Cómo implementar iPSK en Cisco Meraki, HPE Aruba y Ruckus

Cisco Meraki, HPE Aruba y Ruckus permiten colocar diferentes dispositivos o grupos en diferentes políticas sin tener que crear un SSID independiente para cada grupo. Configure un SSID WPA2 Personal, cree u obtenga una clave personal, asóciela a una VLAN o rol y, a continuación, compruebe que la eliminación bloquea las nuevas asociaciones. 1 2 3

¿Qué hace exactamente un despliegue de iPSK?

Una clave precompartida de identidad, o iPSK, proporciona una contraseña única a un dispositivo o grupo de dispositivos mientras se mantiene un SSID compartido. Los fabricantes utilizan diferentes nombres para esto. Cisco Meraki llama a su opción respaldada por RADIUS iPSK. HPE Aruba denomina a esto clave precompartida múltiple, o MPSK. Ruckus lo llama PSK dinámica, o DPSK. Ubiquiti UniFi llama a su opción local clave precompartida privada, o PPSK.

El resultado práctico de esto es un acceso controlado en una única red WiFi personal. Puede segregar un dispositivo de sala, un dispositivo residencial o un dispositivo operativo sin tener que transmitir un SSID independiente para cada caso de uso. El punto de control varía según la plataforma. Cisco Meraki puede obtener la clave y la anulación de VLAN a través de RADIUS. HPE Aruba recupera frases de contraseña cifradas e información de autorización desde ClearPass. Ruckus puede colocar una DPSK directamente en un rol de usuario o VLAN. UniFi PPSK asocia contraseñas a VLANs de forma local. 1 2 3 4

Esto no es una alternativa a 802.1X. El estándar IEEE 802.1X proporciona control de acceso a la red basado en puertos, mientras que iPSK es adecuado para dispositivos que requieren un SSID compartido y un acceso mediante clave personal. 5

¿Qué necesita antes de comenzar?

Comience con un diseño de reenvío en lugar de con el panel de control. Cree las VLAN de destino y asegúrese de que cualquier VLAN que pueda devolver un SSID esté activa en cada enlace ascendente de AP. Elija resultados de políticas que los operadores puedan explicar, como residente, operaciones del edificio, dispositivo de habitación y prueba. Decida si las claves serán por dispositivo o por grupo controlado. Las claves por dispositivo permiten una revocación precisa, mientras que las claves de grupo reducen el esfuerzo de resolución de problemas pero aumentan el impacto de una filtración. 3 Para un diseño respaldado por RADIUS, registre los puntos de acceso o su subred de gestión como clientes RADIUS. Utilice el mismo secreto compartido en los puntos de acceso y en el servidor RADIUS. Cisco Meraki documenta esta relación en la configuración de su servidor RADIUS. Guarde el código secreto en su almacén de secretos aprobado y establezca un propietario designado para cada población de claves. 1

Registre el SSID, el resultado de la política, la fuente de la clave, la dirección MAC del dispositivo de prueba y el resultado de la revocación cuando corresponda. La aleatorización de MAC puede complicar los flujos de trabajo vinculados a MAC, lo cual es citado por Cisco Meraki como una razón para Easy PSK. 1

¿Cómo se configura Cisco Meraki iPSK con RADIUS?

Utilice Cisco Meraki iPSK con RADIUS cuando requiera un control centralizado. En el panel de control, abra Wireless > Configure > Access control, seleccione el SSID de destino y elija Identity PSK with RADIUS. Establezca la página de inicio (splash page) en None (Direct access) y, a continuación, añada los detalles del servidor RADIUS. La guía de Cisco Meraki incluye pantallas y ejemplos actuales. 1

Para flujos de trabajo basados en MAC, su registro RADIUS vincula la dirección MAC del cliente y la PSK a través de Tunnel-Password. En Easy PSK, el AP proporciona los atributos de saludo específicos del proveedor de Meraki; RADIUS busca la iPSK y envía un Access-Accept, tras lo cual el AP reinicia el saludo de clave. 1

Configure el modo puente (bridge mode) cuando requiera una asignación de VLAN por dispositivo. Establezca la VLAN predeterminada del SSID en Client IP and VLAN y, a continuación, habilite la invalidación de RADIUS documentada para que un Access-Accept pueda reemplazar esa etiqueta de VLAN predeterminada. Si también requiere políticas de firewall, limitación de tráfico u otras políticas del panel de control, cree una política de grupo del panel de control que coincida en Network-wide > Configure > Group Policies. La secuencia de validación de Cisco Meraki consiste en conectar un dispositivo de prueba, comprobar los registros en tiempo real de RADIUS e inspeccionar el cliente en el panel de control. 1

Cisco Meraki no admite esta función de iPSK con RADIUS en WPA3 ni en SSID tunelizados a un MX Concentrator. Confirme ambos aspectos antes de comenzar un proyecto piloto. 1

¿Cómo se configura HPE Aruba MPSK en Aruba Central?

