Saltar al contenido principal

Garantizar el trabajo híbrido: combinar NAC con ZTNA para un acceso sin fricciones

Esta guía técnica autorizada cubre la convergencia arquitectónica del control de acceso a la red (NAC) y el acceso a la red de confianza cero (ZTNA) para proteger los entornos de trabajo híbridos en espacios corporativos, del sector minorista, la hostelería y el sector público. Proporciona un plan de despliegue por fases, casos de estudio reales y directrices de cumplimiento para arquitectos de TI y directores de tecnología (CTO) que necesitan eliminar las brechas de seguridad creadas por dominios de acceso locales y en la nube aislados.

Por Iain JewittPublicado
📖 6 min de lectura1,689 palabras2 ejemplos prácticos3 preguntas de práctica9 definiciones clave

Video overview

Escuchar esta guía

Ver transcripción del podcast
Bienvenido al Purple Enterprise Architecture Briefing. Soy su anfitrión, y hoy nos adentraremos en un desafío fundamental para los líderes de TI: proteger a la fuerza laboral híbrida. Específicamente, analizaremos la convergencia arquitectónica de Network Access Control - o NAC - y Zero Trust Network Access - ZTNA. Si gestiona redes complejas en espacios corporativos, áreas comerciales o entornos del sector público, esto es para usted. Pongámonos en contexto. El perímetro tradicional ha muerto. Todos lo sabemos. Proteger una sede corporativa con un NAC robusto mientras se depende de VPN heredadas para el acceso remoto simplemente ya no es suficiente. Genera fricciones para el usuario y puntos ciegos para el departamento de TI. Las empresas modernas necesitan una postura de seguridad unificada que conecte sin problemas la infraestructura local con las aplicaciones nativas de la nube. Ahí es donde entra la combinación de NAC y ZTNA. Históricamente, estos eran dominios aislados. El NAC, que utiliza estándares como 802.1X, era excelente para controlar el acceso físico y WiFi dentro del edificio. Comprobaba el estado del dispositivo y asignaba VLAN. ZTNA, por otro lado, se creó para la era de la nube: protegía el acceso remoto en función de la identidad y el contexto, no de la ubicación de la red. El problema surge cuando un trabajador híbrido se desplaza entre estos dominios. Se autentica sin problemas en casa a través de ZTNA, pero se topa con un muro de políticas inconexas cuando entra en la oficina. Es frustrante, ineficiente y, francamente, crea brechas de seguridad que los atacantes pueden aprovechar. Hablemos, pues, de la arquitectura técnica. La solución es una capa unificada de intermediación de identidad y contexto. Necesitamos sincronizar la telemetría entre los motores de políticas de NAC y ZTNA. Piense en ello como una evaluación continua del estado de seguridad que sigue al usuario, dondequiera que esté. Así es como funciona en la práctica. Cuando un dispositivo se conecta a la red corporativa, el NAC realiza una comprobación exhaustiva de su estado: versión del sistema operativo, estado del antivirus, validación de certificados. Comparte este contexto inmediatamente con el intermediario de ZTNA a través de una integración de API. Si el estado del dispositivo empeora (por ejemplo, si se detecta malware), el NAC lo pone en cuarentena en la red local y, simultáneamente, indica al intermediario de ZTNA que revoque el acceso a las aplicaciones de nube críticas. A medida que el usuario se desplaza de la oficina a una ubicación remota, el cliente de ZTNA mantiene ese contexto de confianza establecido. No se requiere volver a autenticarse. La experiencia es fluida, pero la seguridad es continua. Ahora, entremos en los estándares que sustentan esto. IEEE 802.1X es el estándar de oro para la autenticación local. Proporciona una validación criptográfica de la identidad del dispositivo a nivel de puerto. RADIUS actúa como el protocolo backend, comunicando la solución NAC con su proveedor de identidad. En el lado de ZTNA, nos encontramos con proveedores de identidad como Microsoft Entra ID u Okta, con intermediarios de ZTNA de proveedores líderes. La clave es garantizar que estos sistemas puedan comunicarse de forma bidireccional. Para los operadores de recintos (hoteles, centros de conferencias, estadios), existe un nivel adicional de complejidad. Gestiona personal corporativo, contratistas, invitados y una flota cada vez mayor de dispositivos IoT, todo en la misma infraestructura física. El NAC se encarga de la segmentación. El personal corporativo obtiene autenticación 802.1X y acceso a los recursos internos. Los invitados se aíslan en una red dedicada, gestionada idealmente a través de una plataforma como el Guest WiFi de Purple, que proporciona un aislamiento sólido a la vez que captura análisis valiosos. Los dispositivos IoT que no admiten 802.1X (como señalización digital, sensores ambientales, terminales de punto de venta) se gestionan mediante MAC Authentication Bypass, o MAB, con una segmentación estricta de VLAN para contener cualquier posible brecha de seguridad. Permítame guiarle a través de un escenario de despliegue real. Piense en una cadena de distribución global con quinientos establecimientos. Los directores regionales viajan constantemente entre las tiendas, la