Integración de puntos de acceso Allied Telesis con Purple WiFi

Usted es un consultor de redes sénior que habla con el director de TI de un cliente en una sesión informativa privada. Hable en español de España con un tono seguro, autoritario y conversacional. Ritmo pausado, dicción clara. Sin muletillas. Pausas naturales ocasionales para dar énfasis: Bienvenido a esta sesión informativa técnica sobre la integración de los puntos de acceso de la serie TQ de Allied Telesis con Purple WiFi. Le guiaré a través de todo el panorama de despliegue, desde la redirección del Captive Portal de invitados hasta el aislamiento PPSK multiinquilino. Al final de esta sesión, dispondrá de una hoja de ruta de implementación clara. [pausa media] Comencemos con el contexto. Allied Telesis fabrica la serie TQ, que incluye los puntos de acceso Wi-Fi 6 TQ5403 y TQ6702 GEN2. Se trata de AP de calidad empresarial que ejecutan el firmware AlliedWare Plus y se despliegan ampliamente en entornos de hostelería, comercio minorista y sector público. Purple es una plataforma de superposición en la nube independiente del hardware que opera en 80 000 recintos y gestionó 440 millones de inicios de sesión en 2024. La integración entre estas dos plataformas es limpia, basada en estándares y lista para producción. [pausa media] Ahora, lo primero que la mayoría de los equipos de TI deben configurar es la redirección del Captive Portal de invitados. El AP de Allied Telesis admite tres modos de Captive Portal: de un solo clic (click-through), autenticación RADIUS y redirección a página externa. Para la integración con Purple, utilizará el modo External Page Redirect. Así es como funciona en la práctica. Inicie sesión en la interfaz gráfica de usuario (GUI) del AP, vaya a Wireless, seleccione el VAP correspondiente, vaya a Advanced Settings y luego a la pestaña Security. Establezca Captive Portal en External Page Redirect. En el campo External Page URL, introduzca la URL de la página de bienvenida de Purple proporcionada en su panel de control de Purple. Esa es la URL a la que llegarán sus invitados cuando se conecten por primera vez. [pausa corta] Ahora, el AP intercepta el primer paquete HTTP o HTTPS de cada nuevo cliente y redirige ese tráfico a su página de bienvenida de Purple. El invitado se autentica a través de Purple y el servidor RADIUS de Purple envía un Access-Accept de vuelta al AP. A continuación, el AP concede acceso a la red. [pausa media] Para la configuración de RADIUS, Purple le proporciona una dirección IP del servidor RADIUS, un secreto compartido y el puerto de autenticación, que es UDP 1812. El registro de actividad (accounting) se ejecuta en el puerto UDP 1813. Configure estos parámetros en Network Services y luego en RADIUS en la GUI del AP. El identificador NAS debe establecerse en la IP de gestión del AP o en un nombre de host descriptivo. Purple RADIUS as a Service se encarga del backend de autenticación, por lo que no necesita mantener su propia infraestructura RADIUS. [pausa corta] Un aspecto importante que debe configurar correctamente es el Walled Garden. Antes de que un invitado se autentique, el AP bloquea todo el tráfico excepto el dirigido a destinos incluidos en la lista blanca. Debe añadir los dominios de la plataforma de Purple al Walled Garden para que la página de bienvenida se cargue correctamente. Como mínimo, incluya en la lista blanca el dominio de la página de bienvenida de Purple, cualquier endpoint de CDN que Purple utilice para los recursos y los proveedores de inicio de sesión social que haya habilitado, como Google o Facebook. Esto se configura en el mismo panel de Advanced Settings del VAP, en la sección Walled Garden. [pausa media] Pasemos al WiFi para el personal mediante 802.1X. Aquí es donde se configura WPA Enterprise en un VAP independiente. En la GUI del AP, seleccione WPA Enterprise en el menú desplegable Security y, a continuación, apunte el RADIUS Authentication Group a su servidor RADIUS externo, que en este caso es el servicio SecurePass de Purple o su propio RADIUS respaldado por Microsoft Entra ID u Okta. Los dispositivos del personal se autentican mediante EAP-PEAP con MSCHAPv2, o EAP-TLS con certificados para entornos de mayor seguridad. El AP actúa como el autenticador 802.1X, reenviando las credenciales al servidor RADIUS y aplicando la respuesta. [pausa corta] Para la asignación dinámica de VLAN en la red del personal, debe habilitar Dynamic VLAN en la configuración de seguridad avanzada del VAP. Cuando el servidor RADIUS devuelve un Access-Accept, incluye tres atributos estándar: Tunnel-Type establecido en VLAN, Tunnel-Medium-Type establecido en IEEE 802 y Tunnel-Private-Group-Id establecido en el ID de VLAN. El AP lee estos atributos y coloca automáticamente el dispositivo autenticado en la VLAN correcta. Este es el mecanismo definido en RFC 3580 y funciona de manera uniforme en todo el hardware de Allied Telesis. [pausa media] Hablemos ahora de la capacidad más interesante para despliegues multiinquilino: PPSK de Allied Telesis, o Private Pre-Shared Key. A veces se denomina iPSK en otras plataformas. El concepto es sencillo. Dispone de un único SSID, pero cada inquilino o grupo de usuarios obtiene una contraseña única. Cuando un dispositivo