Captive Portal para Ruckus

Resumen Ejecutivo

Desplegar una red inalámbrica para invitados de alto rendimiento en entornos empresariales requiere un delicado equilibrio entre una experiencia de usuario fluida y una seguridad técnica robusta. Para las organizaciones que utilizan arquitecturas CommScope Ruckus (que van desde estadios y centros de convenciones de alta densidad hasta amplias superficies comerciales y grupos de hostelería), el Captive Portal actúa como la puerta de enlace principal para la incorporación de usuarios, el cumplimiento normativo y la captura de datos de origen.

Esta guía ofrece un manual técnico detallado paso a paso para integrar Captive Portals externos con controladores Ruckus SmartZone y Ruckus Unleashed. Al aprovechar los protocolos de itinerancia estándar del sector para proveedores de servicios de internet inalámbrico (WISPr), los ingenieros de red pueden implementar redireccionamientos fiables, autenticación segura mediante el servicio de usuario de marcación de autenticación remota (RADIUS) y configuraciones precisas de Walled Garden.

Cuando se combina con la plataforma Guest WiFi de Purple y WiFi Analytics , esta integración permite a los operadores de los establecimientos capturar datos demográficos clave de los visitantes, cumplir con las normativas internacionales de datos (como el GDPR y PCI DSS) y activar potentes automatizaciones de marketing. Ya sea desplegando arquitecturas Virtual SmartZone (vSZ) centralizadas en centros de Hostelería y Transporte , o redes Unleashed distribuidas basadas en puntos de acceso en entornos de Retail , esta referencia técnica garantiza un despliegue resiliente y de alto rendimiento.

Análisis Técnico Detallado

Para desplegar una red de invitados altamente escalable, los ingenieros deben comprender los estándares de comunicación subyacentes que rigen el flujo del Captive Portal. Las arquitecturas Ruckus utilizan el estándar WISPr 2.0 para negociar la redirección y autenticación de los clientes. WISPr define cómo un punto de acceso (AP) o controlador inalámbrico intercepta el tráfico HTTP/HTTPS no autenticado y redirige el navegador del cliente a un servidor web de portal externo.

El flujo de autenticación WISPr

El proceso de redirección del Captive Portal externo sigue una secuencia estricta de transacciones de red. Comprender este flujo es esencial para la resolución de problemas y la configuración de las políticas de firewall ascendentes:

1. Asociación: El cliente invitado se asocia con el SSID de invitados abierto y sin cifrar. El AP asigna una dirección IP al cliente a través de DHCP.
2. Prueba HTTP: El sistema operativo del cliente inicia una prueba HTTP (por ejemplo, la prueba del Captive Network Assistant de Apple a captive.apple.com o la comprobación de conectividad de Android a connectivitycheck.gstatic.com) para verificar el acceso a internet.
3. Redirección HTTP 302: El AP Ruckus o el controlador SmartZone intercepta esta solicitud HTTP no autenticada. Responde con una redirección HTTP 302, reenviando el navegador del cliente a la URL del portal externo (por ejemplo, la página de inicio de sesión de Purple). Esta URL de redirección se completa con parámetros de consulta críticos, incluidos la dirección MAC del cliente (client_mac), la dirección IP (client_ip), la dirección MAC del AP (ap_mac) y la IP de la interfaz Northbound (nbiIP) del controlador.
4. Renderizado del Portal: El navegador del cliente carga la página del portal externo. El tráfico no autenticado hacia el dominio del portal y sus recursos asociados está permitido por la política de Walled Garden del controlador.
5. Autenticación de Usuario: El usuario completa los requisitos de inicio de sesión (por ejemplo, inicio de sesión con redes sociales, registro por SMS, envío de formularios) en el portal.
6. RADIUS Access-Request: La plataforma del portal externo, actuando como cliente RADIUS, envía un Access-Request al servidor de autenticación RADIUS configurado (como la infraestructura Cloud RADIUS de Purple).
7. RADIUS Access-Accept: El servidor RADIUS valida las credenciales y devuelve un paquete Access-Accept que contiene los parámetros de sesión (por ejemplo, tiempo de espera de la sesión, límites de ancho de banda) al controlador Ruckus.
8. Callback NBI: El portal externo realiza una llamada de API a la interfaz Northbound (NBI) del controlador Ruckus utilizando credenciales WISPr, indicando al controlador que autorice la dirección MAC del cliente.
9. Acceso a Internet: El controlador cambia el estado del cliente a "Autenticado", permitiendo el acceso total a internet sujeto a las políticas de sesión configuradas.

