Integración de Alcatel-Lucent Enterprise (ALE) OmniAccess con Purple WiFi

Resumen ejecutivo

Los puntos de acceso Alcatel-Lucent Enterprise (ALE) OmniAccess Stellar se integran con Purple utilizando protocolos RADIUS estándar y redirección a un Captive Portal externo. No se requiere ningún middleware propietario. Purple funciona como una superposición en la nube, situándose por encima de su infraestructura ALE existente y gestionando la autenticación, la captura de datos y la política de sesión sin necesidad de realizar cambios de hardware.

Esta guía abarca tres escenarios de implementación. Primero, WiFi para invitados con redirección a un Captive Portal externo y configuración de Walled Garden. Segundo, WiFi seguro para el personal mediante 802.1X con PEAP o EAP-TLS. Tercero, WiFi multiinquilino mediante claves precompartidas privadas (PPSK) y direccionamiento dinámico de VLAN a través de los atributos RADIUS 64, 65 y 81.

Purple presta servicio a más de 80.000 recintos activos y procesó más de 440 millones de inicios de sesión en 2024 (datos internos de Purple, 2024). Cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials. La plataforma funciona con un tiempo de actividad del 99,999 %, lo que la convierte en un backend de autenticación fiable para implementaciones empresariales.

Si es usted un gestor de TI o un arquitecto de red que va a implementar hardware ALE OmniAccess en entornos de hostelería, comercio minorista, eventos o el sector público, esta guía le ofrece los pasos de configuración exactos para pasar del hardware a una red basada en la identidad totalmente operativa.

Arquitectura técnica y flujo de integración

La integración de Purple con ALE OmniAccess Stellar se basa en dos protocolos estándar: RADIUS para autenticación y contabilidad, y redirección HTTP/HTTPS para la entrega del Captive Portal. El AP de ALE actúa como el servidor de acceso a la red (NAS), reenviando las solicitudes de autenticación al servidor RADIUS en la nube de Purple y aplicando las políticas devueltas en la respuesta Access-Accept.

Figura 1: Flujo de autenticación entre el dispositivo del invitado, el AP ALE OmniAccess Stellar y el RADIUS en la nube de Purple.

El flujo funciona de la siguiente manera. Un visitante se conecta al SSID abierto de la WiFi de invitados. El AP de ALE asigna una dirección IP temporal del grupo DHCP de preautenticación e intercepta la primera solicitud HTTP o HTTPS del visitante. El AP redirige el navegador a la URL del Captive Portal de Purple, pasando la dirección MAC del cliente y el identificador NAS del AP como parámetros de la URL. El visitante se autentica a través de la página de bienvenida de Purple, mediante correo electrónico, inicio de sesión social o verificación por SMS. El servidor RADIUS de Purple valida la sesión y devuelve un mensaje Access-Accept al AP de ALE. El AP concede acceso a internet y comienza a enviar actualizaciones de contabilidad RADIUS (RADIUS Accounting) a Purple en el intervalo configurado. Para implementaciones avanzadas que utilizan PPSK y direccionamiento dinámico de VLAN, el mensaje RADIUS Access-Accept también incluye atributos de asignación de VLAN. El AP de ALE utiliza estos atributos para dirigir el tráfico del cliente directamente al segmento de VLAN correcto, aislándolo de otros usuarios en la misma infraestructura física.

Guía de implementación

Parte 1: WiFi de invitados con Captive Portal externo

Esta sección cubre la configuración del Captive Portal de Alcatel-Lucent para el redireccionamiento externo a Purple. Estos pasos se aplican a los AP ALE OmniAccess Stellar gestionados a través de OmniVista Cirrus, OmniVista 2500 o la interfaz web de Stellar Express.

Paso 1: Recuperar las credenciales RADIUS de Purple

Inicie sesión en su portal de Purple. Vaya a Gestión > Centros, seleccione su centro y abra la sección Hardware. Añada una nueva entrada de hardware y seleccione Alcatel-Lucent OmniAccess Stellar como tipo de hardware. Purple genera un secreto compartido RADIUS único, una IP de servidor de autenticación y una URL de Captive Portal para su centro. Registre estos valores antes de continuar.

Paso 2: Configurar el servidor RADIUS en el AP de ALE

En su interfaz de gestión de ALE, navegue hasta la configuración de autenticación y añada un nuevo perfil de servidor RADIUS.

