如何在 Starlink 上设置 Captive Portal：偏远地区与海事场所指南

请使用自信、权威且具有口语化的英式英语进行演讲 - 就像一位资深顾问在向客户做简报。节奏沉稳、表达清晰、温和而专业。无口头禅。偶尔进行短暂的停顿以示强调： 欢迎来到 Purple 技术简报。我将为您详细介绍在 Starlink 上设置 Captive Portal 所需了解的一切知识 - 特别是针对远程场所、海事运营商以及任何在光纤无法到达的地方运行宾客 WiFi 的用户。 [中等停顿] 让我们先从问题开始。对于以前只能使用缓慢、昂贵的卫星连接或不稳定的 4G 的场所来说，Starlink 真正改变了其连接状况。一艘游轮、一家偏远的高地酒店、一个建筑工地的福利中心、一个田野里的节日场地 - 所有这些现在都可以通过一个大披萨大小的卫星天线获得 100 到 220 Mbps 的速度。这非常了不起。但问题在于：单纯的连接只是工作的一半。一旦您将该连接呈现给宾客、乘客或船员，您就需要身份验证、访问控制、符合 GDPR 的同意书以及带宽管理。Starlink 开箱并不提供这些功能。 这就是 Captive Portal 发挥作用的地方。这也就是我们今天要做的事情。 [中等停顿] 第一部分：了解 Starlink 网络限制。 在您接触路由器之前，您需要了解 Starlink 在 WAN 接口上实际给您提供了什么。标准的 Starlink 天线连接到一个处理 DHCP 和 NAT 的专有路由器。默认情况下，您处于运营商级 NAT 之后 - 也就是工程师所说的 CGNAT。这意味着您的 WAN IP 地址处于 100.64 到 100.127 范围内。它不是公网 IP。您无法接收来自互联网的入站连接。这对于 Captive Portal 架构至关重要。 解决方法是旁路模式（Bypass mode）- 有时也称为桥接模式。您可以在 Starlink 应用程序中的“设置”下启用此功能，然后切换“旁路 Starlink WiFi 路由器”开关。启用后，Starlink 天线会将 CGNAT 地址直接传递给您的企业路由器的 WAN 端口。Starlink 路由器停止执行 DHCP 和 NAT。您的路由器接管一切。虽然您仍然处于 CGNAT 之后，但现在您对路由层拥有了完全控制权。 一个关键点：如果由于任何原因将 Starlink 天线恢复出厂设置，旁路模式将被禁用。您需要重新启用它。请将此步骤写入您的现场操作手册中。 [中等停顿] 现在，Starlink 提供了三种与场所运营商相关的方案层级。“标准”（Standard）方案为您提供高达 100 Mbps 的下载速度、尽力而为（best-effort）的优先级，且无静态 IP 选项。“商业”（Business）方案为您提供高达 220 Mbps 的速度、优先级数据分配以及静态 IP 附加组件。“海事”（Maritime）方案为您提供相同的速度并具有全球便携性 - 如果船只在海洋区域之间移动，这一点至关重要。对于任何多用户场所，我建议至少选择“商业”或“海事”方案。在“标准”方案上使用“尽力而为”数据意味着，每当卫星小区拥堵时，您的宾客连接优先级就会被降低。 [中等停顿] 第二部分：架构栈。 以下是您要构建的四层架构栈。 第一层是旁路模式下的 Starlink 上行链路。第二层是您的企业级路由器或防火墙 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Fortinet - 任何这些设备都可以。第三层是交换机或接入点级别的 VLAN 细分。第四层是云端 Captive Portal，负责处理身份验证、同意书和分析。 我想多花一点时间在 VLAN 细分上，因为这是不可逾越的底线。您至少需要三个 VLAN。VLAN 10 供员工使用 - 承载您的 POS 系统、后勤办公应用和管理流量。VLAN 20 供访客使用 - 这是仅限访问互联网的细分网段，直接指向 Captive Portal。VLAN 30 供 IoT 使用 - 摄像头、智能温控器、建筑管理系统。