sede central y sus oficinas domésticas. Sufren desconexiones de la VPN y un acceso inconsistente a las aplicaciones de gestión de inventario. La solución es una arquitectura convergente de NAC y ZTNA. Cuando un director está en la tienda, el NAC autentica el dispositivo a través de 802.1X y comparte el contexto interno de confianza con el broker de ZTNA. A continuación, el broker concede acceso directo y optimizado a la aplicación de inventario alojada en la nube, sin necesidad de túnel VPN. Cuando el director trabaja desde casa, el cliente de ZTNA establece un microtúnel seguro con la aplicación, manteniendo las mismas políticas de acceso. ¿El resultado? Un acceso constante, menos llamadas al servicio de asistencia y una postura de seguridad notablemente mejorada. Ahora, la implementación. Recomiendo un enfoque de tres fases. La fase uno es la visibilidad. Despliegue primero el NAC en modo de monitorización. Descubra y analice el perfil de todo lo que haya en su red: portátiles, dispositivos BYOD, IoT, dispositivos de invitados. No aplique ninguna restricción todavía. Simultáneamente, integre sus proveedores de identidad tanto con el NAC como con ZTNA para consolidar las identidades de los usuarios. Utilice su solución ZTNA para mapear los patrones de acceso a las aplicaciones. Esto le proporcionará los datos que necesita para redactar políticas lógicas. La fase dos es la definición de políticas. Defina los requisitos de postura de referencia para los dispositivos corporativos. Implemente la microsegmentación de ZTNA en función de los roles de usuario y la sensibilidad de las aplicaciones. Y lo que es fundamental, establezca la integración de la API entre sus plataformas NAC y ZTNA para compartir el contexto de forma bidireccional. Pruebe esta integración a fondo antes de pasar a la fase de aplicación. La fase tres es la aplicación. Active gradualmente la aplicación de NAC, empezando por un grupo piloto. Supervise los fallos de autenticación y ajuste las políticas. Despliegue los clientes de ZTNA en todos los endpoints corporativos. Y extienda los principios de zero-trust a sus redes de invitados utilizando una plataforma gestionada. Permítame ofrecerle algunos consejos rápidos sobre los errores más comunes. Primero, los retrasos en la sincronización de contexto. Si la integración de la API entre NAC y ZTNA experimenta latencia, un dispositivo comprometido podría mantener el acceso a las aplicaciones en la nube más tiempo de lo aceptable. La solución es utilizar notificaciones push basadas en webhooks en lugar de depender de mecanismos de sondeo. Esto garantiza actualizaciones de políticas casi en tiempo real. Segundo, las políticas excesivamente restrictivas que provocan picos de incidencias en el soporte técnico. Implementar controles estrictos de estado del dispositivo sin una comunicación adecuada con el usuario es una receta para el caos. Utilice un Captive Portal para informar a los usuarios sobre el incumplimiento de las políticas y ofrecer soluciones de autoservicio antes de bloquear el acceso por completo. Tercero, los fallos de autenticación de dispositivos IoT. Los dispositivos IoT sin interfaz de usuario sencillamente no admiten clientes 802.1X o ZTNA. La respuesta es el bypass de autenticación MAC combinado con un perfilado riguroso de dispositivos y una segmentación estricta de VLAN. Cuarto, y este es un punto crucial: no supervisar la salud de la propia integración de la API. Si la sincronización entre NAC y ZTNA falla, se genera una brecha de seguridad. Implemente la supervisión y alertas sobre el estado de la integración, y defina políticas de seguridad a prueba de fallos que se activen si la sincronización se pierde durante más de un umbral definido. Entonces, ¿cuál es el retorno de la inversión? El caso de negocio para esta arquitectura es muy convincente. Consolidar la gestión de políticas reduce la carga administrativa de los equipos de TI. Eliminar las VPN heredadas mejora significativamente la experiencia de trabajo híbrido, reduciendo el tiempo de inactividad y la frustración. Y la capacidad de demostrar una evaluación continua del estado de los dispositivos y un control de acceso basado en la identidad simplifica la generación de informes de cumplimiento para marcos de trabajo como PCI-DSS y GDPR, lo que resulta especialmente relevante en entornos de comercio minorista y sanidad. Para resumir las conclusiones clave de la sesión de hoy: la identidad es el nuevo perímetro y el contexto es la clave. Utilice NAC para el cable y ZTNA para la aplicación. Nunca confíe, verifique siempre, y hágalo de forma continua. Implemente por fases: primero la visibilidad, luego la política y después la aplicación. Y no se olvide de la red de invitados y el parque de dispositivos IoT: deben formar parte de su arquitectura de seguridad, no ser una ocurrencia tardía. Si desea profundizar en el futuro de la seguridad de red impulsado por IA, consulte la guía de Purple sobre NAC impulsado por IA y detección de amenazas. Y para aquellos que gestionan sedes distribuidas, nuestra guía de SD-WAN frente a MPLS bien merece su tiempo. Eso es todo por hoy. Gracias por escucharnos y nos vemos en la próxima ocasión.

