlink oferece três níveis de plano relevantes para operadores de locais de eventos. O Standard oferece até 100 megabits de download, prioridade de melhor esforço e nenhuma opção de IP estático. O Business oferece até 220 megabits, alocação de dados prioritária e um opcional de IP estático. O Maritime oferece as mesmas velocidades com portabilidade global - essencial se a embarcação se mover entre regiões oceânicas. Para qualquer local com múltiplos usuários, eu recomendaria o Business ou o Maritime como limite mínimo. Dados de melhor esforço no Standard significam que seus convidados perdem prioridade sempre que a célula de satélite estiver congestionada. [pausa média] Seção dois: a pilha de arquitetura. Aqui está a pilha de quatro camadas que você está construindo. A camada um é o uplink Starlink em modo bypass. A camada dois é o seu roteador ou firewall corporativo - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - qualquer um deles funciona. A camada três é a segmentação de VLAN no nível do switch ou ponto de acesso. A camada quatro é o captive portal em nuvem, que lida com autenticação, consentimento e analytics. Deixe-me dedicar um momento à segmentação de VLAN porque ela é inegociável. Você precisa de, no mínimo, três VLANs. VLAN 10 para funcionários - ela transporta seus sistemas de PDV, aplicativos de back-office e tráfego de gerenciamento. VLAN 20 para convidados - este é o segmento exclusivo para internet que chega ao captive portal. VLAN 30 para IoT - câmeras, termostatos inteligentes, sistemas de gerenciamento predial. Essas três redes não devem conseguir se comunicar entre si. O roteamento inter-VLAN deve ser bloqueado no firewall. Um convidado na VLAN 20 nunca deve conseguir acessar seu terminal de PDV na VLAN 10. Isso não é apenas uma boa prática - é um requisito do PCI-DSS se você estiver processando pagamentos com cartão em qualquer lugar da mesma infraestrutura física. [medium pause] O captive portal em si fica na nuvem. Quando um convidado se conecta ao seu SSID de convidado e abre um navegador, o roteador intercepta a solicitação HTTP e a redireciona para a página de login do portal. O convidado se autentica - via e-mail, login social ou código de voucher - aceita seus termos de serviço, e o portal sinaliza ao roteador para conceder acesso à internet a esse endereço MAC. Todo o fluxo deve ser concluído em menos de 10 segundos em um dispositivo móvel. Com o Purple, esse portal em nuvem se integra diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você configura a integração de RADIUS ou API uma vez, e o Purple cuida do handshake de autenticação. Nenhum servidor de autenticação local é necessário. Isso é essencial para locais remotos onde você não pode executar um servidor RADIUS local. [medium pause] Seção três: o problema do CGNAT e como resolvê-lo. Aqui está o desafio que pega a maioria das equipes de TI de surpresa. As arquiteturas padrão de captive portal assumem que o portal em nuvem pode acessar sua rede de volta. Com o CGNAT, isso é impossível. As conexões de entrada são bloqueadas. A solução é um túnel reverso. Seu roteador estabelece uma conexão de saída para o portal em nuvem e a mantém aberta de forma persistente. Todo o tráfego de autenticação flui por esse túnel. A nuvem nunca precisa iniciar uma conexão de entrada. A arquitetura de sobreposição em nuvem do Purple lida com isso nativamente - você não precisa configurar o WireGuard ou o OpenVPN manualmente, embora ambos sejam alternativas válidas se você estiver executando sua própria infraestrutura. Se você precisar de um IP estático - por exemplo, se estiver executando um servidor RADIUS no local ou precisar de uma lista de permissões de IP consistente - o Starlink Business e o Maritime oferecem um IP estático como um complemento. No momento da gravação, isso está disponível na maioria das regiões. Verifique as páginas de planos atuais do Starlink para o seu território específico. [medium pause] Seção quatro: GDPR e conformidade de dados. É aqui que os locais remotos e marítimos costumam ser pegos de surpresa. O fato de seu local estar em uma embarcação em águas internacionais, ou em uma localização remota, não o isenta do GDPR se você estiver coletando dados de residentes da UE. E se você estiver operando em águas do Reino Unido pós-Brexit, o UK GDPR se aplica. Seu Captive Portal deve apresentar uma caixa de seleção de consentimento específica e desmarcada para comunicações de marketing. Ele deve indicar claramente quais dados você está coletando, por que e por quanto tempo os reterá. Os termos de serviço devem estar acessíveis antes de o visitante se autenticar. E você deve ser capaz de demonstrar, mediante solicitação, que um indivíduo específico deu consentimento em uma data e hora específicas. O Purple é certificado ISO 27001, em conformidade com o GDPR, CCPA e certificado Cyber Essentials. Cada evento de login é registrado com uma marca temporal, endereço IP e registro de consentimento. Essa trilha de auditoria é o que protege você caso um regulador faça perguntas. [medium pause] Seção cinco: gerenciamento de largura de banda. No Starlink, a largura de banda é o seu recurso mais limitado. Um único passageiro transmitindo vídeo em 4K pode consumir 25 megabits por segundo continuamente. Em uma embarcação com 50 passageiros e uma conexão de 220 megabits, isso representa uma pessoa consumindo 11% da capacidade total. Você resolve isso no nível do