EnGenius Cloud Access Points Integration with Purple WiFi

Esta referencia técnica detalla paso a paso la integración de los puntos de acceso EnGenius Cloud y switches ECS con la plataforma de WiFi para invitados de Purple. Cubre la redirección de Captive Portal de invitados a través de una página de inicio externa (splash page), la configuración de Walled Garden, WiFi seguro para el personal mediante IEEE 802.1X y el aislamiento de red multi-inquilino utilizando EnGenius MyPSK con asignación dinámica de VLAN. Los instaladores de TI y arquitectos de red encontrarán secuencias de configuración prácticas, casos de estudio reales y un marco de resolución de problemas para desplegar Purple en entornos con hardware EnGenius.

📖 9 min de lectura📝 2,239 palabras🔧 2 ejemplos prácticos❓ 3 preguntas de práctica📚 10 definiciones clave

Escuchar esta guía

Ver transcripción del podcast

GUION DE PODCAST: Integración de los puntos de acceso EnGenius Cloud con Purple WiFi
Plataforma de Inteligencia Purple WiFi - Serie de sesiones técnicas informativas
Duración: Aproximadamente 10 minutos
Voz: Inglés del Reino Unido, tono de consultor senior: seguro, coloquial, autoritario

[INTRODUCCIÓN - 1 MINUTO]

Le damos la bienvenida a la Serie de sesiones técnicas informativas de Purple. Hoy vamos a tratar un tema que surge con frecuencia en los despliegues empresariales: la integración de los puntos de acceso EnGenius Cloud con la plataforma de WiFi para invitados de Purple.

Si gestiona una infraestructura de EnGenius, ya sean puntos de acceso de la serie ECW en un hotel, una cadena de tiendas o un edificio de oficinas multiinquilino, y desea añadir un Captive Portal personalizado, recopilar datos de visitantes de origen directo (first-party data) y aplicar una segmentación de red adecuada, esta sesión informativa es para usted.

En los próximos diez minutos, quiero guiarle a través de las cuatro áreas de configuración principales: la redirección al Captive Portal de invitados, la configuración del jardín vallado (walled garden), el WiFi seguro para el personal mediante 802.1X y el aislamiento multiinquilino utilizando EnGenius MyPSK con asignación dinámica de VLAN. Al final, tendrá una idea clara de qué configurar exactamente, en qué orden y cuáles son los errores más comunes.

Comencemos.

[PROFUNDIZACIÓN TÉCNICA - 5 MINUTOS]

Empecemos con el Captive Portal de invitados, el punto de partida más común para cualquier operador de espacios públicos.

EnGenius Cloud admite páginas de bienvenida externas de forma nativa. Esto significa que, en lugar de alojar una página de inicio de sesión básica en el propio punto de acceso, se redirige a los invitados no autenticados al portal alojado en la nube de Purple. Aquí es donde residen la imagen de marca, la captura de datos, la gestión de consentimientos y las analíticas.

Este es el orden de configuración en EnGenius Cloud. Inicie sesión en su panel de EnGenius Cloud y navegue hasta Configure (Configurar) y, a continuación, a SSID. Seleccione su SSID de invitados. En la pestaña Wireless (Inalámbrico), establezca el tipo de seguridad en Open (Abierto) o WPA2 PSK, según sus preferencias. Open es el estándar para la mayoría de los despliegues de WiFi para invitados. Después, cambie a la pestaña Captive Portal. Active el Captive Portal y establezca el Authentication Type (Tipo de autenticación) en Custom RADIUS. Este es el ajuste clave. Le indica al punto de acceso que reenvíe las solicitudes de autenticación a un servidor RADIUS externo, que en este caso es el endpoint RADIUS en la nube de Purple.

Ahora introduzca los datos del servidor RADIUS de Purple. La IP del servidor RADIUS primario se proporciona en su panel de Purple en la sección Hardware Configuration (Configuración de hardware). El puerto de autenticación es UDP 1812. El puerto de contabilidad (accounting) es UDP 1813. Introduzca el secreto compartido. Purple genera este valor para usted, el cual debe tener al menos 22 caracteres combinando mayúsculas, minúsculas, números y símbolos. Establezca el identificador NAS para que coincida con el nombre de su establecimiento o con un identificador único que haya definido en Purple.

A continuación, ve a la pestaña Splash Page. Selecciona External Splash Page URL e introduce la URL del portal de Purple. Esta es la URL que Purple proporciona para tu ubicación específica. Cuando un invitado se conecta al SSID y abre un navegador, el punto de acceso intercepta la solicitud y la redirige a esta URL, pasando parámetros que incluyen la dirección MAC del cliente, la dirección MAC del AP y la URL original a la que el invitado intentaba acceder.

Ahora, el walled garden. Esta es la lista de dominios y direcciones IP a los que los invitados pueden acceder antes de autenticarse. Sin ella, el propio Captive Portal de Purple no se puede cargar, porque el navegador del invitado no puede comunicarse con los servidores de Purple. En EnGenius Cloud, el walled garden se encuentra en Captive Portal, luego en Advanced Settings y, por último, en Walled Garden. Debes añadir el dominio del portal de Purple, los endpoints de la CDN de Purple y los endpoints de detección de Captive Portal de los sistemas operativos. Para dispositivos Apple, es captive.apple.com. Para Android, connectivitycheck.gstatic.com. Para Windows, msftconnecttest.com. Si omites alguno de estos, los invitados que utilicen esas plataformas no verán el portal en absoluto.