Comparación de la Arquitectura Principal

Dependiendo de la escala del recinto, las organizaciones implementan arquitecturas CommScope Ruckus SmartZone (a escala empresarial, basada en controlador) o Ruckus Unleashed (distribuida, sin controlador). Aunque ambas admiten Captive Portals externos basados en WISPr, sus rutas de configuración subyacentes y sus capacidades difieren significativamente:

Guía de Implementación

Esta guía de implementación paso a paso orienta a los ingenieros de red en la configuración de un Captive Portal externo en los controladores Ruckus SmartZone y Ruckus Unleashed.

Parte A: Configuración de Ruckus SmartZone

Paso 1: Configurar los Servidores AAA RADIUS

Para autenticar a los usuarios invitados contra una base de datos externa, primero debe definir los servidores de Autenticación y Contabilidad de RADIUS.

1. Navegue a Servicios y Perfiles > Autenticación y seleccione la pestaña Proxy (SZ Authenticator).
2. Seleccione su Zona objetivo y haga clic en Crear.
3. Configure los siguientes parámetros:
   • Nombre: Purple_RADIUS_Auth
   • Protocolo de Servicio: RADIUS
   • IP del Servidor Principal: Introduzca la dirección IP proporcionada en su Consola de Administración de Purple.
   • Puerto: 1812
   • Secreto Compartido: Introduzca su Secreto Compartido de RADIUS de Purple.
   • RADIUS de Respaldo: Habilitado (Configure la IP secundaria, el Puerto 1812 y el mismo secreto compartido para alta disponibilidad).
4. Haga clic en Aceptar para guardar.
5. Navegue a Servicios y Perfiles > Contabilidad y haga clic en Crear bajo la pestaña Proxy (SZ Authenticator).
6. Configure los siguientes parámetros:
   • Nombre: Purple_RADIUS_Acct
   • Protocolo de Servicio: Contabilidad de RADIUS
   • IP del Servidor Principal: Introduzca la dirección IP proporcionada en su Consola de Administración de Purple.
   • Puerto: 1813
   • Secreto Compartido: Introduzca su Secreto Compartido de RADIUS de Purple.
   • RADIUS de Respaldo: Habilitado (Configure la IP secundaria, el Puerto 1813 y el mismo secreto compartido).
7. Haga clic en Aceptar para guardar.

Paso 2: Configurar el Perfil de Portal WISPr Hotspot

El perfil de Hotspot WISPr define el comportamiento de redirección y las reglas de Walled Garden.

1. Navegue a Servicios y Perfiles > Hotspots y Portales > Hotspot (WISPr).
2. Seleccione su Zona objetivo y haga clic en Crear.
3. In la sección Opciones Generales, configure:
   • Nombre del Portal: Purple_WISPr_Portal
   • Soporte de Cliente Inteligente WISPr: Ninguno
   • URL de Inicio de Sesión: Seleccione Externo e introduzca la URL de redirección principal proporcionada por Purple (por ejemplo, https://login.purple.ai/start).
   • Formato MAC de Redirección: AA:BB:CC:DD:EE:FF (Este formato es fundamental para el procesamiento de la base de datos de Purple).
4. En la sección Página de Inicio, configure:
   • Seleccione Redirigir a la siguiente URL e introduzca: https://login.purple.ai/success.php
5. En la sección Opciones de Sesión, configure:
   • Tiempo de Espera de la Sesión: 1440 minutos (24 horas, o adáptelo a la política de su empresa).
   • Grace Period: 60 minutos (permite a los usuarios reconectarse en un plazo de 1 hora sin tener que volver a autenticarse).
6. Haga clic en OK para guardar el perfil.

