如何在 Starlink 上設定適用於訪客 WiFi 的 Captive Portal

歡迎閱讀 Purple 技術簡報。今天我們要討論一個隨著 Starlink 觸及光纖無法到達的場所而越來越常被提及的問題。您該如何為 Starlink 連線上的訪客 WiFi 設定合適的 Captive Portal？ 我將帶您瞭解架構、在修改任何設定檔之前需要了解的限制，以及在實際生產環境中切實可行的實作步驟。我們將涵蓋兩個實際應用場景、五個我最常遇到的陷阱，最後快速回答 IT 團隊每週都會向我們提出的問題。 讓我們從為什麼這不是一個簡單的問題開始說起。 Starlink 確實改變了以往只能使用慢速、昂貴的衛星連線或不穩定 4G 的場所的連線狀況。偏遠的高地酒店、郵輪、野外祭典場地、建築工地福利社 - 所有這些現在都可以透過一個大披薩大小的碟形天線獲得 100 到 220 Mbps 的速度。這非常令人驚嘆。 但單純的連線只是工作的一半。當您將該連線提供給訪客使用時，您需要驗證、存取控制、符合 GDPR 的同意書擷取以及頻寬管理。Starlink 開箱即用時並不提供這些功能。這就是 Captive Portal 發揮作用的地方。 第一部分：瞭解 Starlink 網路限制。 在您操作路由器之前，您需要瞭解 Starlink 實際上在 WAN 介面上為您提供了什麼。標準的 Starlink 碟形天線會連接到一個處理 DHCP 和 NAT 的專有路由器。預設情況下，您位於電信級 NAT - 也就是工程師所說的 CGNAT 之後。您的 WAN IP 位址落在 100.64 到 100.127 範圍內。它不是公共 IP。您無法接收來自網際網路的輸入連線。這對 Captive Portal 架構有著巨大的影響。 Starlink 的家用和 Roam 方案將同時連線數限制為 1,200 個。對於擁有數百台設備的繁忙酒店或活動場所，該限制會成為一個真正的制約因素。 解決方法是旁路模式。您可以在 Starlink 應用程式的「設定」中啟用此功能，然後切換「Bypass Starlink WiFi router」。啟用後，Starlink 碟形天線會直接將 CGNAT 位址傳遞給您的企業路由器 WAN 連接埠。Starlink 路由器停止執行 DHCP 和 NAT。由您的路由器接管。您仍然處於 CGNAT 之後，但現在您對路由層擁有了完整的控制權。 一個關鍵點：如果 Starlink 碟形天線因任何原因恢復原廠設定，旁路模式將會停用。您需要重新啟用它。請將此步驟寫入您的現場操作手冊中。 目前，Starlink 提供三種與場域營運商相關的方案方案等級。Residential 與 Roam 方案提供最高 100 Mbps 的下載速度、最佳努力（best-effort）優先級，且無靜態 IP 選項。Starlink for Business 提供最高 220 Mbps、優先數據分配以及靜態 IP 加購項目。Starlink Maritime 提供相同速度並具備全球漫遊功能 - 這在船隻於不同海域間移動時至關重要。對於任何多用戶場域，我建議至少選擇 Business 或 Maritime。Residential 方案中的最佳努力數據意味著每當衛星細胞基地台擁塞時，您的顧客網路優先級就會被降低。 第二部分：架構堆疊。 以下是您正在構建的四層堆疊。 第一層是處於旁路（bypass）模式的 Starlink 上行鏈路。第二層是您的企業級路由器或防火牆。第三層是交換器或存取點層級的 VLAN 區隔。第四層是雲端 Captive Portal，負責處理驗證、同意與分析。 讓我花點時間說明 VLAN 區隔，因為這是不可妥協的。您至少需要三個 VLAN。VLAN 10 給員工使用 - 承載您的 POS 系統、後勤辦公室應用程式與管理流量。VLAN 20 給顧客使用 - 這是僅限存取網際網路並會導向 Captive Portal 的區隔。VLAN 30 給 IoT 使用 - 攝影機、智慧溫控器、大樓管理系統。這三個網路絕對不能互相通訊。防火牆上應阻斷 VLAN 間的路由。VLAN 20 上的顧客絕對不能存取 VLAN 10 上的 POS 終端。這不只是最佳實踐 - 如果您在同一個實體基礎設施上處理刷卡付款，這更是 PCI-DSS 的硬性要求。 Captive Portal 本身位於雲端。當顧客連線到您的顧客 SSID 並開啟瀏覽器時，路由器會攔截 HTTP 請求並將其重導向至入口網站的登入頁面。顧客進行驗證 - 透過電子郵件、社群登入或優惠券代碼 - 接受您的服務條款，接著入口網站會發出訊號給路由器，允許該 MAC 位址存取網際網路。在行動電話上，整個流程應在 10 秒內完成。 Purple 的雲端入口網站與 Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks 及 Fortinet 直接整合。您只需設定一次 RADIUS 或 API 整合，Purple 就會處理驗證交握。無需就地部署的驗證伺服器。這對於無法運作本地 RADIUS 伺服器的偏遠場域至關重要。 第三部分：CGNAT 問題及其解決方案。 這是最常讓 IT 團隊措手不及的挑戰。標準的 Captive Portal 架構假設雲端入口網站可以主動連回您的網路。在 CGNAT 的情況下，這是無法實現的。傳入連線會被阻斷。 解決方案是建立反向通道。您的路由器與雲端入口網站建立出站連線，並保持持久開啟。