Cómo construir una red WiFi para campus: guía de TI para universidades

Le damos la bienvenida a la Sesión Informativa sobre Redes de Purple Enterprise. Hoy abordamos un gran desafío de infraestructura: cómo construir una red WiFi para campus. En concreto, analizamos los despliegues en universidades y recintos de gran tamaño. Si usted es director de tecnología (CTO), director de TI o arquitecto de redes, esta sesión es para usted. Dejaremos a un lado la teoría para centrarnos en las realidades prácticas del despliegue en entornos inalámbricos de alta densidad. Comencemos con el contexto. Una red WiFi para campus ya no es solo una comodidad. Es una infraestructura crítica. Los estudiantes llegan el primer día con tres o cuatro dispositivos. El personal necesita una conectividad fiable para videoconferencias, aplicaciones en la nube y sistemas de gestión de edificios. Además, el propio campus se está convirtiendo cada vez más en un entorno inteligente, con sensores IoT, señalización digital y control de accesos que funcionan sobre la misma infraestructura inalámbrica. El desafío no es solo la cobertura. Es la capacidad. Y esa distinción es el concepto más importante de esta sesión informativa. Empecemos por los cimientos: el estudio de cobertura (site survey). En el entorno de un campus, un estudio predictivo basado en planos de planta es solo el punto de partida. Necesita de forma obligatoria realizar estudios activos sobre el terreno. Vemos demasiados recintos que confían únicamente en modelos de software. Una pared de ladrillo en un aula del siglo XIX atenúa la señal de forma muy diferente a un panel de yeso moderno. Un edificio de la época victoriana con gruesos muros de piedra y techos altos se comportará de forma totalmente distinta a un pabellón de campus moderno construido a medida. Su estudio activo debe mapear las zonas de alta densidad (salones de actos, sindicatos de estudiantes, bibliotecas, cafeterías) e identificar las fuentes de interferencias de RF. Los hornos microondas, los dispositivos Bluetooth e incluso las redes vecinas pueden degradar el rendimiento si no se han tenido en cuenta. El resultado del estudio debe ser un mapa de calor que muestre la intensidad de la señal, la utilización de los canales y los niveles de interferencia en cada planta de cada edificio. Esto se convierte en la base de su plan de ubicación de puntos de acceso. Ahora bien, al planificar la ubicación de los puntos de acceso, la regla de oro es priorizar la capacidad frente a la cobertura. Ya no se trata solo de hacer llegar la señal a la esquina de la sala. Se trata de dar soporte a tres dispositivos por estudiante en un aula con capacidad para trescientas personas. Eso significa desplegar puntos de acceso de alta densidad, normalmente WiFi 6 o WiFi 6E, y gestionar el solapamiento de canales de forma agresiva. Para espacios de alta densidad, considere la posibilidad de desplegar puntos de acceso con antenas direccionales que enfoquen la energía de RF hacia las zonas de asientos, en lugar de antenas omnidireccionales que emiten la señal en todas direcciones y provocan interferencias entre los puntos de acceso adyacentes. Pasemos a la arquitectura. El modelo estándar para redes de campus empresariales consta de tres niveles: Gestión, Núcleo (Core) y Acceso. En la parte superior se encuentra el controlador WLAN centralizado, ya sea local o gestionado en la nube. Este es el cerebro de la red. Se encarga de la itinerancia sin interrupciones, la aplicación de políticas, la optimización de RF y la gestión de firmware en todos los puntos de acceso. Los controladores gestionados en la nube se han convertido en la opción predominante para las nuevas implantaciones porque simplifican la gestión de múltiples sedes y reducen los costes de hardware local. En el centro se encuentra la infraestructura de conmutación de núcleo y distribución. Se trata de los conmutadores de alta capacidad que agregan el tráfico de la capa de acceso y lo enrutan hacia la puerta de enlace a internet y los recursos internos. En la