Cómo segregar de forma segura las redes WiFi de empleados y de invitados

Bienvenido al Technical Briefing de Purple. Soy su anfitrión y hoy abordaremos una pregunta que surge constantemente en nuestras conversaciones con responsables de TI y arquitectos de redes en los sectores de hostelería, retail y el sector público: ¿cómo segregar de forma segura las redes WiFi del personal y de los invitados? Este no es un ejercicio teórico. Si gestiona un hotel, un entorno de retail, un estadio o un centro de conferencias, es casi seguro que tenga tanto al personal como a los invitados en la misma infraestructura inalámbrica física. Lograr una separación correcta es la diferencia entre una red defendible y una vulnerabilidad grave. Así que, entremos en materia. [pausa breve] En primer lugar, tengamos claro a qué nos referimos con segregación. No estamos hablando de comprar dos conjuntos distintos de puntos de acceso, uno para invitados y otro para el personal. Eso sería costoso, operativamente complejo y, francamente, innecesario. Los puntos de acceso empresariales modernos de fabricantes como Cisco Meraki, HPE Aruba, Ruckus y Juniper Mist pueden transmitir múltiples SSID simultáneamente (esos son los nombres de red que ven sus dispositivos) y cada SSID se asocia a una VLAN, una red de área local virtual, independiente. La separación se realiza de forma lógica, por software, sobre el mismo hardware físico. Por lo tanto, su red de invitados (llamémosla VenueGuest) se encuentra en la VLAN 10. La red de su personal se encuentra en la VLAN 20. Sus dispositivos IoT, sistemas de gestión de edificios, CCTV, en la VLAN 30. Y si procesa pagos con tarjeta, sus terminales de punto de venta se encuentran en la VLAN 40, con los controles de acceso más estrictos de todos. [pausa breve] Ahora bien, ¿por qué es esto tan importante? La respuesta es el movimiento lateral. En una red plana y no segmentada, un dispositivo comprometido puede comunicarse directamente con cualquier otro dispositivo en el mismo dominio de difusión. El smartphone de un invitado infectado con malware puede, en teoría, sondear su sistema de gestión hotelera, los portátiles de su personal o sus terminales de pago. Eso no es una hipótesis. Es un vector de ataque documentado y es exactamente por lo que la segmentación de red es un requisito de seguridad básico, no un extra opcional. Desde el punto de vista del cumplimiento normativo, la segregación suele ser obligatoria. El estándar PCI-DSS (Payment Card Industry Data Security Standard) exige que los entornos de datos de los titulares de tarjetas estén aislados de cualquier otro tráfico de red. Una segmentación adecuada puede reducir el alcance de su auditoría PCI-DSS entre un 60 y un 80 por ciento, según las directrices del PCI Security Standards Council. Eso se traduce directamente en menores costes de cumplimiento normativo y una superficie de ataque más pequeña. El GDPR impone obligaciones de minimización de datos que son mucho más fáciles de cumplir cuando su arquitectura impone la separación por diseño. Y en entornos sanitarios, las redes de dispositivos clínicos deben estar aisladas del WiFi de uso general. [pausa breve] Permítame guiarle a través de la capa de autenticación, porque aquí es donde las dos redes difieren más significativamente. Para su red de invitados, el enfoque estándar es un SSID abierto - o WPA3-Personal - combinado con un Captive Portal. El Captive Portal es la página de autenticación basada en web que los invitados ven cuando se conectan por primera vez. Bien diseñado, es su mecanismo principal para la captura de datos de origen (first-party data). El invitado se autentica mediante correo electrónico, inicio de sesión social o verificación por SMS. Usted captura una identidad verificada, vinculada a su dispositivo, la marca de tiempo de su visita y su tiempo de permanencia. Con el tiempo, creará un conjunto de datos enriquecido, consentido y que cumple con el GDPR sobre sus visitantes reales. Aquí es donde la plataforma Guest WiFi de Purple se integra directamente con su arquitectura VLAN. Nosotros nos encargamos del Captive Portal, la gestión del consentimiento según el GDPR y el análisis de datos posterior - todo ello ejecutándose sobre su hardware existente. Hemos implementado esto en 80.000 espacios y hemos capturado 440 millones de inicios de sesión solo en 2024. La plataforma es