Cómo segmentar de forma segura las redes WiFi de empleados y de invitados: mejores prácticas para LAN empresariales

Hable en un tono de inglés británico seguro y conversacional, como un consultor sénior informando a un cliente. Ritmo pausado, autoritario pero accesible. Sin palabras de relleno. --- INTRODUCCIÓN Y CONTEXTO (aproximadamente 1 minuto) --- Bien, entremos en materia. Si usted es el responsable de la red de un recinto, ya sea un hotel, una cadena de tiendas, un estadio o un edificio de la administración pública local, hay una pregunta que surge casi más que cualquier otra: ¿cómo ofrecer a los invitados un WiFi decente sin poner en riesgo la red corporativa? La respuesta corta es la segmentación. Pero la respuesta larga - la que realmente le lleva a una red segura, conforme a las normas y fácil de gestionar - implica autenticación 802.1X, aislamiento de VLAN, RADIUS en la nube y un ciclo de vida de credenciales que no dependa de que alguien se acuerde de cambiar una contraseña compartida cuando un miembro del personal deja la empresa. En los próximos diez minutos, le guiaré exactamente sobre cómo diseñar y desplegar una red segmentada de forma adecuada. Cubriremos los fundamentos técnicos, los pasos de configuración específicos del fabricante para Cisco Meraki y Juniper Mist, dos escenarios de implementación del mundo real y los errores más comunes en los que caen la mayoría de los equipos. Vamos a ello. --- ANÁLISIS TÉCNICO DETALLADO (aproximadamente 5 minutos) --- Empecemos con lo fundamental. La segmentación de red significa mantener el tráfico del personal y el tráfico de los invitados en redes física o lógicamente separadas, de modo que un dispositivo de invitado - o un dispositivo de invitado comprometido - no pueda alcanzar sus sistemas de punto de venta, su ERP, su infraestructura de CCTV o cualquier otra cosa en su LAN corporativa. La forma estándar de hacerlo en la Capa 2 es con VLAN - Redes de Área Local Virtuales. Asigna el SSID del personal a una VLAN, por ejemplo la VLAN 10, y el SSID de invitados a otra, por ejemplo la VLAN 20. Sus switches gestionados y puntos de acceso aplican esa separación a nivel de hardware. Un invitado en la VLAN 20 es enrutado a internet y a nada más. Un miembro del personal en la VLAN 10 es enrutado a la LAN corporativa y a internet, basándose en las reglas de firewall que haya definido. Ese es el modelo básico. Pero aquí es donde la mayoría de los recintos fallan: utilizan una contraseña compartida - una PSK - para la red del personal. Todo el mundo la conoce. Se escribe en un Post-it. Nunca cambia. Cuando alguien se va, la credencial sigue activa. Eso no es segmentación. Eso es una falsa sensación de seguridad. El enfoque correcto para el personal es 802.1X - el estándar IEEE para el control de acceso a la red basado en puertos. En lugar de una contraseña compartida, cada miembro del personal se autentica con su propia credencial de identidad - normalmente su cuenta de directorio corporativo de Microsoft Entra ID, Okta o Google Workspace. El punto de acceso envía esa solicitud de autenticación a un servidor RADIUS, que la valida contra su proveedor de identidad y concede o deniega el acceso. Sin secretos compartidos. Sin credenciales que sobrevivan a una baja de personal. El método de autenticación que mejor funciona en la mayoría de las implementaciones empresariales es EAP-TTLS - Extensible Authentication Protocol Tunnelled Transport Layer Security. Crea un túnel cifrado entre el dispositivo y el servidor RADIUS, y luego realiza la autenticación dentro de ese túnel mediante PAP. Esto significa que las credenciales nunca quedan expuestas en el aire. Ahora bien, el propio servidor RADIUS es un componente crítico. Tradicionalmente, usted gestionaría su propio servidor RADIUS local, como un Cisco ISE, un FreeRADIUS o algo similar. Sin embargo, cada vez más organizaciones se están pasando a un RADIUS nativo en la nube, lo que elimina la dependencia de la infraestructura local, mejora la resiliencia y simplifica la gestión. El producto SecurePass de Purple hace exactamente esto: proporciona un servicio RADIUS en la nube contra el cual se autentican sus puntos de acceso a través de RadSec, que es RADIUS sobre TLS en el puerto 2083. Esto le proporciona un tráfico RADIUS cifrado, a diferencia del RADIUS tradicional basado en UDP que envía los atributos en texto claro. Para la parte de invitados, el modelo es diferente. Los