Parte de nuestra serie principal: Guía de seguridad WiFi para empresas

Garantizar el trabajo híbrido: combinar NAC con ZTNA para un acceso sin fricciones

Resumen Ejecutivo

Para los arquitectos de redes empresariales y los CTO que gestionan entornos distribuidos, el perímetro de red ya no existe. El modelo tradicional de proteger la sede corporativa con un robusto Network Access Control (NAC) mientras se depende de VPN heredadas para el acceso remoto ya no es viable. Las empresas modernas necesitan una postura de seguridad unificada que conecte de forma fluida la infraestructura local con las aplicaciones nativas de la nube. Esta guía detalla la convergencia arquitectónica de NAC y Zero Trust Network Access (ZTNA), proporcionando un plan para proteger los entornos de trabajo híbridos sin comprometer la experiencia del usuario ni el rendimiento de la red.

Al combinar la aplicación de políticas de estado de los dispositivos a nivel de NAC con la microsegmentación centrada en la identidad de ZTNA, las empresas pueden lograr una verificación de confianza continua independientemente de dónde se encuentren los usuarios. Esta convergencia es especialmente crítica en sectores con una gran afluencia de público y requisitos de cumplimiento complejos, como el comercio minorista, la sanidad y la hostelería. Además, el aprovechamiento de plataformas como la infraestructura de Guest WiFi de Purple permite extender estos principios de confianza cero a las redes de invitados, garantizando un aislamiento robusto y la protección de datos en consonancia con las obligaciones de GDPR y PCI-DSS.

Análisis Técnico Detallado: La Arquitectura Convergente

Las Limitaciones de los Dominios de Seguridad Aislados

Históricamente, NAC y ZTNA han funcionado como dominios de seguridad aislados. NAC, aprovechando el estándar 802.1X de la IEEE y RADIUS, destaca en el control del acceso físico y inalámbrico dentro del perímetro corporativo. Proporciona perfiles de dispositivos robustos, evaluación del estado de seguridad y asignación de VLAN. ZTNA, por el contrario, surgió para asegurar el acceso remoto a aplicaciones locales y en la nube, operando bajo el principio de "nunca confiar, siempre verificar" basado en la identidad y el contexto del usuario en lugar de la ubicación de la red.

La fricción surge cuando los trabajadores híbridos se mueven entre estos dominios. Un usuario se autentica sin problemas en casa a través de ZTNA a diario, pero al entrar en la oficina corporativa a menudo se enfrenta a una experiencia inconexa, ya que las políticas de NAC locales pueden no alinearse con su contexto de ZTNA. Esta fragmentación introduce puntos ciegos de seguridad y costes operativos, lo que afecta directamente a la eficiencia de TI y a la productividad del usuario final.

El Agente Unificado de Identidad y Contexto

La solución arquitectónica consiste en establecer una capa de intermediación unificada de identidad y contexto que sincronice la telemetría entre los motores de políticas de NAC y ZTNA. Esta integración permite una evaluación continua del estado de seguridad que persiste a través de los límites de la red.