Si vas a ofrecer inicio de sesión social a través de Google o Facebook, también debes incluir en la lista blanca los endpoints de OAuth de esos proveedores. Google requiere como mínimo accounts.google.com, oauth2.googleapis.com y apis.google.com. Facebook requiere www.facebook.com, graph.facebook.com y connect.facebook.net. La documentación de soporte de Purple proporciona una lista de walled garden actualizada para cada método de autenticación. Utilízala como referencia, ya que estos dominios suelen cambiar.

Ahora pasemos a la red WiFi segura para empleados mediante 802.1X.

Este es un SSID independiente. El tipo de seguridad aquí es WPA2 Enterprise o WPA3 Enterprise. En EnGenius Cloud, en la pestaña SSID Wireless, selecciona WPA2 Enterprise y luego elige Custom RADIUS. Introduce los mismos datos del servidor RADIUS: el endpoint RADIUS de Purple, el puerto 1812 y el secreto compartido. La diferencia con la configuración de invitados es que aquí no hay Captive Portal. Los dispositivos de los empleados se autentican de forma silenciosa mediante el protocolo IEEE 802.1X. El dispositivo presenta un certificado o un nombre de usuario y contraseña al servidor RADIUS, que los valida y devuelve un mensaje de Access-Accept junto con los atributos de asignación de VLAN.

Los atributos RADIUS que gestionan la asignación dinámica de VLAN son Tunnel-Type configurado en VLAN, Tunnel-Medium-Type configurado en 802 y Tunnel-Private-Group-ID configurado con el número de la VLAN. De este modo, si la VLAN de tus empleados es la VLAN 20, el servidor RADIUS devuelve Tunnel-Private-Group-ID con un valor de 20. El punto de acceso de EnGenius lee este atributo y asigna automáticamente el dispositivo autenticado a la VLAN 20. Esto significa que puedes tener un único SSID que sirva para múltiples perfiles de empleados (finanzas, operaciones, TI, contratistas), y cada uno de ellos terminará en una VLAN diferente en función de su pertenencia a un grupo de directorio, todo ello sin necesidad de configurar manualmente la VLAN en cada dispositivo.

Para el método EAP, PEAP-MSCHAPv2 es la opción más común en entornos que utilizan Active Directory o Microsoft Entra ID. Requiere un certificado en el servidor RADIUS y credenciales de usuario y contraseña en el cliente. EAP-TLS es más seguro, ya que utiliza certificados en ambos lados, pero requiere una infraestructura PKI y un despliegue MDM para enviar los certificados a los dispositivos. Para la mayoría de los operadores de espacios, PEAP-MSCHAPv2 con validación estricta de certificados aplicada a través de directivas de grupo o MDM es la opción más práctica.

Y ahora la parte técnicamente más interesante: EnGenius MyPSK y el aislamiento multi-inquilino.

MyPSK, también llamado PPSK o Private Pre-Shared Key, resuelve un problema específico en entornos multi-inquilino. En una promoción de viviendas de alquiler, una oficina de servicios o una residencia de estudiantes, se busca que cada inquilino o residente tenga su propia contraseña de WiFi única, pero sin tener que crear un SSID independiente para cada uno, lo que generaría congestión de radiofrecuencia y costes de gestión.

MyPSK permite crear hasta 500 claves precompartidas únicas por SSID. Cada clave está vinculada a una VLAN específica. Cuando un residente se conecta con su clave única, el punto de acceso lo sitúa automáticamente en su VLAN asignada. El tráfico del inquilino A nunca toca el segmento de red del inquilino B. El cifrado también se realiza por usuario: cada clave genera una Pairwise Master Key única, de modo que un inquilino no puede descifrar el tráfico aéreo de otro, aunque compartan el mismo SSID.

En EnGenius Cloud, MyPSK se configura en los ajustes de seguridad del SSID. Seleccione WPA2 PSK o WPA3 Personal y, a continuación, active MyPSK. De este modo, podrá crear PSK de forma individual o generar lotes automáticamente de hasta 50 a la vez. Para cada PSK se asigna un ID de VLAN y, opcionalmente, una fecha de caducidad. Cuando finaliza un contrato de alquiler o un estudiante se gradúa, simplemente se cancela o elimina su PSK. El acceso se revoca inmediatamente sin afectar a ningún otro inquilino.

Para la integración de Purple en un entorno MyPSK, los inquilinos orientados a invitados pueden seguir siendo redirigidos a través de un Captive Portal en su VLAN, mientras que el personal y los inquilinos operativos omiten el portal por completo. La segmentación por VLAN garantiza que los datos analíticos de Purple se atribuyan correctamente por segmento de red.

[RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 MINUTOS]

Permítame indicarle la secuencia de implementación que recomiendo para un primer despliegue sin problemas.

Comience con la arquitectura de VLAN antes de tocar la configuración de la WiFi. Defina la VLAN 10 para invitados, la VLAN 20 para el personal, la VLAN 30 para los inquilinos o la numeración que mejor se adapte a su esquema actual. Configure primero estas VLAN en sus switches ECS con las asignaciones de puerto de acceso y troncal correspondientes. Los puntos de acceso deben recibir tráfico etiquetado en el puerto de enlace ascendente para cada VLAN que tenga previsto utilizar.

A continuación, configure los SSIDs en EnGenius Cloud en este orden: primero el SSID de invitados, ya que es el más sencillo. Valide la redirección del Captive Portal a Purple antes de continuar. Luego, configure el SSID del personal con 802.1X. Realice pruebas con un dispositivo conocido antes de implementarlo en toda la infraestructura. Por último, configure MyPSK si necesita aislamiento multiinquilino.

