Como Configurar um Captive Portal no Starlink: Um Guia para os Setores Marítimo, de Transportes e Locais Remotos

Como configurar um Captive Portal no Starlink: Um guia para setores marítimo, de transporte e locais remotos [INTRODUÇÃO - aprox. 1 minuto] Certo. Então você tem o Starlink. Você tem a antena no teto do seu terminal de balsas, ou parafusada no mastro de uma embarcação, ou apontada para o céu a partir de um acampamento de obras remoto. A internet está funcionando. Excelente. Mas aqui está o problema sobre o qual ninguém te avisou: o Starlink, por padrão, apenas te entrega um canal de conexão. Apenas um canal. Sem autenticação. Sem branding. Sem captura de consentimento em conformidade com a GDPR. Sem nenhuma forma de saber quem está na sua rede, quanta largura de banda estão consumindo ou se você está legalmente protegido pelas leis de proteção de dados. Essa é a lacuna que este episódio preenche. Vou te mostrar exatamente como estruturar um Captive Portal corporativo adequado sobre o Starlink - cobrindo a arquitetura, o problema de CGNAT que você enfrentará imediatamente, a segmentação de VLAN para locais marítimos e remotos, e como plataformas como o Purple se integram a esse ecossistema. Quer você administre uma rota de balsas, um hotel isolado, uma área de serviço de rodovia ou um acampamento de obras, o problema fundamental é o mesmo, e a solução também é a mesma. Vamos começar. [ANÁLISE TÉCNICA DETALHADA - aprox. 5 minutos] Primeiro, vamos entender o que o Starlink realmente oferece a você na camada de rede. O Starlink fornece conectividade por meio de satélites de órbita terrestre baixa. A antena se conecta a um roteador - seja o roteador nativo do Starlink ou, nos planos Business e Marítimo, um adaptador ethernet que permite conectar seu próprio hardware. A principal limitação técnica que você precisa entender de imediato é o CGNAT - Carrier-Grade Network Address Translation. Nos planos padrão do Starlink, você fica atrás de um IP público compartilhado. Você não recebe um endereço IP público dedicado e não pode aceitar conexões de entrada. Isso não é um erro - é como o Starlink gerencia o espaço de endereçamento IP entre milhões de assinantes. Por que o CGNAT é importante para os Captive Portals? Porque as arquiteturas tradicionais de Captive Portal dependem frequentemente de conexões de entrada - para retornos de chamada de autenticação RADIUS, para acesso de gerenciamento, para lógica de redirecionamento de portal. Se o seu sistema de Captive Portal exigir um IP público estático ou redirecionamento de portas de entrada, ele não funcionará de forma confiável atrás do CGNAT do Starlink. Ponto final. A solução é uma arquitetura RADIUS nativa em nuvem. Em vez de o seu controlador local tentar receber requisições de autenticação de entrada, o fluxo de autenticação é de saída - do seu hardware local para um servidor RADIUS na nuvem. A plataforma do Purple faz exatamente isso. O controlador local inicia uma conexão de saída para a infraestrutura de RADIUS em nuvem do Purple. A splash page é hospedada na nuvem. A troca de autenticação é concluída por meio desse túnel de saída. O CGNAT torna-se irrelevante porque você nunca precisa de uma conexão de entrada. Agora, a segunda coisa que você precisa fazer é ignorar o roteador nativo da Starlink. O roteador Starlink é um dispositivo de nível de consumidor. Ele não possui suporte a VLAN, nenhuma funcionalidade de Captive Portal, nenhum controle de largura de banda por usuário e nenhum ponto de integração para sistemas de autenticação corporativos. Você precisa colocá-lo no modo de desvio - ou usar o adaptador ethernet no hardware Business e Performance - e substituí-lo por um roteador corporativo gerenciado. As plataformas com as quais trabalhamos mais comumente nesse contexto são Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Todas elas oferecem suporte a marcação de VLAN, integração RADIUS e à configuração de walled garden que os Captive Portals exigem. Deixe-me detalhar a arquitetura de VLAN que você deve implementar. Em uma embarcação marítima, você normalmente precisa de no mínimo três VLANs. VLAN 10 para WiFi de convidados ou passageiros - é aqui que fica o Captive Portal. VLAN 20 para tripulação ou funcionários - normalmente em um SSID separado com autenticação diferente. VLAN 30 para operações, sistemas de navegação ou dispositivos IoT - totalmente isolada das outras duas, com regras de firewall rígidas que impedem qualquer movimento lateral. Em um acampamento de obras remoto ou centro de transporte, a mesma lógica se aplica: o acesso de convidados, o acesso de funcionários e os sistemas operacionais nunca devem compartilhar um domínio de transmissão. O fluxo do Captive Portal em si funciona da seguinte maneira. Um passageiro ou convidado se conecta ao SSID aberto na VLAN 10. O assistente de rede cativa do dispositivo dele - o CNA - detecta que o acesso à internet está bloqueado. No iOS, um pop-up é exibido. No Android, uma notificação é acionada. No Windows, uma janela do navegador é aberta. Todos esses redirecionam para a página de splash do Purple, hospedada na nuvem. O visitante conclui a jornada de login - registro de e-mail, login social ou código de voucher - e aceita os seus termos. O servidor da página de splash do Purple envia um token de autenticação de uso único de volta para a controladora local. A controladora encaminha isso para o servidor RADIUS na nuvem do Purple. O RADIUS retorna um Access Accept. A controladora remove a restrição do Captive Portal para o endereço MAC daquele dispositivo. O visitante está online. O walled garden é uma etapa de configuração crítica. Antes que a autenticação seja concluída, os únicos domínios que o dispositivo pode acessar são aqueles necessários para