如何在 Starlink 上为 Guest WiFi 设置 Captive Portal

欢迎阅读 Purple 技术简报。今天我们将探讨一个随着 Starlink 进入光纤无法触及的场所而变得越来越普遍的问题：如何在 Starlink 连接上为访客 WiFi 设置一个规范的 Captive Portal？ 我将带您了解其架构、在修改任何配置文件之前需要了解的限制，以及在实际生产环境中切实可行的部署步骤。我们将介绍两个实际应用场景、我最常遇到的五个陷阱，最后针对 IT 团队每周向我们提出的问题进行快速解答。 让我们先来探讨为什么这并非一个简单的问题。 Starlink 确实改变了那些此前只能依赖缓慢且昂贵的卫星连接或不稳定的 4G 场所的联络现状。无论是地处偏远的高地酒店、邮轮、野外节日活动现场，还是建筑工地的临时福利板房，现在都可以通过一个大号披萨盘大小的卫星天线，获得 100 到 220 Mbps 的带宽速度。这确实令人瞩目。 但是，单纯的连接能力只完成了工作的一半。一旦将该连接提供给访客使用，您就需要身份验证、访问控制、符合 GDPR 要求的合规授权捕获以及带宽管理。Starlink 开箱即用并不提供这些功能。这就是需要引入 Captive Portal 的原因。 第一部分：了解 Starlink 网络限制。 在配置路由器之前，您需要了解 Starlink 在 WAN 接口上实际为您提供了什么。标准的 Starlink 卫星天线连接到一个处理 DHCP 和 NAT 的专用 communal 路由器。默认情况下，您处于运营商级 NAT（即工程师所称的 CGNAT）之后。您的 WAN IP 地址范围在 100.64 到 100.127 之间。它不是一个公网 IP。您无法接收来自互联网的入站连接。这对于 Captive Portal 架构的设计至关重要。 Starlink 的住宅和 Roam 方案将并发会话数限制在 1200 个。对于拥有数百台设备的繁忙酒店或活动场所，这一限制会成为一个真正的制约因素。 解决方法是启用旁路模式（Bypass mode）。您可以在 Starlink 应用程序的设置（Settings）中启用此功能，然后切换“Bypass Starlink WiFi router”开关。启用后，Starlink 卫星天线会直接将 CGNAT 地址透传给企业路由器的 WAN 端口。Starlink 路由器将停止进行 DHCP 和 NAT，改由您的路由器接管。您仍然处于 CGNAT 之后，但现在您拥有了对路由层的完全控制权。 一个关键点：如果 Starlink 卫星天线因任何原因恢复出厂设置，旁路模式将被禁用。您需要重新启用它。请务必将此步骤写入您的现场操作手册（Runbook）中。 现在，Starlink 为场所运营商提供了三个相关的方案层级。Residential 和 Roam 提供高达 100 Mbps 的下载速度、尽力而为的优先级，且没有静态 IP 选项。Starlink for Business 提供高达 220 Mbps 的速度、优先级数据分配以及静态 IP 附加组件。Starlink Maritime 提供相同的速度并具有全球便携性 - 如果船只在不同海洋区域之间移动，这一点至关重要。对于任何多用户场所，我建议至少选择 Business 或 Maritime。Residential 方案中的尽力而为数据意味着，只要卫星小区拥堵，您的访客就会被降低优先级。 第二部分：架构栈。 以下是您正在构建的四层堆栈。 第一层是旁路模式下的 Starlink 上行链路。第二层是您的企业级路由器或防火墙。第三层是交换机或接入点级别的 VLAN 细分。第四层是云端 Captive Portal，负责处理身份验证、同意和分析。 让我花点时间讨论一下 VLAN 细分，因为这是不容妥协的。您至少需要三个 VLAN。VLAN 10 用于员工 - 承载您的销售终端系统、后台办公应用和管理流量。VLAN 20 用于访客 - 这是访问 Captive Portal 的纯互联网细分网络。VLAN 30 用于物联网 - 摄像机、智能温控器、建筑管理系统。这三个网络之间绝对不能相互通信。应在防火墙处阻止跨 VLAN 路由。VLAN 20 上的访客绝不能访问 VLAN 10 上的 POS 终端。这不仅是最佳实践 - 如果您在同一物理基础设施上的任何地方处理卡片支付，这也是 PCI-DSS 的要求。 Captive Portal 本身托管在云端。当访客连接到您的访客 SSID 并打开浏览器时，路由器会拦截 HTTP 请求并将其重定向到门户登录页面。访客通过电子邮件、社交登录或凭证码进行身份验证，接受您的服务条款，随后门户向路由器发送信号，允许该 MAC 地址访问互联网。在手机上，整个流程应在 10 秒内完成。 Purple 的云端门户可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 直接集成。您只需配置一次 RADIUS 或 API 集成，Purple 就会处理身份验证握手。无需本地身份验证服务器。这对于无法运行本地 RADIUS 服务器的远程场所至关重要。 第三部分：CGNAT 问题及其解决方案。 这是让大多数 IT 团队措手不及的挑战。标准的 Captive Portal 架构假设云端门户可以访问回您的网络。而在 CGNAT 下，这是不可能的。入站连接会被阻止。该解决方案是反向隧道。