Garantizar el trabajo híbrido: combinar NAC con ZTNA para un acceso sin fricciones - nac ztna architecture overview

Esta integración funciona a través de tres mecanismos clave. Primero, evaluación continua de la postura: cuando un dispositivo se conecta a la red corporativa, la solución NAC realiza una comprobación exhaustiva de la postura que cubre la versión del sistema operativo, el estado del antivirus y la validación del certificado. Este contexto se comparte inmediatamente con el agente de ZTNA mediante la integración de la API. Segundo, aplicación dinámica de políticas: si la postura de seguridad de un dispositivo se degrada (por ejemplo, si se detecta malware), el sistema NAC pone en cuarentena el dispositivo en la red local mientras indica simultáneamente al agente de ZTNA que revoque el acceso a las aplicaciones en la nube críticas. Tercero, transición fluida: a medida que el usuario se desplaza de la oficina a una ubicación remota, el cliente de ZTNA mantiene el contexto de confianza establecido, eliminando la necesidad de volver a autenticarse y garantizando un acceso ininterrumpido a los recursos autorizados.

Para profundizar en las tecnologías inalámbricas subyacentes que respaldan estas implementaciones, consulte nuestra guía: Frecuencias WiFi: La guía de 2026 de bandas WiFi.

Garantizar el trabajo híbrido: combinar NAC con ZTNA para un acceso sin fricciones - hybrid work security comparison

¿Tiene preguntas sobre su configuración específica?

Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.

Guía de implementación: Despliegue por fases

El despliegue de una arquitectura convergente NAC/ZTNA requiere un enfoque por fases para minimizar las interrupciones y garantizar una aplicación sólida de las políticas.

Fase 1: Descubrimiento de identidad y activos

Antes de implementar las políticas de aplicación, debe lograr una visibilidad completa de su entorno de red. Despliegue su solución NAC en modo de solo monitorización: configúrela para descubrir y perfilar todos los dispositivos conectados, incluidos portátiles corporativos, BYOD, IoT y dispositivos de invitados, sin bloquear el acceso. Consolide la identidad del usuario integrando las soluciones NAC y ZTNA con un proveedor de identidad central como Azure AD u Okta. Esto garantiza políticas de autenticación coherentes en ambos dominios. Paralelamente, utilice su solución ZTNA para supervisar los patrones de acceso a las aplicaciones, identificando qué usuarios necesitan acceso a aplicaciones específicas y sentando las bases de sus políticas de microsegmentación.

Fase 2: Definición de políticas y microsegmentación

Pase de la visibilidad al control definiendo políticas de acceso granulares basadas en el principio de mínimo privilegio. Establezca requisitos de seguridad básicos para los dispositivos corporativos, incluidas las versiones mínimas del sistema operativo y el requisito de un agente EDR activo, y configure la solución NAC para aplicarlos al acceso local. Defina políticas ZTNA que restrinjan el acceso a las aplicaciones en función del rol del usuario y el contexto del dispositivo, garantizando la alineación con los requisitos de postura definidos en la solución NAC. De manera crucial, configure la integración de la API entre las plataformas NAC y ZTNA para permitir el intercambio bidireccional de contextos, garantizando que los cambios en la postura de los dispositivos detectados por NAC activen inmediatamente actualizaciones de políticas en el agente ZTNA en tiempo real.

Fase 3: Ejecución y Optimización

Habilite gradualmente el modo de ejecución, supervisando las anomalías y ajustando las políticas según sea necesario. Realice la transición de la solución NAC del modo de supervisión al modo de ejecución, comenzando con un grupo de usuarios o ubicación piloto, y supervise los fallos de autenticación. Implemente el cliente ZTNA en todos los endpoints corporativos, garantizando un acceso fluido tanto a las aplicaciones en la nube como a las locales. Amplíe las políticas sólidas de acceso de invitados utilizando plataformas como el Guest WiFi de Purple, garantizando que el tráfico de invitados esté estrictamente aislado de los recursos corporativos. Aproveche WiFi Analytics para supervisar los patrones de uso y detectar posibles anomalías en todo el entorno de invitados.

Buenas Prácticas para Entornos Empresariales

Priorice la experiencia del usuario a lo largo de la implementación. La seguridad no debe impedir la productividad, y la transición entre el acceso local y el remoto debe ser transparente para los usuarios, aprovechando el inicio de sesión único y los mecanismos de autenticación continua. Para el acceso local, exija la autenticación 802.1X para todos los dispositivos corporativos, ya que proporciona una sólida verificación criptográfica de la identidad del dispositivo a nivel de puerto.

Integre capacidades de detección de amenazas impulsadas por IA en sus soluciones NAC y ZTNA para identificar comportamientos anómalos y poner en cuarentena automáticamente los dispositivos comprometidos. Para obtener una perspectiva de futuro sobre esta capacidad, consulte The Future of Wi-Fi Security: AI-Driven NAC and Threat Detection y su versión en español El Futuro de la Seguridad Wi-Fi: NAC Impulsado por IA y Detección de Amenazas. Para las empresas distribuidas, la integración de ZTNA con SD-WAN puede optimizar el enrutamiento de aplicaciones y mejorar el rendimiento en varias ubicaciones - consulte nuestra comparación en SD WAN vs MPLS: The 2026 Enterprise Network Guide.

