Configuración de la redirección del Captive Portal en controladores de red empresariales

Bienvenido a la sesión informativa técnica de Purple. Soy su anfitrión y, en los próximos diez minutos, entraremos de lleno en uno de los temas más buscados y menos documentados de la WiFi empresarial: la configuración de la redirección de Captive Portal en controladores de red. Si alguna vez ha buscado "configurar controlador portal cautivo" y no ha encontrado nada, esta es la sesión informativa que necesitaba. Cubriremos todo el panorama: la arquitectura técnica, los pasos de configuración controlador por controlador, los requisitos de cumplimiento y los errores del mundo real que dificultan el trabajo incluso a los equipos de red experimentados. Comencemos. Un Captive Portal es el mecanismo que intercepta la primera solicitud HTTP o HTTPS de un dispositivo invitado tras conectarse a su red WiFi, y la redirecciona a una página de inicio de sesión personalizada antes de permitir el acceso a internet. Esa página de inicio de sesión puede solicitar un inicio de sesión social, el envío de un formulario, una simple aceptación de términos mediante un clic o una verificación de credenciales basada en RADIUS. La redirección en sí se gestiona a nivel de controlador, no en el punto de acceso ni en el cortafuegos. El controlador intercepta el tráfico del cliente no autenticado, aplica una lista de control de acceso de preautenticación (lo que llamamos un "walled garden") y dirige el navegador del cliente a la URL de su portal. ¿Por qué es esto importante a nivel comercial? Por tres razones. Primero, por cumplimiento normativo. Bajo el GDPR, está obligado a obtener un consentimiento explícito e informado antes de recopilar datos personales de los visitantes. Un Captive Portal correctamente configurado es su mecanismo de consentimiento. Sin él, estará recopilando datos sin una base legal, lo que representa un riesgo regulatorio. Segundo, por seguridad. Un SSID abierto sin autenticación es un riesgo de seguridad. La redirección de Captive Portal, combinada con la segmentación de VLAN y un servidor RADIUS, le ofrece trazabilidad por sesión. Sabrá quién se ha conectado, cuándo y desde qué dispositivo. Tercero, por inteligencia de negocio. Cada sesión autenticada es un punto de datos de origen (first-party data). Purple procesa 440 millones de inicios de sesión al año en 80 000 establecimientos. Esos datos (tiempo de permanencia, frecuencia de visitas, señales demográficas) solo están disponibles si su Captive Portal está correctamente configurado para capturarlos y transmitirlos. Ahora, permítame guiarle a través del flujo de redirección, paso a paso. Paso uno: un dispositivo invitado se asocia con su SSID de invitados. El controlador le asigna una dirección IP a través de DHCP, pero lo coloca en un estado restringido de preautenticación. Se bloquea todo el tráfico, excepto el DNS y los dominios del "walled garden" que haya permitido explícitamente. Paso dos: el invitado abre un navegador. Su solicitud HTTP llega al controlador. El controlador la intercepta y emite una redirección 302 a la URL de su portal. Este es el mecanismo de redirección principal. Paso tres: el navegador del invitado carga su página de inicio de sesión, alojada en el propio controlador o, lo que es más habitual en implementaciones empresariales, en una plataforma en la nube externa como Purple. Paso cuatro: el invitado se autentica, ya sea mediante inicio de sesión social, un formulario o credenciales. El portal envía una señal de autorización de vuelta al controlador, normalmente a través de un mensaje RADIUS Access-Accept o una omisión de autorización por MAC. Paso cinco: el controlador pasa al cliente de la VLAN de preautenticación a la VLAN de postautenticación, elimina la regla de redirección y concede acceso a internet. Este flujo de cinco pasos es consistente en todas las principales plataformas de controladores. Lo que varía es cómo se configura cada paso en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi y los demás. Repasemos las principales plataformas. Cisco Meraki. Meraki utiliza una página de inicio (splash page) personalizada que se configura por completo a través del panel de control (Dashboard) de Meraki; no hay CLI. Dirígete a Wireless, luego a Access Control, selecciona tu SSID de invitados, establece la splash page en "Sign-on with my RADIUS server" o "Click-through" y, a continuación, introduce la URL de tu portal externo en el campo Custom Splash URL. El walled garden se configura en la sección Advanced Splash Settings: aquí debes añadir las direcciones IP de tu servidor del portal para que el invitado pueda acceder a la splash page antes de autenticarse. Los detalles del servidor RADIUS se introducen en la sección RADIUS: autenticación en el puerto 1812, contabilidad (accounting) en el puerto 1813. HPE Aruba. En ArubaOS, se configura un