Como Configurar um Captive Portal no Starlink para Guest WiFi

Bem-vindo ao Briefing Técnico da Purple. Hoje vamos abordar uma questão que surge cada vez mais frequentemente à medida que a Starlink chega a locais onde a fibra simplesmente não consegue chegar. Como configurar um captive portal adequado para WiFi de convidados numa ligação Starlink? Vou orientá-lo através da arquitetura, das restrições que precisa de compreender antes de tocar num único ficheiro de configuração e dos passos de implementação que realmente funcionam em produção. Vamos cobrir dois cenários do mundo real, as cinco armadilhas que vejo com mais frequência e terminar com respostas rápidas às perguntas que as equipas de TI nos colocam todas as semanas. Comecemos pelo motivo pelo qual este não é um problema trivial. A Starlink mudou genuinamente o panorama da conectividade para locais que anteriormente estavam limitados a ligações por satélite lentas e dispendiosas ou a uma cobertura 4G instável. Um hotel remoto nas Terras Altas, um navio de cruzeiro, o recinto de um festival num campo, uma unidade de apoio social numa obra - todos estes locais conseguem agora obter entre 100 e 220 megabits por segundo a partir de uma antena do tamanho de uma pizza grande. Isso é notável. Mas a conectividade bruta é apenas metade do trabalho. No momento em que disponibiliza essa ligação aos convidados, precisa de autenticação, controlo de acessos, recolha de consentimento em conformidade com o GDPR e gestão de largura de banda. A Starlink não lhe oferece nada disso de forma nativa. É aí que entra um captive portal. Secção um: compreender as restrições de rede da Starlink. Antes de tocar num router, precisa de compreender o que a Starlink realmente lhe fornece na interface WAN. A antena Starlink padrão liga-se a um router proprietário que gere o DHCP e o NAT. Por predefinição, está atrás de um Carrier Grade NAT - o que os engenheiros designam por CGNAT. O seu endereço IP WAN situa-se no intervalo de 100.64 a 100.127. Não é um IP público. Não pode receber ligações de entrada a partir da internet. E isso é extremamente importante para a arquitetura do captive portal. Os planos residenciais e Roam da Starlink limitam as sessões concorrentes a 1200. Para um hotel movimentado ou um local de eventos com centenas de dispositivos, esse limite torna-se uma restrição real. A solução é o modo bypass. Ative esta opção na aplicação Starlink em Definições e, em seguida, ative a opção Ignorar router WiFi Starlink. Uma vez ativado, a antena Starlink passa o endereço CGNAT diretamente para a porta WAN do seu router empresarial. O router Starlink deixa de efetuar DHCP e NAT. O seu router assume o controlo. Continua atrás de CGNAT, mas agora tem total controlo da camada de encaminhamento. Um ponto crítico: se a antena Starlink for reposta para as definições de fábrica por qualquer motivo, o modo bypass é desativado. Terá de o reativar. Inclua isso no manual de procedimentos do seu local.Atualmente, a Starlink oferece três níveis de planos relevantes para operadores de espaços. Os planos Residencial e Roam oferecem-lhe até 100 megabits de download, prioridade de melhor esforço e nenhuma opção de IP estático. A Starlink para Empresas oferece-lhe até 220 megabits, alocação de dados prioritários e um suplemento de IP estático. A Starlink Marítima oferece-lhe as mesmas velocidades com portabilidade global - essencial se a embarcação se deslocar entre regiões oceânicas. Para qualquer espaço multiutilizador, recomendaria o plano Empresas ou Marítima como mínimo. Os dados de melhor esforço no plano residencial significam que os seus convidados perdem a prioridade sempre que a célula de satélite estiver congestionada. Secção dois: a infraestrutura de arquitetura. Aqui está a infraestrutura de quatro camadas que está a construir. A camada um é a ligação Starlink em modo bypass. A camada dois é o seu router empresarial ou firewall. A camada três é a segmentação VLAN ao nível do switch ou do ponto de acesso. A camada quatro é o Captive Portal na nuvem, que lida com a autenticação, o consentimento e a análise de dados. Deixe-me dedicar um