Errores comunes. Primero, el walled garden. Esta es la causa principal del fallo en las implementaciones de Captive Portal. Si los invitados no pueden acceder al portal, verifique primero el walled garden. Segundo, discrepancia en el secreto compartido de RADIUS. El secreto compartido debe ser idéntico tanto en la configuración de EnGenius Cloud como en la del servidor RADIUS de Purple. Una diferencia de un solo carácter hará que todas las autenticaciones fallen de forma silenciosa. Tercero, la configuración del trunk VLAN en el switch. Si el puerto del switch ECS que se conecta al punto de acceso no está configurado como trunk para transportar todas las VLAN requeridas, la asignación dinámica de VLAN fallará. Cuarto, la validación de certificados en clientes 802.1X. Si los dispositivos del personal no están configurados para validar el certificado del servidor RADIUS, serán vulnerables al robo de credenciales mediante puntos de acceso falsos. Imponga esto mediante Directivas de Grupo (GPO) para Windows y perfiles MDM para todo lo demás.

[PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 MINUTO]

Algunas preguntas frecuentes que suelo recibir sobre las implementaciones de EnGenius y Purple.

¿Puedo utilizar el RADIUS de EnGenius Cloud en lugar del RADIUS de Purple? Sí, para la autenticación interna. Pero para el WiFi de invitados con los análisis y el portal de Purple, debe apuntar al endpoint RADIUS de Purple. Ambos pueden coexistir en diferentes SSIDs.

¿Funciona MyPSK con WPA3? Sí. EnGenius es compatible con WPA3 y con el modo mixto WPA2/WPA3 con MyPSK, de modo que los dispositivos compatibles con WPA3 obtienen autenticación SAE, mientras que los dispositivos más antiguos recurren a WPA2 PSK, todo ello utilizando la misma clave por usuario.

¿Es compatible Purple con RADIUS accounting para los datos de sesión? Sí. Active el servidor de accounting en la configuración RADIUS de EnGenius Cloud, apuntando al endpoint de accounting de Purple en el puerto UDP 1813. Esto alimenta la duración de la sesión y el volumen de datos en los análisis de Purple.

[RESUMEN Y SIGUIENTES PASOS - 1 MINUTO]

En resumen. Los puntos de acceso de EnGenius Cloud se integran a la perfección con la plataforma de WiFi de invitados de Purple a través de cuatro capas de configuración. La redirección del Captive Portal de invitados utiliza un RADIUS personalizado y una URL de splash page externa que apunta a Purple. La lista permitida del walled garden garantiza que el portal se cargue antes de la autenticación. El WiFi del personal utiliza WPA2 Enterprise con 802.1X y asignación dinámica de VLAN mediante atributos RADIUS. Y el aislamiento multiinquilino utiliza EnGenius MyPSK para asignar claves únicas por usuario vinculadas a VLAN específicas, con fechas de caducidad opcionales para accesos de duración limitada.

Purple opera en más de 80.000 establecimientos y ha procesado 440 millones de inicios de sesión solo en 2024. La plataforma cuenta con la certificación ISO 27001, cumple con la GDPR y es independiente del hardware, que es exactamente por lo que funciona de forma tan limpia con EnGenius junto a Cisco Meraki, HPE Aruba, Ruckus y el resto del ecosistema de hardware empresarial.

Si está listo para realizar el despliegue, comience con la guía de configuración del walled garden en la documentación de soporte de Purple y, a continuación, complete la configuración del SSID en EnGenius Cloud. La guía paso a paso completa está disponible en purple.ai. Gracias por su atención.

Conclusiones clave

✓EnGenius Cloud se integra con Purple mediante RADIUS personalizado (UDP 1812/1813) y una URL de página de bienvenida externa configurada en los ajustes del Captive Portal del SSID.
✓Un Walled Garden correctamente configurado es el elemento más crítico para los despliegues de Captive Portal: debe incluir los endpoints de prueba de los sistemas operativos, los dominios CDN de Purple y todos los dominios OAuth de inicio de sesión social.
✓IEEE 802.1X con WPA2/WPA3 Enterprise proporciona una autenticación segura y sin contraseñas para el personal con asignación dinámica de VLAN basada en los atributos Tunnel-Private-Group-ID de RADIUS.
✓EnGenius MyPSK ofrece aislamiento multiinquilino en un único SSID asignando PSKs y VLANs únicas a usuarios individuales, admitiendo hasta 500 claves por SSID con fechas de caducidad opcionales.
✓Configura los puertos trunk de los switches ECS antes de configurar los SSIDs: la asignación dinámica de VLAN falla silenciosamente si el switch no puede transportar la VLAN asignada.
✓PEAP-MSCHAPv2 solo es seguro si se aplica una validación estricta del certificado del servidor mediante directivas de grupo (GPO) o MDM; despliega esto antes de cualquier lanzamiento de 802.1X.
✓Purple procesa 440 millones de inicios de sesión anualmente en más de 80.000 establecimientos y cuenta con la certificación ISO 27001, cumple con el GDPR y es independiente del hardware, compatible con equipos de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.

Resumen ejecutivo

Depender de una clave compartida única para el WiFi empresarial expone a los establecimientos a riesgos de seguridad significativos e impide la recopilación de valiosos datos de origen (first-party data). Esta guía detalla la integración de los puntos de acceso EnGenius Cloud con la plataforma de Guest WiFi de Purple para ofrecer redes inalámbricas seguras, segmentadas y medibles en entornos de hostelería , comercio minorista y edificios multiinquilino. Al implementar la autenticación IEEE 802.1X para el personal, la asignación dinámica de VLAN a través de EnGenius MyPSK para residentes e inquilinos, y un portal cautivo alojado en la nube para los invitados, los equipos de TI pueden aplicar controles de acceso estrictos mientras convierten la infraestructura inalámbrica en un activo de inteligencia empresarial.

