如何在 Starlink 上設定 Captive Portal：偏遠與海上場域指南

Speak in British English with a confident, authoritative, and conversational tone - like a senior consultant briefing a client. Measured pace, clear articulation, warm but professional. No filler words. Occasional brief pauses for emphasis: 歡迎來到 Purple 技術簡報。我將為您逐步說明在 Starlink 上設定 Captive Portal 所需了解的一切資訊 - 特別是針對偏遠場域、海事營運商，以及任何在無法提供光纖網路的環境下運行訪客 WiFi 的使用者。 [medium pause] 我們首先從問題開始談起。Starlink 確實改變了過往只能依賴緩慢且昂貴的衛星連結或不穩定 4G 網路之場域的連線面貌。一艘郵輪、一家偏遠的高地酒店、一個建設工地的福利單位、一個位於原野上的祭典場地 - 所有這些現在都能透過一個大披薩尺寸的碟型天線獲得每秒 100 到 220 Mb 的傳輸速度。這非常令人驚嘆。但問題在於：單純的連線能力只是工作的一半。一旦您將該連線提供給訪客、乘客或工作人員使用，您就需要驗證、存取控制、符合 GDPR 的同意聲明以及頻寬管理。而 Starlink 開箱即用時，並不會為您提供任何這些功能。 這就是 Captive Portal 發揮作用的地方。這也是我們今天要建置的內容。 [medium pause] 第一部分：了解 Starlink 網路限制。 在您接觸路由器之前，您需要先了解 Starlink 實際上在 WAN 介面上為您提供了什麼。標準的 Starlink 碟型天線會連線到一個處理 DHCP 和 NAT 的專有路由器。在預設情況下，您位於電信級 NAT（工程師稱為 CGNAT）之後。這意味著您的 WAN IP 位址位於 100.64 到 100.127 的範圍內。它不是公用 IP。您無法接收來自網際網路的入站連線。這對 Captive Portal 架構來說影響極大。 解決方法是旁路模式（有時稱為橋接模式）。您可以在 Starlink 應用程式的設定下啟用此功能，然後切換「Bypass Starlink WiFi router」。啟用後，Starlink 碟型天線會將 CGNAT 位址直接傳遞給您企業路由器的 WAN 連接埠。Starlink 路由器會停止執行 DHCP 和 NAT。由您的路由器接管。您仍然處於 CGNAT 之後，但現在您對路由層擁有了完全的控制權。 一個關鍵點：如果 Starlink 碟型天線因任何原因恢復原廠設定，旁路模式將會被停用。您需要重新啟用它。請將此步驟寫入您的現場運行手冊中。 [medium pause] 現在，Starlink 提供了三種與場域營運商相關的方案方案。Standard 提供高達 100 Mb 的下載速度、盡力而為的優先權，且不提供靜態 IP 選項。Business 提供高達 220 Mb 的速度、優先數據分配以及靜態 IP 附加功能。Maritime 以全球便攜性提供相同的速度 - 如果船隻在不同海洋區域之間移動，這一點至關重要。對於任何多用戶場域，我建議至少使用 Business 或 Maritime。Standard 方案上的盡力而為數據意味著每當衛星主機板擁塞時，您的訪客的優先級就會被降低。 [medium pause] 第二部分：架構堆疊。 以下是您要構建的四層堆疊。 第一層是處於旁路模式的 Starlink 上行鏈路。第二層是您的企業級路由器或防火牆 - Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Fortinet - 任何一種皆可。第三層是交換器或無線基地台層級的 VLAN 隔離。第四層是雲端 Captive Portal，負責處理驗證、同意書和分析。 請容我花點時間說明 VLAN 隔離，因為這是不可妥協的。您至少需要三個 VLAN。VLAN 10 供員工使用 - 承載您的 POS 系統、後台應用程式和管理流量。