Cambium Networks cnPilot and cnMaestro Integration with Purple WiFi

Integración de Cambium Networks cnPilot y cnMaestro con Purple WiFi. Informe para consultores. Bienvenido. Si gestionas un entorno de Cambium Networks y te han pedido que ofrezcas una experiencia de WiFi para invitados que recopile datos, impulse el marketing y cumpla con las normativas, este informe es exactamente lo que necesitas. Te guiaré a través de cómo encajan los puntos de acceso Cambium cnPilot, el controlador en la nube cnMaestro y Purple WiFi. Analizaremos la arquitectura, el flujo de autenticación RADIUS, la configuración del walled garden (entorno cerrado), el acceso WiFi seguro para el personal mediante 802.1X y la segmentación multi-inquilino utilizando la función ePSK de Cambium con asignación dinámica de VLAN. Tanto si gestionas un complejo hotelero, una cartera de tiendas minoristas, un centro de conferencias o un campus del sector público, los principios son los mismos. Vamos a ello. En primer lugar, una breve orientación sobre ambas plataformas. Cambium Networks produce la gama cnPilot de puntos de acceso WiFi empresariales: los modelos e410, e425H, e430H y e505 para despliegues en interiores y exteriores. Estos AP se gestionan de forma centralizada a través de cnMaestro, la plataforma de gestión en la nube de Cambium. cnMaestro te proporciona visibilidad centralizada, gestión de la configuración y actualizaciones de firmware en todo tu parque de AP, ya sea un puñado de dispositivos en un único recinto o miles de AP en un territorio nacional. Purple WiFi es una plataforma empresarial de inteligencia de WiFi para invitados. Se encarga del Captive Portal —la página de bienvenida de marca que ven tus invitados al conectarse— y también actúa como servidor de autenticación RADIUS, motor de captura de datos y plataforma de automatización de marketing. Purple opera en más de 80.000 recintos activos y ha procesado 440 millones de inicios de sesión solo en 2024. La combinación de Cambium cnMaestro y Purple te ofrece una pila de WiFi para invitados de nivel de producción que es tanto técnicamente sólida como comercialmente valiosa. Ahora, hablemos de la arquitectura de integración. El mecanismo principal es un redireccionamiento de Captive Portal combinado con autenticación RADIUS. Así es como funciona el flujo en la práctica. Un dispositivo de invitado se asocia con tu SSID de invitados. Ese SSID está configurado en cnMaestro como una red abierta, sin clave precompartida para los invitados. El AP de Cambium intercepta la primera solicitud HTTP del dispositivo y la redirige a la URL del Captive Portal de Purple. Este redireccionamiento se configura en cnMaestro dentro de los ajustes de Acceso de Invitados de la WLAN, donde se establece la URL de la página externa (External Page URL) apuntando al endpoint del portal de Purple de tu recinto. A continuación, el invitado interactúa con el portal de Purple. Puede autenticarse mediante inicio de sesión social, correo electrónico, verificación por SMS o un formulario personalizado. Una vez completado el flujo de autenticación, el backend de Purple envía un mensaje RADIUS Access-Accept de vuelta al AP de Cambium en el puerto UDP 1812. El AP cambia entonces el dispositivo del estado de preautenticación al de acceso total a la red. Permíteme guiarte por los pasos de configuración exactos en cnMaestro. Navegue a Configuration, luego a WiFi Profiles y después a WLANs. Cree una nueva WLAN para su red de invitados. Establezca el nombre del SSID (por ejemplo, "Hotel Guest WiFi") y configure la seguridad como Open. En Guest Access, active la opción External Hotspot. Este es el ajuste clave que indica a cnMaestro que debe redirigir a los clientes no autenticados a un portal externo. Establezca la External Page URL con la URL del portal de su establecimiento de Purple. Active la autenticación RADIUS e introduzca la dirección IP del servidor RADIUS de Purple, el secreto compartido y configure el puerto de autenticación en UDP 1812. Active el registro de actividad (accounting) de RADIUS en UDP 1813; esto es fundamental para que las analíticas de Purple funcionen correctamente. Sin estos registros, Purple no puede generar datos de sesión, métricas de tiempo de permanencia o análisis de frecuencia de visitas. Ahora, el walled garden (entorno cerrado). Esta es la lista de dominios y direcciones IP a los que los dispositivos de los invitados pueden acceder antes de autenticarse. Debe incluir en la lista blanca el dominio del portal de Purple y cualquier punto de conexión CDN utilizado para cargar los recursos del portal. También debe incluir en la lista blanca los dominios de los proveedores de autenticación; si