Purple procesa 440 millones de inicios de sesión al año en más de 80.000 establecimientos activos (datos internos de Purple, 2024). La plataforma cuenta con la certificación ISO 27001, cumple con el GDPR y la CCPA, y es independiente del hardware, motivo por el cual se integra a la perfección con EnGenius, además de con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Esta guía cubre las cuatro capas de configuración necesarias para implementar Purple en el hardware de EnGenius Cloud: redirección del portal cautivo de invitados, configuración del Walled Garden, WiFi seguro para el personal y aislamiento multiinquilino mediante EnGenius MyPSK.

Análisis técnico detallado

Descripción general de la arquitectura

La integración entre EnGenius Cloud y Purple se basa en protocolos RADIUS estándar y redirección HTTP. Cuando un invitado se conecta a un punto de acceso EnGenius ECW en un SSID con Captive Portal habilitado, el AP intercepta la primera solicitud HTTP y redirige el navegador a la página de bienvenida alojada en la nube de Purple. Esta redirección pasa varios parámetros al portal, incluidos client_mac, ap_mac y userurl, que Purple utiliza para rastrear la sesión y devolver una decisión de autenticación.

Para el personal y los dispositivos operativos, la arquitectura pasa de la redirección del portal cautivo al control de acceso a la red basado en puertos IEEE 802.1X. El punto de acceso de EnGenius actúa como autenticador, reenviando los mensajes del Protocolo de autenticación extensible (EAP) al servidor RADIUS de Purple a través del puerto UDP 1812. Tras una autenticación correcta, el servidor RADIUS devuelve un mensaje Access-Accept que contiene atributos de asignación de VLAN, indicando al AP que coloque el dispositivo en el segmento de red correcto.

Capa	Tipo de SSID	Método de autenticación	Asignación de VLAN
Guest WiFi	Abierta o WPA2 PSK	Captive Portal de Purple mediante RADIUS personalizado	Estática (p. ej., VLAN 10)
Staff WiFi	WPA2/WPA3 Enterprise	802.1X (PEAP o EAP-TLS)	Dinámica mediante atributos RADIUS
Multi-Tenant	WPA2/WPA3 PSK con MyPSK	PSK por usuario	Vinculación VLAN por clave

Plataforma EnGenius Cloud

EnGenius Cloud es una plataforma de red gestionada en la nube compatible con los puntos de acceso de la serie ECW (incluidos los modelos WiFi 7 ECW220, ECW230 y ECW520) y los switches gestionados de la serie ECS. La plataforma proporciona un panel centralizado para la gestión de SSID, la configuración de RADIUS, el etiquetado de VLAN y la configuración del Captive Portal en todos los dispositivos de una organización. EnGenius Cloud admite tres tipos de autenticación de Captive Portal basados en RADIUS: EnGenius Authentication (que utiliza el Cloud RADIUS integrado), Custom RADIUS (que apunta a un servidor externo como Purple) y Voucher Service.

Para implementaciones empresariales, Custom RADIUS es el tipo de autenticación correcto al integrarse con Purple. Este modo indica al punto de acceso que actúe como proxy para las solicitudes de autenticación hacia el endpoint RADIUS de Purple, habilitando el portal de Purple, las analíticas y las capacidades de captura de datos.

EnGenius MyPSK y aislamiento multi-tenant

En entornos como propiedades de alquiler residencial (build-to-rent), alojamiento de estudiantes, oficinas de servicios o espacios de coworking, emitir un SSID independiente para cada inquilino degrada el rendimiento de la radiofrecuencia. Cada SSID adicional genera tramas de baliza (beacon frames) que consumen tiempo de transmisión y reducen la capacidad disponible para el tráfico de datos. EnGenius MyPSK (también conocido como PPSK, o Private Pre-Shared Key) resuelve esto al permitir hasta 500 PSK únicas en un solo SSID.

Cada clave está vinculada a una VLAN específica. Cuando un residente se conecta utilizando su clave única, el punto de acceso lo sitúa automáticamente en su segmento de red designado. El cifrado es por usuario: cada clave genera una Pairwise Master Key (PMK) única, por lo que un inquilino no puede descifrar el tráfico aéreo de otro inquilino aunque compartan el mismo SSID. Esta es una ventaja de seguridad fundamental frente a una única PSK compartida, donde cualquier usuario que conozca la contraseña puede descifrar todo el tráfico de la red.

Las claves MyPSK admiten fechas de caducidad, lo que las hace idóneas para escenarios de acceso por tiempo limitado: la clave de un estudiante caduca al final del año académico, la clave de un contratista caduca cuando finaliza su contrato y la clave de un asistente a una conferencia caduca a medianoche el último día del evento.

Guía de implementación

Paso 1: Definir la arquitectura VLAN

Antes de configurar cualquier SSID, defina la estructura de VLAN en sus switches ECS. Una implementación típica utiliza tres VLAN:

ID de VLAN	Propósito	Política de acceso
VLAN 10	Guest WiFi	Solo Internet, aislado de la LAN corporativa
VLAN 20	Staff WiFi	Acceso completo a la LAN corporativa
VLAN 30	Tenant/Resident WiFi	Segmentos aislados por inquilino

Paso 2: Configurar el Captive Portal de invitados (configuración del Captive Portal de EnGenius)

Esta es la configuración principal para implementar la splash page de EnGenius con Purple.