Paso 3: Definir las excepciones de Walled Garden

El Walled Garden permite a los clientes no autenticados resolver DNS y descargar recursos de dominios específicos necesarios para cargar la splash page y autenticarse.

1. Edite su perfil Purple_WISPr_Portal recién creado.
2. Desplácese hacia abajo y haga clic en el signo + para expandir la sección Walled Garden.
3. Añada los siguientes dominios obligatorios. Tenga en cuenta que Ruckus SmartZone requiere el formato de comodín *.domain.com:
   • *.purple.ai (Portal principal y dominio de redirección)
   • *.cloudfront.net (CDN para cargar hojas de estilo y recursos JavaScript)
   • *.apple.com y captive.apple.com (Para gestionar el comportamiento de Apple Captive Network Assistant)
   • *.googleapis.com y *.gstatic.com (Para las API de Google y la entrega de recursos)
4. Añada los dominios de redes sociales si activa el inicio de sesión social (por ejemplo, *.facebook.com, *.facebook.net para el inicio de sesión con Facebook).
5. Haga clic en OK para guardar.

Paso 4: Configurar la red LAN inalámbrica de invitados (WLAN)

Ahora, vincule los servidores RADIUS y el perfil de Hotspot a un nuevo SSID.

1. Navegue a Wireless LANs y seleccione su Zona de destino.
2. Haga clic en Create para crear una nueva WLAN.
3. Configure las General Options:
   • Name: Guest_WiFi
   • SSID: !Free_Venue_WiFi
4. Configure las Security Options:
   • Authentication Type: Hotspot (WISPr)
   • Method: Open
   • Encryption Options: None
5. Expanda la sección Hotspot Portal:
   • Hotspot (WISPr) Portal: Seleccione Purple_WISPr_Portal.
   • Authentication Service: Seleccione Purple_RADIUS_Auth.
   • Accounting Service: Seleccione Purple_RADIUS_Acct.
   • Send Interim Update: Establézcalo en 5 minutos (esencial para el seguimiento de sesiones en tiempo real).
6. Expanda las RADIUS Options:
   • NAS ID: Establézcalo en User-defined e introduzca el ID de establecimiento asignado por Purple.
   • Called Station ID: Seleccione AP MAC.
   • Single Session ID: ON (Evita la duplicación de sesiones entre AP).
7. Haga clic en OK para implementar la WLAN.

Paso 5: Habilitar la interfaz WISPr Northbound (NBI)

La NBI permite que Purple se comunique con SmartZone para autorizar clientes.

1. Navegue a Administration > External Services > WISPr Northbound Interface.
2. Marque la casilla Enable Northbound Interface support.
3. Defina un Username y una Password (por ejemplo, purple_nbi / SecureNbiPassword123!).
4. Introduzca estas credenciales en la consola de administración de Purple en Integrations > Ruckus SmartZone.

Paso 6: Deshabilitar el cifrado de MAC/IP (PASO CRÍTICO DE CLI)

Por defecto, SmartZone cifra las direcciones MAC en la URL de redirección. Debe deshabilitar esto para que Purple pueda leer las MAC de los clientes.

1. Abra una sesión SSH a la IP de administración de su controlador SmartZone.
2. Inicie sesión con sus credenciales de administrador.
3. Ejecute los siguientes comandos:

   ruckus> enable
   ruckus# config
   ruckus(config)# no encrypt-mac-ip
   ruckus(config)# end
   ruckus# write memory
   

Parte B: Configuración de Ruckus Unleashed

Para recintos más pequeños que utilicen una arquitectura Unleashed sin controlador, configure el Captive Portal a través de la interfaz web del AP maestro.

