如何在 Starlink 上设置 Captive Portal：偏远和海上场所指南

请以自信、权威且具有亲和力的英式英语进行演讲 - 就像一位资深顾问在向客户做简报。节奏沉稳、吐字清晰、温和而专业。无口头禅。适当进行短暂顿挫以示强调： 欢迎来到 Purple 技术简报。我将带您了解在 Starlink 上设置 Captive Portal 所需的一切知识 - 特别是针对远程场馆、海事运营商以及任何在光纤无法触及的地区运行宾客 WiFi 的用户。 [中顿] 让我们先从问题开始。对于以前受困于缓慢、昂贵的卫星连接或不稳定的 4G 网络场馆来说，Starlink 真正改变了其网络连接格局。一艘邮轮、一家偏远的高地酒店、一个建筑工地的福利区、一个农田里的节日活动现场 - 所有这些现在都可以通过一个大号披萨饼大小的天线接收器获得 100 到 220 Mbps 的网速。这非常了不起。但问题在于：单纯的连接只是工作的一半。一旦您将该连接提供给宾客、乘客或机组人员，您就需要身份验证、访问控制、符合 GDPR 的授权同意以及带宽管理。Starlink 开箱并不提供这些功能。 这就是 Captive Portal 派上用场的地方。这也是我们今天要做的事情。 [中顿] 第一部分：了解 Starlink 网络限制。 在您接触路由器之前，您需要了解 Starlink 在 WAN 接口上实际为您提供了什么。标准的 Starlink 天线接收器连接到处理 DHCP 和 NAT 的专有路由器。默认情况下，您处于运营商级 NAT（工程师称之为 CGNAT）之后。这意味着您的 WAN IP 地址在 100.64 到 100.127 范围内。它不是公网 IP。您无法接收来自互联网的入站连接。这对于 Captive Portal 架构来说至关重要。 解决方法是旁路模式 - 有时也称为桥接模式。您可以在 Starlink 应用程序的“设置”下启用此功能，然后切换“旁路 Starlink WiFi 路由器”。启用后，Starlink 天线接收器会将 CGNAT 地址直接传递给您的企业级路由器的 WAN 端口。Starlink 路由器停止执行 DHCP 和 NAT。您的路由器将接管。您仍然处于 CGNAT 之后，但现在您可以完全控制路由层。 一个关键点：如果 Starlink 天线接收器因任何原因恢复出厂设置，旁路模式将被禁用。您需要重新启用它。请将此步骤写入您的现场操作指南中。 [中顿] 现在，Starlink 提供了三种与场馆运营商相关的方案级别。标准版（Standard）提供最高 100 Mbps 的下载速度、尽力而为（best-effort）的优先级，且无静态 IP 选项。商业版（Business）提供最高 220 Mbps 的网速、优先数据分配以及静态 IP 附加服务。海事版（Maritime）为您提供相同的速度，并具有全球便携性 - 这在船只跨洋区移动时至关重要。对于任何多用户场馆，我建议至少选择商业版或海事版。标准版上的尽力而为数据意味着，一旦卫星小区拥堵，您的宾客的优先级就会降低。 [中顿] 第二部分：架构堆栈。 以下是您要构建的四层堆栈。 第一层是旁路模式下的 Starlink 上行链路。第二层是您的企业级路由器或防火墙 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Fortinet - 任何这些都可以。第三层是交换机或接入点级别的 VLAN 隔离。第四层是云端 Captive Portal，负责处理身份验证、同意书和分析。 让我花点时间专门讲一下 VLAN 隔离，因为这是不容妥协的。您至少需要三个 VLAN。用于员工的 VLAN 10 - 承载您的 POS 系统、后台办公应用程序和管理流量。用于访客的 VLAN 20 - 这是仅连接互联网并到达 Captive Portal 的隔离网段。用于物联网的 VLAN 30 - 摄像头、智能温控器、楼宇管理系统。这三个网络之间绝不能相互通信。