Guía completa de iPSK para empresas
Esta guía explica la arquitectura Identity Pre-Shared Key (iPSK) para promotores inmobiliarios, operadores de BTR y propietarios que despliegan WiFi multiinquilino. Cubre la integración con RADIUS, la asignación dinámica de VLAN, el aislamiento de Capa 2 y la gestión automatizada del ciclo de vida de las credenciales para ofrecer una experiencia de conexión instantánea a gran escala para los residentes. También detalla el caso de negocio para eliminar los routers domésticos por vivienda y las ventajas operativas de integrar iPSK con proveedores de identidad como Microsoft Entra ID, Okta y Google Workspace.
Escuchar esta guía
Ver transcripción del podcast
Resumen ejecutivo
La seguridad WiFi tradicional obliga a elegir entre dos opciones insuficientes. El estándar WPA2-Personal es sencillo pero no ofrece responsabilidad individual. Una sola contraseña filtrada pone en peligro a toda la red, y revocar el acceso a un único residente implica cambiar la contraseña para todo el mundo. Por otro lado, WPA2-Enterprise o WPA3-Enterprise con el estándar IEEE 802.1X ofrece control por usuario, pero impide la conectividad de videoconsolas, smart TVs y dispositivos IoT que no pueden procesar certificados digitales.
Identity Pre-Shared Key (iPSK) resuelve este dilema. Asigna una contraseña única a cada usuario o dispositivo individual en un único SSID, lo que permite la asignación dinámica de VLAN y el aislamiento de Capa 2 a través de un servidor RADIUS central. Para los operadores de Build-to-Rent (BTR), promotores inmobiliarios y propietarios de viviendas, iPSK es el estándar definitivo para la conectividad multiinquilino. Admite el 100 % de los dispositivos de los residentes, crea una Red de Área Privada para cada vivienda y escala mediante una gestión automatizada del ciclo de vida integrada con proveedores de identidad como Microsoft Entra ID, Okta o Google Workspace. Purple automatiza todo este flujo de trabajo en más de 80.000 espacios activos, integrándose con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet.
Análisis técnico detallado
El funcionamiento de Identity PSK
iPSK modifica el protocolo de enlace EAPOL de cuatro vías estándar de WPA2. Cuando un dispositivo cliente se asocia a un punto de acceso mediante una clave precompartida específica, el punto de acceso no concede el acceso de inmediato. En su lugar, envía un mensaje de solicitud RADIUS al servidor de autenticación central. Esta solicitud contiene atributos específicos del fabricante. En el caso de Cisco Meraki, se trata de los atributos Meraki-IPSK. El servidor RADIUS realiza una comprobación en su diccionario con la base de datos de iPSK configuradas. Si encuentra una coincidencia, responde con un mensaje de aceptación de acceso que contiene la contraseña y, lo que es fundamental, una asignación dinámica de VLAN a través del atributo Tunnel-Private-Group-Id.
Esta arquitectura no requiere infraestructura de certificados. El dispositivo cliente detecta una red WPA2-Personal estándar y se conecta con una contraseña. La complejidad se gestiona por completo entre el punto de acceso y el servidor RADIUS. Por este motivo, iPSK es compatible con el 100 % de los dispositivos de consumo - videoconsolas, smart TVs, impresoras inalámbricas y sensores IoT se conectan utilizando la misma experiencia sencilla de contraseña que usan en sus hogares.
Aislamiento de Capa 2 y Redes de Área Privada
En un entorno multi-inquilino, un único SSID en cientos de apartamentos es eficiente para la planificación de RF, pero genera graves riesgos de seguridad sin una segmentación adecuada. iPSK permite la creación de una Red de Área Privada (PAN) para cada residente.
Cuando un residente se autentica con su iPSK única, el servidor RADIUS asigna sus dispositivos a una VLAN específica. La infraestructura de red aplica el aislamiento de Capa 2 entre estas VLAN. El iPhone de un residente puede ver su propia impresora o Chromecast, pero el residente del apartamento de al lado no puede descubrir estos dispositivos ni interactuar con ellos. Esta microsegmentación es fundamental para el cumplimiento del GDPR y para mantener la confianza de los residentes.