这三个网络之间绝对不能互相通信。应在防火墙上阻断跨 VLAN 路由。VLAN 20 上的访客绝不能访问到 VLAN 10 上的 POS 终端。这不仅是最佳实践 - 如果您在相同的物理基础设施上处理任何刷卡支付，这也是 PCI-DSS 的硬性要求。 [medium pause] Captive Portal 本身驻留在云端。当访客连接到您的访客 SSID 并打开浏览器时，路由器会拦截 HTTP 请求并将其重定向到门户登录页面。访客通过电子邮件、社交登录或凭证代码进行身份验证并接受您的服务条款，随后门户会向路由器发送信号，允许该 MAC 地址访问互联网。在移动设备上，整个流程应在 10 秒内完成。 通过 Purple，该云端门户可直接与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 集成。您只需配置一次 RADIUS 或 API 集成，Purple 就会自动处理身份验证握手。无需本地身份验证服务器。这对于无法运行本地 RADIUS 服务器的远程场所至关重要。 [medium pause] 第三部分：CGNAT 问题及其解决方法。 这是让大多数 IT 团队措手不及的挑战。标准的 Captive Portal 架构假定云端门户可以主动访问您的内部网络。而在 CGNAT 环境下，这是不可能实现的。入站连接会被阻断。 解决方案是建立反向隧道。您的路由器向云端门户建立一个出站连接，并保持长连接状态。所有的身份验证流量都通过该隧道传输。云端永远不需要发起入站连接。Purple 的云端覆盖网络架构原生支持此功能 - 您无需手动配置 WireGuard 或 OpenVPN，尽管在运行自己的基础设施时，这两者都是可行的替代方案。 如果您确实需要静态 IP - 例如，如果您在现场运行 RADIUS 服务器或需要一致的 IP 白名单 - Starlink Business 和 Maritime 提供静态 IP 作为附加组件。在录制本文时，该服务在大多数地区均可使用。请查看 Starlink 当前的计划页面以获取您特定地区的具体信息。 [medium pause] 第四部分：GDPR 与数据合规性。 这往往是远程和海洋场所容易忽视的地方。如果您的场所位于国际水域的船只上或处于偏远地区，但如果您正在收集欧盟居民的数据，这并不能免除您遵守 GDPR 的义务。而且如果您在英国脱欧后的英国水域内运营，UK GDPR 同样适用。 您的 Captive Portal 必须针对营销传播呈现一个特定的、未勾选的同意复选框。它必须清晰地说明您正在收集什么数据、原因以及您将保留这些数据多久。服务条款必须在访客进行身份验证之前可供访问。此外，您必须能够根据要求证明，特定个人在特定日期和时间给予了同意。 Purple 已获得 ISO 27001 认证、符合 GDPR、符合 CCPA 并通过了 Cyber Essentials 认证。每次登录事件都会记录时间戳、IP 地址和同意记录。如果监管机构提出疑问，该审计跟踪正是您的保护伞。 [medium pause] 第五部分：带宽管理。 在 Starlink 上，带宽是您最受限的资源。单个乘客流式传输 4K 视频就会持续消耗每秒 25 兆比特的带宽。在一艘拥有 50 名乘客且连接速度为 220 兆比特的船只上，这意味着单个人就占用了总容量的 11%。 您可以通过 Captive Portal 和路由器级别来解决这个问题。设置单台设备的带宽限制 - 例如，每台访客设备下行 5 兆比特，上行 2 兆比特。实施在达到每日数据配额后进行限速的公平使用策略。使用流量整形来优先处理网页浏览和即时消息，而非视频流媒体。并考虑分层访问：基础连接采用免费层，流媒体采用付费高级层。这可以将您的 WiFi 从一项成本支出转化为一个收入来源。 [medium pause] 现在让我为您提供两个真实世界的场景。 场景一：一艘拥有 120 个客舱的邮轮。运营商以 220 兆比特的速度运行 Starlink Maritime。他们在整艘船上部署了 Cisco Meraki 接入点，并划分了三个 VLAN - 船员、乘客和船舶系统。