Diseño de una arquitectura WiFi multi-inquilino para MDU

Diseño de una arquitectura WiFi multi-inquilino para MDU: un informe técnico de Purple. Bienvenido a la serie de informes técnicos de Purple. Hoy nos adentramos en la arquitectura que sustenta algunas de las implementaciones de WiFi más complejas que encontrará en entornos empresariales: el WiFi multi-inquilino para edificios de viviendas múltiples (MDU) y de uso mixto. Tanto si es responsable de un hotel de 300 habitaciones donde los huéspedes, el personal y los sistemas de gestión del edificio comparten la misma infraestructura física, como de un complejo mixto de oficinas y locales comerciales, o de una residencia de estudiantes con cientos de inquilinos independientes, el reto es fundamentalmente el mismo: ¿cómo ofrecer una conectividad fiable, segura y aislada a múltiples partes independientes a través de una única red física compartida? Esto no es un ejercicio teórico. Las decisiones que tome en la fase de arquitectura determinarán directamente su postura de seguridad, su exposición al cumplimiento de normativas como GDPR y PCI DSS y, francamente, si su servicio de soporte se verá inundado de quejas seis meses después de la puesta en marcha. Así que entremos en materia. La base de cualquier arquitectura WiFi multi-inquilino es la segmentación de la red, y el mecanismo principal para lograr esa segmentación es el etiquetado VLAN, definido bajo la norma IEEE 802.1Q. El concepto es sencillo: se asigna cada inquilino, o cada clase de tráfico, a una LAN virtual distinta. El tráfico de la VLAN 10 no puede llegar al tráfico de la VLAN 20 a menos que lo permita explícitamente mediante una política de enrutamiento o de firewall. Ese aislamiento lógico es su primera línea de defensa. Pero aquí es donde los arquitectos suelen cometer su primer error: confundir la segmentación por VLAN con la seguridad. Las VLAN proporcionan aislamiento, no seguridad. Sigue necesitando políticas de firewall entre las VLAN, sigue necesitando listas de control de acceso y sigue teniendo que pensar detenidamente qué enrutamiento inter-VLAN permite. Un puerto troncal mal configurado puede desmoronar todo su modelo de segmentación en cuestión de segundos. Ahora, hablemos de la capa física. En un entorno MDU, normalmente se dispone de una infraestructura física compartida (cableado, electrónica de red y puntos de acceso) que da servicio a múltiples inquilinos. Los propios puntos de acceso emiten múltiples SSID, cada uno de ellos mapeado a una VLAN diferente. Así, el inquilino A se conecta a su SSID, su tráfico se etiqueta con la VLAN 10 en el AP, atraviesa la red de conmutación compartida en un puerto troncal y llega a la capa de distribución, donde se enruta hacia la subred aislada del inquilino A. El tráfico del inquilino B sigue la misma ruta física pero está completamente aislado en la capa 2. Aquí es donde la elección de la plataforma de puntos de acceso resulta de enorme importancia. Necesita AP que admitan múltiples mapeos de SSID a VLAN, que puedan gestionar la radiofrecuencia en potencialmente docenas de unidades muy próximas entre sí y que se integren con un controlador centralizado o una plataforma de gestión en la nube. El controlador es fundamental: es lo que le permite aplicar cambios de políticas, supervisar el rendimiento por inquilino y responder a incidencias sin tener que intervenir en cada AP de forma individual. En lo que respecta a la autenticación, el estándar actual para despliegues multi-tenant de nivel empresarial es IEEE 802.1X con autenticación RADIUS. Cada tenant se autentica contra su propio servidor RADIUS, o contra una infraestructura RADIUS compartida con aplicación de políticas por tenant. WPA3-Enterprise es ahora el estándar de cifrado recomendado: proporciona un modo de seguridad de 192 bits para entornos de alta sensibilidad y elimina las vulnerabilidades asociadas con el saludo de cuatro vías (four-way handshake) de WPA2. Para los segmentos de WiFi de invitados (y en el contexto de un MDU, casi siempre tendrá al menos uno), lo habitual es optar por un modelo de