如何在 Starlink 上設定 Captive Portal：航海、運輸與偏遠地區站點指南

如何於 Starlink 設置 Captive Portal：海事、運輸和偏遠據點的完整指南 [前言 - 約 1 分鐘] 好了，您已經安裝了 Starlink。您在渡輪碼頭的屋頂上安裝了天線，或將其固定在船隻的桅杆上，又或是從偏遠的建築工地指向天空。網路運作正常，太棒了。但這裏有一個沒人警告過您的問題：Starlink 開箱即用時只提供您一條網路通道，就只是一條通道。沒有身分驗證、沒有品牌化、沒有符合 GDPR 的同意書收集。您無法得知誰在使用您的網路、他們消耗了多少頻寬，甚至不知道您在資料保護法規上是否受到法律保障。 這就是本集內容要填補的空白。我將逐步引導您如何在 Starlink 之上部署一個合適的企業級 captive portal - 涵蓋網路架構、您會立即遇到的 CGNAT 問題、用於海事與偏遠據點的 VLAN 隔離，以及像 Purple 這樣的平台如何整合到此架構中。無論您是經營渡輪航線、偏遠飯店、高速公路服務區還是建築工地，這都是相同的根本問題，而解決方案也完全一樣。 讓我們開始吧。 [技術深潛 - 約 5 分鐘] 首先，讓我們了解 Starlink 在網路層上實際提供了什麼。 Starlink 透過低地球軌道衛星提供聯網能力。天線連接到路由器 - 可以是 Starlink 原生路由器，或者在 Business 與 Maritime 方案中，則是可讓您插入自家硬體的乙太網路轉接器。您需要立即理解的關鍵技術限制是 CGNAT - 營運商級網路位址轉換（Carrier-Grade Network Address Translation）。在標準的 Starlink 方案中，您使用的是共享的公共 IP。您不會獲得專屬的公共 IP 位址，且無法接收連入連線。這不是系統漏洞，而是 Starlink 管理數百萬用戶 IP 位址空間的方式。 為什麼 CGNAT 對 captive portal 如此重要？因為傳統的 captive portal 架構通常依賴連入連線 - 用於 RADIUS 驗證回呼、管理存取或門戶重導向邏輯。如果您的 captive portal 系統需要靜態公共 IP 或連入連接埠轉發，它在 Starlink 的 CGNAT 後方將無法穩定運作，毫無懸念。 解決方案是雲端原生 RADIUS 架構。與其讓您的現場控制器嘗試接收連入驗證請求，驗證流量改為向外發送 - 從您的現場硬體發送到雲端 RADIUS 伺服器。Purple 的平台正是這樣運作。現場的控制器會建立一條向外連線至 Purple 的雲端 RADIUS 基礎架構。歡迎頁面（splash page）託管於雲端。驗證交換透過該外連通道完成。CGNAT 將變得毫無影響，因為您永遠不需要連入連線。 現在，您需要做的第二件事是繞過 Starlink 原生路由器。Starlink 路由器是消費級裝置，不支援 VLAN、不具備 Captive Portal 功能、沒有單一使用者頻寬控制，也無法與企業級身分驗證系統整合。您需要將其切換為繞過模式（Bypass Mode） - 或在 Business 和 Performance 硬體上使用乙太網路轉接器 - 並以受管理的企業級路由器取代。在此情境中，我們最常合作的平台包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi。這些平台都支援 VLAN 標記、RADIUS 整合以及 Captive Portal 所需的 walled garden（圍牆花園）配置。 讓我為您說明應實作的 VLAN 架構。在海上船隻上，您通常至少需要三個 VLAN。VLAN 10 用於訪客或旅客 WiFi - 這是 Captive Portal 所在的位置。VLAN 20 用於船員或員工 - 通常位於具有不同身分驗證的獨立 SSID 上。VLAN 30 用於營運、導航系統或 IoT 裝置 - 與其他兩個完全隔離，並配有嚴格的防火牆規則以防止任何橫向移動。在偏遠的建設營地或交通樞紐上，同樣的邏輯也適用：訪客存取、員工存取和營運系統絕不應共用同一個廣播網域。 Captive Portal 流程本身的運作方式如下。旅客或訪客連線至 VLAN 10 上的開放 SSID。其裝置的 Captive Network Assistant（CNA）偵測到網際網路存取已被封鎖。在 iOS 上會顯示彈出視窗；在 Android 上會發送通知；在 Windows 上會開啟瀏覽器視窗。所有這些都會重定向至託管於雲端的 Purple 登入頁面（splash page）。訪客完成登入流程 - 電子郵件註冊、社群登入或憑證代碼 - 並同意您的條款。Purple 的登入頁面伺服器會將一次性驗證權杖傳送回現場的控制器。控制器將此權杖轉發至 Purple 的雲端 RADIUS 伺服器。RADIUS 回傳 Access Accept。控制器隨即針對該裝置的 MAC 位址解除 Captive Portal 限制。訪客便順利上網。 walled garden 是關鍵的配置步驟。在身分驗證完成之前，裝置唯一能存取的網域僅限於載入入口網站所需的網域 - 包括 Purple 的登入頁面基礎設施、任何社群登入端點，以及作業系統使用的 CNA 偵測 URL。