momento à segmentação VLAN porque esta é inegociável. Precisa de, no mínimo, três VLANs. A VLAN 10 para funcionários - esta transporta os seus sistemas de ponto de venda, aplicações administrativas e tráfego de gestão. A VLAN 20 para convidados - este é o segmento apenas de internet que acede ao Captive Portal. A VLAN 30 para IoT - câmaras, termostatos inteligentes, sistemas de gestão de edifícios. Estas três redes não podem comunicar entre si. O encaminhamento inter-VLAN deve ser bloqueado na firewall. Um convidado na VLAN 20 nunca deve conseguir aceder ao seu terminal POS na VLAN 10. Isso não é apenas uma boa prática - é um requisito PCI-DSS se estiver a processar pagamentos com cartão em qualquer parte da mesma infraestrutura física. O próprio Captive Portal reside na nuvem. Quando um convidado se liga ao seu SSID de convidados e abre um navegador, o router intercepta o pedido HTTP e redireciona-o para a página de início de sessão do portal. O convidado autentica-se - via e-mail, início de sessão social ou um código de cupão - aceita os seus termos de serviço, e o portal sinaliza o router para conceder acesso à internet a esse endereço MAC. Todo o fluxo deve demorar menos de 10 segundos a concluir num telemóvel. O portal na nuvem da Purple integra-se diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Configura a integração RADIUS ou API uma vez, e a Purple trata do processo de autenticação. Não é necessário nenhum servidor de autenticação no local. Isto é crítico para espaços remotos onde não é possível executar um servidor RADIUS local. Secção três: o problema CGNAT e como o resolver. Aqui está o desafio que apanha a maioria das equipas de TI de surpresa. As arquiteturas padrão de Captive Portal pressupõem que o portal na nuvem consegue aceder novamente à sua rede. Com o CGNAT, isso é impossível. As ligações de entrada são bloqueadas. A solução é um túnel inverso. O seu router estabelece uma ligação de saída para o portal de nuvem e mantém-na aberta permanentemente. Todo o tráfego de autenticação passa por esse túnel. A nuvem nunca precisa de iniciar uma ligação de entrada. A arquitetura de sobreposição em nuvem da Purple gere isto de forma nativa. Se realmente necessitar de um IP estático, o Starlink Business e o Maritime oferecem um IP estático como extra. Verifique as páginas de planos atuais da Starlink para o seu território específico. Secção quatro: GDPR e conformidade de dados. É aqui que as instalações remotas são frequentemente apanhadas de surpresa. O facto de a sua instalação estar num local remoto não o isenta do cumprimento do GDPR se estiver a recolher dados de residentes do Reino Unido ou da UE. O seu Captive Portal deve apresentar uma caixa de seleção de consentimento específica e desmarcada para comunicações de marketing. Deve indicar claramente quais os dados que está a recolher, porquê e durante quanto tempo os irá reter. Os termos de serviço devem estar acessíveis antes de o convidado se autenticar. A Purple possui a certificação ISO 27001, está em conformidade com o GDPR, com a CCPA e possui a certificação Cyber Essentials. Cada evento de início de sessão é registado com uma marca temporal, endereço IP e registo de consentimento. Esse registo de auditoria é o que o protege caso um regulador faça perguntas. Secção cinco: gestão de largura de banda. Na Starlink, a largura de banda é o seu recurso mais limitado. Um único convidado a transmitir vídeo em 4K pode consumir 25 megabits por segundo continuamente. Numa instalação com 50 convidados e uma ligação de 220 megabits, isto significa que uma pessoa está a consumir 11% da capacidade total. Pode resolver isto ao nível do Captive Portal e do router. Defina limites de largura de banda por dispositivo. Implemente políticas de utilização responsável que reduzam a velocidade após um limite diário de dados. Utilize a modelação de tráfego para priorizar a navegação na web em detrimento da transmissão de vídeo. E considere o acesso em níveis: um nível gratuito para conectividade básica e um nível premium pago para transmissão. Isso converte o seu WiFi de uma linha de custos num fluxo de