Guía paso a paso para el acceso de invitados: Integración de Cisco WLC y Catalyst con Purple WiFi

Bienvenido a la serie de sesiones técnicas de Purple. Hoy abordaremos algo que llega al escritorio de casi todos los arquitectos de redes empresariales que trabajan en hostelería, retail o grandes recintos: la integración de los controladores Cisco Wireless LAN Controllers y la infraestructura inalámbrica Catalyst con la plataforma de Guest WiFi de Purple. Si utiliza controladores de la serie Cisco Catalyst 9800, o la plataforma heredada AireOS, y necesita ofrecer una red de invitados que cumpla con las normativas, esté segmentada y se base en analíticas, esta sesión es para usted. [medium pause] Comencemos con el contexto. Purple opera en más de 80.000 recintos activos en todo el mundo, y Cisco es el proveedor de infraestructura inalámbrica dominante en entornos empresariales. Lograr que estas dos plataformas funcionen juntas de manera limpia no es complicado, pero requiere tomar las decisiones de arquitectura correctas desde el principio. Si se equivoca, pasará semanas solucionando bucles de redirección, desajustes de VLAN y tiempos de espera de RADIUS. Si lo hace bien, dispondrá de una red que segmenta automáticamente a invitados, personal y dispositivos IoT, recopila datos de origen cumpliendo con las normativas y se escala en cientos de sitios sin intervención manual. [medium pause] Entremos en detalle en la arquitectura. [short pause] Cuando un invitado se conecta a su red WiFi en un despliegue de Cisco, deben ocurrir tres cosas antes de que acceda a internet. En primer lugar, el WLC Cisco Catalyst 9800 debe interceptar esa solicitud HTTP inicial y redirigir al cliente al portal cautivo de Purple. En segundo lugar, el portal de Purple debe autenticar al usuario, ya sea a través de inicio de sesión social, correo electrónico, SMS o una simple aceptación de términos y condiciones. En tercer lugar, el servidor RADIUS de Purple debe indicar de vuelta al WLC que el usuario está autorizado y, opcionalmente, asignarlo a una VLAN específica. [medium pause] El mecanismo que gestiona el primer paso se denomina External Web Authentication, o EWA. En el Catalyst 9800, se configura un mapa de parámetros de autenticación web que apunta a la URL de la página de bienvenida de Purple. El WLC intercepta todo el tráfico HTTP de los clientes no autenticados y emite una redirección 302 a esa URL. También necesitará configurar una ACL de preautenticación, o utilizar la función de filtro de URL del 9800, para incluir en la lista blanca las direcciones IP del portal de Purple para que los clientes puedan llegar a la página de bienvenida antes de estar autenticados. Purple proporciona dos direcciones IP para su portal, y deberá permitir ambas en su ACL de preautenticación. [medium pause] Este es el orden de configuración para el Catalyst 9800. Primero, cree el mapa de parámetros. Luego, configure su filtro de URL para permitir el dominio de Purple antes de la autenticación. Aplique esto a su perfil de política de WLAN, configure la seguridad de Capa 2 en None, habilite la Web Policy en la Capa 3 y apúntela a su mapa de parámetros. [medium pause] Ahora hablemos de RADIUS. Purple actúa como el servidor RADIUS en esta arquitectura. Se configura el WLC para que apunte al endpoint RADIUS de Purple, que encontrará en el panel de control de Purple, dentro de la configuración de red de su establecimiento. La clave secreta compartida se genera por cada establecimiento. En el Catalyst 9800, navegue hasta Configuration, Security, AAA, Servers, y añada el servidor RADIUS de Purple con la IP y la clave secreta compartida correctas. A continuación, cree un grupo de servidores, una lista de métodos de autenticación y aplíquela a su WLAN. [medium pause] Un detalle que suele causar confusión: en el 9800, también debe configurar la dirección IP virtual en el mapa de parámetros globales de autenticación web. Utilice 192.0.2.1 como dirección IPv4 virtual. Si omite este paso, los clientes a veces serán redirigidos al portal interno en lugar de al de Purple, y pasará una tarde de frustración intentando averiguar el motivo. [medium pause] Pasemos ahora a la WiFi para empleados con 802.1X. [short pause] Para las redes de empleados, lo ideal es utilizar una autenticación basada en certificados mediante EAP-TLS o, como mínimo, PEAP con MSCHAPv2 para aquellos entornos donde no sea factible implementar certificados. En el Catalyst 9800, cree una WLAN independiente para los empleados, establezca la seguridad de Capa 2 en WPA2 Enterprise y dirija la autenticación a su servidor RADIUS. Si utiliza Microsoft Entra ID u Okta como proveedor de identidad, el complemento SecurePass de Purple actúa como proxy RADIUS, traduciendo las solicitudes de autenticación 802.1X en consultas al proveedor de identidad. Esto significa que no necesita un servidor RADIUS físico independiente en sus instalaciones para autenticar a los