Dado que cada residente tiene su propia VLAN aislada, se puede habilitar la reflexión mDNS dentro de esa VLAN específica. mDNS es el protocolo que permite AirPlay, la transmisión de Chromecast y la impresión inalámbrica. Habilitar la reflexión mDNS dentro de la VLAN privada de cada residente permite que sus propios dispositivos se comuniquen entre sí, al tiempo que permanecen completamente aislados de todos los demás residentes. El resultado es una experiencia similar a la de un hogar en una infraestructura compartida.
Implementaciones de proveedores de hardware
Todos los principales proveedores de hardware de WiFi empresarial admiten PSK por dispositivo, pero bajo diferentes nombres de producto. La siguiente tabla asocia la terminología del proveedor con la tecnología subyacente.
| Proveedor | Nombre del producto | Requiere RADIUS | VLAN dinámica |
|---|---|---|---|
| Cisco Meraki | iPSK | Sí | Sí |
| HPE Aruba | MPSK | Sí | Sí |
| Ruckus | DPSK | Sí | Sí |
| Juniper Mist | PPSK | Sí | Sí |
| Ubiquiti UniFi | PPSK | Sí | Sí |
| Cambium | PPSK | Sí | Sí |
| Extreme | PPSK | Sí | Sí |
| Fortinet | PPSK | Sí | Sí |
Purple es agnóstico respecto al hardware y proporciona una capa de gestión unificada en todas estas plataformas. No está limitado a un solo proveedor y puede migrar el hardware sin necesidad de reconstruir su infraestructura de autenticación.
Guía de implementación
La implementación de iPSK requiere la coordinación entre su infraestructura inalámbrica, su servidor RADIUS y su proveedor de identidad. Siga esta secuencia para realizar la implementación correctamente.
Paso 1 - Planifique su arquitectura de VLAN. Asigne una VLAN por unidad residencial. En una promoción de 300 unidades, necesitará 300 VLAN. El estándar 802.1Q admite 4.094 VLAN, lo que es suficiente para la mayoría de los desarrollos de BTR (Build to Rent). Para implementaciones más grandes, planifique superposiciones de VXLAN.
Paso 2 - Implemente su servidor RADIUS. Purple proporciona un servicio RADIUS alojado en la nube con un 99,999 % de tiempo de actividad. Oriente sus controladores inalámbricos hacia el punto de conexión RADIUS de Purple. Configure el secreto compartido entre sus puntos de acceso y el servidor RADIUS. Paso 3 - Configure su controlador inalámbrico. Cree un único SSID con seguridad WPA2-PSK. Habilite la opción de iPSK o PPSK específica del fabricante. Habilite la anulación de AAA para que la respuesta RADIUS pueda asignar dinámicamente VLANs. Desactive el aislamiento de clientes a nivel de SSID - el aislamiento se gestiona por VLAN.
Paso 4 - Integre su proveedor de identidad. Conecte Purple a Microsoft Entra ID, Okta o Google Workspace. Purple lee el directorio de residentes y proporciona automáticamente un iPSK único y una asignación de VLAN para cada residente.
Paso 5 - Configure el Cambio de Autorización (CoA). Configure el CoA entre Purple y sus controladores inalámbricos. Esto permite a Purple enviar un mensaje de desconexión cuando finaliza el contrato de un residente, forzando la terminación inmediata de la sesión.
Paso 6 - Habilite la reflexión mDNS por VLAN. Configure sus switches de red y controladores inalámbricos para reflejar el tráfico mDNS dentro del límite de cada VLAN. Esto permite AirPlay, Chromecast y la impresión inalámbrica dentro de cada apartamento sin que se filtre el tráfico de descubrimiento por todo el edificio.
Para obtener más información sobre el diseño de su arquitectura WiFi global, consulte nuestra guía sobre tres SSIDs para gobernarlos a todos: invitado, Passpoint, y WiFi IoT .
Prácticas recomendadas
Evite fallos en la aleatorización de direcciones MAC. Los smartphones modernos aleatorizan su dirección MAC para proteger la privacidad del usuario. Si su implementación de iPSK depende del Bypass de Dirección MAC (MAB), la aleatorización romperá la autenticación. Asegúrese de que su infraestructura utiliza una verificación iPSK moderna basada en EAPOL, donde la propia contraseña es el autenticador en lugar de la dirección MAC.
