如何在 Starlink 上设置 Captive Portal：海事、交通和偏远地区站点指南

如何在全球星链（Starlink）上设置 Captive Portal：海事、交通与偏远场所指南 [引言 - 约 1 分钟] 好了。现在您已经拥有了 Starlink。您已经把天线安装在了渡轮码头的屋顶上，或者固定在了船只的桅杆上，又或者在偏远的建设营地里指向天空。互联网已经连通。太棒了。但有一个没人提醒过您的棘手问题：Starlink 开箱即用只为您提供了一个通道。仅仅是一个通道。没有身份验证。没有品牌定制。没有符合 GDPR 的同意信息收集。您无法知道谁在使用您的网络、他们消耗了多少带宽，甚至在数据保护法下您是否得到了合法的保障。 这正是本期内容要解决的空白。我将带您了解如何精确地在 Starlink 之上部署一个真正的企业级 captive portal - 涵盖网络架构、您会立刻遇到的 CGNAT 问题、用于海事和偏远场所的 VLAN 隔离，以及 Purple 等平台如何集成到这个架构中。无论您是在运营渡轮航线、偏远地区的酒店、高速公路服务区，还是建设营地，这都是同样的核心问题，而解决方案也是一样的。 让我们开始深入探讨。 [技术深挖 - 约 5 分钟] 首先，让我们了解一下 Starlink 在网络层实际上为您提供了什么。 Starlink 通过低地球轨道卫星提供连接。天线连接到一个路由器 - 可以是 Starlink 原生路由器，或者在 Business 和 Maritime 级别中，是通过以太网适配器连接您自己的硬件。您需要立即理解的关键技术限制是 CGNAT - 运营商级网络地址转换。在标准的 Starlink 计划中，您处于共享的公网 IP 之后。您无法获得专属的公网 IP 地址，也无法接收对内的连接。这不是一个漏洞 - 而是 Starlink 在数百万订阅用户中管理 IP 地址空间的方式。 为什么 CGNAT 对 captive portal 如此重要？因为传统的 captive portal 架构往往依赖于对内连接 - 用于 RADIUS 身份验证回调、管理访问以及门户重定向逻辑。如果您的 captive portal 系统需要静态公网 IP 或对内端口转发，那么在 Starlink 的 CGNAT 之后它将无法稳定工作。绝对不行。 解决方案是采用云原生 RADIUS 架构。与您的本地控制器尝试接收对内身份验证请求不同，身份验证流程是向外发起的 - 从您的本地硬件发送到云端 RADIUS 服务器。Purple 的平台正是这样运作的。本地控制器向 Purple 的云端 RADIUS 架构发起向外连接。展示页面托管在云端。身份验证交互通过该向外隧道完成。CGNAT 将不再受影响，因为您根本不需要对内连接。 现在，您需要做的第二件事是绕过原生 Starlink 路由器。Starlink 路由器是一款消费级设备。它不支持 VLAN、没有 Captive Portal 功能、没有单用户带宽控制，也没有与企业身份验证系统的集成点。您需要将其设置为旁路模式（或者在 Business 和 Performance 硬件上使用以太网适配器），并用托管的企业路由器取而代之。在此场景中，我们最常用的平台是 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi。它们都支持 VLAN 标记、RADIUS 集成以及 Captive Portal 所需的围墙花园（Walled Garden）配置。 让我为您介绍一下应该部署的 VLAN 架构。在海上船只上，您通常至少需要三个 VLAN。VLAN 10 用于访客或旅客 WiFi - 这是 Captive Portal 所在的区域。VLAN 20 用于船员或员工 - 通常位于具有不同身份验证的独立 SSID 上。VLAN 30 用于运营、导航系统或物联网设备 - 与其他两个完全隔离，并配有严格的防火墙规则以防止任何横向移动。在远程施工营地或交通枢纽中，同样的逻辑也适用：访客接入、员工接入和运营系统绝不应共享同一个广播域。 Captive Portal 流程本身是这样工作的。旅客或访客连接到 VLAN 10 上的开放 SSID。其设备的 Captive Network Assistant（CNA）检测到互联网连接被阻止。在 iOS 上会弹出窗口。在 Android 上会触发通知。在 Windows 上会打开浏览器窗口。所有这些都会重定向到托管在云端的 Purple 页面。访客完成登录流程（邮箱注册、社交登录或凭证码）并同意您的条款。Purple 的页面服务器将一次性身份验证令牌发送回本地控制器。控制器将其转发给 Purple 的云端 RADIUS 服务器。RADIUS 返回 Access Accept 允许接入。控制器解除该设备 MAC 地址的 Captive Portal 限制。访客即可上线。 围墙花园是一项至关重要的配置步骤。