Captive Portal. El invitado se conecta a un SSID abierto o WPA2-Personal, es redirigido a una página de bienvenida para autenticarse o aceptar los términos, y luego se le concede acceso exclusivo a Internet en una VLAN aislada. Es fundamental que esa VLAN de invitados no tenga ruta hacia ninguna VLAN de tenant. Ninguna. Esto no es negociable, tanto desde el punto de vista de la seguridad como de la GDPR. Hablemos por un momento del entorno de radiofrecuencia, porque aquí es donde los despliegues de MDU se vuelven realmente complejos. Cuando se tienen múltiples tenants en unidades adyacentes (piense en el pasillo de un hotel con habitaciones a ambos lados, o en un centro comercial con tiendas que comparten paredes), se genera un entorno de RF de alta densidad. La interferencia de canal adyacente es su enemigo. Necesita un ejercicio de planificación de RF adecuado antes del despliegue: un estudio de cobertura (site survey) que mapee la propagación de la señal, identifique las fuentes de interferencia y guíe su estrategia de asignación de canales. La banda de 2.4 GHz ofrece tres canales que no se superponen en la mayoría de los dominios reguladores: los canales 1, 6 y 11. La banda de 5 GHz ofrece significativamente más, razón por la cual los despliegues modernos empujan a los clientes a los 5 GHz siempre que es posible. Wi-Fi 6 y Wi-Fi 6E extienden esto aún más en la banda de 6 GHz, ofreciendo un espectro limpio y prácticamente libre de interferencias de dispositivos heredados. Para nuevos despliegues de MDU en 2025 y más allá, especificar AP compatibles con Wi-Fi 6E es la decisión correcta: el margen de espectro adicional ofrece grandes ventajas en entornos densos. Un patrón de arquitectura que está ganando una tracción significativa en grandes despliegues de MDU es el uso de una red superpuesta definida por software (Software-Defined Networking overlay), específicamente enfoques SD-WAN o SD-LAN donde las políticas de los tenants se definen de forma centralizada y se envían al extremo (edge). Esto desacopla la capa de políticas de la infraestructura física, lo que significa que puede incorporar a un nuevo tenant, modificar su asignación de ancho de banda o revocar su acceso sin tocar una sola línea de comandos del switch. Para los operadores de recintos que gestionan decenas o cientos de tenants, esa eficiencia operativa es transformadora. El IoT es la otra dimensión que no se puede ignorar. En un MDU moderno —ya sea un hotel, un complejo comercial o un bloque residencial— se dispone de sistemas de gestión de edificios, controladores de climatización (HVAC), iluminación inteligente, control de accesos, CCTV y una gama cada vez mayor de otros dispositivos conectados. Estos deben estar en su propia VLAN aislada, completamente separados tanto del tráfico de los inquilinos como del tráfico de invitados. Los dispositivos IoT son notoriamente difíciles de parchear y representan una superficie de ataque significativa. Segméntelos, monitorícelos y aplique un filtrado de salida estricto para que solo puedan comunicarse con sus plataformas de gestión designadas. Bien, pasemos a la práctica. Así es como abordaría yo un despliegue de MDU desde cero. Comience con su diseño lógico antes de tocar un solo componente de hardware. Planifique el número de inquilinos, sus clases de tráfico —gestión, corporativo, invitado, IoT, pagos— y asigne las VLAN en consecuencia. Documente su esquema de direccionamiento IP. Defina su política de enrutamiento inter-VLAN: qué puede comunicarse con qué y qué está absolutamente prohibido. A continuación, realice su planificación de RF. Encargue un estudio de cobertura real del sitio. No confíe en los mapas de cobertura de los proveedores, ya que en el mejor de los casos son optimistas. Necesita mediciones de señal reales en el espacio físico, teniendo en cuenta los materiales de las paredes, la construcción de los suelos y el entorno de RF de los edificios colindantes. Al especificar el hardware, priorice las plataformas que admitan la gestión centralizada en la nube. Los costes operativos de gestionar un parque de AP