o carregamento do portal - a infraestrutura da página de splash do Purple, quaisquer endpoints de login social e as URLs de detecção de CNA que os sistemas operacionais utilizam. Tudo o mais é bloqueado. Você configura esse walled garden no seu roteador corporativo ou controladora sem fio. O Purple fornece a lista de domínios específica que você precisa incluir na lista de permissões - consulte a documentação de suporte em support.purple.ai para obter a lista atual. Mais um ponto técnico: certificados SSL. Se você estiver usando um Cisco WLC, há um problema conhecido onde o redirecionamento de autenticação web cai em uma URL HTTP, não HTTPS. Os navegadores modernos exibem um aviso de segurança. A solução é instalar um certificado SSL publicamente confiável no WLC e configurar o hostname virtual para corresponder ao Common Name do certificado. O Purple possui um artigo de suporte dedicado sobre isso para controladores da série Cisco Catalyst 9800 - vou deixar o link nas notas do programa. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aprox. 2 minutos] Deixe-me apresentar as três coisas que mais dão errado em implantações de Captive Portal com Starlink. Número um: não considerar o CGNAT desde o primeiro dia. As equipes encomendam o hardware, configuram tudo na bancada, testam em uma conexão de banda larga padrão e tudo funciona perfeitamente. Depois, implantam atrás do Starlink e a autenticação quebra. A solução é escolher um provedor de RADIUS em nuvem - como o Purple - antes de começar, e confirmar se a plataforma escolhida utiliza fluxos de autenticação apenas de saída. Não presuma que qualquer plataforma de Captive Portal lida bem com CGNAT. Faça essa pergunta explicitamente. Número erro dois: design de rede simplório sem segmentação. Vejo isso constantemente em embarcações e locais remotos. O Starlink é instalado, alguém pluga um roteador WiFi residencial nele e, de repente, tripulação, convidados, sistemas de navegação e câmeras de CFTV estão todos na mesma sub-rede. Um único dispositivo comprometido da tripulação pode alcançar sistemas operacionais. Um convidado transmitindo vídeo em 4K satura o link para todos. A segmentação de VLAN não é opcional em uma conexão via satélite compartilhada. É a diferença entre uma rede gerenciada e um grande risco. Número três: esquecer do CNA no macOS. O macOS da Apple não permite cookies na sessão de navegador do CNA. O Captive Portal do Purple exige um cookie de sessão para manter a jornada de login. Em laptops macOS, o pop-up do CNA redirecionará os visitantes para o neverssl.com - um site HTTP simples que aciona o redirecionamento corretamente sem interferência de SSL. Certifique-se de que sua equipe de suporte saiba disso e considere adicionar uma nota à sua splash page para usuários de laptops. Do lado do hardware: para implantações marítimas, use o kit Starlink Performance - a unidade revestida de alumínio projetada para ambientes severos. Ela é classificada para uma vida útil de 10 anos e opera tanto em energia AC quanto DC. Para locais terrestres remotos, o kit Business padrão costuma ser suficiente, mas planeje um no-break se a estabilidade de energia for uma preocupação. [PERGUNTAS E RESPOSTAS RÁPIDAS - aprox. 1 minuto] Perguntas rápidas que recebo o tempo todo. Posso usar o roteador nativo da Starlink para um Captive Portal? Não. Ele não possui suporte a VLAN e não tem integração com RADIUS. Ignore-o. Preciso de um IP estático para o Captive Portal do Purple funcionar? Não. A arquitetura de RADIUS em nuvem do Purple funciona atrás de CGNAT. Nenhum IP estático é necessário. O que acontece quando a Starlink fica offline no meio de uma sessão? As sessões autenticadas normalmente persistem até que o tempo limite da sessão expire. Novas autenticações entrarão na fila até que a conectividade seja restaurada. Configure o tempo limite da sua sessão para corresponder à sua janela de interrupção esperada. Isso está em conformidade com o GDPR? Sim, quando configurado corretamente. O Purple Capture captura opt-ins de escolha consciente com consentimento explícito na splash page. Os dados são processados em conformidade com o GDPR e a Purple possui a certificação ISO 27001. Posso gerenciar vários locais a partir de um único painel? Sim. A plataforma da Purple gerencia mais de 80.000 locais ativos a partir de uma única tela. Locais remotos, embarcações e centros de transporte aparecem na mesma interface de gerenciamento. [RESUMO E PRÓXIMOS PASSOS - aprox. 1 minuto] Certo, vamos encerrar. A mensagem principal é esta: a Starlink resolve o problema de conectividade em locais remotos e marítimos. Ela não resolve o problema de controle de acesso, conformidade ou analytics. Você precisa de uma camada corporativa por cima. As três coisas a fazer esta semana: primeiro, confirme a categoria do seu hardware Starlink e se você tem acesso ao adaptador ethernet para o modo bypass. Segundo, selecione um controlador de WiFi corporativo da lista de hardwares suportados - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist ou Ubiquiti UniFi são excelentes opções. Terceiro, fale com a Purple sobre o plano Purple Connect - ele é o ponto de partida para a implantação do Captive Portal e inclui RADIUS em nuvem, o editor de splash page e a captura de consentimento em conformidade com o GDPR. O guia escrito completo com diagramas de arquitetura, exemplos práticos e referências de configuração está em purple.ai. Se você estiver implantando especificamente em um contexto marítimo ou de transporte, a seção de guias possui um artigo dedicado a essa configuração exata. Obrigado por ouvir. No próximo episódio, abordaremos a configuração de autenticação RADIUS para redes corporativas de vários locais - mesmo público, mesma profundidade. Nos vemos lá.