Inicie sesión en su panel de EnGenius Cloud en cloud.engenius.ai .
Vaya a Configure > SSID y seleccione su red de invitados (por ejemplo, "VenueGuest").
En la pestaña Wireless, establezca el Security Type en Open. Esto es el estándar para el WiFi de invitados; los invitados se identifican y autentican en la capa del portal, no en la capa de asociación.
Cambie a la pestaña Captive Portal y active el portal.
Establezca el Authentication Type en Custom RADIUS.
Introduzca los detalles del servidor RADIUS de Purple:

Campo	Valor
IP del servidor RADIUS	Proporcionada en el panel de Purple bajo Configuración de Hardware
Puerto de autenticación	UDP 1812
Puerto de contabilidad (Accounting)	UDP 1813
Secreto compartido (Shared Secret)	Cadena de más de 22 caracteres generada por Purple
Identificador NAS	El nombre de su establecimiento o el ID de establecimiento de Purple

Cambie a la pestaña Splash Page.
Seleccione External Splash Page URL.
Introduzca la URL del portal de Purple para su establecimiento (formato: https://portal.purple.ai/[venue-id]).
Haga clic en Apply.

Paso 3: Configurar el Walled Garden

El Walled Garden (lista blanca de WiFi de invitados de EnGenius) debe configurarse para permitir el acceso previo a la autenticación a los dominios necesarios para que se cargue el portal. Vaya a Captive Portal > Advanced Settings > Walled Garden y añada las siguientes entradas:

Infraestructura de Purple:

*.purple.ai
*.purpleportal.net

Sondeos de Captive Portal del sistema operativo (obligatorios):

captive.apple.com (iOS y macOS)
connectivitycheck.gstatic.com (Android)
msftconnecttest.com (Windows)

Inicio de sesión social (si está activado):

Google: accounts.google.com, oauth2.googleapis.com, apis.google.com, *.gstatic.com
Facebook: www.facebook.com, graph.facebook.com, connect.facebook.net, *.fbcdn.net
Microsoft Entra ID: login.microsoftonline.com, login.live.com

Utilice siempre nombres de dominio en lugar de direcciones IP estáticas. Los proveedores de inicio de sesión social utilizan rangos de IP dinámicos y enrutamiento anycast; una lista blanca de IP estáticas se degradará con el tiempo a medida que cambien las direcciones CDN.

Paso 4: Configurar el WiFi seguro para el personal (802.1X)

La configuración RADIUS de EnGenius para el WiFi del personal utiliza WPA2 Enterprise para proporcionar una autenticación sin contraseña y respaldada por certificados.

Cree un nuevo SSID (por ejemplo, "VenueStaff").
En la pestaña Wireless, establezca el Security Type en WPA2 Enterprise.
Seleccione Custom RADIUS e introduzca la IP del servidor RADIUS, el puerto 1812 y el secreto compartido.
No se requiere Captive Portal. Los dispositivos del personal se autentican de forma silenciosa a través de 802.1X.
Configure su servidor RADIUS para devolver los siguientes atributos en el Access-Accept:

RADIUS Attribute	Value
Tunnel-Type	13 (VLAN)
Tunnel-Medium-Type	6 (802)
Tunnel-Private-Group-ID	20 (or your staff VLAN ID)

For EAP method selection: PEAP-MSCHAPv2 is the practical choice for environments using Microsoft Entra ID or Active Directory. EAP-TLS provides stronger security by eliminating passwords entirely, but requires a Public Key Infrastructure and MDM solution to deploy client certificates. Enforce strict server certificate validation on all client devices via Group Policy (Windows) or MDM profiles (macOS, iOS, Android) to prevent credential theft from rogue access points.

Step 5: Configure EnGenius MyPSK for multi-tenant isolation

EnGenius MyPSK setup for a multi-tenant environment:

Create a new SSID (e.g., "VenueResident").
Under the Wireless tab, set Security Type to WPA2 PSK or WPA3 Personal.
Enable MyPSK (Private PSK).
Click Add PSK to create individual keys, or use Auto-Generate to create batches of up to 50 at a time.
For each PSK, assign a VLAN ID and optionally set a Start Date and Expiration Date.
Distribute each unique PSK to the corresponding tenant or resident.

When a tenant's lease ends, delete or expire their PSK. Access is revoked immediately without affecting any other tenant on the network.

Best practices

Enforce strict certificate validation on 802.1X clients. PEAP-MSCHAPv2 is only secure when clients are configured to validate the RADIUS server's certificate against a trusted CA. Without this, a rogue access point can present a fraudulent certificate and harvest credentials. Deploy validation settings via Group Policy Objects for Windows and MDM configuration profiles for all other platforms. This is non-negotiable for any deployment in a regulated environment.

Use dynamic DNS resolution in the Walled Garden. Google, Apple, and Meta use dynamic IP ranges for their OAuth and CDN endpoints. Configure Walled Garden entries as domain names and ensure your EnGenius Cloud controller resolves them dynamically. A static IP whitelist will cause authentication failures as CDN IPs rotate.

Segment IoT devices with MAC Authentication Bypass. Headless devices such as printers, displays, and IoT sensors cannot authenticate via 802.1X. Use MAC Authentication Bypass (MAB) to identify them and place them on a restricted VLAN with firewall rules preventing lateral movement. MAB is not a security control - it is a device identification mechanism. Treat MAB-authenticated devices as untrusted.

Implement RADIUS accounting. Enable the accounting server in EnGenius Cloud's RADIUS configuration, pointing to Purple's accounting endpoint on UDP 1813. This feeds session duration, data volume, and device information into Purple's WiFi Analytics platform, providing the venue utilisation data that justifies the infrastructure investment.