perfil de Captive Portal en la sección AAA, especificando la URL de inicio de sesión, el grupo de servidores que apunta a tu servidor RADIUS y la URL de redirección. Luego, aplicas ese perfil a tu SSID a través del perfil de AP virtual. El rol de preautenticación (lo que Aruba denomina el rol "logon") contiene la ACL que permite DNS, DHCP y el acceso al rango de IP del servidor de tu portal. Tras la autenticación, el controlador asigna el rol "authenticated", que permite un acceso total a internet. Ruckus SmartZone utiliza un tipo de WLAN Hotspot para los despliegues de Captive Portal. En la configuración de WLAN, establece el tipo de WLAN en Hotspot y, a continuación, configura la URL del portal, el servidor RADIUS para la autenticación y la contabilidad (accounting), y las entradas del walled garden. La interfaz Northbound Portal Interface gestiona el flujo de autorización MAC entre el portal y el controlador. Juniper Mist utiliza un enfoque nativo de la nube. En Network, luego en WLANs, crea una WLAN de invitados y establece el tipo de portal en "External Captive Portal". Introduce la URL de tu portal y configura los detalles del servidor RADIUS. Mist pasa la MAC del cliente, la MAC del AP y el nombre del SSID como parámetros de URL al portal. Ubiquiti UniFi. En el UniFi Network Controller, dirígete a Settings, luego a WiFi, selecciona tu red de invitados y, en Advanced Options, establece la Guest Policy para habilitar el portal hotspot. Establece el tipo de portal en "External" e introduce la URL de tu portal. Configura el servidor RADIUS en Profiles, luego en RADIUS. El walled garden es el elemento que se configura de forma incorrecta con más frecuencia en los despliegues de Captive Portal. Si esto falla, tus invitados verán un error de navegador en lugar de tu splash page. El walled garden debe permitir, como mínimo: las direcciones IP o el dominio del servidor de su portal, las direcciones IP de su servidor RADIUS, la resolución DNS en el puerto 53 y DHCP en los puertos 67 y 68. Si su portal carga recursos desde una CDN (fuentes, imágenes, JavaScript), esos dominios de CDN también deben estar en el walled garden. Para implementaciones de Purple, proporcionamos los rangos de IP y dominios específicos que se deben incluir en la lista de permitidos durante la incorporación. El modo de fallo más común es un portal que carga el marco HTML pero no puede renderizar imágenes ni ejecutar JavaScript porque faltan los dominios de la CDN en el walled garden. Aquí dominan dos normas de cumplimiento: GDPR y PCI DSS. Bajo GDPR, su Captive Portal debe presentar un mecanismo de consentimiento claro y específico antes de recopilar datos personales. Esto significa casillas de verificación independientes y sin marcar para el acceso a WiFi y el consentimiento de marketing. No puede agruparlos. El registro de consentimiento debe almacenarse y poder recuperarse para fines de auditoría. La plataforma de Purple gestiona esto automáticamente, almacenando los registros de consentimiento para cada sesión autenticada. Bajo PCI DSS, si su establecimiento procesa pagos con tarjeta, su red WiFi para invitados debe estar aislada de su entorno de tarjetas de pago. Esto significa una VLAN de invitados dedicada con reglas de firewall que impidan cualquier enrutamiento entre el segmento de invitados y su red de TPV. La versión 4.0 de PCI DSS, que pasó a ser obligatoria en marzo de 2024, requiere pruebas de segmentación de red al menos cada seis meses. Permítame presentarle dos escenarios concretos. Escenario uno: un hotel de 350 habitaciones que utiliza Cisco Meraki. El hotel desea sustituir un portal básico de un solo clic por una experiencia de invitado personalizada que recopile direcciones de correo electrónico para su programa de fidelización. La configuración: cree un SSID de invitados dedicado en una VLAN independiente solo con acceso a internet. Configure la página de bienvenida (splash page) de Meraki para que apunte a la URL del portal de Purple. Configure la autenticación RADIUS utilizando los detalles del servidor RADIUS de Purple. Configure el walled garden con los rangos de IP de Purple. En el panel de control de Purple, cree una página de bienvenida personalizada con un formulario que recopile nombre, correo electrónico y número de habitación, con casillas de verificación explícitas de consentimiento de GDPR. Conecte el conector CRM de Purple con la plataforma de marketing del hotel. Premier Inn implementó este modelo en todas sus instalaciones y observó un aumento medible en las tasas de reserva directa de los huéspedes captados a través de WiFi. Segundo escenario: una cadena de retail regional con 40 tiendas que utilizan HPE Aruba. El minorista necesita una experiencia de WiFi para invitados consistente en todos los centros, con analítica de afluencia para comparar el rendimiento de las tiendas. Implemente Aruba Central para gestionar