Captive Portal e do roteador. Defina limites de largura de banda por dispositivo - por exemplo, 5 megabits de download e 2 megabits de upload por dispositivo de visitante. Implemente políticas de uso justo que reduzam a velocidade após um limite diário de dados. Use a modelagem de tráfego para priorizar a navegação na web e mensagens em vez de streaming de vídeo. E considere o acesso em camadas: um nível gratuito para conectividade básica, um nível premium pago para streaming. Isso converte o seu WiFi de uma linha de custo em uma fonte de receita. [medium pause] Agora deixe-me apresentar dois cenários do mundo real. Cenário um: um navio de cruzeiro de 120 cabines. O operador utiliza o Starlink Maritime a 220 megabits. Eles implantam pontos de acesso Cisco Meraki em toda a embarcação com três VLANs - tripulação, passageiros e sistemas do navio. O Captive Portal do Purple lida com a autenticação de passageiros por e-mail ou uma consulta pelo número da cabine integrada com o PMS. Cada passageiro recebe uma franquia diária de 2 gigabytes. Os passageiros do nível premium recebem 10 gigabytes. O portal coleta dados de e-mail proprietários para marketing pós-viagem. Resultado: a receita do WiFi cobre o custo de assinatura do Starlink, e o operador tem uma lista crescente de marketing direto. Cenário dois: um hotel remoto nas Terras Altas sem fibra. Eles operam com Starlink Business a uma média de 150 megabits. Os pontos de acesso HPE Aruba cobrem o prédio principal e três anexos. Os hóspedes se autenticam via e-mail no portal da Purple. O hotel utiliza as ferramentas de análise da Purple para entender os horários de pico de uso e ajusta as políticas de largura de banda de acordo. Eles reduziram as reclamações sobre o WiFi de hóspedes em 60% em comparação com a configuração anterior de agregação de 4G, segundo os seus próprios dados operacionais. [medium pause] Erros comuns. Deixe-me apresentar os cinco que vejo com mais frequência. Um: esquecer de reativar o modo bypass após um reset da antena. Documente isso no seu manual de procedimentos e configure um alerta de monitoramento na interface WAN do seu roteador. Dois: não bloquear o roteamento inter-VLAN. Todas as implantações que analisei e que tiveram um incidente de segurança apresentavam essa falha de configuração. Verifique duas vezes. Três: usar redirecionamento HTTP para o Captive Portal em uma rede onde os hóspedes usam navegadores prioritariamente HTTPS. Os navegadores modernos usam HTTPS por padrão. O seu roteador precisa gerenciar a interceptação HTTPS corretamente, caso contrário, os hóspedes verão erros de certificado antes de chegarem ao portal. O portal da Purple lida com isso, mas a configuração do seu roteador precisa estar correta. Quatro: não testar no iOS e Android separadamente. O Captive Network Assistant da Apple e o teste de rede do Android se comportam de maneira diferente. Teste ambos antes de entrar em operação. Cinco: ignorar a latência. A constelação LEO da Starlink oferece uma latência de 20 a 40 milissegundos - muito melhor do que o satélite geoestacionário tradicional. Mas durante as transições entre satélites, você pode notar picos rápidos. As configurações de tempo limite do seu Captive Portal precisam considerar isso. Defina os intervalos de keepalive da sessão para 60 segundos ou menos. [medium pause] Perguntas rápidas. Preciso de um IP estático para um Captive Portal na Starlink? Não, se o seu portal utiliza uma arquitetura hospedada na nuvem com tunelamento reverso. Sim, se você estiver executando um RADIUS local. Posso executar múltiplos SSIDs na Starlink? Sim - os seus pontos de acesso corporativos gerenciam a criação de SSIDs. A Starlink em modo bypass apenas fornece o uplink. Você pode executar quantos SSIDs os seus pontos de acesso suportarem. A Purple funciona com a Starlink diretamente de fábrica? Sim. Você configura o modo bypass na antena Starlink, conecta os seus pontos de acesso suportados e aponta a integração de RADIUS ou API para a nuvem da Purple. O portal fica ativo em menos de uma hora. O que acontece se a conexão da Starlink cair? O portal da Purple armazena em cache as sessões ativas localmente no roteador por um período configurável - normalmente 24 horas. Os hóspedes que já estão autenticados permanecem online. Novas autenticações entram em fila até que a conectividade seja restaurada. [medium pause] Resumindo. O Starlink oferece a conexão. O seu roteador corporativo em modo bypass oferece controle sobre a camada de roteamento. A segmentação de VLAN isola o tráfego de convidados, funcionários e IoT. Um Captive Portal em nuvem - o da Purple, neste caso - lida com autenticação, consentimento da GDPR, políticas de largura de banda e coleta de dados primários. A limitação do CGNAT é solucionada pela arquitetura de túnel reverso, e não por IP estático. E o gerenciamento de largura de banda no nível do portal é o que mantém a sua conexão Starlink utilizável para todos. Se você está avaliando isso para o seu estabelecimento, o próximo passo é verificar qual hardware de ponto de acesso você está utilizando - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet - e confirmar a documentação de integração da Purple para essa plataforma. Você pode encontrar o guia técnico completo em purple.ai, e a equipe da Purple pode orientar você em uma configuração de prova de conceito para o seu site específico. Obrigado por ouvir. Nos vemos no próximo briefing.