receitas. Deixe-me agora apresentar-lhe dois cenários do mundo real. Cenário um: um hotel remoto nas Terras Altas com 40 quartos e sem fibra. Utilizam Starlink for Business com uma média de 150 megabits. Os pontos de acesso HPE Aruba cobrem o edifício principal e três edifícios anexos. Os convidados autenticam-se por e-mail no portal Purple. As reclamações sobre o WiFi para convidados diminuíram 60% em comparação com a configuração anterior de agregação 4G. O portal também recolhe dados de e-mail de primeira parte, que alimentam diretamente as suas campanhas de marketing pós-estadia. Cenário dois: um navio de cruzeiro com 120 cabines a utilizar Starlink Maritime a 220 megabits. O operador implementa pontos de acesso Cisco Meraki em todo o navio com três VLANs - tripulação, passageiros e sistemas de bordo. O Captive Portal da Purple gere a autenticação dos passageiros através de e-mail ou por pesquisa do número da cabine integrada com o sistema de gestão de propriedade. As receitas do WiFi cobrem o custo da subscrição Starlink, e o operador dispõe de uma lista de marketing direto em crescimento. Erros comuns de implementação. Deixe-me abordar os cinco que vejo com mais frequência. Um: esquecer de reativar o modo bypass após uma reposição da antena. Documente isto no seu manual de operações. Dois: não bloquear o encaminhamento inter-VLAN. Todas as implementações que analisei e que tiveram um incidente de segurança apresentavam esta configuração incorreta. Verifique duas vezes. Três: utilizar redirecionamento HTTP numa rede onde os convidados utilizam navegadores prioritariamente HTTPS. Os navegadores modernos utilizam o HTTPS por predefinição. O seu router precisa de lidar corretamente com a interceção de HTTPS, caso contrário os convidados verão erros de certificado antes de acederem ao portal. Quatro: não testar em iOS e Android separadamente. O Apple Captive Network Assistant e o teste de rede do Android comportam-se de forma diferente. Teste ambos antes do lançamento oficial. Cinco: ignorar a latência. A constelação de órbita terrestre baixa da Starlink oferece uma latência de 20 a 40 milissegundos. Mas durante as transições entre satélites, podem ocorrer picos breves. Defina os intervalos de keepalive da sessão para 60 segundos ou menos. Perguntas rápidas. Preciso de um IP estático para um Captive Portal na Starlink? Não, se o seu portal utilizar uma arquitetura alojada na nuvem com túnel reverso. Sim, se estiver a executar RADIUS no local. Posso executar múltiplos SSIDs na Starlink? Sim. Os seus pontos de acesso empresariais gerem a criação de SSIDs. A Starlink em modo bypass apenas fornece a ligação ascendente. O Purple funciona de origem com a Starlink? Sim. Configura o modo bypass na antena Starlink, liga os seus pontos de acesso compatíveis e direciona a integração de RADIUS ou API para a nuvem Purple. O portal fica ativo no espaço de uma hora. O que acontece se a ligação Starlink cair? O portal Purple armazena em cache as sessões ativas localmente no router durante um período configurável - normalmente 24 horas. Os convidados que já estejam autenticados permanecem online. Em resumo. A Starlink fornece-lhe a ligação. O seu router empresarial em modo bypass dá-lhe o controlo da camada de encaminhamento. A segmentação por VLAN isola o tráfego dos seus convidados, funcionários e IoT. Um Captive Portal na nuvem lida com a autenticação, consentimento do GDPR, política de largura de banda e recolha de dados primários. A limitação do CGNAT é resolvida pela arquitetura de túnel reverso, e não por um IP estático. A Purple opera em 80 000 locais ativos em mais de 90 países e processou 440 milhões de inícios de sessão em 2024. A plataforma é independente de hardware, nativa na nuvem e implementa-se como uma camada sobre a sua infraestrutura existente. Não é necessária qualquer substituição de raiz. Se quiser ver como isto funciona no seu ambiente específico, visite purple.ai e reserve uma consulta técnica. A equipa irá mapear a arquitetura para o seu hardware e colocar uma prova de conceito em funcionamento no prazo de um dia. Obrigado por ouvir. Vemo-nos no próximo briefing.