parte inferior se encuentra la capa de acceso: los conmutadores Power over Ethernet y los propios puntos de acceso inalámbricos. Para las nuevas implantaciones, PoE Plus es el estándar mínimo, ya que los puntos de acceso WiFi 6 consumen más energía que sus predecesores. Hablemos ahora de la incorporación y autenticación de usuarios, ya que aquí es donde fallan en la práctica muchas redes de campus. Hay miles de usuarios temporales: estudiantes matriculados, personal docente y administrativo, académicos visitantes, delegados de congresos y público en general. Cada grupo tiene requisitos de acceso diferentes y distintas implicaciones de seguridad. Para el personal y los estudiantes matriculados, la implementación de 802.1X con autenticación EAP es innegociable. Esto vincula el acceso inalámbrico a su proveedor de identidad existente, ya sea Active Directory, LDAP o un servicio de identidad en la nube. Los usuarios se autentican con sus credenciales institucionales y la red les asigna dinámicamente la VLAN adecuada. Esto proporciona un acceso cifrado basado en credenciales que cumple con los requisitos de estándares como ISO 27001 y Cyber Essentials. Para los invitados y usuarios temporales, se necesita una solución de Captive Portal que sea segura, cumpla las normativas y no genere una avalancha de solicitudes de asistencia técnica. Aquí es donde una plataforma dedicada a WiFi de invitados aporta un valor real. Una solución como la plataforma de WiFi de invitados de Purple proporciona una incorporación segura que cumple con el GDPR, páginas de inicio personalizables y, fundamentalmente, análisis sobre cómo se utiliza el recinto. Se obtiene visibilidad sobre los patrones de afluencia, los tiempos de permanencia y los periodos de máximo uso, una información que tiene un valor operativo real. Analicemos las VLAN y la segmentación de red. Una segmentación adecuada de las VLAN es esencial tanto para la seguridad como para el rendimiento. Como mínimo, se deben tener VLAN separadas para el personal, los estudiantes, los invitados y los dispositivos IoT. La VLAN de IoT es especialmente importante. Los sensores de edificios inteligentes, los controladores de climatización, la señalización digital y las cámaras de seguridad nunca deben compartir un segmento de red con los dispositivos de los usuarios. Un dispositivo IoT con una vulnerabilidad no debería poder comunicarse con el ordenador portátil de un estudiante. Hablemos ahora de la itinerancia, ya que una transferencia de conexión sin interrupciones es fundamental para la experiencia del usuario. A medida que un usuario camina desde la biblioteca hasta la cafetería, su llamada de VoIP no debería cortarse. Su transmisión de vídeo no debería experimentar buffering. Su aplicación en la nube no debería agotar el tiempo de espera. Lograr esto requiere un ajuste cuidadoso de la potencia de transmisión y la implementación de estándares de itinerancia rápida. Los tres estándares que debe conocer son 802.11k, 802.11v y 802.11r. Juntos, a veces se les conoce como la trifecta de la itinerancia rápida. El estándar 802.11k permite a los puntos de acceso proporcionar a los clientes una lista de AP vecinos, de modo que el dispositivo sabe a dónde realizar la itinerancia antes de que sea necesario. El estándar 802.11v permite que la red sugiera a un cliente que debe realizar la itinerancia hacia un AP mejor. Y el estándar 802.11r permite una transición rápida de BSS, reduciendo drásticamente el tiempo de autenticación durante una itinerancia - lo cual es fundamental para las aplicaciones de voz y en tiempo real. Pero nada de esto funciona si su potencia de transmisión está mal configurada. Si sus AP transmiten a la máxima potencia, los dispositivos clientes se mantendrán conectados a un AP incluso cuando haya otro más cercano disponible. Este es el clásico problema del cliente pegajoso (sticky client). El dispositivo ve una señal fuerte de un AP lejano y se niega a realizar la itinerancia hacia uno más cercano, lo que provoca una degradación del rendimiento para