VLAN 20 供訪客使用 - 這是僅能連接網際網路並會導向 Captive Portal 的區段。VLAN 30 供 IoT 使用 - 攝影機、智慧溫控器、大樓管理系統。這三個網路絕對不能互相通訊。防火牆應封鎖跨 VLAN 路由。VLAN 20 上的訪客絕對不能接觸到 VLAN 10 上的 POS 終端機。這不僅是最佳實踐 - 如果您在相同的實體基礎架構上處理刷卡付款，這更是 PCI-DSS 的硬性要求。 [中頓] Captive Portal 本身託管於雲端。當訪客連接到您的訪客 SSID 並開啟瀏覽器時，路由器會攔截 HTTP 請求並將其重定向到入口網站登入頁面。訪客透過電子郵件、社群登入或優惠券代碼進行驗證，接受您的服務條款，接著入口網站會向路由器發出訊號，允許該 MAC 位址存取網際網路。整個流程在行動裝置上應在 10 秒內完成。 透過 Purple，該雲端入口網站可直接與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 整合。您只需設定一次 RADIUS 或 API 整合，Purple 就會處理驗證交握。無需本機驗證伺服器。這對於無法運作本機 RADIUS 伺服器的遠端場域至關重要。 [中頓] 第三部分：CGNAT 問題及其解決方案。 這是讓大多數 IT 團隊措手不及的挑戰。標準的 Captive Portal 架構假設雲端入口網站可以主動連回您的網路。但在 CGNAT 之下，這是不可能的。所有入站連線都會被封鎖。 解決方案是建立反向通道。您的路由器會向雲端入口網站建立出站連線，並保持持續開啟。所有驗證流量都通過該通道傳輸。雲端永遠不需要發起入站連線。Purple 的雲端重疊架構原生支援此功能 - 您不需要手動設定 WireGuard 或 OpenVPN，儘管如果您運行自己的基礎架構，這兩者都是可行的替代方案。 如果您確實需要靜態 IP - 例如，如果您在現場運行 RADIUS 伺服器或需要一致的 IP 允許列表 - Starlink Business 和 Maritime 有提供靜態 IP 作為附加元件。在錄音時，此功能在大多數地區皆有提供。請查看 Starlink 目前的方案頁面以確認您的特定地區。 [medium pause] 第四部分：GDPR 與數據合規。 這通常是偏遠和海上場所容易忽略的地方。即使您的場所位於國際水域的船隻上或在偏遠位置，如果您正在收集歐盟居民的數據，您仍然無法免除 GDPR 的規範。而如果您在脫歐後的英國水域運營，則適用 UK GDPR。 您的 Captive Portal 必須為行銷傳播提供一個特定的、未勾選的同意核取方塊。它必須清楚說明您收集哪些數據、原因以及保留時間。服務條款必須在顧客進行驗證之前可供存取。此外，您必須能夠根據要求，證明特定個人在特定日期和時間給予了同意。 Purple 通過 ISO 27001 認證、符合 GDPR、符合 CCPA 並通過 Cyber Essentials 認證。每次登入事件都會記錄時間戳記、IP 地址和同意記錄。當主管機關提出疑問時，該稽核軌跡就是保護您的關鍵。 [medium pause] 第五部分：頻寬管理。 在 Starlink 上，頻寬是您最受限的資源。單一乘客串流播放 4K 影片可能會持續消耗每秒 25 Mbps 的頻寬。在一艘載有 50 名乘客且連線速度為 220 Mbps 的船隻上，這相當於一個人就佔用了總容量的 11%。 您可以從 Captive Portal 和路由器層級來解決這個問題。設定每台裝置的頻寬上限 - 例如，每台顧客裝置下載 5 Mbps、上傳 2 Mbps。實施公平使用政策，在達到每日數據額度後進行限速。使用流量整形（traffic shaping）來讓網頁瀏覽和即時通訊的優先權高於影片串流。並考慮分級存取：基本連線使用免費層級，串流播放則使用付費的高級層級。這能將您的 WiFi 從成本支出轉化為收入來源。 [medium pause] 現在讓我給您兩個真實世界的案例。 案例一：一艘擁有 120 間客艙的郵輪。營運商以 220 Mbps 的速度運行 Starlink Maritime。他們在整艘船上部署了 Cisco Meraki 存取點，並劃分了三個 VLAN - 船員、乘客和船舶系統。