distribuidos sin un controlador son insostenibles a gran escala. Busque plataformas que le ofrezcan políticas de ancho de banda por SSID, informes por inquilino e integración con su infraestructura RADIUS. En cuanto a los errores comunes: el fallo más habitual que veo es una configuración insuficiente de los puertos troncales. Los arquitectos diseñan un esquema de VLAN magnífico y luego se olvidan de permitir explícitamente las VLAN correspondientes en cada enlace troncal de la ruta. El tráfico se pierde silenciosamente, los inquilinos se quejan y el equipo de soporte pasa días localizando el problema. Documente meticulosamente sus configuraciones de enlaces troncales y valídelas durante la puesta en marcha. El segundo error común es la proliferación de SSID. Cada SSID que se transmite consume tiempo de transmisión para las tramas de baliza (beacons). En un entorno denso, transmitir ocho o diez SSID por AP degrada el rendimiento para todos. Mantenga el número de SSID al mínimo necesario, normalmente no más de cuatro por radio. Utilice la asignación dinámica de VLAN mediante atributos RADIUS en lugar de SSID independientes para dar servicio a varios inquilinos desde un único SSID. El tercer error común es descuidar el plano de gestión. Su VLAN de gestión —aquella en la que se comunican sus AP, switches y controladores— debe estar completamente aislada de todas las VLAN de inquilinos e invitados. Si un inquilino puede acceder a su plano de gestión, tiene una vulnerabilidad de seguridad crítica. Utilice la gestión fuera de banda (out-of-band) siempre que sea posible y aplique ACL estrictas al tráfico de gestión. Ahora permítame repasar algunas preguntas que surgen constantemente en estos despliegues. ¿Cuántos inquilinos puede soportar un único AP? En la práctica, la mayoría de los AP empresariales pueden gestionar de 20 a 30 clientes activos simultáneos por radio antes de que el rendimiento disminuya. En una MDU densa, planifique un AP por cada 15 a 20 dispositivos activos, no por unidad física. ¿Necesito un AP independiente por inquilino? No, ese es precisamente el objetivo de la multi-tenancy basada en VLAN. Varios inquilinos comparten el mismo AP, y el aislamiento del tráfico se aplica en la capa de red. ¿Cuál es la asignación de ancho de banda adecuada por inquilino? No existe una respuesta universal, pero un punto de partida habitual es garantizar de 10 a 25 megabits por segundo con capacidad de ráfaga hasta la capacidad de enlace ascendente disponible. Utilice políticas de QoS para aplicar esto y evitar que un solo inquilino sature el enlace ascendente compartido. ¿Cómo gestiono a un inquilino que necesita su propio firewall? Proporcióneles una VLAN dedicada y un punto de entrega enrutado. Conectan su propio CPE o firewall a ese punto de entrega, y todo lo que haya detrás es su responsabilidad. En resumen: una arquitectura de WiFi multi-inquilino bien diseñada para una MDU se basa en cuatro pilares. Primero, una segmentación rigurosa de VLAN con políticas de firewall aplicadas entre segmentos. Segundo, una gestión centralizada basada en controlador que le ofrece visibilidad operativa y control de políticas a escala. Tercero, un ejercicio adecuado de planificación de RF que tenga en cuenta el entorno físico y la densidad del despliegue. Y cuarto, un modelo de seguridad que aborde la autenticación, el cifrado, el aislamiento de IoT y los requisitos de cumplimiento normativo desde el primer día. Las organizaciones que lo hacen bien obtienen resultados medibles: reducción de los costes de soporte, incorporación de inquilinos más rápida, una postura de cumplimiento demostrable para las auditorías y la capacidad de monetizar la conectividad como un servicio en lugar de tratarla como un centro de costes. Si está planificando un despliegue en una MDU y desea explorar cómo la plataforma de Purple puede proporcionar la capa de analítica, gestión de WiFi de invitados e informes a nivel de inquilino sobre su infraestructura de red, los recursos enlazados en la guía son un buen punto de partida. Gracias por escucharnos. Hasta la próxima.