如何在 Starlink 上設定 Captive Portal：偏遠地區與海洋場域指南

請以英式英語口吻，展現自信、權威且對話式的語氣，如同資深顧問向客戶進行簡報。節奏沉穩、咬字清晰，溫暖而不失專業。不使用冗詞贅字。適時留白以示強調： 歡迎來到 Purple 技術簡報。今天我將帶您瞭解在 Starlink 上設定 Captive Portal 的所有必要知識，特別是針對偏遠場地、海上營運商，以及任何在無法提供光纖網路的環境下運行顧客 WiFi 的使用者。 [中度停頓] 我們首先從問題談起。Starlink 確實為先前受限於緩慢且昂貴的衛星連線或不穩定 4G 的場地改變了聯網格局。一艘郵輪、一間偏遠的高地飯店、一個建築工地的福利貨櫃屋、一片田野中的祭典場地，現在全都能透過一個大披薩大小的碟型天線，獲得 100 到 220 Mbps 的網速。這非常了不起。但問題是：單純的連線能力只完成了工作的一半。一旦您將該連線提供給顧客、乘客或船員，您就會需要驗證、存取控制、符合 GDPR 的同意聲明以及頻寬管理。而 Starlink 開箱即用的狀態下，並不會提供您這些功能。 這就是 Captive Portal 的用武之地。這也是我們今天所要建構的內容。 [中度停頓] 第一部分：瞭解 Starlink 的網路限制。 在您碰路由器的實體之前，您必須瞭解 Starlink 在 WAN 介面上實際提供給您的內容。標準的 Starlink 碟型天線會連線至處理 DHCP 和 NAT 的專利路由器。在預設情況下，您是處於電信級 NAT（工程師稱為 CGNAT）之後。這意味著您的 WAN IP 位址介於 100.64 到 100.127 的範圍內。它不是一個公共 IP。您無法接收來自網際網路的輸入連線。而這對於 Captive Portal 的架構有著極大的影響。 解決方法是旁路模式（Bypass mode），有時也稱為橋接模式。您可以在 Starlink 應用程式的「設定」中啟用此功能，然後切換「旁路 Starlink WiFi 路由器」。一旦啟用，Starlink 碟型天線就會將 CGNAT 位址直接傳遞給您企業級路由器的 WAN 連接埠。Starlink 路由器會停止執行 DHCP 和 NAT。由您的路由器接管一切。您雖然仍處於 CGNAT 之後，但現在您對路由層擁有了完整的控制權。 一個關鍵點是：如果 Starlink 碟型天線因任何原因恢復原廠設定，旁路模式將會被停用。您需要重新啟用它。請將此點納入您的現場運作手冊中。 [中度停頓] 現在，Starlink 提供了三個與場地營運商相關的方案級別。「標準」方案提供高達 100 Mbps 的下載速度、盡力而為的優先權，且沒有固定 IP 選項。「企業」方案提供高達 220 Mbps 的速度、優先數據分配，以及固定 IP 選項。「海上」方案則在提供相同速度的同時，具備全球漫遊功能，這對於在不同海洋區域之間移動的船隻至關重要。對於任何多用戶的場地，我建議至少使用「企業」或「海上」方案。使用「標準」方案的盡力而為數據，意味著每當衛星基礎單元壅塞時，您的顧客網路優先權就會被降低。 [中度停頓] 第二部分：架構堆疊。 以下是您要構建的四層堆疊。 第一層是處於旁路模式的 Starlink 上行鏈路。第二層是您的企業路由器或防火牆 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Fortinet - 這些皆可運作。第三層是交換器或無線基地台層級的 VLAN 區隔。第四層是雲端 Captive Portal，用於處理驗證、同意與分析。 讓我花點時間說明 VLAN 區隔，因為這是不可妥協的。您至少需要三個 VLAN。VLAN 10 給員工使用 - 承載您的 POS 系統、後台應用程式和管理流量。VLAN 20 給訪客使用 - 這是僅限網際網路的區段，會導向 Captive Portal。VLAN 30 給 IoT 使用 - 攝影機、智慧溫控器、大樓管理系統。這三個網路絕對不能互相通訊。應在防火牆上封鎖跨 VLAN 路由。VLAN 20 上的訪客絕對不能存取 VLAN 10 上的 POS 終端機。