Utilice HPE Aruba MPSK con ClearPass cuando requiera que ClearPass emita contraseñas y decisiones de autorización específicas para dispositivos o grupos. La ruta documentada en Aruba Central es Manage > Devices > Access Points > Config > WLANs. Añada un SSID o edite un SSID existente, abra Security, seleccione Personal, seleccione MPSK-AES en la gestión de claves, seleccione ClearPass Policy Manager como servidor primario y guarde. 2 El flujo documentado es sencillo. Un dispositivo se registra y recibe una frase de contraseña. Se conecta con WPA2-PSK-AES. El punto de acceso realiza la autenticación MAC contra ClearPass. ClearPass devuelve un Access-Accept con información de autorización y el atributo específico de proveedor Aruba-MPSK-Passphrase. El punto de acceso genera la PSK y completa el intercambio de claves de cuatro vías. Una frase de contraseña incorrecta o un Access-Reject impiden la conexión. 2 No habilite manualmente la autenticación MAC en la WLAN solo porque el flujo incluya una búsqueda MAC. Aruba indica que MPSK y la autenticación MAC manual son mutuamente excluyentes. También señala que MPSK es mutuamente excluyente con las listas de denegación y los servidores RADIUS internos. Considere estas restricciones como puntos de control de revisión de diseño antes de cambiar los perfiles de producción. 2

Planifique la revocación en función de la caché. La documentación de Aruba indica que el punto de acceso almacena la frase de contraseña MPSK en una caché local para el roaming y puede omitir la autenticación MAC cuando encuentra una entrada coincidente. Por lo tanto, eliminar simplemente un registro o cambiar una política no es prueba suficiente. Su prueba de aceptación debe incluir una nueva asociación después de que el estado almacenado en caché haya dejado de permitir la credencial antigua. Utilice los documentos operativos actuales de Aruba y ClearPass para definir los procesos de borrado o expiración de la caché para su lanzamiento. 2

¿Cómo se generan las claves Ruckus DPSK en SmartZone?

Utilice Ruckus DPSK cuando SmartZone sea su punto de control operativo y desee que el controlador genere y revoque claves. En primer lugar, asegúrese de que la WLAN tiene DPSK habilitado. A continuación, vaya a Security > Access Control > Dynamic PSK y seleccione Generate DPSKs. Seleccione la WLAN, elija el número de claves y, a continuación, introduzca o genere un nombre de usuario y una frase de contraseña. Seleccione un rol de usuario, configure el ID de VLAN y elija si la clave es una DPSK de grupo. 3

Elija el tipo de DPSK con cuidado. Una clave no vinculada se vincula en el primer uso, una clave de grupo puede servir para varios dispositivos y una clave vinculada se puede importar por dirección MAC mediante un archivo CSV. 3

Ruckus vincula el rol de usuario seleccionado a los atributos y permisos del rol, que incluyen VLAN, UTP y restricciones temporales. También puede configurar el ID de VLAN durante la creación de la clave. Esto le permite utilizar un SSID consistente mientras mantiene la decisión de control de acceso vinculada al registro DPSK o a su rol. 3

Para la revocación, seleccione la DPSK en la lista Dynamic PSK y utilice Delete. Pruebe la eliminación con el mismo dispositivo utilizado para emitir la clave. Olvide el SSID o desconéctelo, y luego intente una nueva conexión utilizando la clave eliminada. Registre una unión denegada como condición de aprobado. No declare el éxito basándose únicamente en la ausencia de la clave en la lista del controlador. 3

¿Cómo asocia RADIUS una clave a una VLAN o política?

RADIUS no hace que todos los fabricantes funcionen de la misma manera. Se encarga de transmitir la decisión de autenticación y autorización. El AP o controlador determina qué atributos devueltos admite. RFC 4675 describe los atributos RADIUS para la asignación dinámica de VLAN en redes IEEE 802 y señala que un dispositivo de red inalámbrica puede tratar una asociación de seguridad como un puerto virtual. 6

Para Cisco Meraki, pruebe tanto la VLAN predeterminada como los resultados de la invalidación de RADIUS, luego guarde la VLAN devuelta y la configuración del troncal del AP en un registro de cambios. Para Aruba, demuestre el resultado de la política de ClearPass en su propio entorno. Para Ruckus, mantenga el rol o la VLAN seleccionados durante la generación de la DPSK de manera compatible con el diseño del switch y la puerta de enlace. 1 2 3

¿Cómo se prueba si funciona la revocación de claves?