Planifique el rendimiento de RADIUS. iPSK impone una carga computacional más pesada en el servidor RADIUS que el PSK estándar debido a las comprobaciones de diccionario requeridas durante el saludo EAPOL. Utilice un servicio RADIUS de alto rendimiento alojado en la nube. La infraestructura RADIUS de Purple está diseñada para esta carga de trabajo y mantiene un tiempo de actividad del 99,999% en más de 80.000 centros.
Aborde la compatibilidad con WPA3 de forma anticipada. iPSK funciona actualmente en WPA2. Si está desplegando puntos de acceso WiFi 6E o WiFi 7 en la banda de 6 GHz, necesitará una estrategia WPA3-Enterprise independiente para esos clientes. La banda de 6 GHz exige seguridad WPA3, que actualmente no admite iPSK de la misma manera. Planifique una estrategia de doble banda: WPA2 iPSK en 2,4 GHz y 5 GHz, WPA3-Enterprise en 6 GHz.
Automatice la entrega de credenciales. No envíe contraseñas por correo electrónico en texto plano. Purple entrega las credenciales a los residentes a través de un portal seguro y personalizado o mediante la aplicación de Purple. Esto crea un registro auditable de la entrega de credenciales y garantiza que los residentes puedan gestionar por sí mismos el restablecimiento de contraseñas sin tener que ponerse en contacto con el servicio de asistencia.
Pruebe la reflexión mDNS antes de la puesta en marcha. La queja más común de los residentes tras un despliegue de iPSK es que su Chromecast o AirPlay no funciona. Pruebe la reflexión mDNS en cada VLAN durante la puesta en servicio. Utilice un portátil y un Chromecast en la misma VLAN de residente y verifique que el envío de contenido funciona antes de la entrega. For related guidance on how your WiFi network creates a first impression for residents, see how to make a great first impression with your guest WiFi .
Troubleshooting and risk mitigation
Stale sessions after key revocation. The most common failure mode in an iPSK deployment. Revoking a key in the RADIUS database prevents future connections but does not drop active sessions. Configure CoA on your wireless controllers and ensure Purple sends a CoA disconnect message on every key revocation event.
VLAN exhaustion. In very large multi-tenant deployments, you can exhaust the 4,094 VLAN limit. Mitigate this by using VXLAN overlays or by sharing VLANs between non-adjacent units where the risk of cross-contamination is negligible.
RADIUS server unavailability. If your RADIUS server goes offline, no new devices can connect. Configure RADIUS failover with a secondary server. Purple's cloud RADIUS service includes built-in redundancy and a 99.999% uptime SLA.
Key synchronisation delays. When a new resident moves in, there can be a delay between the lease being signed in the property management system and the iPSK being provisioned in RADIUS. Integrate your property management system directly with Purple's API to automate provisioning and eliminate this gap.
ROI and business impact
Eliminating per-unit consumer routers transforms the economics of multi-tenant WiFi. A typical 300-unit BTR development might spend £150-£200 per unit on consumer routers, totalling up to £60,000 in hardware that needs replacing every three to five years. Centralised enterprise access points in corridors and common areas reduce hardware costs and eliminate the operational overhead of replacing broken consumer routers in occupied apartments.
More importantly, you deliver an instant-on resident experience. Residents connect to the WiFi the moment they walk in the door, using credentials delivered securely before move-in day. This premium amenity increases tenant satisfaction and supports higher rental yields. According to property industry research, managed WiFi is now cited by residents as one of the top three amenities they expect in a BTR development.
Purple's Multi-Tenant WiFi solution isolates traffic securely and supports resident smart devices, backed by 29 billion data points collected across our global network. Our WiFi Analytics platform gives property managers visibility into network utilisation, helping you right-size your infrastructure investment and demonstrate the value of the managed WiFi amenity to investors.
Para los operadores de BTR que buscan ampliar el compromiso de los residentes más allá de la conectividad, la plataforma Guest WiFi de Purple se integra con los sistemas de gestión de propiedades para ofrecer comunicaciones segmentadas y programas de fidelización. Consulte también nuestra guía sobre cómo utilizar el SMS masivo en marketing para aumentar las visitas recurrentes para conocer tácticas prácticas sobre la retención de residentes.