您的路由器与云端门户建立出站连接并保持持久打开。所有认证流量都通过该隧道传输。云端永远不需要发起入站连接。Purple 云覆盖架构原生支持这一功能。 如果您确实需要静态 IP，Starlink Business 和 Maritime 提供了静态 IP 附加组件。请查看 Starlink 当前的计划页面以获取您所在特定地区的具体信息。 第四部分：GDPR 与数据合规性。 这是偏远地区场所经常忽略的地方。如果您正在收集英国或欧盟居民的数据，即使您的场所地处偏远，也无法免除 GDPR 的约束。您的 Captive Portal 必须为营销传播提供一个特定的、未勾选的同意复选框。它必须清楚地说明您正在收集哪些数据、原因以及保留时间。服务条款必须在访客认证之前可供访问。 Purple 已通过 ISO 27001 认证、符合 GDPR、符合 CCPA 并获得了 Cyber Essentials 认证。每次登录事件都会记录时间戳、IP 地址和同意记录。如果监管机构提出问询，该审计轨迹就是保护您的依据。 第五部分：带宽管理。 在 Starlink 上，带宽是您最受限的资源。单个播放 4K 视频的访客会持续消耗每秒 25 Mbps 的带宽。在拥有 50 名访客且连接速度为 220 Mbps 的场所中，仅一个人就占用了总容量的 11%。 您可以通过 Captive Portal 和路由器级别来解决这个问题。设置单台设备的带宽限制。实施在达到每日数据配额后进行限制的公平使用政策。使用流量整形来将网页浏览的优先级置于视频流媒体之上。并考虑分层接入：基础连接免费，流媒体使用付费高级层。这可以将您的 WiFi 从成本支出转化为收入来源。 现在让我给您两个真实世界的案例。 案例一：一家拥有 40 间客房且没有光纤的苏格兰高地偏远酒店。他们运行 Starlink for Business，平均网速为 150 Mbps。HPE Aruba 接入点覆盖了主楼和三栋配楼。访客通过 Purple 门户上的电子邮件进行认证。与之前使用的 4G 绑定方案相比，访客 WiFi 投诉减少了 60%。该门户还收集第一方电子邮件数据，直接用于他们离店后的营销活动。 案例二：一艘拥有 120 间客舱的游轮，运行 220 Mbps 的 Starlink Maritime。运营商在整个船只上部署了 Cisco Meraki 接入点，并划分了三个 VLAN - 船员、乘客和船舶系统。Purple Captive Portal 通过电子邮件或与物业管理系统集成的客舱号查询来处理乘客认证。WiFi 收入覆盖了 Starlink 的订阅成本，且运营商拥有一个不断增长的直接营销列表。 实施陷阱。让我为您梳理一下我最常遇到的五个陷阱。 第一：在天线重置后忘记重新启用旁路模式。请在您的操作手册中记录这一点。 第二点：未阻断 VLAN 间路由。我审查过的每个发生过安全事件的部署，此项配置都存在错误。请务必仔细检查两次。 第三点：在访客首选 HTTPS 浏览器的网络中仍使用 HTTP 重定向。现代浏览器默认使用 HTTPS。您的路由器需要正确处理 HTTPS 拦截，否则访客在到达门户之前会看到证书错误。 第四点：未分别在 iOS 和 Android 上进行测试。Apple 的 Captive Network Assistant 和 Android 的网络探测机制表现各异。请在上线前对两者均进行测试。 第五点：忽略延迟。Starlink 低轨卫星星座可提供 20 到 40 毫秒的延迟。但在卫星切换期间，您可能会遇到短暂的延迟激增。请将会话保持活动（keepalive）间隔设置为 60 秒或更短。 快速问答。 在 Starlink 上设置 Captive Portal 需要静态 IP 吗？不需要，前提是您的门户采用支持反向隧道技术的云托管架构。如果运行本地 RADIUS 部署，则需要。 我可以在 Starlink 上运行多个 SSID 吗？可以。您的企业级接入点负责处理 SSID 的创建。处于旁路模式（bypass mode）的 Starlink 仅提供上行链路。 Purple 能否与 Starlink 开箱即用？可以。您只需在 Starlink 天线上配置旁路模式，连接受支持的接入点，然后将 RADIUS 或 API 集成指向 Purple 云端即可。门户将在一个小时内上线。 如果 Starlink 连接断开会发生什么？Purple 门户会在路由器本地缓存处于活动状态的会话，缓存时间可根据需要进行配置（通常为 24 小时）。已通过身份验证的访客将保持在线状态。 总结一下：Starlink 为您提供传输通道，处于旁路模式的企业级路由器让您掌控路由层。VLAN 隔离可将您的访客、员工和物联网（IoT）流量隔离开来。而云端 Captive Portal 负责处理身份验证、GDPR 合规同意、带宽策略以及第一方数据采集。CGNAT（运营商级 NAT）的局限性是通过反向隧道架构来解决的，而不是依靠静态 IP。 Purple 在 90 多个国家/地区的 80,000 个活跃场所运行，并在 2024 年处理了 4.4 亿次登录。该平台与硬件无关，采用云原生设计，可作为一层直接部署在您现有的基础设施之上。无需进行设备淘汰和更换。 如果您想了解这在您的特定环境中如何运作，请访问 purple.ai 并预订技术咨询。我们的团队会将该架构适配到您的硬件上，并在一天之内运行概念验证。 感谢收听。我们下期简报再见。