Paso 1: Definir servidores AAA

1. Vaya a Admin & Services > Services > AAA Servers.
2. Haga clic en Create New para añadir el servidor de autenticación RADIUS:
   • Name: Purple_Auth
   • Type: RADIUS
   • IP Address: Introduzca la IP de RADIUS de Purple.
   • Port: 1812
   • Shared Secret: Introduzca su secreto compartido de RADIUS de Purple.
3. Haga clic en OK.
4. Haga clic en Create New para añadir el servidor de contabilidad (Accounting) RADIUS:
   • Name: Purple_Acct
   • Type: RADIUS Accounting
   • IP Address: Introduzca la IP de RADIUS de Purple.
   • Port: 1813
   • Shared Secret: Introduzca su secreto compartido de RADIUS de Purple.
5. Haga clic en OK.

Paso 2: Configurar el servicio Hotspot

1. Vaya a Admin & Services > Services > Hotspot Services.
2. Haga clic en Create New.
3. En la pestaña General:
   • Name: Purple_Hotspot
   • Login URL: Introduzca su URL de redirección de Purple.
   • Start Page: Seleccione Redirect to the following URL e introduzca https://login.purple.ai/success.php.
4. En la pestaña Authentication:
   • Authentication Server: Seleccione Purple_Auth.
   • Accounting Server: Seleccione Purple_Acct.
   • Interim Update: Establézcalo en 5 minutos.
5. En la pestaña Walled Garden:
   • Añada entradas a nivel de dominio (por ejemplo, purple.ai, cloudfront.net, gstatic.com). Tenga en cuenta que Unleashed no requiere el prefijo de comodín de asterisco; la coincidencia estándar a nivel de dominio se aplica automáticamente.
6. Haga clic en OK para guardar.

Paso 3: Asignar el servicio Hotspot a la WLAN

1. Vaya a Wi-Fi Networks y haga clic en Create.
2. Establezca Name y SSID con el nombre de su red de invitados.
3. Establezca Usage Type en Hotspot Service.
4. Seleccione Purple_Hotspot de la lista de servicios.
5. Haga clic en OK para publicar el SSID en todos los AP Unleashed.

Buenas prácticas

Para garantizar el máximo rendimiento, la seguridad y el cumplimiento normativo, los arquitectos de red deben implementar las siguientes buenas prácticas estándar del sector:

1. Segmentación granular de VLAN de invitados

Nunca asocie el tráfico de invitados a la VLAN nativa o de gestión. Aísle siempre a los clientes invitados en una VLAN dedicada no enrutable (por ejemplo, VLAN 100). Implemente listas de control de acceso (ACL) estrictas en el switch o firewall ascendente para evitar que el tráfico de invitados acceda a las subredes corporativas, sistemas de punto de venta (POS) e infraestructura de IoT. Esta segmentación es un requisito fundamental para el cumplimiento de PCI DSS.

2. Optimización de RF de alta densidad

En entornos de alta densidad como estadios, centros de conferencias y grandes centros comerciales, el ajuste de RF es crítico. Desactive las tasas de datos heredadas más bajas (por ejemplo, desactive las tasas 802.11b inferiores a 12 Mbps) para obligar a los clientes a usar tasas más rápidas, reduciendo la saturación de tiempo en el aire. Active Band Steering para dirigir los dispositivos cliente de doble banda al espectro de 5 GHz y 6 GHz, preservando la banda de 2,4 GHz, altamente congestionada, para los dispositivos heredados.

3. Gestión dinámica del Walled Garden

Mantenga su Walled Garden lo más optimizado posible. Los Walled Gardens demasiado permisivos (como añadir subredes IP grandes como 172.217.0.0/16) pueden permitir que los usuarios no autenticados eludan el Captive Portal y accedan a servicios externos (como la Búsqueda de Google o YouTube) sin iniciar sesión. Realice auditorías periódicas de los dominios de su Walled Garden, especialmente tras habilitar nuevos proveedores de inicio de sesión social.

4. Gestión de sesiones segura

Establezca tiempos de espera de sesión razonables (por ejemplo, 1440 minutos / 24 horas) y periodos de gracia (por ejemplo, 60 minutos). Un periodo de gracia bien configurado evita la "fatiga del portal" al permitir que los usuarios que pierden temporalmente la cobertura WiFi (por ejemplo, al salir del vestíbulo de un hotel) se vuelvan a conectar sin problemas sin tener que volver a autenticarse.