Incluya la revocación en el primer despliegue. Está probando la respuesta operativa ante la pérdida de un dispositivo local, la desvinculación de un contratista o una clave emitida incorrectamente. La condición de éxito no es "hemos eliminado el registro". La condición de éxito es "el dispositivo no puede completar una nueva asociación con la clave eliminada y los registros identifican el motivo".

Comience con una prueba positiva. Conecte un dispositivo de prueba utilizando la clave emitida. Capture el evento de aceptación del controlador o de RADIUS, la política de cliente asignada y el segmento de red observado por el dispositivo. Para Cisco Meraki, verifique los detalles del cliente en el Dashboard y sus registros de RADIUS. Para Ruckus, capture el registro de DPSK, el rol o VLAN y el resultado de la asociación. Para Aruba, capture tanto el resultado de ClearPass como el del AP. 1 2 3 A continuación, revoque la clave desde su fuente de verdad. Elimine o deniegue la asignación de RADIUS de Cisco Meraki correspondiente. Elimine el registro o la autorización de ClearPass que proporciona la decisión de Aruba MPSK. Elimine la Ruckus DPSK. Para UniFi PPSK, elimine la asignación de contraseña a VLAN en la configuración actual de UniFi y valídela de acuerdo con la documentación actual de UniFi antes de utilizar el flujo de trabajo en un entorno de producción. 1 2 3 4 Fuerce una nueva asociación. Desactive y vuelva a activar el WiFi o olvide el SSID, luego intente volver a unirse con la clave antigua. Revise los registros exactos. Para Aruba, se debe considerar el almacenamiento en caché adicional porque una MPSK almacenada en caché puede eludir una nueva búsqueda de autenticación MAC. Una nueva prueba que utilice un estado almacenado en caché no demuestra una revocación oportuna. 2

Finalmente, pruebe una clave cercana que no esté afectada en el mismo SSID. Debería seguir uniéndose y recibir la política prevista. Esto detecta cambios demasiado amplios en la WLAN, el registro de clientes RADIUS o los enlaces troncales de los switches. Registre el tiempo transcurrido desde la revocación hasta el fallo de la nueva asociación. Esa medición indica a las operaciones del centro lo que el proceso de incorporaciones, traslados y bajas puede prometer realmente.

¿Qué puede salir mal y cómo solucionarlo?

¿Dónde encaja el iPSK en el diseño de WiFi multiinquilino?

iPSK es un patrón de control de acceso, no un modelo operativo de WiFi completo. Encaja en el WiFi multiinquilino donde los residentes, los sistemas del edificio y los dispositivos del personal requieren diferentes decisiones de acceso. Combínelo con Guest WiFi para los visitantes. Para decisiones sobre contratos de edificios, consulte Bulk internet agreement vs managed WiFi: which model fits your building.

Este patrón se aplica en Hostelería, Retail, Transporte y Sanidad. Purple puede ofrecer su capa en la nube independiente del hardware sobre infraestructura Cisco Meraki, HPE Aruba, Ruckus o Ubiquiti UniFi. Consulte Gestión de WiFi para invitados: autenticación inteligente y segmentación y Gestión de WiFi en la nube: conectividad empresarial segura 2026 para obtener un contexto más amplio.

Ejemplo detallado: Dispositivos en habitaciones de hotel y operaciones del edificio

Un hotel de 200 habitaciones requiere un SSID operativo para los dispositivos de las habitaciones y un segmento de operaciones del edificio independiente, sin tener que crear un SSID distinto para cada categoría de dispositivo. Los arquitectos de red seleccionan Cisco Meraki iPSK con RADIUS en modo puente. El diseño de RADIUS contiene un registro de clave y la decisión de VLAN deseada para cada categoría de dispositivo. El SSID tiene una VLAN por defecto y solo las respuestas RADIUS definidas pueden anularla. 1

El conjunto de aceptación medible es discreto. Un dispositivo de habitación de prueba debe conectarse con su clave emitida y recibir el segmento de dispositivo de habitación. Un dispositivo de operaciones del edificio debe recibir el segmento de operaciones. Una clave eliminada del almacén RADIUS debe fallar en una nueva asociación. Otra clave válida debe poder seguir conectándose. Esto demuestra que los procesos de acceso, segmentación y revocación funcionan conjuntamente en lugar de ser demostraciones aisladas.