应在防火墙处阻止跨 VLAN 路由。VLAN 20 上的访客绝不能访问 VLAN 10 上的 POS 终端。这不仅是最佳实践 - 如果您在相同的物理基础设施上处理卡片支付，这也是 PCI-DSS 的硬性要求。 [中顿] Captive Portal 本身驻留在云端。当访客连接到您的访客 SSID 并打开浏览器时，路由器会拦截 HTTP 请求并将其重定向到门户登录页面。访客通过电子邮件、社交登录或凭证代码进行身份验证，接受您的服务条款，随后门户会向路由器发送信号，授予该 MAC 地址互联网访问权限。在移动设备上，整个流程应在 10 秒内完成。 通过 Purple，该云端门户可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 直接集成。您只需配置一次 RADIUS 或 API 集成，Purple 就会处理身份验证握手。无需本地身份验证服务器。这对于无法运行本地 RADIUS 服务器的远程场馆至关重要。 [中顿] 第三部分：CGNAT 问题及如何解决。 这是大多数 IT 团队都会遇到的挑战。标准的 Captive Portal 架构假设云端门户可以访问回您的网络。而使用 CGNAT，这是不可能的。入站连接会被阻止。 解决方案是建立反向隧道。您的路由器与云端门户建立出站连接并保持持久开启。所有身份验证流量都通过该隧道传输。云端永远不需要发起入站连接。Purple 的云端覆盖架构原生支持此功能 - 您无需手动配置 WireGuard 或 OpenVPN，尽管如果您运行自己的基础设施，这两者都是可行的替代方案。 如果您确实需要静态 IP - 例如，如果您在现场运行 RADIUS 服务器或需要一致的 IP 白名单 - Starlink Business 和 Maritime 将提供静态 IP 作为附加组件。在录制本文时，该服务在大多数地区都可用。请查看 Starlink 当前的计划页面以了解您所在特定地区的情况。 [medium pause] 第四部分：GDPR 和数据合规性。 这往往是远程和海上场所容易疏忽的地方。事实上，即使您的场所位于国际水域的船只上或在偏远地区，如果您从欧盟居民那里收集数据，您也无法免除 GDPR 的约束。而且，如果您在脱欧后的英国水域内运营，则适用 UK GDPR。 您的 Captive Portal 必须为营销传播提供一个特定的、未勾选的同意复选框。它必须清楚地说明您正在收集什么数据、原因以及您将保留这些数据多长时间。服务条款必须在访客进行身份验证之前即可访问。并且您必须能够根据要求证明特定个人在特定日期和时间给予了同意。 Purple 已通过 ISO 27001 认证、符合 GDPR、符合 CCPA 并通过了 Cyber Essentials 认证。每次登录事件都会记录时间戳、IP 地址和同意记录。如果监管机构提出疑问，该审计跟踪就是保护您的利器。 [medium pause] 第五部分：带宽管理。 在 Starlink 上，带宽是您最受限的资源。单个乘客播放 4K 视频可能会持续消耗每秒 25 兆比特。在拥有 50 名乘客和 220 兆连接的船只上，这意味着单个人就占用了总容量的 11%。 您可以在 Captive Portal 和路由器级别解决此问题。设置每个设备的带宽上限 - 例如，每个访客设备下行 5 兆比特，上行 2 兆比特。实施在达到每日数据配额后进行限速的公平使用策略。使用流量整形来优先处理网页浏览和即时消息，而不是视频流。并考虑分层接入：免费层用于基本连接，付费高级层用于视频流。这可以将您的 WiFi 从成本项目转化为收入流。 [medium pause] 现在让我为您提供两个真实场景。 场景一：一艘拥有 120 个舱位的邮轮。运营商运行 220 兆比特的 Starlink Maritime。他们在整艘船上部署了 Cisco Meraki 接入点，并划分了三个 VLAN - 船员、乘客和船舶系统。