empleados. Purple gestiona la finalización de EAP y reenvía la verificación de identidad a su proveedor de identidad. [medium pause] Para el caso concreto de EAP-TLS, deberá distribuir certificados de cliente a los dispositivos de los empleados, ya sea a través de Microsoft Intune, Jamf o una plataforma MDM similar. El servidor RADIUS de Purple debe confiar en la cadena de certificados, lo que implica subir su certificado CA raíz al panel de control de Purple. Una vez configurado, los dispositivos de los empleados se autentican de forma silenciosa, sin solicitud de contraseñas ni páginas de bienvenida. El usuario se conecta, el certificado se valida y se le asigna la VLAN de empleados en cuestión de segundos. [medium pause] Ahora pasemos a la parte que a la mayoría de los arquitectos les resulta verdaderamente interesante: Cisco Identity PSK, o iPSK. [short pause] iPSK resuelve un problema concreto que surge constantemente en entornos multi-inquilino. Imagine un hotel con 300 habitaciones, una superficie comercial con 50 tiendas o un complejo residencial con 200 apartamentos. Lo ideal es tener un único SSID, pero necesita que cada inquilino, cada habitación o cada grupo de dispositivos esté aislado en su propia VLAN. La solución tradicional consistía en crear un SSID diferente para cada inquilino, algo que no es escalable y genera congestión en las frecuencias de radio. iPSK le ofrece un único SSID en el que cada cliente o grupo de clientes dispone de una clave precompartida exclusiva, y el servidor RADIUS asocia dicha clave a una VLAN específica. [medium pause] Así es como funciona técnicamente. Cuando un cliente se asocia al SSID, el Catalyst 9800 WLC envía una solicitud de acceso (RADIUS Access-Request) al servidor RADIUS de Purple, incluyendo la dirección MAC del cliente. El servidor RADIUS de Purple busca esa dirección MAC en su base de datos de iPSK, encuentra la clave PSK asociada y la asignación de VLAN, y devuelve una respuesta de acceso aceptada (RADIUS Access-Accept) que contiene el Cisco AV-pair con la PSK y los atributos de túnel IETF para la asignación de VLAN. El WLC utiliza la PSK devuelta para completar el saludo de cuatro vías de WPA2 y, a continuación, ubica al cliente en la VLAN asignada. [medium pause] Los tres atributos RADIUS que necesita para la asignación dinámica de VLAN son: el atributo IETF 64, Tunnel-Type, establecido en VLAN con un valor de 13; el atributo IETF 65, Tunnel-Medium-Type, establecido en 802 con un valor de 6; y el atributo IETF 81, Tunnel-Private-Group-ID, establecido con el ID de la VLAN como una cadena de texto. Estos tres atributos, enviados juntos en el RADIUS Access-Accept, indican al WLC exactamente qué VLAN asignar. La VLAN ya debe existir en el WLC como una interfaz dinámica y el puerto del switch de enlace ascendente (uplink) debe estar configurado como un trunk que transporte todas las VLAN relevantes. [medium pause] En el lado del WLC, habilite el filtrado MAC en la WLAN iPSK, habilite la opción AAA Override y configure la seguridad de Capa 2 en WPA2-PSK. La PSK global que configure en la WLAN actúa únicamente como una alternativa de respaldo. La PSK devuelta por RADIUS tiene prioridad para cualquier cliente cuya dirección MAC esté registrada en la base de datos de iPSK de Purple. Para los dispositivos no registrados, puede denegar el acceso o recurrir a la PSK global, según su directiva. [medium pause] Permítame presentarle dos escenarios del mundo real para concretar esto. [short pause] Primer escenario: un hotel de 200 habitaciones. El hotel desea que los huéspedes estén en la VLAN 10 solo con acceso a Internet, el personal en la VLAN 20 con acceso al sistema de gestión de la propiedad (PMS) y los dispositivos IoT, cerraduras de puertas, termostatos y cámaras de videovigilancia en la VLAN 30 sin acceso a Internet. Utilizan controladores Cisco Catalyst 9800 con puntos de acceso de la serie Cisco 9100. [medium pause] La arquitectura: tres perfiles de directivas en el WLC, uno por VLAN. Un único SSID para huéspedes que utiliza autenticación web externa dirigida a Purple. Un SSID independiente para el personal que utiliza WPA2 Enterprise con EAP-TLS, autenticado a través de Purple SecurePass contra Microsoft Entra ID. Y, por último, iPSK para los dispositivos IoT, con la dirección MAC de cada dispositivo registrada en el portal de Purple y asignada a la VLAN 30. El sistema de gestión del hotel aprovisiona los nuevos dispositivos IoT a través de la API de Purple, por lo que cuando se instala una nueva cerradura, su dirección MAC se registra y se asigna automáticamente a la VLAN correcta. No se requiere ninguna configuración manual de RADIUS. [medium pause] Segundo escenario: una cadena de tiendas minoristas con 80 establecimientos. Cada tienda dispone de una red WiFi para huéspedes, una red para el personal y otra para los terminales de pago. El cumplimiento de la normativa PCI-DSS exige que la red de terminales de pago