Habilite un servidor RADIUS secundario utilizando la IP de respaldo del portal de Purple. Esto garantiza la redundancia si el servidor principal no está disponible temporalmente.

Paso 3: Configurar el Walled Garden

El Walled Garden define los dominios a los que puede acceder un dispositivo antes de que se complete la autenticación. Configure las siguientes entradas en la lista de acceso de preautenticación:

Dominios principales de Purple (obligatorios):

Dominios de inicio de sesión social (añadir según sea necesario):

Omitir cualquier dominio requerido hará que el método de inicio de sesión correspondiente falle sin mostrar errores. Pruebe cada método de inicio de sesión después de la configuración.

Paso 4: Configurar el SSID de WiFi de invitados

Cree un nuevo perfil WLAN con la siguiente configuración:

Paso 5: Asignar el SSID a un grupo de AP

Aplica el perfil WLAN al grupo de AP correspondiente en OmniVista. Verifica que los AP estén transmitiendo el SSID y que los clientes puedan asociarse antes de probar el flujo del Captive Portal.

Parte 2: WiFi para el personal seguro mediante 802.1X

Para el WiFi del personal, utiliza WPA2-Enterprise o WPA3-Enterprise con autenticación 802.1X. Esto elimina las contraseñas compartidas y vincula el acceso a las identidades de usuario individuales gestionadas en Microsoft Entra ID, Okta o Google Workspace.

Paso 1: Configurar el SSID de 802.1X

Crea un perfil WLAN independiente para el personal. Establece el tipo de seguridad en WPA2-Enterprise o WPA3-Enterprise y asigna el servidor RADIUS de Purple como backend de autenticación. El servidor RADIUS de Purple actúa como proxy para las solicitudes de autenticación hacia tu proveedor de identidad a través de LDAP o SAML.

Paso 2: Seleccionar el método EAP

Para la mayoría de las implementaciones, utiliza PEAP con MSCHAPv2. Esto requiere únicamente un certificado en el lado del servidor y funciona con los suplicantes estándar de Windows, macOS, iOS y Android. Para entornos de mayor seguridad, utiliza EAP-TLS con certificados de cliente emitidos a través de tu PKI.

Paso 3: Asignar el personal a una VLAN dedicada

Configura el servidor RADIUS de Purple para que devuelva Tunnel-Private-Group-ID = tu ID de VLAN de personal en la respuesta Access-Accept. Esto garantiza que los dispositivos del personal se ubiquen en el segmento de red corporativo, separados del tráfico de invitados en la Capa 2.

Parte 3: WiFi multiinquilino mediante PPSK y redirección dinámica de VLAN

PPSK (Private Pre-Shared Key) —también conocido como iPSK (Identity PSK) en la documentación de algunos fabricantes— permite que un único SSID sirva a múltiples grupos de usuarios aislados. Cada grupo recibe una contraseña única. El servidor RADIUS asigna cada contraseña a una VLAN específica, proporcionando aislamiento de red por inquilino sin la sobrecarga de RF de tener múltiples SSIDs.

Figura 2: Segmentación de VLAN multiinquilino mediante PPSK en un único SSID de ALE OmniAccess.

Paso 1: Crear el SSID de PPSK

Crea un nuevo perfil WLAN y establece el tipo de autenticación en WPA2-PSK con validación PSK respaldada por RADIUS. En el firmware de Stellar 4.0.8.16 y superior (para modelos AP1301 y superiores), la asignación dinámica de VLAN a través de RADIUS es compatible en Modo Express. Para modelos más antiguos o firmware anterior, utiliza el modo gestionado por OmniVista.

Paso 2: Definir las contraseñas de los inquilinos en Purple

En el portal de Purple, crea un grupo PPSK para cada inquilino. Asigna una contraseña única por inquilino y vincula cada contraseña al ID de VLAN correspondiente. Purple almacena estas asignaciones en su base de datos RADIUS.

Paso 3: Configurar los atributos de RADIUS para la redirección de VLAN

Asegúrese de que el servidor RADIUS de Purple devuelva los siguientes atributos estándar IETF en cada respuesta Access-Accept:

Los tres atributos deben estar presentes. Si falta alguno, el AP de ALE ignorará la asignación de VLAN y ubicará al cliente en la VLAN predeterminada.