這不僅是最佳實踐 - 如果您在相同的實體基礎設施上處理任何卡片支付，這更是 PCI-DSS 的要求。 [medium pause] Captive Portal 本身位於雲端。當訪客連線到您的訪客 SSID 並開啟瀏覽器時，路由器會攔截 HTTP 請求並將其重定向到入口網站的登入頁面。訪客透過電子郵件、社群登入或優惠券代碼進行驗證並接受您的服務條款，接著入口網站會發送信號給路由器，以授權該 MAC 位址存取網際網路。在行動裝置上，整個流程應在 10 秒內完成。 透過 Purple，該雲端入口網站可直接與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 整合。您只需設定一次 RADIUS 或 API 整合，Purple 就會處理驗證交握。無需架設地端驗證伺服器。這對於無法運作本地 RADIUS 伺服器的遠端場域至關重要。 [medium pause] 第三部分：CGNAT 問題及其解決方案。 這是最常讓 IT 團隊措手不及的挑戰。標準的 Captive Portal 架構假設雲端入口網站可以存取回您的網路。在 CGNAT 的情況下，這是無法實現的。所有輸入連線都會被封鎖。 解決方案是反向通道。您的路由器會建立一個通往雲端入口網站的輸出連線，並保持其持續開啟。所有驗證流量都會流經該通道。雲端永遠不需要發起輸入連線。Purple 的雲端重疊架構原生支援此功能 - 您不需要手動設定 WireGuard 或 OpenVPN，儘管如果您運行自己的基礎設施，這兩者都是可行的替代方案。 如果您確實需要固定 IP - 例如，如果您在現場運行 RADIUS 伺服器，或需要一致的 IP 白名單 - Starlink Business 與 Maritime 提供了固定 IP 加購服務。在錄製本影片時，該服務已在大多數地區提供。請查看 Starlink 目前的方案頁面以確認您所在地區的具體情況。 [medium pause] 第四部分：GDPR 與數據合規性。 這是偏遠地區和海上場所經常被忽略的地方。事實上，即便您的場所位於國際水域的船隻上，或是在偏遠地區，只要您收集歐盟居民的數據，您就無法免除 GDPR 的約束。如果您在脫歐後的英國水域內營運，則適用 UK GDPR。 您的 Captive Portal 必須為行銷傳播提供一個特定的、未勾選的同意核取方塊。它必須清楚說明您正在收集哪些數據、原因以及您將保留多久。服務條款必須在顧客進行身分驗證前可供存取。並且您必須能夠根據要求，證明特定個人在特定的日期和時間給予了同意。 Purple 通過了 ISO 27001 認證、符合 GDPR、符合 CCPA，並通過了 Cyber Essentials 認證。每一次登入活動都會記錄時間戳記、IP 位址和同意記錄。如果監管機構提出疑問，該稽核追蹤就是保護您的依據。 [medium pause] 第五部分：頻寬管理。 在 Starlink 上，頻寬是您最受限的資源。單一乘客串流 4K 影片可能會持續消耗每秒 25 Megabits 的頻寬。在一艘擁有 50 名乘客且頻寬為 220 Megabit 的船隻上，這意味著一個人就佔用了總容量的 11%。 您可以透過 Captive Portal 和路由器層級來解決這個問題。設定每台裝置的頻寬上限 - 例如，每台顧客裝置下載 5 Megabits，上傳 2 Megabits。實施公平使用政策，在達到每日數據額度後進行限速。使用流量整形，將網頁瀏覽和即時訊息的優先順序置於影片串流之前。並考慮分級存取：基本連線使用免費層級，串流媒體則使用付費頂級層級。這能將您的 WiFi 從成本支出轉化為營收來源。 [medium pause] 現在讓我為您提供兩個真實世界的案例。 案例一：一艘擁有 120 間客艙的郵輪。營運商運行 220 Megabit 的 Starlink Maritime。他們在整艘船上部署了 Cisco Meraki 存取點，並劃分了三個 VLAN - 船員、乘客和船舶系統。Purple 的 Captive Portal 透過電子郵件或與 PMS 整合的客艙號碼查詢來處理乘客驗證。