Ejemplo detallado: Operaciones de estadios y dispositivos de eventos temporales

Un estadio utiliza Ruckus SmartZone para equipos de eventos temporales que requieren acceso controlado durante el montaje. Los ingenieros generan DPSK no vinculadas para entregas de un solo dispositivo y DPSK de grupo controladas de forma independiente para equipos compartidos. SmartZone contiene opciones claras de rol o VLAN para cada clave. 3

El resultado medible es la matriz de unión. Una clave que se vincula tras el primer uso no debe conceder acceso a un segundo dispositivo no planificado. Una clave de grupo debe ubicar a cada dispositivo autorizado en su VLAN prevista. Una vez que concluye el evento, la eliminación de la clave debe impedir una nueva asociación por parte del dispositivo de prueba original. Esto proporciona a las operaciones del recinto un control repetible de emisión y revocación sin la saturación de SSID.

Preguntas frecuentes

¿Puedo implementar iPSK en puntos de acceso Cisco Meraki existentes?

Sí, Cisco Meraki documenta iPSK con RADIUS en su configuración de control de acceso inalámbrico, sujeto a los límites de funciones establecidos. Se configuran el SSID, los servidores RADIUS y las anulaciones de VLAN en modo puente donde sea necesario en el Dashboard. Asegúrese de que el SSID no esté tunelizado a un MX Concentrator y no planifique WPA3 con el flujo de trabajo documentado de iPSK con RADIUS. 1

¿Es necesario ClearPass para MPSK en HPE Aruba Central?

Sí, el flujo de trabajo de HPE Aruba Central MPSK indicado selecciona ClearPass Policy Manager como servidor principal. ClearPass proporciona contraseñas específicas para dispositivos o grupos y devuelve información de autorización Access-Accept documentada. Compruebe las combinaciones excluidas por Aruba antes del despliegue, específicamente la autenticación MAC manual, las listas de denegación y los servidores RADIUS internos. 2

¿Puede Ruckus DPSK colocar un dispositivo en una VLAN separada?

Sí, Ruckus SmartZone permite seleccionar un ID de VLAN al generar una DPSK y asignar un rol de usuario cuyos permisos incluyan una VLAN. No obstante, debe asegurarse de que la WLAN, los enlaces ascendentes de los AP, los switches y los gateways transporten ese segmento. Cree y pruebe una clave para cada resultado de política deseado antes de emitir claves a escala del recinto. 3

¿Son iguales UniFi Private PSK de Ubiquiti y las VLAN asignadas por RADIUS?

No, UniFi describe PPSK y las VLAN asignadas por RADIUS como opciones independientes. PPSK asocia contraseñas de un SSID compartido a una VLAN. Las VLAN asignadas por RADIUS utilizan perfiles únicos y requieren WPA2 Enterprise o WPA3 Enterprise. UniFi PPSK es únicamente para WPA2 y no funciona en la banda de 6 GHz. 4

¿Cuánto esfuerzo requiere un despliegue de iPSK?

Un piloto requiere un SSID definido, VLAN de destino, una fuente de control de acceso, conectividad de AP a RADIUS en las ubicaciones correspondientes y una prueba de revocación. El esfuerzo escala con el número de propietarios de claves y resultados de políticas, no con el número de SSID. Comience con dos políticas y unos pocos dispositivos, y luego documente los pasos de emisión, soporte y baja antes de un despliegue más amplio.

¿Puede iPSK ayudar con el cumplimiento de GDPR o PCI-DSS?

iPSK puede respaldar el diseño de segmentación y control de acceso, pero no certifica el cumplimiento. El artículo 32 de GDPR exige medidas de seguridad técnicas y organizativas adecuadas. PCI-DSS proporciona requisitos técnicos y operativos para proteger los datos de las cuentas. Evalúe sus flujos de datos reales, el registro, la retención, los derechos de acceso y el entorno de pago con el responsable de cumplimiento correspondiente. 7 8

¿Qué debo probar antes de emitir claves a los residentes o al personal?

Pruebe una conexión permitida, la VLAN o el resultado de política previsto, una conexión denegada con una clave eliminada y una clave no afectada en el mismo SSID. Registre las evidencias del controlador y de RADIUS o ClearPass para cada prueba. Los despliegues de Aruba también deben tener en cuenta la caché de MPSK documentada, ya que una contraseña almacenada en caché puede alterar lo que se demuestra en un reintento inmediato. 1 2 3

Referencias