Paso 4: Verificar el truncamiento de VLAN (trunking) en el enlace ascendente

Asegúrese de que todas las VLAN de los inquilinos estén etiquetadas en el puerto de enlace ascendente (uplink) entre el AP de ALE y el switch de distribución. Un AP no puede dirigir el tráfico a una VLAN que no esté permitida en su trunk de enlace ascendente.

Buenas prácticas

Las siguientes recomendaciones reflejan las prácticas estándar para despliegues inalámbricos empresariales y se alinean con los requisitos de IEEE 802.1X, PCI DSS 4.0 y GDPR.

Separe la WiFi de invitados de la WiFi del personal en la Capa 2. Nunca ubique el tráfico de invitados y del personal en la misma VLAN. Utilice la asignación de VLAN basada en RADIUS para forzar esta separación de forma automática, independientemente del AP al que se conecte el usuario.

Utilice HTTPS para todas las redirecciones del Captive Portal. Instale un certificado SSL válido en el AP de ALE para habilitar la redirección HTTPS. Esto evita que los navegadores muestren advertencias de seguridad en la página de inicio (splash page), lo que reduce las tasas de abandono y se alinea con los requisitos de GDPR para el manejo seguro de datos.

Establezca el intervalo de RADIUS Accounting en 300 segundos. Esto proporciona a Purple actualizaciones periódicas de la sesión para la precisión de los análisis. Un intervalo superior a 600 segundos corre el riesgo de perder datos de la sesión si un cliente se desconecta sin una desautenticación limpia.

Pruebe el Walled Garden antes de la puesta en marcha. Conecte un dispositivo de prueba al SSID de la WiFi de invitados e intente acceder a cada proveedor de inicio de sesión social. Si un inicio de sesión falla, significa que el dominio correspondiente no está en el Walled Garden.

Segmente los dispositivos IoT mediante PPSK. En entornos de retail y hostelería, los dispositivos IoT, como la señalización digital, los terminales de pago y los sensores ambientales, deben recibir cada uno un PPSK único asignado a una VLAN aislada. Esto evita que un dispositivo IoT comprometido acceda a la red general.

Para profundizar en los estándares y la arquitectura de seguridad WiFi empresarial, consulte nuestra guía de seguridad WiFi empresarial .

Resolución de problemas y mitigación de riesgos

La siguiente tabla cubre los fallos más comunes en las integraciones de ALE OmniAccess y Purple.

Para problemas persistentes de RADIUS, active el registro de depuración en el AP de ALE y capture el intercambio de RADIUS. Busque mensajes de Access-Reject y compruebe el código del motivo del rechazo. Los códigos comunes incluyen el 16 (fallo de autenticación) y el 18 (falta de atributo).

ROI e impacto empresarial

La implementación de Purple en el hardware ALE OmniAccess convierte una red pasiva en un activo de datos activo. Cada sesión autenticada genera un perfil de visitante: dirección de correo electrónico, frecuencia de visitas, tiempo de permanencia y tipo de dispositivo. Estos datos de origen se envían directamente a su CRM a través de la biblioteca de Purple de más de 400 conectores.

Harrods logró un ROI de marketing de 57 veces gracias a su despliegue de WiFi para invitados al utilizar la captura de datos de Purple para impulsar las suscripciones a programas de fidelización (caso de estudio de Purple, 2023). AGS Airports generó un ROI del 842 % al implementar WiFi de pago con ancho de banda escalonado en todas sus instalaciones (caso de estudio de Purple, 2022).

Para los operadores de hostelería , el Captive Portal es el principal punto de contacto para la captura de datos de los huéspedes. Para los entornos de comercio minorista , permite el análisis del comportamiento de los compradores y las promociones dirigidas. Para los centros de transporte , proporciona datos de flujo de pasajeros y registro de sesiones preparado para el cumplimiento normativo.

La plataforma de WiFi de invitados de Purple y las herramientas de Análisis de WiFi le ofrecen la infraestructura de informes para medir estos resultados. Realice un seguimiento de las tasas de autenticación, la duración de las sesiones, las tasas de visitantes recurrentes y la conversión de aceptación desde un único panel.

Para obtener orientación sobre integraciones relacionadas, consulte la guía de integración de WatchGuard Firebox , que cubre una arquitectura basada en RADIUS similar en una plataforma de hardware diferente.