utiliza el inicio de sesión social a través de Google o Facebook, sus dominios de OAuth deben estar en el walled garden. Un walled garden mal configurado es la causa más común de fallos en el Captive Portal. El dispositivo del invitado necesita resolver el DNS y acceder al portal de Purple a través de HTTPS antes de poder autenticarse. En cnMaestro, el walled garden se configura en los ajustes de External Hotspot. Añada entradas para el dominio del portal de Purple, los dominios de los proveedores de inicio de sesión social y los dominios de las pasarelas de pago si ofrece planes de WiFi de pago. Ahora hablemos del WiFi seguro para el personal mediante IEEE 802.1X. Para las redes del personal, no se requiere un Captive Portal. Lo que se necesita es una autenticación basada en certificados o credenciales que se realice de forma silenciosa en el propio dispositivo. En cnMaestro, cree una WLAN independiente para el personal. Configure la seguridad como WPA2-Enterprise. Configure los datos del servidor RADIUS; de nuevo, la IP del servidor RADIUS de Purple en UDP 1812. Los dispositivos del personal se autentican mediante EAP-PEAP con credenciales de usuario y contraseña, o mediante EAP-TLS con certificados de dispositivo para obtener el máximo nivel de seguridad. Purple se integra con Microsoft Entra ID, Okta y Google Workspace como proveedores de identidad. Esto significa que su personal puede autenticarse en el WiFi con sus credenciales corporativas habituales, sin necesidad de gestionar una contraseña de WiFi independiente. Purple valida las credenciales con su proveedor de identidad y devuelve un Access-Accept al punto de acceso de Cambium. La asignación dinámica de VLAN sitúa entonces al dispositivo del personal autenticado en la VLAN de personal correcta, aislándolo del tráfico de invitados. Por último, la segmentación multiinquilino mediante Cambium ePSK. ePSK (enhanced pre-shared key) es la implementación de Cambium de lo que el sector denomina PPSK o iPSK. El concepto es sencillo: en lugar de una contraseña compartida para todo un SSID, cada usuario o inquilino obtiene su propia contraseña única. Todos se conectan al mismo SSID, pero cada clave única se asocia a una VLAN específica, lo que proporciona aislamiento de red sin la complejidad de gestionar múltiples SSIDs. cnMaestro admite hasta 2.000 entradas ePSK por WLAN. A cada ePSK se le puede asignar un ID de VLAN específico, un límite de velocidad y una fecha de caducidad. Esto lo hace ideal para entornos multi-inquilino; piense en un centro de conferencias donde cada expositor obtiene su propio segmento de red aislado, o en un edificio residencial de alquiler donde cada residente dispone de su propia red de área privada. Para configurar ePSK en cnMaestro, vaya a Configuración, Perfiles de WiFi, WLANs. Cree una nueva WLAN. Establezca la seguridad en WPA2 Pre-Shared Key. Active la opción ePSK. A continuación, puede añadir entradas ePSK individuales de forma manual o utilizar la API de cnMaestro para aprovisionarlas mediante programación, que es el método recomendado para despliegues a gran escala. Para cada entrada ePSK, configure la contraseña, el ID de VLAN asignado y, opcionalmente, el límite de velocidad y la caducidad. Cuando un dispositivo se conecta utilizando esa contraseña, el AP de Cambium lo sitúa automáticamente en la VLAN asignada. No se requiere RADIUS para el propio flujo de ePSK: la asignación de VLAN la gestiona localmente el AP en función de la contraseña utilizada. Purple se integra con este modelo gestionando el ciclo de vida de ePSK a través de la API de cnMaestro. Purple puede aprovisionar nuevas entradas ePSK cuando se incorpora un nuevo inquilino, actualizar la asignación de VLAN, establecer fechas de caducidad y revocar el acceso cuando un inquilino se marcha. Esto elimina la carga de trabajo manual que supone gestionar cientos o miles de claves individuales. Bien, hablemos de lo que puede salir mal y de cómo evitarlo. El error más común es el jardín vallado (walled garden). Si las entradas de su jardín vallado están incompletas, la redirección del Captive Portal nunca se completa. Los invitados ven un tiempo de espera de conexión agotado, no una página de inicio de sesión. Pruebe siempre con un dispositivo nuevo (no con uno que se haya conectado previamente) y verifique que el portal de Purple se carga antes de la autenticación. Compruebe que la resolución DNS funciona para el dominio del portal de Purple desde el estado de preautenticación. Segundo: discrepancias en el secreto compartido de RADIUS. En grandes despliegues con múltiples ubicaciones, es fácil que un secreto compartido se configure de forma diferente en cnMaestro