Revise el Walled Garden trimestralmente. Los proveedores de OAuth y las CDN cambian sus estructuras de dominio. Apple actualizó sus dominios de Sign In dos veces en 2023. Incluya una revisión trimestral del Walled Garden en su calendario operativo. Para obtener más orientación sobre las prácticas de seguridad de WiFi empresarial, consulte nuestra guía de seguridad de WiFi empresarial .

Resolución de problemas y mitigación de riesgos

Síntoma: El Captive Portal no se carga en dispositivos iOS. Causa: captive.apple.com no está en el Walled Garden. iOS utiliza este endpoint para detectar la presencia de un Captive Portal y activar el Captive Network Assistant. Sin él, el dispositivo informa de "Sin conexión a Internet" y nunca abre el navegador del portal. Solución: Añada captive.apple.com al Walled Garden en EnGenius Cloud en Captive Portal > Configuración avanzada.

Síntoma: La autenticación falla silenciosamente: RADIUS no devuelve ninguna respuesta. Causa: Discrepancia en el secreto compartido entre EnGenius Cloud y la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter hace que se descarte cada solicitud de autenticación. Solución: Vuelva a introducir el secreto compartido en ambos sistemas. Copie y pegue desde una fuente de texto sin formato para evitar la sustitución de caracteres invisibles.

Síntoma: El cliente 802.1X se autentica pero no recibe ninguna dirección IP. Causa: El puerto de enlace ascendente del conmutador ECS no está configurado como trunk, o la VLAN devuelta por el servidor RADIUS no está permitida en el trunk. Solución: Verifique la configuración del puerto del conmutador. El puerto debe ser un trunk que transporte todas las VLAN a las que se hace referencia en las respuestas RADIUS.

Síntoma: El cliente MyPSK se conecta pero puede llegar a los dispositivos de otros inquilinos. Causa: El aislamiento de clientes no está habilitado en el SSID, o la configuración de la VLAN en el conmutador no está aislando correctamente los segmentos. Solución: Habilite el aislamiento de clientes en el SSID en EnGenius Cloud. Verifique que cada VLAN esté configurada con las reglas de enrutamiento inter-VLAN adecuadas en el router o cortafuegos ascendente.

Síntoma: El botón de inicio de sesión social se carga pero la autenticación falla. Causa: Falta uno o más subdominios del proveedor de OAuth en el Walled Garden. Google y Meta utilizan múltiples subdominios para sus flujos de autenticación. Solución: Capture la salida de la consola del navegador de un dispositivo no autenticado para identificar qué dominio está siendo bloqueado. Añada el dominio que falta al Walled Garden. Consulte la documentación de la lista blanca de dominios de Walled Garden de Purple para ver la lista actual.

ROI e impacto empresarial

La implementación de Purple con EnGenius Cloud transforma la infraestructura inalámbrica de un centro de costes en un activo de datos. Los operadores de las instalaciones capturan datos demográficos de origen totalmente compatibles con el GDPR de los invitados a través de opciones de inclusión consciente, lo que permite campañas de marketing dirigidas y una interacción mensurable. Para los equipos de TI, el cambio a 802.1X y MyPSK elimina la sobrecarga operativa de gestionar contraseñas compartidas, reduce los tickets de soporte relacionados con problemas de acceso y proporciona una visibilidad detallada de la utilización de la red.

Para los operadores de hostelería , Premier Inn —un cliente destacado de Purple— utiliza los datos de WiFi de invitados para fomentar la participación en su programa de fidelización y personalizar las comunicaciones posteriores a la visita. Para entornos de retail , la combinación de análisis de afluencia de la plataforma de WiFi Analytics de Purple y los datos de tiempo de permanencia proporciona información de merchandising que justifica la inversión en infraestructura de forma independiente de las ventajas de seguridad.

En entornos multiinquilino, MyPSK elimina la necesidad de contar con una infraestructura de red física independiente por inquilino. Un único punto de acceso EnGenius ECW puede dar servicio a 500 inquilinos aislados en un solo SSID, lo que reduce los costes de hardware y simplifica la gestión diaria. Cuando un inquilino se marcha, su PSK se elimina en segundos, sin necesidad de cambiar la contraseña y sin impacto para los demás residentes.

La plataforma de Purple es agnóstica con respecto al hardware, lo que significa que la misma configuración de Purple, analítica y capa de captura de datos funciona en hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si su parque de equipos incluye una combinación de EnGenius y otros proveedores, Purple proporciona un único panel de control para la gestión de WiFi de invitados en todos ellos. Para obtener instrucciones de despliegue relacionadas, consulte nuestra guía de integración de DrayTek Vigor .

Definiciones clave

Captive Portal

Una página web que intercepta la primera solicitud HTTP de un usuario tras conectarse a una red WiFi y le requiere autenticarse o aceptar los términos antes de concederle acceso a internet.

El mecanismo principal para el registro de invitados, la captura de datos y la gestión del consentimiento de conformidad con el GDPR en las implementaciones de Purple. EnGenius Cloud admite páginas de Captive Portal tanto internas como externas.

Walled Garden

La lista blanca explícita de dominios y direcciones IP con los que un dispositivo cliente puede comunicarse antes de autenticarse correctamente a través del Captive Portal.

Necesario para permitir que los dispositivos accedan a los servidores del portal de Purple, a los puntos finales de sondeo del SO y a los proveedores de identidad de terceros, como Google o Microsoft Entra ID, antes de que se complete la autenticación.