Resolución de Problemas y Mitigación de Riesgos

La latencia de sincronización de contexto representa el modo de fallo más crítico. Si la integración de la API entre NAC y ZTNA experimenta retrasos, un dispositivo comprometido puede mantener el acceso a las aplicaciones en la nube durante más tiempo de lo aceptable. La mitigación consiste en implementar notificaciones push basadas en webhooks en lugar de depender únicamente de mecanismos de sondeo, lo que garantiza actualizaciones de políticas casi en tiempo real.

Las políticas excesivamente restrictivas pueden provocar un fuerte aumento en el volumen de tickets de soporte técnico cuando se implementan controles de postura estrictos sin una comunicación adecuada con el usuario. Utilice un Captive Portal para notificar a los usuarios el incumplimiento y proporcionar instrucciones de reparación de autoservicio antes de bloquear completamente el acceso.

Los fallos de autenticación de dispositivos IoT son inevitables en entornos de recintos. Los dispositivos IoT sin interfaz de usuario no pueden admitir clientes 802.1X o ZTNA. La solución es adoptar la evasión de autenticación MAC (MAB) combinada con un perfilado estricto de dispositivos y una segmentación de VLAN rigurosa para aislar el tráfico de IoT de los recursos corporativos.

La supervisión del estado de la integración de la API se pasa por alto con frecuencia. Si la sincronización entre NAC y ZTNA se rompe, existe una brecha de seguridad que ninguno de los dos sistemas puede resolver de forma independiente. Implemente una supervisión y alertas dedicadas para el estado de la integración, y defina políticas de seguridad a prueba de fallos que activen restricciones de acceso automáticas si se pierde la sincronización más allá de un umbral definido.

ROI e impacto empresarial

La convergencia de NAC y ZTNA ofrece un valor empresarial medible que va más allá de la mitigación de riesgos. La gestión de políticas unificada reduce la carga administrativa de los equipos de TI, lo que les permite centrarse en iniciativas estratégicas en lugar de gestionar silos de seguridad fragmentados. La eliminación de las VPN heredadas mejora significativamente la experiencia de trabajo híbrido, reduciendo el tiempo de inactividad y la frustración, al tiempo que mejora el rendimiento de las aplicaciones para los usuarios remotos.

La capacidad de demostrar una evaluación continua de la postura y un control de acceso basado en la identidad simplifica la generación de informes de cumplimiento para marcos como PCI-DSS y GDPR, lo cual es especialmente importante en entornos de Transporte y comercio minorista, donde las obligaciones de protección de datos personales y de titulares de tarjetas son estrictas. Las organizaciones que han implementado una arquitectura convergente informan de forma constante de una reducción del tiempo medio de contención (MTTC) de los incidentes de seguridad, ya que la aplicación de políticas bidireccionales permite la cuarentena automática sin intervención manual.

Definiciones clave

Control de Acceso a la Red (NAC)

Una solución de seguridad que aplica políticas a los dispositivos que solicitan acceso a una infraestructura de red, utilizando normalmente IEEE 802.1X para la autenticación y la evaluación de la postura para determinar la asignación de VLAN y los derechos de acceso.

Fundamental para proteger los entornos locales, garantizando que solo los dispositivos conformes y autorizados puedan conectarse a los conmutadores corporativos y a los puntos de acceso inalámbricos. Los equipos de TI se encuentran con esto al gestionar redes físicas de oficinas y recintos.

Acceso a la Red de Confianza Cero (ZTNA)

Una solución de seguridad de TI que proporciona acceso remoto seguro a aplicaciones y servicios basándose en políticas de control de acceso definidas, funcionando bajo el principio del menor privilegio y la verificación continua de la identidad en lugar de la ubicación de la red.

Sustituye a las VPN heredadas al proporcionar microsegmentación basada en la identidad, otorgando acceso solo a aplicaciones específicas en lugar de a toda la red. Relevante al proteger a los trabajadores remotos y el acceso a aplicaciones en la nube.

Microsegmentación

La práctica de dividir una red en segmentos aislados para reducir la superficie de ataque y evitar el movimiento lateral por parte de actores de amenazas, aplicada a nivel de aplicación o de carga de trabajo en lugar de en el perímetro de la red.