en comparación con el que Purple tiene registrado. Verifique siempre el secreto compartido en ambos lados antes de la puesta en marcha. Utilice un secreto fuerte generado aleatoriamente (de al menos 32 caracteres) y almacénelo en un gestor de secretos, no en una hoja de cálculo. Tercero: contabilidad (accounting) de RADIUS. No la pase por alto. Los registros de contabilidad son lo que utiliza Purple para crear analíticas de sesión: tiempo de permanencia, frecuencia de visitas, tipo de dispositivo. Configure la contabilidad de RADIUS en el puerto UDP 1813 en cnMaestro. Sin ella, perderá el valor analítico que proporciona Purple. Es un paso de configuración que solo requiere cinco minutos. Cuarto: trunking de VLAN. Para que la asignación dinámica de VLAN funcione, las VLAN deben estar configuradas como trunk en los puertos del switch que se conectan a sus puntos de acceso Cambium. Si la VLAN 100 para invitados no está permitida en el trunk, los invitados autenticados no obtendrán una dirección IP y parecerá que no tienen acceso a internet incluso tras una autenticación correcta. Verifique la configuración del trunk de su switch antes de realizar las pruebas. Quinto: conflictos en el rango de VLAN de ePSK. Asegúrese de que su rango de VLAN de ePSK no entre en conflicto con las VLAN existentes en su red, especialmente las VLAN de gestión o de infraestructura. Documente su asignación de VLAN antes de comenzar. Sexto: versión de firmware. Asegúrese de que sus AP cnPilot ejecuten la versión de firmware 6.0 o posterior para disponer de compatibilidad total con hotspot externo y funcionalidad ePSK. Las versiones de firmware anteriores presentan problemas conocidos con el comportamiento de redirección del Captive Portal. Ahora, algunas preguntas rápidas. ¿Puedo usar Purple con Cambium sin RADIUS, solo con una redirección simple? Sí, pero perderá la asignación dinámica de VLAN y los datos de contabilidad de sesión. Para cualquier opción que vaya más allá de una página de bienvenida básica, se recomienda encarecidamente utilizar RADIUS. ¿Admite Purple WPA3 en los AP de Cambium? Sí. La autenticación basada en portal de Purple es compatible con WPA3-SAE en el SSID. El flujo de RADIUS es independiente del protocolo de seguridad inalámbrica. ¿Puedo ejecutar Purple en múltiples ubicaciones de Cambium desde una sola cuenta de Purple? Por supuesto. La arquitectura multi-venue de Purple está diseñada exactamente para esto. Cada sitio se asocia a un punto de acceso en Purple, y las políticas de red de cnMaestro se escalan fácilmente en todo un despliegue nacional. ¿Cuántas entradas ePSK admite cnMaestro? Hasta 2000 por WLAN. Para despliegues que requieran más, utilice un enfoque basado en RADIUS para la gestión de claves. En resumen: la integración de Cambium cnMaestro y Purple WiFi es una arquitectura de eficacia probada que ofrece WiFi para invitados con captura de datos, autenticación RADIUS, segmentación dinámica de VLAN y analítica completa, todo gestionado de forma centralizada a través de la consola en la nube de cnMaestro. Los pasos clave para poner esto en marcha: configure su WLAN de invitados en cnMaestro con la opción de Hotspot Externo activada y la URL del portal de Purple configurada, añada los detalles del servidor RADIUS de Purple para la autenticación y la contabilidad, configure sus entradas de walled garden, verifique el trunking de VLAN en sus switches y realice pruebas con un dispositivo nuevo antes del lanzamiento definitivo. Para despliegues multiinquilino, configure ePSK en una WLAN dedicada, asigne ID de VLAN por inquilino y utilice la API de cnMaestro para la gestión del ciclo de vida a escala. El caso de ROI es claro. La plataforma de analítica de Purple convierte su WiFi para invitados de un centro de costes a un activo de datos de origen. Harrods logró un ROI de marketing de 57 veces su inversión con su despliegue de WiFi para invitados de Purple. AGS Airports generó un ROI del 842 %. En combinación con la infraestructura de nivel empresarial de Cambium, obtendrá una solución que se escala desde un único recinto hasta un despliegue nacional sin cambios estructurales. Para sus próximos pasos: solicite los detalles del servidor RADIUS de Purple a su gestor de cuentas de Purple, abra la configuración de WLAN de cnMaestro para su SSID de invitados y revise la lista de comprobación de configuración. La mayoría de las implementaciones en un solo sitio se activan en un día. Gracias por su atención. Si desea profundizar en el diseño del Captive Portal, la estrategia de segmentación de VLAN o la gestión del ciclo de vida de ePSK, la documentación de Purple y el equipo de soporte son el siguiente paso adecuado.