Purple 的 Captive Portal 透過電子郵件或與 PMS 整合的客艙號碼查詢來處理乘客驗證。每位乘客獲得 2 GB 的每日額度。高級層級乘客則獲得 10 GB。該入口網站收集第一方電子郵件數據，用於航程結束後的行銷。結果：WiFi 收入涵蓋了 Starlink 的訂閱成本，且營運商擁有了持續增長的首要行銷名單。 情境二：一間位於高地且無光纖網路的偏遠飯店。他們運作 Starlink Business，平均速度為 150 Mbps。HPE Aruba 無線基地台覆蓋了主建物與三棟附屬建物。房客透過電子郵件在 Purple 的入口網頁進行驗證。該飯店使用 Purple 的分析功能來瞭解尖峰使用時間，並據此調整頻寬策略。根據他們自己的營運數據，與先前使用的 4G 綁定設定相比，他們已減少了 60% 的房客 WiFi 客訴。 [medium pause] 常見陷阱。讓我為您說明我最常看到的五個問題。 第一：忘記在碟盤重設後重新啟用旁路模式。請將此步驟記錄在您的操作手冊中，並在路由器的 WAN 介面上設定監控警報。 第二：未阻擋跨 VLAN 路由。在我審查過且發生過安全事件的每次部署中，此項目的設定都是錯誤的。請雙重檢查。 第三：在房客使用 HTTPS 優先瀏覽器的網路上，針對 Captive Portal 使用 HTTP 重新導向。現代瀏覽器預設為 HTTPS。您的路由器需要正確處理 HTTPS 攔截，否則房客在到達入口網頁之前會看到憑證錯誤。Purple 的入口網頁可以處理此問題，但您的路由器設定必須正確。 第四：未在 iOS 和 Android 上分別進行測試。Apple 的 Captive Network Assistant 和 Android 的網路探測行為有所不同。在正式上線前，請對兩者進行測試。 第五：忽略延遲。Starlink 的 LEO 星座提供 20 到 40 毫秒的延遲 - 遠優於傳統的地球同步軌道衛星。但在衛星之間的切換過程中，您可能會看到短暫的突波。您的 Captive Portal 逾時設定需要考慮到這一點。請將工作階段 Keepalive 間隔設定為 60 秒或更短。 [medium pause] 快速問答。 在 Starlink 上的 Captive Portal 需要靜態 IP 嗎？不需要，如果您的入口網頁使用的是具有反向通道的雲端代管架構。需要，如果您正在運行本地 RADIUS。 我可以在 Starlink 上運行多個 SSID 嗎？可以 - 您的企業級無線基地台會處理 SSID 的建立。處於旁路模式的 Starlink 僅提供上行鏈路。您可以運行您的無線基地台所支援的任意數量的 SSID。 Purple 支援 Starlink 的隨插即用嗎？是的。您在 Starlink 碟盤上設定旁路模式，連接支援的無線基地台，並將 RADIUS 或 API 整合指向 Purple 的雲端。入口網頁將在一個小時內上線。 如果 Starlink 連線中斷會怎樣？Purple 的入口網頁會將作用中的工作階段在本機路由器上快取一段可設定的時間 - 通常為 24 小時。已通過驗證的房客將保持在線狀態。新的驗證將排隊等待，直到連線恢復。 [medium pause] 總結來說，Starlink 為您提供傳輸管道。處於 Bypass 模式的企業路由器可讓您掌控路由層。VLAN 網路分段可隔離您的訪客、員工及 IoT 流量。而雲端 Captive Portal（在此案例中為 Purple）則負責處理驗證、GDPR 同意、頻寬原則以及第一方數據收集。CGNAT 的限制是透過反向隧道架構來解決，而非透過靜態 IP。此外，在入口網站層級進行的頻寬管理，是維持所有人都能正常使用 Starlink 連線的關鍵。 如果您正在為您的場域評估此方案，下一步是檢查您目前運作的存取點硬體（Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 或 Fortinet），並確認該平台對應的 Purple 整合說明文件。您可以在 purple.ai 找到完整技術指南，而 Purple 團隊也能引導您針對特定場地進行概念驗證設定。 感謝您的收聽，我們下一次簡報再見。