ZTNA aplica este concepto a nivel de aplicación, garantizando que un endpoint comprometido no pueda pivotar para acceder a recursos no autorizados. Los equipos de TI se encuentran con esto al diseñar arquitecturas de confianza cero.

Evaluación de la Postura

El proceso de evaluar el estado de seguridad de un dispositivo - incluyendo la versión del SO, el antivirus activo, los certificados instalados y el nivel de parches - antes de conceder acceso a la red o a las aplicaciones.

Una función principal de NAC, que garantiza que los dispositivos vulnerables o comprometidos se pongan en cuarentena o se reparen antes de que puedan interactuar con la red corporativa. Relevante durante la incorporación de dispositivos y la supervisión continua.

IEEE 802.1X

Un estándar IEEE para el control de acceso a la red basado en puertos, que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN, utilizando EAP (Protocolo de Autenticación Extensible) sobre el medio de red.

El estándar de oro para la autenticación de redes empresariales, que proporciona una validación criptográfica robusta de la identidad del dispositivo. Los equipos de TI se encuentran con esto al configurar conmutadores, controladores inalámbricos y servidores RADIUS.

RADIUS (Servicio de Usuario de Marcación de Autenticación Remota)

Un protocolo de red que proporciona una gestión centralizada de Autenticación, Autorización y Contabilización (AAA) para los usuarios que se conectan y utilizan un servicio de red, actuando como capa de comunicación entre el NAC y los proveedores de identidad.

El protocolo de backend utilizado por las soluciones NAC para comunicarse con los proveedores de identidad y aplicar las políticas de acceso. Relevante al integrar NAC con Active Directory o IdP en la nube.

Bypass de Autenticación MAC (MAB)

Un método de autenticación alternativo utilizado por las soluciones NAC para dispositivos que no admiten 802.1X, que se basa en la dirección MAC del dispositivo como identificador para asignar políticas de acceso a la red.

Necesario para dar cabida a dispositivos sin interfaz de usuario - impresoras, sensores IoT, señalización digital - en entornos empresariales. Es menos seguro que 802.1X y requiere una segmentación estricta de VLAN para mitigar los riesgos de suplantación de MAC.

Proveedor de Identidad (IdP)

Una entidad del sistema que crea, mantiene y gestiona información de identidad para los principales, al tiempo que proporciona servicios de autenticación a las aplicaciones de confianza dentro de una federación o red distribuida.

La fuente central de verdad para las identidades de los usuarios, que se integra tanto con NAC como con ZTNA para garantizar políticas de autenticación coherentes. Los equipos de TI se encuentran con esto al configurar SSO y MFA en todos los sistemas empresariales.

VLAN (Virtual Local Area Network)

Una subdivisión lógica de una red física que agrupa dispositivos en dominios de difusión aislados, lo que permite la segmentación del tráfico sin necesidad de una infraestructura física independiente.

El mecanismo principal para aislar diferentes clases de dispositivos (corporativos, invitados, IoT) dentro de una red física compartida. Es fundamental para cumplir con los requisitos de la norma PCI-DSS para el aislamiento del entorno de datos de los titulares de tarjetas.

Ejemplos prácticos

Una cadena minorista global con 500 ubicaciones necesita garantizar el acceso de los gerentes regionales que viajan con frecuencia entre las tiendas, la sede corporativa y las oficinas domésticas en remoto. Actualmente experimentan interrupciones frecuentes de la VPN y un acceso inconsistente a las aplicaciones de gestión de inventario alojadas en la nube.

Implemente una arquitectura convergente NAC/ZTNA en todas las ubicaciones. Despliegue 802.1X a través de NAC para obtener un acceso seguro y sin fricciones cuando los gerentes se encuentren físicamente en la tienda o en la sede central, autenticándose contra un servidor RADIUS centralizado integrado con Azure AD. Despliegue un cliente ZTNA en todos los portátiles corporativos. Integre los motores de políticas de NAC y ZTNA mediante una API, configurando notificaciones de webhook para actualizaciones inmediatas del estado de seguridad. Cuando un gerente se conecta a la red de la tienda, el NAC autentica el dispositivo y comparte el contexto de "confianza interna" con el agente de ZTNA. A continuación, el agente de ZTNA concede acceso directo y optimizado a la aplicación de inventario alojada en la nube sin necesidad de un túnel VPN, lo que reduce la latencia y elimina los problemas de desconexión. Cuando el gerente trabaja desde casa, el cliente de ZTNA establece un microtúnel seguro hacia la aplicación, manteniendo las mismas políticas de acceso sin depender del perímetro de la red corporativa. Los dispositivos de invitados e IoT en la tienda se aíslan en VLAN independientes gestionadas a través de la plataforma Guest WiFi de Purple.