5. Cumplimiento normativo y seguridad

El despliegue de redes WiFi públicas para invitados expone a los establecimientos a riesgos legales. Asegúrese de que la integración de su Captive Portal cumpla con las normativas locales:

• GDPR / CCPA: Asegúrese de que la página de bienvenida muestre condiciones de servicio y políticas de privacidad claras, requiriendo un consentimiento de aceptación activo para las comunicaciones de marketing.
• Modo de transición WPA3: Aunque las redes de invitados suelen ser abiertas, considere la posibilidad de activar el modo de transición WPA3 con Opportunistic Wireless Encryption (OWE) para cifrar el tráfico inalámbrico entre el cliente y el AP sin necesidad de una clave precompartida, protegiendo a los invitados de la escucha pasiva.
• Filtrado de contenido web: Los servidores DNS ascendentes (como Cisco Umbrella o Cloudflare Families) deben configurarse para bloquear dominios maliciosos, contenido para adultos y tráfico de intercambio de archivos ilegal en la VLAN de invitados.

Resolución de problemas y mitigación de riesgos

Al desplegar Captive Portals externos en hardware Ruckus, los ingenieros suelen encontrarse con un conjunto predecible de problemas de configuración y de ruta de red. Utilice este marco estructurado de resolución de problemas para resolver los cuellos de botella en el despliegue.

Modos de fallo comunes y vías de resolución

Problema 1: Los dispositivos de los invitados no son redirigidos a la página del Captive Portal.

• Causa raíz A: Fallo en la resolución DNS. Los clientes no autenticados deben poder resolver las consultas DNS antes de la redirección. Si el cliente no puede resolver login.purple.ai, la redirección fallará.
  • Resolución: Verifique que el rango DHCP asignado a la VLAN de invitados proporcione servidores DNS públicos válidos (por ejemplo, 1.1.1.1 o 8.8.8.8). Asegúrese de que el cortafuegos ascendente permita el tráfico del puerto UDP 53 desde la subred de invitados a internet antes de la autenticación.
• Causa raíz B: El cortafuegos bloquea el puerto 9080/9443. SmartZone requiere que haya puertos específicos abiertos para cargar la página de bienvenida.
  • Resolución: Asegúrese de que el puerto TCP 9080 (HTTP) o 9443 (HTTPS) esté permitido a través de los firewalls locales.
• Causa raíz C: Configuración incorrecta del Walled Garden. Es posible que la propia URL de redirección esté bloqueada.
  • Resolución: Asegúrese de que *.purple.ai esté definido explícitamente en el Walled Garden de Hotspot WISPr.

Problema 2: Los invitados pueden ver y completar la página de inicio de sesión, pero no pueden acceder a Internet después de hacer clic en "Conectar".

• Causa raíz A: Fallo de comunicación de NBI. El portal externo no puede enviar la llamada de la API de autorización de vuelta al controlador SmartZone.
  • Resolución: Verifique que la interfaz Northbound (NBI) de SmartZone esté habilitada y que las credenciales introducidas en la consola de administración de Purple coincidan con la configuración del controlador. Asegúrese de que su firewall perimetral permita el tráfico entrante del puerto TCP 9080 (o 9443) desde el rango de IP públicas de Purple hacia la IP de gestión de SmartZone.
• Causa raíz B: Fallo de autenticación RADIUS. El controlador está rechazando el RADIUS Access-Accept o no lo ha recibido.
  • Resolución: Vaya a Servicios y perfiles > Autenticación en SmartZone, seleccione su servidor RADIUS y haga clic en Probar AAA. Introduzca las credenciales de prueba para verificar la conectividad. Si la prueba falla, verifique la IP de RADIUS, el puerto 1812 y el Secreto compartido. Asegúrese de que los puertos UDP 1812 y 1813 estén permitidos de salida en su firewall perimetral.

Problema 3: Los dispositivos Apple iOS no muestran automáticamente el mini-navegador Captive Network Assistant (CNA).

