Guest WiFi Session Timeouts: Balancing UX and Security

[Música de introducción - Electrónica corporativa, profesional y alegre] Presentador: Bienvenido al Informe Técnico de Purple. Soy su presentador, y hoy abordamos un tema que se sitúa justo en la intersección entre la ingeniería de redes y la experiencia del cliente: los tiempos de espera de sesión (Session Timeouts) de Guest WiFi. Si es usted director de TI, arquitecto de redes o director de operaciones de un recinto, conocerá bien este dilema. El equipo de marketing quiere que los clientes se conecten una vez y no vuelvan a ver una pantalla de inicio de sesión. Los equipos de seguridad e infraestructura observan cómo se agota el pool de DHCP y se preocupan por las sesiones inactivas y no autenticadas. Hoy vamos a salvar esa distancia. Analizaremos cómo configurar tiempos de espera que mantengan conectados a los usuarios sin comprometer su postura de seguridad ni la disponibilidad de sus IP. [Sonido de transición] Presentador: Analicemos los mecanismos técnicos. Cuando hablamos de un "tiempo de espera de sesión", en realidad nos referimos a dos temporizadores distintos que funcionan en su controlador de red: el Idle Timeout (tiempo de espera por inactividad) y el Absolute Timeout (tiempo de espera absoluto). Piense en el Idle Timeout como su monitor de inactividad. Vigila la transmisión activa de datos. Si un dispositivo cliente no envía ni recibe absolutamente nada durante un periodo de tiempo específico, el controlador finaliza la sesión. El objetivo principal aquí es la recuperación de recursos. Libera concesiones de DHCP y memoria del punto de acceso asignada a dispositivos que han abandonado físicamente el recinto sin desconectarse formalmente. Sin embargo, hay un inconveniente. Los smartphones modernos son increíblemente agresivos a la hora de entrar en modo de suspensión para ahorrar batería. Cuando se suspenden, dejan de transmitir. Si configura el Idle Timeout de forma demasiado agresiva (por ejemplo, cinco minutos), desconectará los dispositivos en suspensión. Cuando el usuario saque el teléfono del bolsillo para consultar un correo electrónico, se verá obligado a volver al Captive Portal. Es una experiencia de usuario pésima. Para entornos típicos, un Idle Timeout de entre 30 y 60 minutos es el punto óptimo. Ahora, veamos el Absolute Timeout. Este es el temporizador estricto. Dicta la duración total máxima de una sesión, independientemente de si el dispositivo está transmitiendo datos de forma activa o no. Una vez que este temporizador llega a cero, la sesión se interrumpe y el usuario debe volver a autenticarse. ¿Por qué lo necesitamos? Aplica límites de uso diario, garantiza que los usuarios vuelvan a aceptar periódicamente sus Términos y Condiciones y fuerza una revalidación de seguridad. El reto es que resulta disruptivo. Interrumpirá las sesiones activas, incluso las llamadas de VoIP. Por lo tanto, su Absolute Timeout debe alinearse con el tiempo de permanencia típico de su recinto. [Sonido de transición] Presentador: Veamos algunas recomendaciones de implementación en el mundo real. No existe una solución única para todos los casos. Pensemos en una tienda minorista con una alta rotación de clientes. Los compradores se mueven rápido. Su objetivo es capturar analíticas de afluencia precisas y, tal vez, ofrecer marketing personalizado, al mismo tiempo que evita que la gente se quede merodeando. En este escenario, un tiempo de espera por inactividad (idle timeout) de 15 a 30 minutos es perfecto. Si un dispositivo no emite señal durante media hora, es que han salido de la tienda. El tiempo de espera absoluto (absolute timeout) debería ser de unas 2 a 4 horas, cubriendo la visita de compra típica más larga. Y le convendría utilizar la omisión de autenticación MAC (o MAB) para una reautenticación silenciosa durante 7 a 14 días para realizar el seguimiento de los clientes recurrentes. Ahora, compare eso con un entorno de hostelería corporativo: un hotel. Los huéspedes esperan una experiencia similar a la de su hogar. Si les obliga a iniciar sesión cada cuatro horas, su recepción se va a inundar de quejas. Aquí, su tiempo de espera por inactividad debe ser mucho más largo: de 4 a 8 horas. Los huéspedes dejan los dispositivos en sus habitaciones mientras van a la piscina; esos dispositivos no deberían desconectarse. El tiempo de espera absoluto debería