los 40 centros desde un único panel. Configure una plantilla WLAN para invitados con un Captive Portal externo que apunte a Purple. Aplique la plantilla en todos los centros utilizando la función de políticas de grupo de Aruba Central. En Purple, configure una única plantilla de portal que se aplique a todos los establecimientos, con paneles de analítica individuales para cada uno. El walled garden y la configuración de RADIUS se definen una vez en la plantilla y se propagan automáticamente. Resultado: el equipo de TI gestiona 40 centros desde una sola consola. El equipo de marketing obtiene datos de afluencia por tienda, análisis del tiempo de permanencia y tasas de visitas recurrentes, todo desde un único panel de Purple. Cuatro errores comunes que veo con frecuencia. Primero: fallos de interceptación HTTPS. Los navegadores y sistemas operativos móviles modernos utilizan sondas HTTPS para detectar captive portals. Si su controlador no puede interceptar el tráfico HTTPS (lo que requiere un certificado válido para el dominio de redirección), la sonda falla de forma silenciosa y el invitado no ve ninguna redirección. La solución: configure la interfaz virtual de su controlador con un certificado de confianza o utilice sondas solo HTTP en su SSID de invitados. Segundo: fugas de DNS. Si su ACL de preautenticación permite un DNS sin restricciones, los invitados pueden utilizar túneles DNS para eludir el Captive Portal por completo. Restrinja el DNS únicamente a su resolutor designado. Tercero: desajustes en el tiempo de espera de la sesión. Si el tiempo de espera de la sesión de su controlador es más corto que la validez del token de sesión de su portal, los invitados serán redireccionados de vuelta al portal a mitad de la sesión. Alinee estos valores: normalmente 24 horas para hostelería y ocho horas para retail. Cuarto: falta de registro de actividad. El registro de actividad de RADIUS (los mensajes Accounting-Start y Accounting-Stop) es la forma en que su portal sabe que una sesión ha finalizado. Sin la contabilidad configurada, los registros de sesión de su portal serán inexactos y su analítica no será fiable. Preguntas rápidas, respuestas rápidas. ¿Puedo utilizar un portal externo con cualquier controlador? Sí, siempre que el controlador admita la redirección a un Captive Portal externo, algo que hacen todas las plataformas que hemos analizado. ¿Necesito un servidor RADIUS para ejecutar un Captive Portal? No siempre. Los portales sencillos de un solo clic pueden utilizar la omisión de autorización por MAC sin necesidad de un servidor RADIUS completo. Sin embargo, para portales basados en credenciales o inicio de sesión con redes sociales, RADIUS es el mecanismo estándar. ¿Funciona el Captive Portal con WPA3? Sí. WPA3 se encarga de la capa de cifrado inalámbrico. El Captive Portal se encarga de la capa de autenticación. Funcionan de forma independiente y son totalmente compatibles. ¿Cómo se integra Purple con mi controlador existente? Purple actúa como el servidor del portal externo. Debe apuntar la URL de splash de su controlador al endpoint del portal de Purple, configurar el walled garden con los rangos de IP de Purple y configurar RADIUS utilizando los detalles del servidor de Purple. El proceso de integración es el mismo independientemente de si utiliza Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi. En resumen. La redirección del Captive Portal se configura a nivel de controlador, no en el punto de acceso. Los componentes principales son: la URL de splash que apunta a su portal, el walled garden que permite el acceso al servidor de su portal, RADIUS para autenticación y registro (accounting), y la segmentación de VLAN para el aislamiento de la red. Los pasos de configuración varían según el proveedor, pero la arquitectura es consistente. Para cumplir con las normativas, su portal debe implementar la captura de consentimiento conforme a GDPR y la segmentación de red conforme a PCI DSS. WPA3 es el estándar actual para el cifrado inalámbrico y debería ser su especificación de referencia en cualquier nueva implementación. Purple se integra de forma nativa con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Con presencia en 80 000 establecimientos y 440 millones de inicios de sesión en 2024, la plataforma es agnóstica respecto al hardware por diseño: su elección de controlador no limita su capacidad para capturar datos de invitados de primera mano o realizar analíticas. Su siguiente paso: revise la configuración actual de su controlador comparándola con la lista de verificación del walled garden y de registro RADIUS de esta guía. Si va a implementar una nueva red WiFi para invitados, comience con los pasos de configuración específicos del proveedor para su plataforma de controlador y conecte Purple como su portal externo. Gracias por su atención. Esta ha sido la sesión informativa técnica de Purple.