• Causa raíz: Omisión de CNA de Apple habilitada o Walled Garden demasiado permisivo. Si se permite el dominio de prueba de Apple en el Walled Garden, iOS asume que tiene acceso directo a Internet y suprime el CNA.
  • Resolución: Asegúrese de que captive.apple.com NO esté completamente omitido en su Walled Garden si desea forzar la aparición del CNA. Por el contrario, si su política es omitir el CNA y obligar a los usuarios a abrir un navegador estándar, asegúrese de que Omitir CNA esté activado en la configuración de la WLAN.

Requisitos de puertos y protocolos de red

Para garantizar una comunicación fluida entre el controlador Ruckus, los dispositivos cliente y el portal externo, verifique que los siguientes puertos estén permitidos en los firewalls de su red:

ROI e impacto empresarial

Mientras que los ingenieros de red se centran en los flujos de paquetes y las configuraciones de puertos, los directores de TI y los CTO deben justificar la inversión en WiFi para invitados empresarial. La integración del hardware de alta densidad de Ruckus con la plataforma Purple's WiFi Analytics transforma una red que genera costes en un activo empresarial de gran valor, ofreciendo un retorno de la inversión (ROI) medible.

1. Captura de datos de origen (First-Party Data) a escala

En sectores como el Retail y la Hostelería , comprender los datos demográficos de los clientes es un motor fundamental para el crecimiento del negocio. Un SSID abierto estándar no recopila ningún dato de los visitantes. Al implementar el Captive Portal de Purple, los establecimientos logran tasas medias de finalización de inicio de sesión del 25 % al 40 %. Esto permite a los operadores capturar de forma legal direcciones de correo electrónico verificadas, números de teléfono y perfiles de redes sociales.

2. Marketing e interacción hiperlocalizados

Al combinar los servicios de ubicación precisos de Ruckus con el motor de marketing de Purple, los establecimientos pueden activar campañas automatizadas en tiempo real basadas en la presencia física. Por ejemplo, una marca de retail puede enviar un cupón por SMS dirigido a un cliente que lleva más de 15 minutos curioseando en un departamento específico, o un hotel puede enviar un correo electrónico de bienvenida con un enlace para reservar servicios de spa inmediatamente después de que el huésped se conecte al WiFi del vestíbulo.

3. Eficiencia operativa e información sobre el establecimiento

La integración de los captive portals con el análisis de ubicación ofrece una potente inteligencia operativa. Los directores de los establecimientos pueden monitorizar:

• Afluencia y tiempo de permanencia: mida el número exacto de visitantes, cuánto tiempo se quedan y su recorrido por el espacio físico.
• Tasas de fidelidad y retorno: identifique a los visitantes nuevos frente a los recurrentes para evaluar el impacto de las campañas de marketing y los cambios operativos.
• Optimización del personal: adapte los niveles de personal con mapas de densidad de visitantes en tiempo real, reduciendo los costes fijos durante las horas de menor actividad y mejorando el servicio al cliente durante las horas punta.

Matriz de impacto empresarial

La siguiente tabla resume los resultados empresariales habituales en sectores verticales clave tras el despliegue de una red WiFi para invitados integrada de Ruckus y Purple:

Al alinear la excelencia técnica en ingeniería inalámbrica con los objetivos comerciales estratégicos, la integración de Ruckus y Purple ofrece una infraestructura de red empresarial segura, conforme a las normativas y altamente rentable.

Referencias

• [1] CommScope Ruckus SmartZone Access Services Guide
• [2] Ruckus SmartZone RADIUS Authentication Deployment Guide
• [3] Ruckus Unleashed Hotspot WISPr Configuration Guide
• [4] Puntos de acceso inalámbricos Cisco: Guía de productos y despliegue 2026
• [5] Las 10 mejores soluciones de control de acceso a la red (NAC) para 2026
• [6] WiFi en las escuelas: la guía de 2026 para administradores y TI
• [7] Cómo implementar la autenticación 802.1X con Cloud RADIUS