Como Configurar um Captive Portal no Starlink: Um Guia para os Setores Marítimo, de Transportes e Locais Remotos

Como Configurar um Captive Portal no Starlink: Um Guia para os Setores Marítimo, de Transportes e Locais Remotos [INTRODUÇÃO - aprox. 1 minuto] Muito bem. Já tem o Starlink. Tem a antena no telhado do seu terminal de ferries, ou aparafusada ao mastro de uma embarcação, ou apontada para o céu a partir de um estaleiro de construção remoto. A internet está a funcionar. Excelente. Mas aqui está o problema sobre o qual ninguém o alertou: o Starlink, ao sair da caixa, dá-lhe apenas um canal de ligação. Apenas um canal. Sem autenticação. Sem imagem de marca. Sem recolha de consentimento em conformidade com o GDPR. Sem forma de saber quem está na sua rede, quanta largura de banda estão a consumir ou se está sequer legalmente protegido ao abrigo da lei de proteção de dados. É essa a lacuna que este episódio preenche. Vou explicar-lhe exatamente como implementar um Captive Portal empresarial adequado sobre o Starlink - abordando a arquitetura, o problema do CGNAT com o qual se vai deparar imediatamente, a segmentação por VLAN para locais marítimos e remotos, e como plataformas como a Purple se integram nesta infraestrutura. Quer esteja a gerir uma rota de ferry, um hotel remoto, uma área de serviço de autoestrada ou um estaleiro de construção, o problema fundamental é o mesmo e a solução também. Vamos a isso. [ANÁLISE TÉCNICA DETALHADA - aprox. 5 minutos] Primeiro, vamos compreender o que o Starlink realmente lhe oferece na camada de rede. O Starlink fornece conectividade através de satélites de órbita terrestre baixa. A antena liga-se a um router - ou o router nativo do Starlink ou, nos planos Business e Maritime, um adaptador ethernet que lhe permite ligar o seu próprio hardware. A principal limitação técnica que precisa de compreender imediatamente é o CGNAT - Carrier-Grade Network Address Translation. Nos planos standard do Starlink, o utilizador está atrás de um IP público partilhado. Não obtém um endereço IP público dedicado e não pode aceitar ligações de entrada. Isto não é um erro - é a forma como o Starlink faz a gestão do espaço de endereços IP entre milhões de assinantes. Porque é que o CGNAT é importante para os Captive Portals? Porque as arquiteturas tradicionais de Captive Portal dependem frequentemente de ligações de entrada - para retornos de chamada de autenticação RADIUS, para acesso de gestão, para a lógica de redirecionamento do portal. Se o seu sistema de Captive Portal exigir um IP público estático ou reencaminhamento de portas de entrada, não irá funcionar de forma fiável atrás do CGNAT do Starlink. Ponto final. A solução é uma arquitetura RADIUS nativa na nuvem. Em vez de o seu controlador local tentar receber pedidos de autenticação de entrada, o fluxo de autenticação é de saída - do seu hardware local para um servidor RADIUS na nuvem. A plataforma da Purple faz exatamente isto. O controlador local inicia uma ligação de saída para a infraestrutura RADIUS na nuvem da Purple. A splash page é alojada na nuvem. A partilha de autenticação é concluída através desse túnel de saída. O CGNAT torna-se irrelevante porque nunca precisa de uma ligação de entrada. Agora, a segunda coisa que precisa de fazer é contornar o router nativo da Starlink. O router Starlink é um dispositivo de nível de consumidor. Não tem suporte para VLAN, não tem funcionalidade de Captive Portal, não tem controlos de largura de banda por utilizador e não tem pontos de integração para sistemas de autenticação empresarial. Precisa de o colocar em modo de desvio - ou usar o adaptador ethernet no hardware Business e Performance - e substituí-lo por um router empresarial gerido. As plataformas com as quais trabalhamos mais frequentemente neste contexto são Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi. Todas elas suportam etiquetagem VLAN, integração RADIUS e a configuração de walled garden que os captive portals exigem. Deixe-me orientá-lo através da arquitetura VLAN que deve implementar. Numa embarcação marítima, precisa tipicamente de, no mínimo, três VLANs. VLAN 10 para WiFi de convidados ou passageiros - é aqui que reside o Captive Portal. VLAN 20 para tripulação ou funcionários - tipicamente num SSID separado com autenticação diferente. VLAN 30 para operações, sistemas de navegação ou dispositivos IoT - completamente isolada das outras duas, com regras de firewall estritas que impedem qualquer movimento lateral. Num acampamento de construção remoto ou num centro de transportes, aplica-se a mesma lógica: o acesso de convidados, o acesso de funcionários e os sistemas operacionais nunca devem partilhar um domínio de difusão. O próprio fluxo do Captive Portal funciona da seguinte forma. Um passageiro ou convidado liga-se ao SSID aberto na VLAN 10. O Captive Network Assistant do seu dispositivo - o CNA - deteta que o acesso à Internet está bloqueado. No iOS, aparece uma janela pop-up. No Android, é disparada uma notificação. No Windows, abre-se uma janela do browser. Todos estes redirecionam para a splash page da Purple, alojada na nuvem. O visitante conclui o percurso de início de sessão - registo de e-mail, início de sessão social ou um código de cupão - e aceita os seus termos. O servidor da splash page da Purple envia um token de autenticação de utilização única de volta para o controlador local. O controlador encaminha-o para o servidor RADIUS na nuvem da Purple. O RADIUS devolve um Access Accept. O controlador remove a restrição do Captive Portal para o endereço MAC desse dispositivo. O visitante está online. O walled garden é um passo de configuração crítico. Antes de a autenticação estar concluída, os únicos domínios a que o dispositivo consegue aceder são os necessários para carregar o portal - a infraestrutura