invitados no tienen cuentas en el directorio corporativo. Se conectan a un SSID independiente, normalmente protegido con un Captive Portal que recopila un inicio de sesión basado en el consentimiento, o mediante Passpoint, que es el estándar Hotspot 2.0 de la Wi-Fi Alliance que permite una autenticación automática y fluida sin necesidad de una página de bienvenida. La plataforma de Purple es compatible con ambos. El SSID de invitados se ubica en su propia VLAN, se enruta únicamente a Internet y está completamente aislado de la red de empleados y de la LAN corporativa. Permítame hablar de Passpoint por un momento, porque es cada vez más importante. Passpoint - también conocido como Hotspot 2.0 u OpenRoaming - permite que un dispositivo se conecte automáticamente a una red de confianza utilizando una credencial que ya posee, como la de un operador móvil o una identidad de la aplicación Purple. El dispositivo y la red negocian la autenticación mediante EAP-TTLS o EAP-TLS sin que el usuario tenga que interactuar con una página de bienvenida. Para recintos con una gran afluencia de público - como aeropuertos, estadios o centros comerciales - esto mejora drásticamente la experiencia de conexión al tiempo que mantiene la seguridad. Hablemos ahora de dos plataformas de hardware específicas: Cisco Meraki y Juniper Mist, ya que son las dos plataformas empresariales más comunes que vemos en los recintos. En Cisco Meraki, se configura el SSID de empleados en la sección Wireless, Access Control. Se establece la seguridad en Enterprise con mi servidor RADIUS, WPA2 únicamente, sin página de bienvenida. A continuación, se añaden los servidores RADIUS; en el caso de Purple, rad1-secure.purple.ai y rad2-secure.purple.ai, ambos en el puerto 2083, con RadSec habilitado. También se configura Hotspot 2.0 en Wireless, Hotspot 2.0, habilitándolo, definiendo el nombre del operador, la lista de dominios y el reino NAI con EAP-TTLS como método. Encontrará todos los detalles paso a paso en la documentación de soporte de Purple, que mencionaré al final. En Juniper Mist, vaya a Red, WLAN, añada una nueva WLAN, establezca el tipo de seguridad en WPA2 Enterprise 802.1X, active Passpoint y configure sus servidores de autenticación como RadSec apuntando a la infraestructura de Purple. También debe instalar el certificado RadSec en la configuración de la organización. Una vez más, los valores y pasos de configuración exactos se encuentran en el artículo de soporte de Purple - siempre recomiendo seguir la documentación en vivo en lugar de codificar de forma fija los valores de un podcast. La gestión del ciclo de vida de las credenciales es donde las redes basadas en la identidad demuestran su verdadero valor. Cuando un miembro del personal se incorpora, se aprovisiona su cuenta en Microsoft Entra ID o en Okta, y obtiene acceso a la WiFi de forma automática. Cuando cambia de puesto, su perfil de acceso se actualiza. Cuando se marcha - y esto es lo más crítico - su cuenta se desaprovisiona y Purple revoca su acceso a la WiFi en tiempo real. No hay contraseñas compartidas que cambiar. No hay procesos manuales. No hay periodos de vulnerabilidad. Eso es lo que Purple denomina el flujo de trabajo de incorporaciones, cambios y bajas (JML), y marca la diferencia entre una red que es realmente segura y una que solo lo parece. --- RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES (aproximadamente 2 minutos) --- Bien, hablemos de lo que suele fallar en la práctica, porque hay algunos patrones de error que veo repetidamente. El primero es la configuración incorrecta de la VLAN. Configura los SSID correctamente, pero los puertos troncales de sus switches no transportan ambas VLAN, o sus reglas de enrutamiento inter-VLAN son demasiado permisivas. Un invitado en la VLAN 20 termina pudiendo hacer ping a dispositivos en la VLAN 10. Pruebe siempre con un dispositivo de invitado tras el despliegue - intente acceder a una dirección IP interna. Si puede, debe ajustar sus reglas de firewall. El segundo es la conmutación por error de RADIUS. Si solo configura un servidor RADIUS y este deja de estar accesible, el personal no podrá autenticarse. Configure siempre tanto rad1-secure como rad2-secure como principal y secundario. La infraestructura RADIUS-as-a-Service en la nube de Purple está diseñada para ofrecer alta disponibilidad, pero su punto de acceso necesita conocer ambos endpoints. El tercero - y este es