ese usuario y una carga innecesaria en el AP lejano. La solución consiste en ajustar el tamaño de las celdas de cobertura. Reduzca la potencia de transmisión para que las celdas de cobertura de los AP adyacentes apenas se superpongan - normalmente entre un quince y un veinte por ciento. Y desactive las tasas de datos más bajas - uno, dos y cinco coma cinco megabits por segundo - en sus puntos de acceso. Cuando permite que los dispositivos se conecten a estas velocidades heredadas, mantendrán una señal débil de forma indefinida. Desactivar estas tasas obliga al dispositivo a perder la conexión y a realizar la itinerancia hacia un AP con una señal más fuerte. Es hora de responder a algunas preguntas rápidas basadas en lo que escuchamos más a menudo de los clientes. Pregunta uno: ¿Deberíamos separar los dispositivos IoT en su propia red? Por supuesto. Coloque los dispositivos IoT - pantallas inteligentes, sensores de climatización, sistemas de control de acceso - en una VLAN dedicada con reglas de firewall estrictas. No permita que congestionen sus redes de datos principales y no permita que se comuniquen lateralmente con los dispositivos de los usuarios. Pregunta dos: ¿Cómo gestionamos los dispositivos heredados que no admiten la autenticación moderna? Para los dispositivos que no admiten 802.1X - como los televisores inteligentes más antiguos o las videoconsolas en las residencias de estudiantes - implemente la derivación de autenticación de MAC (MAC Authentication Bypass o MAB). Esto le permite registrar direcciones MAC de dispositivos específicos y asignarlas a una VLAN adecuada sin necesidad de autenticación basada en credenciales. Pregunta tres: ¿Qué pasa con la cobertura en exteriores? Es esencial y a menudo se deja como una idea de última hora. Utilice puntos de acceso robustos y resistentes a la intemperie con antenas direccionales para cubrir patios, zonas de asientos al aire libre e instalaciones deportivas. Los AP para exteriores deben soportar temperaturas extremas, humedad y resistencia al vandalismo - no despliegue unidades de interior en exteriores. Cuarta pregunta: ¿Cómo gestionamos la seguridad del plano de administración? Asegúrese de que la interfaz de administración del controlador esté en una VLAN de administración dedicada, accesible únicamente desde estaciones de trabajo de administradores autorizadas. Habilite la autenticación multifactor para todas las cuentas de administrador. Y revise la postura de seguridad de sus puntos de acceso con regularidad. Para resumir las conclusiones clave de la sesión de hoy. Primero: diseñe para la capacidad, no solo para la cobertura. En un entorno de campus moderno, el cuello de botella casi nunca es la intensidad de la señal, sino la capacidad de dar servicio a cientos de dispositivos concurrentes de manera eficiente. Segundo: realice estudios de RF activos en el terreno. No confíe únicamente en los modelos predictivos. Los materiales de construcción, las fuentes de interferencia y la distribución física deben validarse en el mundo real. Tercero: implemente una arquitectura de tres niveles con administración centralizada. Un controlador administrado en la nube le brinda visibilidad y control en toda su infraestructura. Cuarto: utilice 802.1X para el personal y los estudiantes, y un Captive Portal seguro para los invitados. Aproveche su plataforma de WiFi para invitados para recopilar análisis e impulsar la inteligencia operativa. Quinto: optimice su red para un roaming fluido. Implemente 802.11k, v y r. Reduzca la potencia de transmisión. Desactive las tasas de datos heredadas. Elimine los clientes de tipo "sticky". Y sexto: segmente su red con VLANs. Mantenga separado el tráfico de IoT, invitados, personal y estudiantes. Para profundizar en los aspectos técnicos, incluidos diagramas de arquitectura, ejemplos prácticos y una lista de verificación de implementación completa, lea nuestra guía completa sobre cómo construir una red WiFi de campus en el sitio web de Purple. Gracias por escuchar el Purple Enterprise Network Briefing.