Comentario del examinador: Este enfoque resuelve los problemas de experiencia de usuario asociados con las VPN heredadas al proporcionar un acceso sin fricciones y adaptado al contexto, independientemente de la ubicación. La integración de la API garantiza que el estado de seguridad se evalúe continuamente, mitigando el riesgo de que un dispositivo comprometido acceda a aplicaciones críticas. La decisión arquitectónica clave es el enrutamiento en el "extremo local": cuando se está en la red corporativa, el tráfico de ZTNA debe enrutarse a un agente local en lugar de realizar un bucle de retorno a través de un agente en la nube, lo que anularía los beneficios de latencia.

Un gran centro de conferencias necesita proporcionar WiFi seguro para el personal corporativo, al tiempo que aísla miles de conexiones diarias de invitados y dispositivos IoT de proveedores externos, incluidos cartelería digital, balizas BLE y sensores ambientales.

Despliegue una solución NAC sólida configurada con una segmentación estricta de VLAN en tres niveles distintos. Nivel uno: los dispositivos del personal corporativo se autentican mediante 802.1X y se asignan a una VLAN interna segura con acceso completo a los sistemas de gestión internos. Nivel dos: implemente la plataforma Guest WiFi de Purple para gestionar el acceso público, recopilando analíticas valiosas y garantizando al mismo tiempo el aislamiento total de la red corporativa a través de una VLAN de invitados dedicada con acceso exclusivo a internet. Nivel tres: para los dispositivos IoT de proveedores, utilice la derivación de autenticación MAC (MAB) combinada con un perfilado profundo de dispositivos (analizando huellas de DHCP, agentes de usuario HTTP y patrones de tráfico) para identificar con precisión los tipos de dispositivos y asignarlos a VLAN restringidas con acceso exclusivo a internet. Integre ZTNA para que el personal corporativo acceda a las aplicaciones de gestión internas de forma segura desde cualquier ubicación del recinto o en remoto. Para la infraestructura de balizas BLE, consulte la guía sobre BLE Low Energy Explained for Enterprise para conocer los aspectos clave de la integración.

Comentario del examinador: Este escenario destaca la necesidad de gestionar diversos tipos de dispositivos dentro de un único entorno físico. El modelo de segmentación de tres niveles es el enfoque correcto; intentar gestionar todos los tipos de dispositivos dentro de un único marco de políticas genera invariablemente políticas demasiado permisivas o demasiado restrictivas. El uso de la plataforma Guest WiFi de Purple para el nivel de invitados es especialmente relevante en este caso, ya que proporciona tanto el aislamiento requerido para la seguridad como la capacidad de análisis necesaria para las operaciones del recinto.

Preguntas de práctica

Q1. ¿Su organización está desplegando ZTNA para reemplazar una VPN heredada. Sin embargo, los usuarios que regresan a la oficina corporativa experimentan latencia al acceder a aplicaciones alojadas localmente en el centro de datos local, ya que el tráfico de ZTNA se está enrutando a través de un intermediario alojado en la nube. ¿Cuál es la solución arquitectónica recomendada?

Sugerencia: Considere cómo el cliente ZTNA determina la ruta óptima hacia la aplicación en función del contexto de red física del usuario.

Ver respuesta modelo

Implementar un intermediario ZTNA local o en las instalaciones (On-Premises) dentro del centro de datos corporativo. Configure el cliente ZTNA para detectar cuándo el dispositivo se autentica en la red corporativa interna a través de NAC y enrutar el tráfico directamente a la aplicación local mediante el intermediario interno, en lugar de realizar un enrutamiento en bucle (hair-pinning) a través del intermediario alojado en la nube. Esto reduce la latencia para las aplicaciones locales mientras mantiene los mismos controles de acceso basados en la identidad. El intercambio de contexto de NAC a través de la API debe indicar al intermediario ZTNA que el dispositivo está en una red interna de confianza, lo que permite la decisión de enrutamiento local.

Q2. El equipo de TI de un hospital necesita proteger cientos de dispositivos médicos conectados (bombas de infusión, monitores de pacientes, equipos de imagen) que no pueden ejecutar suplicantes 802.1X ni clientes ZTNA. ¿Cómo se deben proteger estos dispositivos dentro de una arquitectura convergente NAC/ZTNA?

Sugerencia: Considere los métodos de autenticación alternativos y el principio de aislamiento a nivel de red para los dispositivos que no pueden participar en los controles basados en la identidad.