agnóstica respecto al hardware, por lo que tanto si utiliza Cisco Meraki, HPE Aruba o Ubiquiti UniFi, se integra sin necesidad de reemplazar su infraestructura. [short pause] Para su red de personal, el estándar de oro es WPA3-Enterprise con autenticación IEEE 802.1X. 802.1X es el estándar de control de acceso a la red basado en puertos que requiere que cada dispositivo se autentique contra un servidor RADIUS antes de que se le conceda acceso a la red. El servidor RADIUS - Remote Authentication Dial-In User Service - valida las credenciales frente a su proveedor de identidad: Microsoft Entra ID, Okta o Google Workspace. Esto significa que cada miembro del personal se autentica con sus credenciales corporativas, y la red puede aplicar políticas por usuario basadas en el rol o departamento. Los dos métodos EAP - Extensible Authentication Protocol - más comunes que encontrará son EAP-TLS, que utiliza autenticación mutua basada en certificados y es la opción más segura, y PEAP, Protected EAP, que utiliza un certificado del lado del servidor con credenciales de usuario y contraseña. Se prefiere EAP-TLS para entornos de alta seguridad porque elimina por completo la contraseña como vector de ataque. PEAP es más común en la práctica porque es más fácil de implementar sin una infraestructura PKI completa. Para los dispositivos IoT - y esta es una categoría que pilla desprevenidas a muchas organizaciones -, la mayoría de los dispositivos simplemente no admiten 802.1X. Sus cámaras de CCTV, sus termostatos inteligentes, sus sistemas de control de acceso a puertas: todos se autentican con una clave precompartida. Las opciones aquí son WPA2-PSK con una contraseña segura y rotada periódicamente, o bien iPSK - Identity Pre-Shared Key -, que asigna una contraseña única por dispositivo o grupo de dispositivos. iPSK es compatible con Cisco Meraki, HPE Aruba y Ruckus, y le brinda visibilidad a nivel de dispositivo sin requerir soporte 802.1X en el endpoint. El punto crítico es que su VLAN de IoT debe tener reglas de firewall estrictas. Estos dispositivos solo deben poder acceder a los servicios internos específicos que necesitan - nada más. Una cámara de CCTV no tiene ninguna razón legítima para acceder a su sistema de gestión de propiedades. Aplique eso en sus listas de control de acceso. [short pause] Ahora permítame presentarle dos escenarios del mundo real para concretar esto. El primero es un hotel de 200 habitaciones. El establecimiento cuenta con una combinación de huéspedes, personal de recepción, equipos de administración y un restaurante con terminales de pago con tarjeta. La arquitectura correcta consta de cuatro VLANs: huéspedes en la VLAN 10, personal en la VLAN 20, IoT y sistemas del edificio en la VLAN 30, y terminales de punto de venta en la VLAN 40. El SSID de huéspedes utiliza una red abierta detrás del Captive Portal de Purple; los huéspedes se autentican a través de correo electrónico o inicio de sesión en redes sociales, aceptan las comunicaciones de marketing y obtienen acceso exclusivo a internet con el aislamiento de clientes activado. El personal se autentica mediante 802.1X contra Microsoft Entra ID. La VLAN de punto de venta no tiene ruta de acceso a las VLANs de huéspedes o del personal, lo que cumple con los requisitos de segmentación de red de PCI-DSS. El firewall deniega de forma predeterminada todo el tráfico entre VLANs, con reglas de permiso explícitas únicamente para los flujos documentados y necesarios. El segundo escenario es una cadena minorista con 50 tiendas. Cada tienda cuenta con compradores en la red WiFi de huéspedes, empleados de la tienda en la red WiFi del personal y una mezcla de dispositivos IoT: señalización digital, escáneres de inventario y CCTV. El desafío aquí es la consistencia a escala. Se necesita la misma arquitectura de VLAN, la misma política de firewall y la misma configuración de Captive Portal implementadas de manera idéntica en las 50 ubicaciones. Las plataformas inalámbricas gestionadas en la nube - Cisco Meraki, HPE Aruba Central, Juniper Mist - hacen que esto sea posible mediante plantillas de políticas centralizadas. La plataforma de Purple proporciona la capa de huéspedes con una imagen de marca, gestión de consentimiento y analíticas coherentes en todo el patrimonio, con un único panel de control para el equipo de TI. [breve pausa] Permítame abordar los