EnGenius MyPSK

Una función que permite a los administradores de red crear múltiples claves precompartidas (PSK) únicas en un solo SSID, cada una vinculada a una VLAN específica para el aislamiento de la red.

Utilizado en entornos multiinquilino para proporcionar segmentos de red seguros y aislados sin necesidad de transmitir múltiples SSID. Admite hasta 500 claves únicas por SSID con fechas de caducidad opcionales.

Asignación dinámica de VLAN

El proceso mediante el cual un servidor RADIUS indica a un punto de acceso que asigne un dispositivo autenticado a una VLAN específica en función de su pertenencia a un grupo de directorio, utilizando el atributo Tunnel-Private-Group-ID.

Permite que un único SSID 802.1X segmente de forma segura el tráfico para diferentes funciones de personal automáticamente, sin configuración manual de VLAN por dispositivo.

IEEE 802.1X

Un estándar IEEE para el control de acceso a la red basado en puertos que proporciona un mecanismo de autenticación a los dispositivos que desean conectarse a una LAN o WLAN, utilizando EAP para transmitir las credenciales a un servidor RADIUS.

La base de la seguridad WiFi empresarial para redes de personal, que sustituye las contraseñas compartidas vulnerables por una validación de credenciales o certificados individualizada.

RADIUS

Remote Authentication Dial-In User Service; un protocolo de red que proporciona una gestión centralizada de autenticación, autorización y contabilidad para el acceso a la red.

El protocolo utilizado por los puntos de acceso de EnGenius para comunicarse con los servidores de autenticación de Purple. La autenticación utiliza el puerto UDP 1812; la contabilidad utiliza el puerto UDP 1813.

PEAP-MSCHAPv2

Protected Extensible Authentication Protocol con Microsoft Challenge Handshake Authentication Protocol versión 2; un método 802.1X que crea un túnel TLS mediante un certificado en el lado del servidor, dentro del cual se intercambian las credenciales de usuario y contraseña.

El método de implementación de 802.1X más común para entornos que utilizan Active Directory o Microsoft Entra ID. Requiere una validación estricta del certificado del servidor en los clientes para evitar el robo de credenciales.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security; un método de autenticación 802.1X que requiere certificados digitales tanto en el servidor RADIUS como en cada dispositivo cliente, eliminando las contraseñas por completo.

El método 802.1X más seguro, recomendado para entornos de alta seguridad. Requiere una infraestructura de clave pública (PKI) y una solución MDM para implementar certificados de cliente.

Identificador NAS

Identificador de servidor de acceso a la red; un atributo de cadena de texto incluido en las solicitudes RADIUS para identificar el punto de acceso o controlador que origina la solicitud de autenticación.

Configurado en EnGenius Cloud para coincidir con el identificador del establecimiento en la plataforma Purple, garantizando que los datos de análisis y de sesión se atribuyan a la ubicación correcta.

PMK

Pairwise Master Key; la clave criptográfica derivada de una PSK y del nombre del SSID, utilizada para cifrar la sesión inalámbrica entre un cliente específico y un punto de acceso.

In las implementaciones de MyPSK, cada PSK única genera una PMK distinta, lo que impide que un inquilino descifre el tráfico de otro, incluso en el mismo SSID.

Ejemplos prácticos

Un hotel de 200 habitaciones necesita ofrecer un acceso WiFi fluido a los huéspedes, un acceso seguro al personal del hotel y redes aisladas para tres locales comerciales en el vestíbulo, todo ello utilizando los mismos puntos de acceso EnGenius ECW y switches ECS.

Despliegue tres SSIDs en el mismo hardware. SSID 1 (VenueGuest): seguridad abierta con RADIUS personalizado que apunte al endpoint de RADIUS de Purple. URL de página de inicio externa configurada para el portal de Purple. Walled Garden configurado con sondas de SO, dominios CDN de Purple y endpoints de Google OAuth. VLAN 10 asignada de forma estática. SSID 2 (VenueStaff): WPA2 Enterprise con RADIUS personalizado. Sin Captive Portal. El servidor RADIUS devuelve un Tunnel-Private-Group-ID de 20 para todo el personal, con subgrupos (finanzas, operaciones, mantenimiento) asignados a las VLAN 21, 22 y 23 respectivamente. SSID 3 (VenueRetail): WPA2 PSK con MyPSK habilitado. Se crean tres PSK únicas, cada una vinculada a las VLAN 31, 32 y 33. Fechas de caducidad establecidas para coincidir con el periodo de arrendamiento de cada local comercial. El puerto de enlace ascendente (uplink) del switch ECS se configura como un trunk que transporta las VLAN 10, 20-23 y 31-33.

Comentario del examinador: Este enfoque minimiza la sobrecarga de SSIDs a solo tres transmisiones, lo que reduce la interferencia de canal compartido, al tiempo que impone un aislamiento estricto de Capa 2 entre invitados, personal e inquilinos externos. La asignación dinámica de VLAN para el personal elimina la reconfiguración manual cuando los empleados cambian de función. Las fechas de caducidad de MyPSK automatizan la revocación del acceso para los locales comerciales sin necesidad de intervención de TI.

Un campus universitario que despliega EnGenius Cloud informa de que los estudiantes que intentan iniciar sesión en el portal de invitados de Purple con sus cuentas de Google Workspace reciben un error de navegador tras hacer clic en el botón de inicio de sesión de Google. La propia página del portal se carga correctamente.

