Como Configurar um Captive Portal no Starlink: Um Guia para Espaços Remotos e Marítimos

Fale em inglês britânico com um tom confiante, autoritário e de conversação - como um consultor sénior a dar orientações a um cliente. Ritmo ponderado, articulação clara, caloroso mas profissional. Sem palavras de preenchimento. Pausas breves ocasionais para dar ênfase: Bem-vindo ao Purple Technical Briefing. Vou guiá-lo por tudo o que precisa de saber sobre como configurar um captive portal no Starlink - especificamente para locais remotos, operadores marítimos e qualquer pessoa que execute WiFi para convidados onde a fibra simplesmente não é uma opção. [medium pause] Comecemos pelo problema. O Starlink mudou genuinamente o cenário de conectividade para locais que anteriormente estavam limitados a ligações de satélite lentas e dispendiosas ou a um 4G instável. Um navio de cruzeiro, um hotel remoto nas montanhas, uma unidade de apoio social num estaleiro de construção, o recinto de um festival num campo - todos estes podem agora obter de 100 a 220 megabits por segundo a partir de uma antena do tamanho de uma pizza grande. Isso é notável. Mas a questão é esta: a conectividade bruta é apenas metade do trabalho. No momento em que disponibiliza essa ligação a convidados, passageiros ou tripulação, necessita de autenticação, controlo de acessos, consentimento em conformidade com o GDPR e gestão de largura de banda. O Starlink não lhe oferece nada disso de imediato. É aí que entra um captive portal. E é isso que vamos construir hoje. [medium pause] Secção um: compreender as limitações de rede do Starlink. Antes de tocar num router, precisa de compreender o que o Starlink realmente lhe oferece na interface WAN. A antena Starlink padrão liga-se a um router proprietário que gere DHCP e NAT. Por predefinição, está atrás de um NAT de nível de operador - o que os engenheiros chamam de CGNAT. Isso significa que o seu endereço IP WAN está na gama de 100.64 a 100.127. Não é um IP público. Não pode receber ligações de entrada a partir da internet. E isso é extremamente importante para a arquitetura do captive portal. A solução é o modo bypass - por vezes chamado de modo bridge. Ative isto na aplicação Starlink em Definições e depois ative "Bypass Starlink WiFi router." Uma vez ativado, a antena Starlink passa o endereço CGNAT diretamente para a porta WAN do seu router empresarial. O router Starlink deixa de fazer DHCP e NAT. O seu router assume o controlo. Continua atrás de CGNAT, mas agora tem controlo total da camada de encaminhamento. Um ponto crítico: se a antena Starlink for reposta para as definições de fábrica por qualquer motivo, o modo bypass é desativado. Terá de o reativar. Inclua isso no manual de procedimentos do seu site. [medium pause] Atualmente, o Starlink oferece três níveis de planos relevantes para operadores de espaços de atendimento ao público. O Standard oferece até 100 megabits de download, prioridade de melhor esforço e nenhuma opção de IP estático. O Business oferece até 220 megabits, atribuição de dados prioritários e um suplemento de IP estático. O Maritime oferece as mesmas velocidades com portabilidade global - essencial se a embarcação se deslocar entre regiões oceânicas. Para qualquer espaço multiutilizador, recomendaria o Business ou o Maritime no mínimo. Os dados de melhor esforço no Standard significam que os seus convidados perdem a prioridade sempre que a célula de satélite estiver congestionada. [medium pause] Secção dois: a stack de arquitetura. Aqui está a stack de quatro camadas que vai construir. A camada um é o uplink Starlink em modo bypass. A camada dois é o seu router ou firewall empresarial - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Fortinet - qualquer um destes funciona. A camada três é a segmentação VLAN ao nível do comutador ou do ponto de acesso. A camada quatro é o Captive Portal na nuvem, que gere a autenticação, o consentimento e a análise de dados. Permita-me dedicar um momento à segmentação VLAN porque esta é inegociável. Precisa, no mínimo, de três VLANs. A VLAN 10 para o pessoal - que transporta os seus sistemas POS, aplicações de back office e tráfego de gestão. A VLAN 20 para convidados - este é o segmento exclusivo de internet que acede ao Captive Portal. A VLAN 30 para IoT - câmaras, termóstatos inteligentes, sistemas de gestão de edifícios. Estas três redes não devem conseguir comunicar entre si. O encaminhamento inter-VLAN deve ser bloqueado na firewall. Um convidado na VLAN 20 nunca deve conseguir aceder ao seu terminal POS na VLAN 10. Isto não é apenas uma