Definiciones clave
iPSK (Identity Pre-Shared Key)
Un mecanismo de seguridad que permite utilizar múltiples contraseñas únicas en un único SSID de WiFi, con cada contraseña vinculada a políticas de red específicas que incluyen la asignación de VLAN y el control de acceso.
Se utiliza para proporcionar un control de acceso de nivel empresarial compatible con dispositivos de consumo que carecen de funciones 802.1X. Cisco Meraki utiliza exactamente este término; otros fabricantes utilizan MPSK, DPSK o PPSK para el mismo concepto.
RADIUS (Remote Authentication Dial-In User Service)
Un protocolo de red que proporciona gestión centralizada de autenticación, autorización y contabilidad para los usuarios que se conectan a un servicio de red.
El servidor backend que valida las contraseñas iPSK y devuelve las asignaciones de VLAN al punto de acceso. Purple proporciona un servicio RADIUS alojado en la nube con un tiempo de actividad del 99.999 %.
VLAN (Virtual Local Area Network)
Una subred lógica que agrupa un conjunto de dispositivos, aislando su tráfico del resto de la red física independientemente de su ubicación física.
Se utiliza en WiFi multiinquilino para crear un segmento de red privado y seguro para cada apartamento individual. La asignación dinámica de VLAN a través de RADIUS es lo que hace posible el aislamiento por residente.
Aislamiento de Capa 2
Una función de seguridad de red que evita que los dispositivos de la misma red física se comuniquen directamente entre sí en la capa de enlace de datos.
Garantiza que los residentes no puedan ver ni acceder a los dispositivos de sus vecinos, a pesar de que comparten la misma infraestructura física de WiFi.
mDNS (Multicast Domain Name System)
Un protocolo utilizado por Apple Bonjour y Google Cast para descubrir servicios en una red local sin un servidor DNS central.
Debe gestionarse con cuidado en redes multiinquilino. Habilitar la reflexión mDNS dentro de la VLAN privada de cada residente permite que AirPlay, Chromecast y la impresión inalámbrica funcionen con normalidad sin filtrar el descubrimiento de dispositivos en todo el edificio.
CoA (Change of Authorization)
Una extensión de RADIUS definida en el RFC 5176 que permite al servidor de autenticación modificar dinámicamente los atributos de autorización de una sesión activa o enviar un mensaje de desconexión.
Esencial para revocar el acceso de forma instantánea cuando finaliza el contrato de arrendamiento de un residente. Sin CoA, una clave revocada solo impide futuras conexiones; no interrumpe la sesión activa actual.
EAPOL (Extensible Authentication Protocol over LAN)
El protocolo utilizado en WPA2 para negociar las claves de cifrado entre el dispositivo cliente y el punto de acceso durante el protocolo de enlace de cuatro vías.
Las implementaciones modernas de iPSK utilizan el protocolo de enlace EAPOL para verificar la contraseña de forma segura. Esto es más fiable que el desvío por dirección MAC porque no le afecta la aleatorización de las direcciones MAC.
MAC Address Bypass (MAB)
Un método de autenticación que utiliza la dirección MAC de hardware del dispositivo como nombre de usuario y contraseña en una solicitud RADIUS.
Un método heredado que a veces se confunde con iPSK. MAB ahora no es fiable porque los iPhones y teléfonos Android modernos aleatorizan su dirección MAC de forma predeterminada, lo que provoca fallos de autenticación.
Private Area Network (PAN)
En el contexto de WiFi multiinquilino, un segmento de red lógicamente aislado asignado a un único residente o unidad, que proporciona el equivalente a un router doméstico privado en una infraestructura compartida.
El resultado de combinar la autenticación iPSK con la asignación dinámica de VLAN y el aislamiento de Capa 2. Cada residente obtiene su propia PAN sin necesidad de un router físico en su apartamento.
Asignación dinámica de VLAN
El proceso mediante el cual un servidor RADIUS devuelve un identificador de VLAN en el mensaje access-accept, indicando al punto de acceso que coloque el dispositivo autenticado en un segmento de red específico.