El hecho de que la página del portal se cargue confirma que los dominios CDN de Purple están correctamente en la lista blanca. El fallo en el paso de inicio de sesión de Google indica que faltan uno o varios dominios de Google OAuth en el Walled Garden. Acceda a EnGenius Cloud > Captive Portal > Advanced Settings > Walled Garden y añada: accounts.google.com, oauth2.googleapis.com, apis.google.com y *.gstatic.com. El comodín *.gstatic.com es necesario porque Google sirve sus librerías de JavaScript del lado del cliente desde este CDN. Tras actualizar el Walled Garden, realice una prueba con un dispositivo no autenticado y capture la salida de la consola del navegador para confirmar que no se bloquean más dominios.

Comentario del examinador: Los fallos de OAuth en el paso del proveedor (en lugar de en el paso de carga del portal) se deben casi siempre a configuraciones incompletas del Walled Garden. El Captive Portal intercepta la llamada HTTPS al proveedor de identidad a menos que el dominio se omita explícitamente. El uso de entradas con comodines (*.gstatic.com) es el enfoque práctico para los proveedores que utilizan múltiples subdominios de CDN, siempre que su versión de EnGenius Cloud admita entradas con comodines en el Walled Garden.

Preguntas de práctica

Q1. Despliegas un Captive Portal de Purple en puntos de acceso EnGenius ECW. Los usuarios de Android informan que sus dispositivos muestran 'Conectado, sin internet' y el portal nunca aparece. Los usuarios de iOS en el mismo SSID ven el portal correctamente. ¿Cuál es el error de configuración más probable y cómo se soluciona?

Sugerencia: Android e iOS utilizan diferentes endpoints de prueba para el Captive Portal.

Ver respuesta modelo

Android utiliza connectivitycheck.gstatic.com como su endpoint de prueba para el Captive Portal. iOS utiliza captive.apple.com. Si los usuarios de iOS ven el portal pero los de Android no, es porque falta connectivitycheck.gstatic.com en el Walled Garden. Añádelo en EnGenius Cloud bajo Captive Portal > Advanced Settings > Walled Garden. Añade también connectivitycheck.android.com y www.google.com , ya que Android utiliza múltiples URL de prueba según la versión del dispositivo.

Q2. Un establecimiento configura 802.1X en un SSID de EnGenius. Los dispositivos del personal se autentican correctamente (los logs del servidor RADIUS muestran Access-Accept), pero los dispositivos reciben una dirección APIPA 169.x.x.x en lugar de una IP corporativa. ¿Cuál es la causa más probable?

Sugerencia: El servidor RADIUS está aceptando la autenticación, por lo que el problema está después de la autenticación.

Ver respuesta modelo

El servidor RADIUS está devolviendo un atributo Tunnel-Private-Group-ID que especifica un ID de VLAN. El punto de acceso EnGenius intenta etiquetar el tráfico del cliente con esa VLAN, pero el puerto de enlace ascendente (uplink) en el switch ECS no está configurado como un puerto trunk que transporte esa VLAN. El dispositivo se ubica en una VLAN que no tiene un servidor DHCP accesible. Solución: configura el puerto uplink del switch ECS como trunk, permitiendo explícitamente el ID de VLAN devuelto por el servidor RADIUS.

Q3. El administrador de una propiedad de alquiler residencial (build-to-rent) te pregunta por qué recomiendas EnGenius MyPSK en lugar de crear un SSID independiente para cada una de las 80 unidades residenciales. Proporciona una justificación técnica.

Sugerencia: Considera el impacto de las balizas (beacons) de SSID en el rendimiento de la red WiFi.

Ver respuesta modelo

Cada SSID transmite tramas de baliza (beacons) a intervalos regulares (normalmente cada 100 ms). En un entorno denso, 80 SSIDs generarían una sobrecarga constante de beacons que consumiría un tiempo de transmisión significativo, reduciendo la capacidad disponible para el tráfico de datos real y degradando el rendimiento para todos los usuarios. La mayoría de los puntos de acceso de nivel empresarial también imponen un límite práctico de 8 a 16 SSIDs por radio. MyPSK ofrece el mismo aislamiento (cada residente en una VLAN única con una clave de cifrado única) utilizando un único SSID, lo que elimina por completo la sobrecarga de beacons. La PMK por usuario también evita que los residentes descifren el tráfico de los demás, algo que un único PSK compartido no puede lograr.

Continúe leyendo esta serie

Integración de CommScope Ruckus con Purple WiFi: Guía de instalación y configuración

Esta guía de referencia técnica proporciona un manual de configuración definitivo para integrar arquitecturas de CommScope Ruckus con Purple WiFi. Detalla implementaciones paso a paso para captive portals de Guest WiFi, WiFi seguro para el personal a través de 802.1X y aislamiento de red multiinquilino mediante Ruckus Dynamic PSK.

Integración de puntos de acceso Allied Telesis con Purple WiFi

Esta guía proporciona un manual de configuración completo para integrar los puntos de acceso de la serie TQ de Allied Telesis con Purple WiFi. Cubre la redirección externa de Captive Portal, la autenticación RADIUS 802.1X y el direccionamiento dinámico de VLAN mediante claves precompartidas privadas (PPSK) para despliegues multiinquilino seguros.

Integración de los puntos de acceso Grandstream GWN con Purple WiFi

Esta guía técnica de referencia autorizada detalla cómo integrar los puntos de acceso Grandstream GWN con la plataforma de análisis y Guest WiFi de Purple. Cubre la configuración del Captive Portal de Grandstream, los ajustes de RADIUS AAA, la configuración de walled garden, la autenticación segura para el personal mediante 802.1X con direccionamiento dinámico de VLAN y la segmentación PPSK multiinquilino, proporcionando una guía práctica paso a paso para MSP e instalaciones de TI que desplieguen WiFi para invitados y personal a gran escala.