boa prática - é um requisito PCI-DSS se estiver a processar pagamentos com cartão em qualquer parte da mesma infraestrutura física. [pausa média] O próprio Captive Portal reside na nuvem. Quando um convidado se liga ao seu SSID de convidados e abre um browser, o router intercetada o pedido HTTP e redireciona-o para a página de início de sessão do portal. O convidado autentica-se - via e-mail, início de sessão social ou um código de voucher - aceita os seus termos de serviço, e o portal sinaliza ao router para conceder acesso à internet a esse endereço MAC. Todo o fluxo deve ser concluído em menos de 10 segundos num dispositivo móvel. Com o Purple, esse portal na nuvem integra-se diretamente com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Configura a integração de RADIUS ou API uma vez, e o Purple trata do protocolo de autenticação. Não é necessário nenhum servidor de autenticação no local. Isto é crítico para locais remotos onde não é possível executar um servidor RADIUS local. [pausa média] Secção três: o problema do CGNAT e como resolvê-lo. Aqui está o desafio que apanha a maioria das equipas de TI de surpresa. As arquiteturas padrão de Captive Portal assumem que o portal na nuvem consegue aceder de volta à sua rede. Com o CGNAT, isso é impossível. As ligações de entrada são bloqueadas. A solução é um túnel reverso. O seu router estabelece uma ligação de saída para o portal na nuvem e mantém-na aberta permanentemente. Todo o tráfego de autenticação flui através desse túnel. A nuvem nunca precisa de iniciar uma ligação de entrada. A arquitetura de sobreposição na nuvem do Purple lida com isto nativamente - não precisa de configurar o WireGuard ou o OpenVPN manualmente, embora ambos sejam alternativas válidas se estiver a executar a sua própria infraestrutura. Se precisar de um IP estático - por exemplo, se estiver a executar um servidor RADIUS no local ou se precisar de uma lista de permissões de IP consistente - o Starlink Business e o Starlink Maritime oferecem um IP estático como extra. À data desta gravação, está disponível na maioria das regiões. Verifique as páginas dos planos atuais da Starlink para o seu território específico. [medium pause] Secção quatro: GDPR e conformidade de dados. É aqui que os espaços remotos e marítimos são frequentemente apanhados de surpresa. O facto de o seu espaço estar numa embarcação em águas internacionais, ou num local remoto, não o isenta do GDPR se estiver a recolher dados de residentes da UE. E se estiver a operar em águas do Reino Unido pós-Brexit, aplica-se o UK GDPR. O seu Captive Portal deve apresentar uma caixa de seleção de consentimento específica e desmarcada para comunicações de marketing. Deve indicar claramente quais os dados que está a recolher, porquê e durante quanto tempo os irá reter. Os termos de serviço devem estar acessíveis antes de o convidado se autenticar. E deve ser capaz de demonstrar, mediante pedido, que um indivíduo específico deu o seu consentimento numa data e hora específicas. O Purple possui certificação ISO 27001, está em conformidade com o GDPR e o CCPA, e possui a certificação Cyber Essentials. Cada evento de início de sessão é registado com uma marca temporal, endereço IP e registo de consentimento. Essa pista de auditoria é o que o protege caso um regulador faça perguntas. [medium pause] Secção cinco: gestão de largura de banda. No Starlink, a largura de banda é o seu recurso mais limitado. Um único passageiro a transmitir vídeo em 4K pode consumir 25 megabits por segundo continuamente. Numa embarcação com 50 passageiros e uma ligação de 220 megabits, isto representa uma pessoa a consumir 11% da capacidade total. Pode resolver isto ao nível do Captive Portal e do router. Defina limites de largura de banda por dispositivo - por exemplo, 5 megabits de download e 2 megabits de upload por dispositivo de convidado. Implemente políticas de utilização responsável que limitem a velocidade após uma franquia diária de dados. Utilize a modelação de tráfego para priorizar a navegação na web e as mensagens em detrimento da transmissão de vídeo. E considere o acesso em níveis: um nível gratuito para conectividade básica e um nível premium pago para transmissão de vídeo. Isso converte o seu WiFi de uma linha de custos num fluxo de receitas. [medium pause] Agora, permita-me apresentar-lhe dois cenários do mundo real. Cenário um: um navio de cruzeiro de 120 cabines. O operador utiliza o Starlink Maritime a 220 megabits. Implementa pontos de acesso Cisco Meraki em toda a embarcação com três VLANs - tripulação, passageiros e sistemas