Purple 的 Captive Portal 通过与 PMS 集成的电子邮件或舱位号查询来处理乘客身份验证。每位乘客每天可获得 2 GB 的配额。高级层乘客可获得 10 GB。该门户收集第一方电子邮件数据用于航行后的营销。结果：WiFi 收入覆盖了 Starlink 订阅成本，并且运营商拥有一个不断增长的直接营销列表。 场景二：一家没有光纤的偏远高地酒店。他们运行的 Starlink Business 平均带宽为 150 Mbps。HPE Aruba 接入点覆盖了主楼和三栋配楼。宾客通过 Purple 门户上的电子邮件进行身份验证。该酒店利用 Purple 的分析功能来了解高峰使用时间，并相应地调整带宽策略。根据他们自己的运营数据，与之前的 4G 绑定方案相比，他们将宾客 WiFi 投诉减少了 60%。 [medium pause] 常见陷阱。让我梳理一下我最常遇到的五个问题。 第一：在天线重置后忘记重新启用旁路模式。请在操作手册中记录这一点，并在路由器的 WAN 接口上设置监控告警。 第二：未阻止跨 VLAN 路由。在我审查过的所有发生过安全事件的部署中，这一项都配置错误。请仔细检查两次。 第三：在宾客使用 HTTPS 优先浏览器的网络上，对 Captive Portal 使用 HTTP 重定向。现代浏览器默认使用 HTTPS。您的路由器需要正确处理 HTTPS 拦截，否则宾客在到达门户之前会看到证书错误。Purple 门户可以处理此问题，但您的路由器配置必须正确。 第四：没有分别在 iOS 和 Android 上进行测试。Apple 的 Captive Network Assistant 和 Android 的网络探测行为不同。在上线前对两者都进行测试。 第五：忽略延迟。Starlink 的低轨卫星群提供 20 到 40 毫秒的延迟 - 远好于传统的地球同步轨道卫星。但在卫星切换期间，您可能会看到短暂的延迟激增。您的 Captive Portal 超时设置需要考虑到这一点。将会话保持生存（keepalive）间隔设置为 60 秒或更短。 [medium pause] 快速问答。 在 Starlink 上使用 Captive Portal 需要静态 IP 吗？不需要，如果您的门户使用带有反向隧道的云托管架构。需要，如果您正在运行本地 RADIUS。 我可以在 Starlink 上运行多个 SSID 吗？可以 - 您的企业级接入点负责处理 SSID 的创建。处于旁路模式的 Starlink 仅提供上行链路。您可以运行接入点支持的任意数量的 SSID。 Purple 能与 Starlink 开箱即用吗？可以。您在 Starlink 天线上配置旁路模式，连接受支持的接入点，并将 RADIUS 或 API 集成指向 Purple 的云端。门户网站在一小时内即可上线。 如果 Starlink 连接中断会发生什么？Purple 门户会将活动会话在路由器本地缓存一段可配置的时间 - 通常为 24 小时。已通过身份验证的宾客将保持在线状态。新的身份验证将排队，直到连接恢复。 [medium pause] 总而言之。Starlink 为您提供管道。处于旁路模式的企业级路由器让您能够控制路由层。VLAN 细分隔离了您的访客、员工和 IoT 流量。云端 Captive Portal - 在此案例中为 Purple - 处理身份验证、GDPR 同意、带宽策略以及第一方数据收集。CGNAT 限制是通过反向隧道架构解决的，而不是通过静态 IP。Portal 级别的带宽管理则是确保您的 Starlink 连接能够被所有人正常使用的关键。 如果您正在为您的场所评估此方案，下一步是检查您正在运行的主机 AP 硬件 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet - 并确认 Purple 针对该平台的集成文档。您可以在 purple.ai 找到完整的技术指南，Purple 团队也可以引导您完成针对特定站点的概念验证配置。 感谢收听。我们下次简报再见。