el que causa más problemas operativos - es no integrarse con su proveedor de identidad desde el primer día. Los equipos suelen empezar con cuentas RADIUS locales, con la intención de migrar a Entra ID o a Okta más adelante. Esa migración es compleja. Hágalo bien desde el principio. La automatización del proceso JML justifica por sí sola el esfuerzo. El cuarto error común es tratar la red de invitados como algo secundario. Su SSID de invitados necesita una recogida de consentimiento que cumpla con el GDPR, gestión del ancho de banda para evitar que un solo invitado sature la línea, y aislamiento de clientes para que los invitados no puedan ver los dispositivos de los demás. La plataforma de Purple gestiona la parte del consentimiento y la analítica. Su punto de acceso gestiona el aislamiento de clientes - asegúrese de tenerlo activado. En cuanto al cumplimiento normativo: si procesa pagos con tarjeta en cualquier punto de la misma infraestructura de red física, el alcance de PCI-DSS es una preocupación real. Una segmentación adecuada de VLAN, combinada con un cortafuegos que impida el tráfico entre las VLAN de invitados y de pago, es el punto de partida básico. Su QSA querrá ver pruebas de esa segmentación. Documente sus asignaciones de VLAN, sus reglas de cortafuegos y la configuración de sus puntos de acceso. --- PREGUNTAS Y RESPUESTAS RÁPIDAS (aproximadamente 1 minuto) --- Algunas preguntas que me hacen con frecuencia. ¿Puedo tener al personal y a los invitados en el mismo punto de acceso? Sí - los puntos de acceso empresariales modernos de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y otros admiten múltiples SSIDs con etiquetado VLAN en una sola radio. No necesita hardware independiente. ¿Necesito WPA3? WPA3 es preferible para nuevos despliegues, sobre todo para la red de invitados, porque proporciona confidencialidad directa hacia adelante y protege contra ataques de diccionario fuera de línea. Pero WPA2 Enterprise con 802.1X sigue siendo robusto para el personal, y la mayoría del hardware empresarial lo admite. Si su hardware es compatible con WPA3, actívelo. ¿Qué pasa con el BYOD (el personal que usa dispositivos personales)? Aquí es donde la autenticación basada en certificados, o EAP-TLS, resulta muy útil. Puede emitir certificados de dispositivo a través de su MDM para dispositivos gestionados, y restringir la WiFi del personal únicamente a dispositivos autenticados por certificado. Los dispositivos personales no gestionados se redirigen a un SSID BYOD independiente con acceso más restringido. ¿Cómo funciona la plataforma de analítica de Purple junto con la segmentación? Purple recopila datos de origen de los inicios de sesión de la WiFi de invitados - con su consentimiento - y los muestra a través de la plataforma de analítica de WiFi. El tráfico del personal es independiente y no está sujeto a la misma recopilación de analíticas. Ambas redes son arquitectónicamente distintas, que es exactamente como debe ser. --- RESUMEN Y PRÓXIMOS PASOS (aproximadamente 1 minuto) --- En resumen. La segmentación segura de la WiFi del personal y de invitados se reduce a cinco puntos. Primero: VLANs independientes para el tráfico del personal y de los invitados, aplicadas a nivel de conmutador y de punto de acceso. Segundo: 802.1X con EAP-TTLS para la autenticación del personal, sin contraseñas compartidas. Tercero: RADIUS en la nube con RadSec para una infraestructura de autenticación cifrada y resiliente. Cuarto: Passpoint o Captive Portal para invitados, con recopilación de consentimiento que cumpla con el GDPR. Quinto: integración con el proveedor de identidad para la automatización de altas, traslados y bajas (JML), de modo que los empleados que se marchen pierdan el acceso en el mismo momento en que se desactive su cuenta. Si realiza el despliegue en Cisco Meraki o Juniper Mist, la documentación de soporte de Purple contiene los pasos exactos de configuración. Si está evaluando la plataforma de manera más amplia - incluyendo SecurePass para la identidad del personal, analítica de WiFi para conocer mejor a los invitados y la aplicación Purple para una conectividad Passpoint fluida - el punto de partida es purple.ai. Eso es todo por hoy. Si le ha parecido útil, compártalo con su arquitecto de red o con su director de operaciones del establecimiento. Y si tiene un escenario de despliegue específico que le gustaría que tratásemos, póngase en contacto con nosotros.