Purple 的 Captive Portal 通过电子邮件或与 PMS 集成的客舱号查询来处理乘客身份验证。每位乘客每天可获得 2 GB 的配额。高级层乘客可获得 10 GB。该门户收集第一手电子邮件数据用于航行后的营销。结果：WiFi 收入覆盖了 Starlink 订阅成本，并且运营商拥有了一个不断增长的直接营销列表。 场景二：无光纤网络的高地偏远酒店。他们运行的 Starlink 商业版平均速度为 150 Mbps。HPE Aruba 接入点覆盖了主楼和三栋外围建筑。宾客通过电子邮件在 Purple 的门户网站上进行身份验证。该酒店利用 Purple 的分析功能了解用网高峰期，并据此调整带宽策略。根据其自身的运营数据，与之前的 4G 绑定设置相比，他们将宾客 WiFi 投诉减少了 60%。 [medium pause] 常见陷阱。让我为您梳理一下我最常遇到的五个问题。 第一：在天线重置后忘记重新启用旁路模式。请在您的操作手册中记录这一点，并在路由器的 WAN 接口上设置监控警报。 第二：未阻止跨 VLAN 路由。在我审查过且发生过安全事件的每次部署中，都存在这一项配置错误。请仔细检查两次。 第三：在宾客使用 HTTPS 优先浏览器的网络上，对 Captive Portal 采用 HTTP 重定向。现代浏览器默认使用 HTTPS。您的路由器需要正确处理 HTTPS 拦截，否则宾客在访问门户网站之前会看到证书错误。Purple 的门户网站可以处理此问题，但您的路由器配置必须正确。 第四：未分别在 iOS 和 Android 上进行测试。Apple 的 Captive Network Assistant 和 Android 的网络探测行为有所不同。在上线前，请务必对两者都进行测试。 第五：忽视延迟。Starlink 的低轨卫星群可提供 20 到 40 毫秒的延迟 - 远好于传统的地球静止轨道卫星。但在卫星切换期间，您可能会遇到短暂的峰值。您的 Captive Portal 超时设置需要考虑到这一点。将会话保持（keepalive）间隔设置为 60 秒或更短。 [medium pause] 快速问答。 在 Starlink 上使用 Captive Portal 需要静态 IP 吗？如果您的门户网站采用带有反向隧道的云托管架构，则不需要。如果您运行的是本地 RADIUS，则需要。 我可以在 Starlink 上运行多个 SSID 吗？可以 - 您的企业级接入点负责处理 SSID 的创建。处于旁路模式的 Starlink 仅提供上行链路。您可以运行接入点所支持的任意数量的 SSID。 Purple 能与 Starlink 开箱即用吗？可以。您只需在 Starlink 天线上配置旁路模式，连接支持的接入点，并将 RADIUS 或 API 集成指向 Purple 的云端。门户网站将在一个小时内上线。 如果 Starlink 连接中断会发生什么？Purple 的门户网站会在路由器本地缓存活动会话，缓存时间可配置 - 通常为 24 小时。已通过身份验证的宾客将保持在线状态。新的身份验证将排队等待，直到网络连接恢复。 [medium pause] 总结一下。Starlink 为您提供管道。处于 bypass 模式下的企业路由器让您掌控路由层。VLAN 划分隔离了您的宾客、员工和物联网流量。而云端 Captive Portal（在此案例中为 Purple）则负责处理认证、GDPR 合规同意、带宽策略和第一方数据收集。CGNAT 限制是通过反向隧道架构而非静态 IP 来解决的。Portal 层面的带宽管理是确保您的 Starlink 连接可供所有人正常使用的关键。 如果您正在为您的场所评估此方案，下一步是检查您正在运行的接入点硬件（Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet），并确认 Purple 针对该平台的集成文档。您可以在 purple.ai 找到完整的技术指南，Purple 团队也可以引导您完成针对特定站点的概念验证配置。 感谢收听。我们下次简报再见。