El mecanismo que permite el aislamiento por residente en un despliegue de iPSK. Sin la asignación dinámica de VLAN, todos los dispositivos compartirían el mismo segmento de red independientemente de la contraseña que utilizaran.
Ejemplos prácticos
Una promoción de Build-to-Rent de 300 viviendas necesita ofrecer WiFi gestionado como un servicio premium. El operador quiere evitar la instalación de 300 routers domésticos. Los residentes deben poder utilizar impresoras inalámbricas, altavoces inteligentes y dispositivos Chromecast de forma segura, y el operador debe poder revocar el acceso al instante cuando un inquilino deje la vivienda.
Desplegar puntos de acceso empresariales de Cisco Meraki o HPE Aruba en pasillos y zonas comunes para proporcionar cobertura completa al edificio en un único SSID. Configurar el controlador inalámbrico para utilizar la autenticación iPSK apuntando al servidor RADIUS en la nube de Purple. Integrar el sistema de gestión inmobiliaria con la API de Purple. Cuando un residente se muda, Purple genera automáticamente una contraseña única y asigna una VLAN dedicada (por ejemplo, VLAN 150 para la Vivienda 150). Activar la reflexión mDNS exclusivamente dentro de cada VLAN. Configurar CoA para que, cuando finalice un contrato de alquiler en el sistema de gestión inmobiliaria, Purple envíe inmediatamente un mensaje de desconexión al controlador inalámbrico, cerrando todas las sesiones activas para esa VLAN.
Una residencia universitaria de 500 habitaciones experimenta problemas de seguridad porque los estudiantes comparten la contraseña estándar de WPA2-Personal con personas ajenas a la residencia. El equipo de TI necesita un control de responsabilidad individual y la capacidad de revocar el acceso a estudiantes específicos sin interrumpir el resto de la red.
Migrar la residencia de estudiantes a una arquitectura iPSK. Integrar el Microsoft Entra ID de la universidad con el sistema de autenticación WiFi de Purple. Purple aprovisiona automáticamente una iPSK única para cada estudiante matriculado al inicio del año académico. Si un estudiante comparte su clave única con un tercero, el departamento de TI puede identificar el origen en los registros de RADIUS y revocar esa clave específica de forma instantánea sin afectar a los demás estudiantes. Cuando un estudiante se gradúa o se marcha, su clave específica se revoca automáticamente mediante la integración con Microsoft Entra ID.
Preguntas de práctica
Q1. Está diseñando la red WiFi para una promoción de coliving de 200 unidades. Los miembros necesitan conectar sus portátiles, teléfonos e impresoras inalámbricas. El operador desea revocar el acceso de forma instantánea cuando finalice el contrato de un miembro. ¿Qué método de autenticación debería elegir y por qué?
Sugerencia: Tenga en cuenta los requisitos de compatibilidad de dispositivos para impresoras inalámbricas y el requisito operativo de revocación instantánea.
Ver respuesta modelo
iPSK es la opción correcta. Aunque 802.1X proporciona una excelente seguridad para portátiles y teléfonos, las impresoras inalámbricas no suelen admitir certificados empresariales. iPSK permite que todos los dispositivos se conecten de forma segura, al tiempo que proporciona responsabilidad individual e aislamiento de VLAN para los diferentes miembros. Para cumplir con el requisito de revocación instantánea, configure Change of Authorization (CoA) entre Purple y los controladores inalámbricos para que, cuando se rescinda el contrato de un miembro en el sistema de gestión, se envíe inmediatamente un mensaje de desconexión CoA para cerrar todas las sesiones activas.
Q2. Un residente informa de que no puede transmitir Netflix desde su teléfono a su televisión inteligente. Ambos dispositivos están conectados a la red mediante el iPSK único del residente. El ingeniero de red confirma que ambos dispositivos están en la VLAN 210. ¿Cuál es el probable problema de configuración y cómo se soluciona?
Sugerencia: Piense en cómo funcionan los protocolos de descubrimiento de dispositivos y qué se necesita para que la transmisión funcione.