fallos más comunes, ya que aquí es donde las implementaciones suelen fallar. El primero son los puertos troncales mal configurados. Si un puerto de switch que transporta múltiples VLANs se configura accidentalmente como un puerto de acceso, todo el tráfico se colapsa en una sola VLAN y su segmentación desaparece de forma silenciosa. Audite siempre las configuraciones de sus switches después de cualquier cambio y utilice su plataforma de monitorización de red para validar que el etiquetado de VLAN funciona correctamente de extremo a extremo. El segundo fallo es la proliferación de SSIDs. Cada SSID adicional que transmita consume tiempo de aire para las tramas de baliza (beacon frames), incluso cuando no hay clientes conectados. En un recinto denso con cientos de puntos de acceso, transmitir ocho SSIDs por AP puede degradar significativamente el rendimiento. La mejor práctica es no tener más de cuatro SSIDs por banda de radio: huéspedes, personal, IoT y gestión. Tres es lo ideal. El tercer fallo es olvidarse de la red cableada. La segregación de la red WiFi no sirve de nada si su infraestructura cableada no está segmentada de la misma manera. Un huésped que se conecte a un puerto Ethernet en una sala de conferencias y acceda a su red corporativa habrá eludido toda su arquitectura de seguridad inalámbrica. Cada puerto cableado en las zonas de acceso para huéspedes debe asignarse a la VLAN de huéspedes o desactivarse por completo. El cuarto modo de fallo es una política de firewall inter-VLAN débil. La arquitectura VLAN es tan fuerte como las reglas de su firewall. Aplique denegación por defecto para todo y, a continuación, permita de forma explícita solo los flujos que haya documentado y aprobado. Revise esas reglas trimestralmente. La acumulación descontrolada de reglas de firewall - donde los flujos permitidos se acumulan a lo largo del tiempo sin revisión - es una de las fuentes más comunes de acceso no intencionado a la red. [short pause] Ahora, algunas preguntas rápidas que me hacen con frecuencia. ¿Necesitamos puntos de acceso físicos independientes para invitados y personal? No. Los AP empresariales modernos gestionan múltiples SSIDs y VLANs en el mismo hardware. La separación física es innecesaria y costosa. ¿Es obligatorio WPA3 para redes de invitados? Aún no lo exige ninguna norma, pero es muy recomendable. El protocolo de autenticación simultánea de iguales (SAE) de WPA3 elimina la vulnerabilidad de ataque por diccionario presente en WPA2. Despliéguelo allí donde la combinación de sus dispositivos cliente lo admita - lo cual, en 2026, es la gran mayoría de los dispositivos. ¿Puede Purple integrarse con nuestra infraestructura inalámbrica existente? Sí. Purple se integra con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks y Fortinet mediante RADIUS estándar y etiquetado VLAN. No necesita sustituir sus puntos de acceso. ¿Cuál es la segmentación mínima viable para un recinto pequeño? Como mínimo: una VLAN de invitados, una VLAN de personal y una VLAN de IoT. Eso son tres VLANs, tres SSIDs y un firewall con reglas inter-VLAN. Esa es su línea de base. [short pause] Para terminar: segregar de forma segura las redes WiFi de su personal y de sus invitados no es un proyecto complejo, pero requiere una arquitectura disciplinada y una ejecución constante. Las tres conclusiones que debe llevarse de esta sesión. Primero: asigne cada tipo de dispositivo a una VLAN dedicada antes de diseñar nada. Dispositivos de invitados, dispositivos del personal, IoT, terminales de pago - cada uno necesita un hogar, y ese hogar necesita reglas de firewall. Segundo: su política de firewall inter-VLAN es tan importante como la propia arquitectura VLAN. Denegación por defecto, permiso explícito y revisión trimestral. Tercero: valide su segmentación con regularidad. Ejecute un escaneo desde un dispositivo de invitado y confirme que no puede acceder a las subredes internas. No asuma que funciona solo porque lo configuró una vez. Si desea añadir una capa de WiFi de invitados gestionada con captura de datos que cumpla con el GDPR, autenticación mediante Captive Portal y analítica de marketing sobre su arquitectura segmentada, la plataforma de Purple está diseñada para encajar directamente en esta arquitectura. Puede explorar nuestra plataforma de Guest WiFi y WiFi Analytics en purple dot ai. Gracias por escuchar. Hasta la próxima.