其他所有內容都會被封鎖。您可以在企業級路由器或無線控制器中配置此 walled garden。Purple 會提供您需要加入白名單的特定網域清單 - 請參閱 support.purple.ai 的支援文件以取得最新清單。 在技術方面還有一點需要注意：SSL 憑證。如果您使用的是 Cisco WLC，有一個已知問題是網頁驗證重新導向會指向 HTTP URL，而非 HTTPS。現代瀏覽器會因此顯示安全警告。解決方法是在 WLC 上安裝公開信任的 SSL 憑證，並將虛擬主機名稱設定為與憑證的通用名稱 (Common Name) 一致。Purple 針對 Cisco Catalyst 9800 系列控制器提供了一篇專門的支援文章，我會把連結放在節目資訊中。 [實施建議與常見陷阱 - 約 2 分鐘] 讓我為您說明在 Starlink 導入 Captive Portal 時最常出錯的三個地方。 第一：第一天沒有把 CGNAT 考慮進去。團隊訂購了硬體，在測試台上設定好一切，在標準寬頻連線上進行測試，運作得非常完美。然後他們將其部署在 Starlink 後方，驗證就失效了。解決方法是在開始之前，先選擇一個雲端 RADIUS 供應商 - 例如 Purple - 並確認您選擇的平台使用的是僅限出站的驗證流程。不要假設任何 Captive Portal 平台都能優雅地處理 CGNAT。請明確地提出這個問題。 第二：扁平化網路設計。我經常在船隻和偏遠站點看到這種情況。Starlink 裝好後，有人把一台家用 WiFi 路由器接上去，突然間，船員、訪客、導航系統和監視器攝影機全部都在同一個子網路上。一個受駭的船員裝置就可以存取維運系統。一個訪客串流 4K 影片就會讓所有人的頻寬飽和。在共享的衛星連線上，VLAN 分割是必不可少的。這是管理良善的網路與安全漏洞之間的關鍵區別。 第三：忘記 macOS 上的 CNA。Apple 的 macOS 不允許在 CNA 瀏覽器工作階段中存取 Cookie。Purple 的 Captive Portal 需要工作階段 Cookie 來維持登入流程。在 macOS 筆記型電腦上，CNA 彈出視窗會將訪客重新導向至 neverssl.com - 這是一個純 HTTP 網站，可在沒有 SSL 干擾的情況下正確觸發重新導向。請確保您的支援人員了解這一點，並考慮在您的 Splash Page 上為筆記型電腦用戶加上說明註記。 在硬體方面：對於海上部署，請使用 Starlink Performance 套件 - 這是專為惡劣環境設計的鋁製外殼機型。其額定使用壽命達 10 年，並支援交流電 (AC) 和直流電 (DC) 供電。對於偏遠的陸地站點，標準的 Business 套件通常就足夠了，但如果電力穩定性是個問題，請規劃使用不斷電系統 (UPS)。 [快速問答 - 約 1 分鐘] 以下是我經常被問到的常見問題。 我可以使用 Starlink 原生路由器來做 Captive Portal 嗎？不行。它不支援 VLAN，也沒有 RADIUS 整合功能。請直接旁路 (Bypass) 它。 我需要靜態 IP 才能讓 Purple 的 Captive Portal 運作嗎？不需要。Purple 的雲端 RADIUS 架構可在 CGNAT 後方正常運作。不需要靜態 IP。 當 Starlink 在工作階段中斷線時會發生什麼事？已驗證的工作階段通常會持續保留，直到工作階段逾時失效為止。新的驗證則會排隊等待，直到連線恢復。請配置您的工作階段逾時，以符合您預期的中斷時間。 這符合 GDPR 規範嗎？是的，在正確配置的情況下。Purple 在 splash 頁面上以明確同意的方式獲取使用者自願選擇的同意。資料處理符合 GDPR 規範，且 Purple 持有 ISO 27001 認證。 我可以在單一儀表板中管理多個場所嗎？可以。Purple 的平台可從單一介面管理超過 80,000 個運作中的場域。遠端場所、船隻和交通樞紐皆會顯示在同一個管理介面中。 [摘要與後續步驟 - 約 1 分鐘] 好的，讓我們來做個總結。核心訊息是：Starlink 解決了遠端與海上場所的連線問題。但它無法解決存取控制、合規性或分析問題。您需要在其上建構一個企業級架構。 本週要做的三件事：首先，確認您的 Starlink 硬體層級，以及您是否擁有用於 bypass 模式的乙太網路轉接器存取權限。第二，從支援的硬體列表中選擇一款企業級 WiFi 控制器 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 或 Ubiquiti UniFi 都是可靠的選擇。第三，與 Purple 洽談 Connect 方案 - 這是部署 Captive Portal 的起點，其中包含雲端 RADIUS、splash 頁面編輯器以及符合 GDPR 規範的同意獲取功能。 包含架構圖、操作範例和配置參考的完整書面指南已發佈於 purple.ai。如果您特別是在海上或交通運輸環境中進行部署，指南專區有一篇專門介紹此特定設定的文章。 感謝您的收聽。下一期，我們將介紹多場所企業網路的 RADIUS 驗證配置 - 相同的受眾，相同的深度。我們下期再見。