Ver respuesta modelo
La red está aplicando un aislamiento estricto de Capa 2 dentro de la VLAN 210 sin habilitar la reflexión mDNS. Chromecast utiliza mDNS (protocolo Google Cast) para descubrir receptores en la red local. Sin la reflexión mDNS dentro de la VLAN, el teléfono no puede descubrir la televisión inteligente aunque estén en la misma VLAN. Solucione este problema configurando el controlador inalámbrico o un proxy mDNS dedicado para reflejar el tráfico mDNS dentro del límite de la VLAN 210. No habilite mDNS de forma global; esto permitiría a los residentes descubrir los dispositivos de los demás a través de las VLAN.
Q3. Un propietario rescinde un contrato de alquiler y pide al equipo de TI que revoque de inmediato el acceso WiFi del antiguo inquilino. El equipo de TI elimina el iPSK del inquilino de la base de datos RADIUS, pero el portátil del antiguo inquilino permanece conectado a la red durante varias horas. ¿Qué ha fallado y qué debería configurar el equipo de TI para evitar esto en el futuro?
Sugerencia: Considere cuándo se produce realmente la autenticación RADIUS en el ciclo de vida de la conexión.
Ver respuesta modelo
La autenticación RADIUS solo se produce durante el saludo de conexión inicial. Una vez que un dispositivo se ha autenticado y asociado a la red, mantiene su sesión sin volver a autenticarse. Eliminar la clave de RADIUS evita futuras conexiones, pero no finaliza la sesión activa. El equipo de TI debe configurar la compatibilidad con Change of Authorization (CoA) en los controladores inalámbricos y asegurarse de que el sistema de gestión envíe un mensaje de desconexión CoA cuando se revoque una clave. Esto indica al punto de acceso que desautentique y desasocie inmediatamente el dispositivo, finalizando la sesión en tiempo real.
Q4. Está planificando una promoción de 600 viviendas destinadas al alquiler (BTR) y sopesando si utilizar VLANs estándares 802.1Q o VXLAN para la capa de segmentación de red. ¿Qué factores deberían influir en esta decisión?
Sugerencia: Considere el límite de VLAN del estándar 802.1Q y la escala del despliegue.
Ver respuesta modelo
El estándar 802.1Q admite 4.094 VLANs, lo que resulta suficiente para 600 viviendas con margen para VLANs de gestión, VLANs de IoT y redes de invitados. Para este tamaño de despliegue, el estándar 802.1Q es adecuado. Sin embargo, si la promoción forma parte de un campus más grande o si planea extender la misma red a varios edificios con miles de viviendas, VXLAN ofrece un espacio de direcciones de 16 millones de segmentos y una mejor escalabilidad a través de límites enrutados. Para un desarrollo independiente de 600 viviendas, simplifique las cosas con 802.1Q y reserve VXLAN para despliegues multisitio o a muy gran escala.
Continúe leyendo esta serie
Uu PPSK pdf: comparación de características y modelos de despliegue
Esta guía de referencia técnica compara la arquitectura WiFi PPSK (Private Pre-Shared Key) con los despliegues tradicionales de 802.1X y PSK estándar. Proporciona a los arquitectos de red y a los responsables de TI estrategias de implementación neutras respecto al proveedor para entornos multiinquilino residenciales, IoT y BTR.
Uu PPSK 2023: comparación de características y modelos de despliegue
Esta guía de referencia técnica compara la arquitectura WiFi Unique per-User Private Pre-Shared Key (UU PPSK) frente a los despliegues tradicionales de PSK compartido y 802.1X, con un enfoque específico en el panorama de 2023 de las implementaciones de proveedores y las capacidades de las plataformas. Proporciona a los promotores inmobiliarios, operadores de BTR y arrendadores de MDU estrategias de despliegue prácticas, orientación sobre arquitectura de VLAN y flujos de trabajo automatizados para la gestión del ciclo de vida. La guía cubre tres modelos de despliegue, casos de estudio del mundo real y las implicaciones de cumplimiento de cada enfoque de autenticación.
PPSK xaverius: comparación de características y modelos de implementación
Esta guía autorizada analiza la arquitectura PPSK xaverius para entornos multi-inquilino como Build to Rent y residencias de estudiantes. Compara los modelos de implementación, detalla las estrategias de ejecución y explica cómo el aislamiento de VLAN por unidad ofrece una experiencia de WiFi doméstica manteniendo la seguridad empresarial.