ser de 24 horas o, idealmente, estar vinculado directamente a la fecha de salida mediante una integración con el sistema de gestión hotelera (PMS). Y, por último, considere un centro de transporte masivo como un aeropuerto o un estadio. Los tiempos de permanencia son muy variables y el agotamiento de las direcciones IP es un riesgo crítico e inmediato. Tiene decenas de miles de dispositivos transitorios. En este entorno, la conservación de recursos prima sobre una experiencia de usuario fluida. Necesita un tiempo de espera por inactividad agresivo (15 minutos) para recuperar rápidamente las IP. Su tiempo de espera absoluto podría ser de 4 horas y, por lo general, requerirá una reautenticación manual para gestionar a los acaparadores de ancho de banda. [Sonido de transición] Presentador: Antes de pasar a las preguntas y respuestas, quiero destacar algunos errores críticos que se deben evitar. Primero: Concesiones DHCP desalineadas. Este es el error de configuración número uno que vemos. No configure un tiempo de espera de sesión de 2 horas con una concesión DHCP de 8 horas. Si una sesión ha finalizado, la IP debería quedar libre. El tiempo de concesión DHCP debería coincidir estrechamente o superar ligeramente el tiempo de espera absoluto de la sesión. Segundo: Ignorar la aleatorización MAC. iOS y Android utilizan direcciones MAC privadas de forma predeterminada hoy en día. Si su red depende en gran medida de la reautenticación basada en MAC para ofrecer esa experiencia de retorno fluida, debe informar a los usuarios. Utilice su Captive Portal para indicarles que desactiven la aleatorización MAC para su SSID específico si desean una conexión fluida de varios días. Tercero: Operar a ciegas. Utilice sus analíticas de WiFi. Observe la duración de sus sesiones. Si el 90 % de sus usuarios se marcha de forma natural en 45 minutos, establecer un tiempo de espera absoluto de 12 horas solo supone asumir un riesgo innecesario. Base sus temporizadores en datos reales de tiempo de permanencia. [Sonido de transición] Presentador: Hagamos una ronda rápida de preguntas y respuestas basada en las dudas habituales de los clientes. Pregunta 1: "Los usuarios se quejan de que tienen que iniciar sesión cada vez que vuelven de comer. ¿Cómo solucionamos esto?" Respuesta: Aumente el tiempo de espera por inactividad. Si la comida dura una hora, un tiempo de espera por inactividad de 30 minutos los desconectará. Súbalo a 90 minutos. Pregunta 2: "Nos estamos quedando sin direcciones IP todas las tardes, pero nuestro recinto no está lleno. ¿Por qué?" Respuesta: Sesiones fantasma. Su tiempo de espera por inactividad (idle timeout) está desactivado o configurado con un valor demasiado largo, lo que significa que los dispositivos que se marcharon hace horas siguen reteniendo concesiones de IP. Reduzca su tiempo de espera por inactividad a 30 minutos y acorte el tiempo de concesión de DHCP. Pregunta 3: "¿Cómo afecta el cifrado inalámbrico oportunista, u OWE, a los tiempos de espera?" Respuesta: OWE proporciona cifrado individualizado para redes abiertas sin contraseña. No cambia directamente el funcionamiento de los tiempos de espera, pero mejora significativamente su nivel de seguridad durante la sesión, lo que hace que los tiempos de espera absolutos más largos sean ligeramente menos arriesgados desde la perspectiva del rastreo pasivo. [Sonido de transición] Presentador: En resumen: los tiempos de espera de sesión son el punto de equilibrio entre la experiencia del usuario y la seguridad de la red. Utilice el tiempo de espera por inactividad para gestionar el comportamiento de los dispositivos y los recursos de la red. Utilice el tiempo de espera absoluto para gestionar el comportamiento humano y el cumplimiento normativo. Adapte estos ajustes a su sector específico: la hostelería necesita temporizadores largos, el comercio minorista necesita temporizadores medios y el transporte de alta densidad necesita temporizadores agresivos. Alinee sus concesiones de DHCP, tenga en cuenta la aleatorización de MAC y deje que sus análisis guíen su configuración. Si lo hace bien, reducirá los tickets de soporte, protegerá su red y ofrecerá la conectividad fluida que sus invitados esperan. Gracias por acompañarnos en esta sesión técnica de Purple. Hasta la próxima, mantengan sus redes seguras y a sus invitados conectados. [Música de cierre - Se desvanece]