所有驗證流量都會通過該通道傳輸，雲端永遠不需要發起入站連線。Purple 雲端重疊架構原生支援此功能。 如果您確實需要靜態 IP，Starlink Business 和 Maritime 提供靜態 IP 作為加值服務。請查看 Starlink 目前的方案頁面，以了解您特定地區的資訊。 第四部分：GDPR 與資料合規性。 這通常是偏遠場所容易忽略的地方。即使您的場所位於偏遠地區，如果您收集來自英國或歐盟居民的資料，您仍無法免除 GDPR 的規範。您的 Captive Portal 必須針對行銷傳播提供一個特定的、未勾選的同意核取方塊。它必須清楚說明您正在收集哪些資料、原因以及您將保留該資料多久。服務條款必須在訪客驗證之前可供存取。 Purple 通過 ISO 27001 認證、符合 GDPR 規範、符合 CCPA 規範，並獲得 Cyber Essentials 認證。每次登入事件都會記錄時間戳記、IP 地址和同意記錄。如果主管機關提出疑問，該稽核軌跡就是保護您的關鍵。 第五部分：頻寬管理。 在 Starlink 上，頻寬是您最受限的資源。單一訪客串流播放 4K 影片可能會持續消耗每秒 25 Mbps 的頻寬。在一個擁有 50 名訪客且頻寬為 220 Mbps 的場所中，這意味著單一人員就佔用了總容量的 11%。 您可以在 Captive Portal 和路由器層級解決此問題。設定每台裝置的頻寬限制。實施在達到每日資料配額後進行限速的公平使用政策。使用流量塑形（Traffic Shaping）來優先處理網頁瀏覽，而非影片串流。並考慮分級存取：針對基本連線提供免費方案，針對串流播放提供付費的高階方案。這能將您的 WiFi 從成本支出轉化為營收來源。 現在讓我為您提供兩個實際案例。 案例一：一家擁有 40 間客房且無光纖網路的偏遠高地飯店。他們運行 Starlink for Business，平均速度為 150 Mbps。HPE Aruba 無線基地台覆蓋了主建物和三棟附屬建物。訪客透過 Purple 入口網站上的電子郵件進行驗證。與之前的 4G 綁定設定相比，訪客對 WiFi 的投訴減少了 60%。該入口網站還能收集第一方電子郵件資料，直接匯入到他們住宿後的行銷活動中。 案例二：一艘擁有 120 個客艙的郵輪，運行 220 Mbps 的 Starlink Maritime。營運商在整艘船上部署了 Cisco Meraki 無線基地台，並劃分了三個 VLAN - 船員、乘客和船舶系統。Purple Captive Portal 透過電子郵件或與物業管理系統整合的客艙號碼查詢來處理乘客驗證。WiFi 營收支付了 Starlink 的訂閱成本，且營運商擁有了不斷增長的直接行銷清單。 實作陷阱。讓我為您說明我最常遇到的五個陷阱。 第一：在碟形天線重設後忘記重新啟用旁路模式。請將此步驟記錄在您的操作手冊中。 第二：未阻擋跨 VLAN 路由。在我審查過且曾發生安全性事件的所有部署中，此項目都設定錯誤。請務必仔細檢查。 第三：在訪客使用 HTTPS 優先瀏覽器的網路上使用 HTTP 重新導向。現代瀏覽器預設為 HTTPS。您的路由器需要正確處理 HTTPS 攔截，否則訪客在到達門戶網站之前會看到憑證錯誤。 第四：未在 iOS 和 Android 上分別進行測試。Apple Captive Network Assistant 和 Android 網路探測的行為不盡相同。在上線前，請對兩者進行測試。 第五：忽略延遲。Starlink 低地球軌道衛星群可提供 20 到 40 毫秒的延遲。但在衛星之間的切換過程中，您可能會看到短暫的尖峰。請將工作階段 Keepalive 間隔設定為 60 秒或更短。 快速問答。 在 Starlink 上使用 Captive Portal 需要靜態 IP 嗎？不需要，如果您的門戶網站使用具有反向通道的雲端託管架構。需要，如果您正在執行內部部署的 RADIUS。 我可以在 Starlink 上執行多個 SSID 嗎？可以。您的企業級存取點會處理 SSID 建立。處於 bypass 模式下的 Starlink 僅提供上行鏈路。 Purple 是否開箱即可與 Starlink 搭配使用？是的。您在 Starlink 碟形天線上設定 bypass 模式，連接支援的存取點，然後將 RADIUS 或 API 整合指向 Purple 雲端。門戶網站即可在一個小時內上線。 如果 Starlink 連線中斷會怎樣？Purple 門戶網站會將作用中的工作階段在本機路由器上快取一段可設定的時間 - 通常為 24 小時。已通過身分驗證的訪客可保持線上狀態。 總結來說。Starlink 為您提供管道。處於 bypass 模式下的企業路由器可讓您控制路由層。VLAN 區隔可隔離您的訪客、員工和 IoT 流量。雲端 Captive Portal 則處理身分驗證、GDPR 同意、頻寬原則和第一方數據收集。CGNAT 的限制是透過反向通道架構解決的，而非透過靜態 IP。 Purple 在 90 多個國家/地區的 80,000 個即時場所中營運，並在 2024 年處理了 4.4 億次登入。該平台與硬體無關、採用雲端原生設計，並可作為現有基礎設施之上的分層進行部署。無需汰換舊設備。 如果您想了解這在您的特定環境中如何運作，請造訪 purple.ai 並預約技術諮詢。團隊會將該架構對應到您的硬體，並在一天內執行概念驗證。 感謝您的收听。我們在下一次簡報中再見。