在身份验证完成之前，设备唯一能访问的域名只有加载门户所需的那些域名 - 也就是 Purple 页面基础设施、任何社交登录端点以及操作系统使用的 CNA 检测 URL。其他所有内容都将被阻止。您需要在您的企业路由器或无线控制器中配置此围墙花园。Purple 提供了您需要列入白名单的特定域名列表 - 请参阅 support.purple.ai 上的支持文档以获取当前列表。 在技术方面还有一件事：SSL 证书。如果您使用的是 Cisco WLC，存在一个已知问题，即 Web 身份验证重定向会指向 HTTP URL，而非 HTTPS。现代浏览器会抛出安全警告。解决方案是在 WLC 上安装受公开信任的 SSL 证书，并配置虚拟主机名以匹配证书的通用名称（Common Name）。Purple 为 Cisco Catalyst 9800 系列控制器提供了专门的对此支持的文章 - 我会在节目简报中提供链接。 [实施建议与常见陷阱 - 约 2 分钟] 让我为您介绍 Starlink Captive Portal 部署中最容易出错的三件事。 第一：在第一天没有考虑到 CGNAT。团队订购了硬件，在工作台上配置了一切，在标准宽带连接上进行了测试，运行完美。然后他们将其部署在 Starlink 之后，身份验证就中断了。解决方案是在开始之前选择一个云 RADIUS 服务商 - 例如 Purple - 并确认您选择的平台采用仅出站的身份验证流。不要想当然地认为任何 Captive Portal 平台都能优雅地处理 CGNAT。请明确地提出这个问题。 第二：扁平网络设计。我在船只和偏远站点上经常看到这种情况。Starlink 接入后，有人插上了一个消费级 WiFi 路由器，突然间船员、访客、导航系统和闭路电视（CCTV）摄像头都处于同一个子网中。一个受损的船员设备就可能触及业务系统。一个观看 4K 视频流媒体的访客就会使所有人的链路饱和。在共享的卫星连接上，VLAN 划分是必选项。这是托管网络与安全隐患之间的本质区别。 第三：忘记了 macOS 上的 CNA。Apple 的 macOS 不允许在 CNA 浏览器会话中使用 Cookie。Purple 的 Captive Portal 需要会话 Cookie 来维持登录流程。在 macOS 笔记本电脑上，CNA 弹窗会将访问者重定向到 neverssl.com - 一个普通的 HTTP 网站，可以在没有 SSL 干扰的情况下正确触发重定向。确保您的支持人员知晓这一点，并考虑为笔记本电脑用户在 Splash Page 上添加一条说明。 在硬件方面：对于海洋部署，请使用 Starlink Performance 套件 - 专为恶劣环境设计的铝外壳设备。它的额定寿命为 10 年，且支持交流和直流电源。对于偏远陆地站点，标准的 Business 套件通常就足够了，但如果电力稳定性存在隐患，请规划 UPS。 [快速问答 - 约 1 分钟] 我经常被问到的快速问题： 我可以使用原生的 Starlink 路由器来做 Captive Portal 吗？不能。它没有 VLAN 支持，也没有 RADIUS 集成。请绕过它。 我需要静态 IP 才能运行 Purple 的 Captive Portal 吗？不需要。Purple 的云 RADIUS 架构可在 CGNAT 之后运行。不需要静态 IP。 当 Starlink 在会话期间离线时会发生什么？已验证的会话通常会持续到会话超时失效。新的验证将在连接恢复前进行排队。请配置您的会话超时，以匹配您预期的中断窗口。 这符合 GDPR 规范吗？是的，在正确配置的情况下。Purple 在展示页面通过明确的同意来获取有意识选择的选择性加入。数据处理符合 GDPR，且 Purple 持有 ISO 27001 认证。 我可以在一个控制面板中运行多个场所吗？可以。Purple 的平台从单一窗口管理超过 80,000 个活跃场馆。远程场所、船只和交通枢纽都显示在同一个管理界面中。 [总结与后续步骤 - 约 1 分钟] 好，让我们来做个总结。核心信息是：Starlink 解决了远程和海洋场所的连接问题。它并没有解决访问控制、合规性或分析问题。您需要在其上建立一个企业层。 本周要做的三件事：第一，确认您的 Starlink 硬件层级，以及您是否拥有用于旁路模式的以太网适配器访问权限。第二，从支持的硬件列表中选择一个企业 WiFi 控制器 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 或 Ubiquiti UniFi 都是可靠的选择。第三，向 Purple 咨询 Connect 计划 - 这是部署 Captive Portal 的起点，其中包括云 RADIUS、展示页面编辑器和符合 GDPR 规范的同意获取。 包含架构图、工作示例和配置参考的完整书面指南可在 purple.ai 找到。如果您专门在海洋或交通环境中进行部署，指南部分有针对此特定设置的专门文章。 感谢收听。下一期，我们将介绍针对多场所企业网络的 RADIUS 验证配置 - 相同的听众，相同的深度。下期再。