esté completamente aislada de la red de huéspedes. La empresa de comercio minorista utiliza controladores Cisco Catalyst 9800-L en cada ubicación, gestionados de forma centralizada a través de Cisco Catalyst Centre. [medium pause] Purple se implementa como una superposición en la nube. El WLC de cada tienda se configura con los detalles del servidor RADIUS de Purple. La autenticación de invitados utiliza una página de inicio de sesión de marca con captura de correo electrónico, introduciendo datos de origen en la plataforma de análisis de Purple. La autenticación del personal utiliza PEAP contra Active Directory a través de Purple SecurePass. Los terminales de pago utilizan iPSK con una VLAN dedicada, y la ACL previa a la autenticación bloquea explícitamente cualquier tráfico entre la VLAN de pago y la VLAN de invitados, cumpliendo con el requisito 1.3 de PCI-DSS para la segmentación de red. [medium pause] Ahora hablemos de los errores comunes. [short pause] El modo de fallo más habitual es el bucle de redirección. Esto ocurre cuando la ACL previa a la autenticación no incluye correctamente en la lista blanca las direcciones IP del portal de Purple, por lo que el WLC redirige al cliente al portal de Purple, pero el cliente no puede acceder al portal porque la ACL lo bloquea, de modo que el WLC vuelve a redirigir indefinidamente. Solución: verifique que su filtro de URL o la ACL previa a la autenticación incluyan ambas direcciones IP del portal de Purple, y confirme que se permite la resolución DNS antes de la autenticación. [medium pause] El segundo problema común es el desajuste de VLAN. El servidor RADIUS devuelve un ID de VLAN que no existe como interfaz dinámica en el WLC. El WLC coloca entonces al cliente en la VLAN nativa, que suele ser la VLAN de gestión. Esto supone un riesgo de seguridad. Solución: antes de realizar el despliegue, audite las interfaces dinámicas de su WLC en relación con los ID de VLAN configurados en las políticas RADIUS de Purple. Deben coincidir exactamente. [medium pause] Tercer error común: fallos de confianza en los certificados en implementaciones EAP-TLS. Si la cadena de certificados del cliente no es de confianza para el servidor RADIUS de Purple, la autenticación falla silenciosamente desde la perspectiva del usuario. Sencillamente, no pueden conectarse. Solución: cargue su CA raíz y cualquier certificado de CA intermedia en la configuración de Purple SecurePass antes de desplegar los certificados de cliente. Realice una prueba con un solo dispositivo antes de implementarlo en toda la flota. [medium pause] Preguntas rápidas. [short pause] ¿Puedo utilizar Purple con Cisco Meraki en lugar de un WLC? Sí. Cisco Meraki tiene su propio mecanismo de integración de Captive Portal y Purple lo admite de forma nativa. La configuración de RADIUS es similar, pero utiliza el panel de control de Meraki en lugar de la línea de comandos del WLC. [short pause] ¿Admite Purple WPA3 en Cisco? Sí. WPA3-SAE es compatible con Cisco Catalyst 9800 con IOS-XE 17.3 y versiones posteriores. La integración de RADIUS de Purple funciona de manera idéntica con WPA3. [short pause] ¿Cuál es la recomendación para el tiempo de espera de RADIUS? Establezca el tiempo de espera del servidor RADIUS principal en tres segundos con dos intentos de reintento. Configure un servidor RADIUS secundario para la conmutación por error. Purple proporciona puntos finales RADIUS redundantes para clientes empresariales. [short pause] ¿Puedo utilizar Cisco ISE junto con Purple? Sí. Algunas organizaciones utilizan ISE para la evaluación de estado y el perfilado de dispositivos, mientras que utilizan Purple para el portal de invitados y la analítica. Los dos servidores RADIUS se configuran en WLAN independientes. [medium pause] Para resumir. [short pause] La infraestructura inalámbrica Cisco WLC y Catalyst se integra a la perfección con Purple mediante External Web Authentication para la redirección del Captive Portal de invitados, 802.1X EAP-TLS o PEAP para la autenticación del personal a través de Purple SecurePass, y Cisco iPSK con asignación dinámica de VLAN para la segmentación de IoT y multi-tenant. Los tres atributos de VLAN de RADIUS, Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID, son el mecanismo que impulsa la segmentación dinámica. Configure correctamente sus ACL de preautenticación, sincronice sus ID de VLAN entre RADIUS y WLC, y pruebe las cadenas de confianza de certificados antes del despliegue en la flota. [medium pause] Purple opera en más de 80.000 sedes y ha procesado 440 millones de inicios de sesión en 2024. La integración con Cisco es una de nuestras configuraciones más desplegadas a nivel mundial. Si desea empezar, el panel de control de Purple le guiará a través de la configuración de RADIUS por sede, y nuestro equipo de integración está disponible para despliegues empresariales. [medium pause] Eso es todo en esta sesión informativa. Gracias por escuchar.