Ver respuesta modelo

Utilice la derivación de autenticación MAC (MAB) en la solución NAC, combinada con un perfilado profundo de dispositivos mediante huellas dactilares DHCP, agentes de usuario HTTP y análisis de comportamiento de tráfico para identificar y clasificar con precisión cada tipo de dispositivo médico. Una vez identificados, el NAC asigna dinámicamente estos dispositivos a VLANs aisladas y altamente restringidas que solo permiten la comunicación con servidores y sistemas médicos específicos y requeridos - bloqueando todo el demás tráfico de forma predeterminada. ZTNA no es aplicable a estos dispositivos; la seguridad depende por completo de una estricta segmentación de la red y de la monitorización continua del tráfico para detectar comportamientos anómalos. Asegúrese de que las VLAN de los dispositivos médicos estén completamente aisladas del entorno de datos de los titulares de tarjetas para mantener el cumplimiento de PCI-DSS.

Q3. Durante un despliegue en producción, la integración de la API entre sus soluciones NAC y ZTNA falla de forma silenciosa sin que se activen alertas. Posteriormente, el ordenador portátil de un usuario en la red corporativa se infecta con malware. Describa el resultado de seguridad esperado e identifique la brecha arquitectónica que lo permitió.

Sugerencia: Analice el impacto de la pérdida de sincronización de contexto en cada motor de políticas de forma independiente y considere qué monitorización debería haber estado implementada.

Ver respuesta modelo

La solución NAC detectará el estado de seguridad degradado a través de la integración con el EDR y pondrá el dispositivo en cuarentena en la red local, evitando el movimiento lateral dentro del entorno corporativo. Sin embargo, dado que la integración de la API ha fallado de forma silenciosa, el bróker ZTNA no ha recibido el contexto de seguridad actualizado. Si el usuario intenta acceder a una aplicación en la nube, el cliente ZTNA aún podría establecer una conexión si el token de autenticación de identidad inicial sigue siendo válido y no ha expirado. La brecha arquitectónica es doble: primero, la ausencia de monitorización del estado de salud en la propia integración de la API; segundo, la falta de una política de seguridad contra fallos que active restricciones de acceso automáticas si se pierde la sincronización del contexto más allá de un umbral definido. La solución es implementar una monitorización dedicada con alertas sobre el estado de la integración, configurar el bróker ZTNA para que requiera una revalidación periódica del estado de seguridad (no solo la autenticación inicial) y definir una política de denegación por defecto que se active si la transmisión de contexto de NAC no está disponible durante más de un intervalo especificado.

Continúe leyendo esta serie

PPSK WiFi: comparación de funciones y modelos de despliegue

Esta guía de referencia técnica compara la arquitectura PPSK WiFi con las implementaciones tradicionales de 802.1X y PSK estándar. Proporciona a los arquitectos de red y responsables de TI estrategias de implementación independientes del proveedor para entornos residenciales multiinquilino, IoT y BTR.

Leer la guía →

Cómo reducir el número de SSIDs de WiFi utilizando PSK por dispositivo (iPSK, DPSK, MPSK)

Esta guía de referencia técnica autorizada explica cómo los equipos de TI pueden eliminar la degradación del rendimiento de WiFi causada por la sobrecarga de balizas de SSID colapsando múltiples redes dedicadas en un único SSID mediante el uso de PSK por dispositivo (xPSK). Cubre el panorama de proveedores que incluye Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK y Ubiquiti UniFi PPSK, con orientación práctica de implementación sobre asignación dinámica de VLAN, incorporación de IoT y cumplimiento de PCI DSS. Los operadores de recintos en los sectores de hostelería, retail, estadios y organizaciones del sector público encontrarán orientación de arquitectura práctica y ejemplos de casos reales.

Leer la guía →

Cómo implementar NAC posterior a la admisión para la supervisión continua de la confianza

Esta guía proporciona una plantilla técnica autorizada para implementar el control de acceso a la red (NAC) posterior a la admisión con supervisión continua de la confianza en entornos empresariales, incluidos los sectores de hostelería, comercio minorista, atención médica y sector público. Detalla el cambio de arquitectura de las comprobaciones estáticas previas a la admisión a la aplicación dinámica con reconocimiento de sesión mediante RADIUS CoA, el establecimiento de líneas de base de comportamiento y la integración de telemetría. Los arquitectos de TI y los equipos de operaciones de red encontrarán directrices de despliegue prácticas, casos de estudio reales, notas de alineación de cumplimiento y marcos de ROI medibles.

Leer la guía →

¿Tiene preguntas sobre su configuración específica?

Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.