每位乘客獲得 2 GB 的每日額度。頂級層級乘客則獲得 10 GB。該入口網站收集第一方電子郵件數據，用於航程結束後的行銷。結果：WiFi 營收涵蓋了 Starlink 的訂閱成本，且營運商擁有了不斷增長的直接行銷清單。 情境二：一間沒有光纖網路的偏遠高地飯店。他們運行 Starlink 企業版，平均速度為 150 Mbps。HPE Aruba 基地台覆蓋了主建物和三棟附屬建物。房客透過電子郵件在 Purple 的傳送門進行驗證。該飯店使用 Purple 的分析功能來瞭解尖峰使用時間，並相應地調整頻寬原則。根據他們自己的營運數據，與先前使用的 4G 綁定設定相比，他們減少了 60% 的房客 WiFi 客訴。 [medium pause] 常見陷阱。讓我快速說明我最常看到的五個問題。 第一：在碟形天線重設後忘記重新啟用旁路模式。請將此步驟記錄在您的操作手冊中，並在路由器的 WAN 介面上設定監控警報。 第二：未阻擋跨 VLAN 路由。在我審查過且曾發生安全性事件的每次部署中，此項設定都有誤。請務必仔細檢查兩次。 第三：在房客使用 HTTPS 優先瀏覽器的網路上，針對 Captive Portal 使用 HTTP 重新導向。現代瀏覽器預設為 HTTPS。您的路由器需要正確處理 HTTPS 攔截，否則房客在到達傳送門之前會看到憑證錯誤。Purple 的傳送門可以處理此問題，但您的路由器設定必須正確。 第四：未分別在 iOS 和 Android 上進行測試。Apple 的 Captive Network Assistant 和 Android 的網路探測行為有所不同。在正式上線前，請對兩者都進行測試。 第五：忽略延遲。Starlink 的 LEO 星座提供 20 到 40 毫秒的延遲 - 遠優於傳統的地球靜止軌道衛星。但在衛星切換期間，您可能會看到短暫的延遲尖峰。您的 Captive Portal 逾時設定需要考慮到這一點。請將工作階段維持活動（keepalive）間隔設定為 60 秒或更短。 [medium pause] 快速問答。 在 Starlink 上使用 Captive Portal 需要靜態 IP 嗎？不需要，如果您的傳送門使用具有反向通道的雲端託管架構。需要，如果您正在運行本地 RADIUS。 我可以在 Starlink 上運行多個 SSID 嗎？可以 - 您的企業級基地台會處理 SSID 建立。旁路模式下的 Starlink 僅提供上行鏈路。您可以運行多個基地台支援的 SSID。 Purple 是否開箱即用支援 Starlink？是的。您在 Starlink 碟形天線建置旁路模式，連接您支援的基地台，並將 RADIUS 或 API 整合指向 Purple 的雲端。傳送門會在一個小時內上線。 如果 Starlink 連線中斷會怎樣？Purple 的傳送門會將作用中的工作階段在本機路由器上快取一段可設定的時間 - 通常為 24 小時。已通過驗證的房客將保持在線狀態。新驗證則會排隊等待，直到連線恢復。 [medium pause] 總結來說，Starlink 為您提供網路通道。處於旁路模式（Bypass Mode）的企業路由器可讓您控制路由層。VLAN 區隔可隔離您的訪客、員工和 IoT 流量。雲端 Captive Portal（在此案例中為 Purple）負責處理身分驗證、GDPR 同意、頻寬原則和第一方數據收集。CGNAT 的限制是透過反向隧道架構來解決，而不是透過靜態 IP。而 Portal 層級的頻寬管理，則是維持所有人都能正常使用 Starlink 連線的關鍵。 如果您正在為您的場域評估此方案，下一步是確認您目前運行的存取點（AP）硬體（Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 或 Fortinet），並確認 Purple 針對該平台提供的整合說明文件。您可以在 purple.ai 找到完整的技術指南，而 Purple 團隊也可以引導您完成針對您特定場域的概念驗證（PoC）設定。 感謝您的收看。我們在下一次簡報中再見。