do navio. O Captive Portal do Purple lida com a autenticação dos passageiros através de e-mail ou de uma consulta do número da cabine integrada com o PMS. Cada passageiro tem uma franquia diária de 2 gigabytes. Os passageiros do nível premium recebem 10 gigabytes. O portal recolhe dados de e-mail primários para marketing pós-viagem. Resultado: a receita do WiFi cobre o custo da assinatura do Starlink e o operador tem uma lista crescente de marketing direto. Cenário dois: um hotel remoto nas Terras Altas sem fibra. Operam com o Starlink Business a uma média de 150 megabits. Os pontos de acesso HPE Aruba cobrem o edifício principal e três edifícios anexos. Os hóspedes autenticam-se via e-mail no portal da Purple. O hotel utiliza a análise de dados da Purple para compreender as horas de pico de utilização e ajusta as políticas de largura de banda em conformidade. Reduziram as reclamações sobre o WiFi de hóspedes em 60% em comparação com a sua configuração anterior de ligação 4G, de acordo com os seus próprios dados operacionais. [medium pause] Erros comuns. Permita-me detalhar os cinco que vejo com mais frequência. Um: esquecer-se de reativar o modo bypass após uma reposição da antena. Documente isto no seu manual de procedimentos e defina um alerta de monitorização na interface WAN do seu router. Dois: não bloquear o encaminhamento inter-VLAN. Todas as implementações que analisei e que tiveram um incidente de segurança tinham isto mal configurado. Verifique duas vezes. Três: utilizar o redirecionamento HTTP para o Captive Portal numa rede onde os hóspedes utilizam navegadores focados primeiro em HTTPS. Os navegadores modernos utilizam HTTPS por predefinição. O seu router precisa de lidar corretamente com a interceção HTTPS, caso contrário os hóspedes verão erros de certificado antes de chegarem ao portal. O portal da Purple lida com isto, mas a configuração do seu router precisa de estar correta. Quatro: não testar em iOS e Android separadamente. O Captive Network Assistant da Apple e a sonda de rede do Android comportam-se de forma diferente. Teste ambos antes do lançamento. Cinco: ignorar a latência. A constelação LEO da Starlink oferece uma latência de 20 a 40 milissegundos - muito melhor do que o satélite geoestacionário tradicional. Mas durante as transições entre satélites, pode haver picos breves. As definições de tempo limite do seu Captive Portal precisam de ter isto em conta. Defina os intervalos de keepalive da sessão para 60 segundos ou menos. [medium pause] Perguntas rápidas. Preciso de um IP estático para um Captive Portal na Starlink? Não, se o seu portal utilizar uma arquitetura alojada na nuvem com túnel reverso. Sim, se estiver a utilizar RADIUS local. Posso executar vários SSIDs na Starlink? Sim - os seus pontos de acesso empresariais tratam da criação de SSIDs. A Starlink em modo bypass fornece apenas a ligação ascendente. Pode executar tantos SSIDs quantos os seus pontos de acesso suportarem. A Purple funciona com a Starlink diretamente de origem? Sim. Configura o modo bypass na antena Starlink, liga os seus pontos de acesso suportados e aponta a integração RADIUS ou API para a nuvem da Purple. O portal fica ativo em menos de uma hora. O que acontece se a ligação Starlink cair? O portal da Purple armazena as sessões ativas localmente no router durante um período configurável - normalmente 24 horas. Os hóspedes que já estão autenticados permanecem online. As novas autenticações ficam em fila de espera até que a conectividade seja restabelecida. [medium pause] Para resumir. A Starlink fornece-lhe o canal. O seu router empresarial em modo bypass dá-lhe o controlo da camada de routing. A segmentação VLAN isola o tráfego de convidados, funcionários e IoT. Um Captive Portal na nuvem - o da Purple, neste caso - lida com a autenticação, consentimento do GDPR, política de largura de banda e recolha de dados primários. A limitação de CGNAT é resolvida por uma arquitetura de túnel inverso, e não por IP estático. E a gestão de largura de banda ao nível do portal é o que mantém a sua ligação Starlink utilizável para todos. Se está a avaliar isto para o seu espaço, o próximo passo é verificar qual o hardware de ponto de acesso que está a utilizar - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks ou Fortinet - e confirmar a documentação de integração da Purple para essa plataforma. Pode encontrar o guia técnico completo em purple.ai, e a equipa da Purple pode orientá-lo através de uma configuração de prova de conceito para o seu site específico. Obrigado por ouvir. Vemo-nos no próximo briefing.