da splash page da Purple, quaisquer endpoints de início de sessão social e os URLs de deteção CNA que os sistemas operativos utilizam. Tudo o resto é bloqueado. Configura este walled garden no seu router empresarial ou controlador sem fios. A Purple fornece a lista de domínios específica que precisa de incluir na lista de permissões - consulte a documentação de suporte em support.purple.ai para obter a lista atual. Mais um pormenor do lado técnico: certificados SSL. Se estiver a utilizar um Cisco WLC, existe um problema conhecido em que o redirecionamento da autenticação web vai parar a um URL HTTP, e não HTTPS. Os browsers modernos apresentam um aviso de segurança. A solução consiste em instalar um certificado SSL publicamente fidedigno no WLC e configurar o hostname virtual para corresponder ao Common Name do certificado. A Purple tem um artigo de suporte dedicado a isto para controladores da série Cisco Catalyst 9800 - vou deixar o link nas notas do programa. [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aprox. 2 minutos] Deixe-me apresentar-lhe as três coisas que mais frequentemente correm mal nas implementações de Captive Portal com Starlink. Número um: não prever o CGNAT no primeiro dia. As equipas encomendam o hardware, configuram tudo na bancada de testes, testam numa ligação de banda larga normal e funciona perfeitamente. Depois, implementam-no atrás da Starlink e a autenticação falha. A solução é escolher um fornecedor de RADIUS na nuvem - como a Purple - antes de começar, e confirmar que a plataforma escolhida utiliza fluxos de autenticação apenas de saída. Não assuma que qualquer plataforma de Captive Portal lida bem com o CGNAT. Faça a pergunta explicitamente. Número dois: conceção de rede plana. Vejo isto constantemente em embarcações e locais remotos. A Starlink é instalada, alguém liga um router WiFi de consumo e, de repente, a tripulação, os convidados, os sistemas de navegação e as câmaras de CCTV estão todos na mesma sub-rede. Um único dispositivo da tripulação comprometido pode aceder a sistemas operacionais. Um convidado a transmitir vídeo em 4K satura a ligação para todos. A segmentação por VLAN não é opcional numa ligação satélite partilhada. É a diferença entre uma rede gerida e uma responsabilidade acrescida. Número três: esquecer o CNA no macOS. O macOS da Apple não permite cookies na sessão do browser do CNA. O Captive Portal da Purple requer um cookie de sessão para manter o percurso de início de sessão. Em computadores portáteis macOS, a janela pop-up do CNA redirecionará os visitantes para o neverssl.com - um site HTTP simples que aciona o redirecionamento corretamente sem interferência de SSL. Certifique-se de que a sua equipa de suporte sabe disto e considere adicionar uma nota à sua splash page para utilizadores de computadores portáteis. Do lado do hardware: para implementações marítimas, utilize o kit Starlink Performance - a unidade com caixa de alumínio concebida para ambientes adversos. Está classificada para uma durabilidade de 10 anos e funciona tanto com alimentação AC como DC. Para locais terrestres remotos, o kit Business padrão costuma ser suficiente, mas preveja uma UPS se a estabilidade da energia for uma preocupação. [PERGUNTAS E RESPOSTAS RÁPIDAS - aprox. 1 minuto] Perguntas rápidas que me fazem a toda a hora. Posso utilizar o router Starlink nativo para um Captive Portal? Não. Não tem suporte para VLAN nem integração de RADIUS. Ignore-o. Preciso de um IP estático para o Captive Portal da Purple funcionar? Não. A arquitetura de RADIUS na nuvem da Purple funciona atrás de CGNAT. Não é necessário um IP estático.O que acontece quando a Starlink fica offline a meio de uma sessão? As sessões autenticadas normalmente persistem até que o tempo limite da sessão expire. As novas autenticações ficarão em fila de espera até que a conectividade seja restaurada. Configure o tempo limite da sua sessão para corresponder à janela de interrupção esperada. Isto está em conformidade com o GDPR? Sim, quando configurado corretamente. A Purple recolhe adesões por escolha consciente com consentimento explícito na splash page. Os dados são processados em conformidade com o GDPR e a Purple possui a certificação ISO 27001. Posso gerir vários locais a partir de um único painel? Sim. A plataforma da Purple gere mais de 80.000 locais ativos a partir de um único painel de controlo. Locais remotos, embarcações e centros de transporte aparecem todos na mesma interface de gestão. [RESUMO E PRÓXIMOS PASSOS - aprox. 1 minuto] Muito bem, vamos concluir. A mensagem principal é esta: a Starlink resolve o problema de conectividade em locais remotos e marítimos. Não resolve o problema de controlo de acessos, conformidade ou analítica. Precisa de uma camada empresarial por cima. As três coisas a fazer esta semana: primeiro, confirme a sua versão de hardware Starlink e se tem acesso ao adaptador ethernet para o modo bypass. Segundo, selecione um controlador WiFi empresarial da lista de hardware suportado - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist ou Ubiquiti UniFi são todas escolhas sólidas. Terceiro, fale com a Purple sobre o plano Connect - é o ponto de partida para a implementação do Captive Portal e inclui RADIUS na nuvem, o editor de splash page e recolha de consentimento em conformidade com o GDPR. O guia escrito completo com diagramas de arquitetura, exemplos práticos e referências de configuração está disponível em purple.ai. Se estiver a fazer uma implementação num contexto especificamente marítimo ou de transportes, a secção de guias tem um artigo dedicado a esta configuração exata. Obrigado por nos ouvir. No próximo episódio, vamos abordar a configuração da autenticação RADIUS para redes empresariais de vários locais - o mesmo público, a mesma profundidade. Vemo-nos lá.