se conecta, el AP envía esa contraseña al servidor RADIUS como el campo de contraseña en una solicitud RADIUS Access-Request. El servidor RADIUS asocia la contraseña con un registro de usuario y devuelve un Access-Accept con un atributo Tunnel-Private-Group-Id que especifica la VLAN para ese inquilino. [pausa corta] Así, en un edificio de uso mixto, el Inquilino A del local comercial se conecta con su contraseña y accede a la VLAN 100. El restaurante de la planta baja utiliza una contraseña diferente y accede a la VLAN 300. El WiFi de invitados del edificio utiliza una tercera contraseña y accede a la VLAN 400, donde está activo el Captive Portal de Purple. Todo esto se ejecuta en un único SSID. Sin proliferación de SSIDs. Limpio, escalable y fácil de gestionar. [pausa media] Por parte de Purple, usted configura los registros de usuario de PPSK en el panel de control de Purple o a través de la interfaz de RADIUS as a Service. Cada inquilino obtiene una contraseña única asociada a un ID de VLAN. El servidor RADIUS de Purple se encarga de la asociación y devuelve el Tunnel-Private-Group-Id correcto. Cuando necesite revocar el acceso de un inquilino, simplemente elimine o deshabilite su registro PPSK en Purple. El AP aplicará el cambio en el siguiente intento de autenticación. [pausa media] Permítame presentarle dos escenarios del mundo real donde esto resulta fundamental. En primer lugar, un hotel de conferencias de 250 habitaciones. El hotel gestiona tres redes: WiFi de invitados con página de bienvenida de Purple e inicio de sesión social, WiFi para el personal en 802.1X vinculado a Active Directory a través de Microsoft Entra ID, y una red para delegados de conferencias para eventos. Los AP Allied Telesis TQ6702 GEN2 gestionan las tres redes en VAP independientes con VLAN separadas. Purple gestiona la página de bienvenida de invitados, recopila datos de origen para el CRM del hotel y proporciona análisis sobre los periodos de uso pico. El equipo de TI del hotel gestiona la red del personal a través de SecurePass de Purple sin necesidad de mantener un servidor RADIUS independiente en las instalaciones. [pausa corta] Segundo escenario: un parque comercial con 12 inquilinos independientes. El propietario desea ofrecer WiFi como servicio a cada inquilino sin darles acceso al tráfico de los demás. Despliegan AP de Allied Telesis en todo el recinto con un único SSID. Cada inquilino recibe una PPSK única. El servidor RADIUS de Purple asocia cada PPSK a una VLAN dedicada. El propietario puede incorporar a un nuevo inquilino en menos de diez minutos creando un nuevo registro PPSK en Purple y entregándole la contraseña al inquilino. No se requiere reconfiguración del AP. [pausa media] Ahora, algunos errores comunes que se deben evitar. El problema más habitual que vemos son los Walled Gardens mal configurados. Si olvida incluir en la lista blanca un endpoint de CDN de Purple, la página de bienvenida se cargará parcialmente o fallará en ciertos dispositivos. Realice pruebas con un dispositivo nuevo que no tenga DNS en caché antes de la puesta en marcha. En segundo lugar, discrepancias en el secreto compartido de RADIUS. El secreto configurado en el AP debe coincidir exactamente con el secreto en la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter provoca fallos de autenticación silenciosos. Utilice un gestor de contraseñas para generar y almacenar el secreto. En tercer lugar, no habilitar Dynamic VLAN. En los AP de Allied Telesis, Dynamic VLAN está desactivado de forma predeterminada, incluso cuando WPA Enterprise está activo. Debe habilitarlo explícitamente en la configuración de seguridad avanzada del VAP. Vemos que esto se pasa por alto con regularidad. En cuarto lugar, conflicto entre PPSK y autenticación MAC. Si tiene habilitada la autenticación MAC en el mismo VAP que PPSK, el orden de autenticación es importante. Consulte la documentación del AP para su versión de firmware para confirmar qué método tiene prioridad. [pausa media] Preguntas rápidas que suelo recibir de los equipos de TI. ¿Puedo utilizar el servidor RADIUS de Purple tanto para el Captive Portal de invitados como para el 802.1X del personal en el mismo despliegue? Sí. Purple RADIUS as a Service admite ambos flujos de autenticación. Configure grupos o políticas de RADIUS independientes en Purple para cada caso de uso. ¿Admiten los AP de Allied Telesis WPA3 con Captive Portal? El TQ6702 GEN2 con firmware 5.5.4-2.3 o posterior admite el cifrado WPA3 CCMP. Sin embargo, el Captive Portal con redirección externa normalmente se ejecuta en un SSID abierto o WPA2 Personal. El 802.1X del personal puede utilizar WPA3 Enterprise. ¿Qué ocurre si el servidor RADIUS de Purple no está accesible? El AP denegará los nuevos intentos de autenticación. Las sesiones existentes continuarán hasta que expiren. Debe configurar un servidor RADIUS secundario en el grupo RADIUS del AP para redundancia. La plataforma de Purple mantiene un tiempo de actividad del 99,999 %, pero la defensa en profundidad es una buena práctica. [pausa media] Para resumir. Los AP de la serie TQ de Allied Telesis se integran con Purple a través de tres mecanismos principales: redirección externa de Captive Portal para WiFi de invitados, WPA Enterprise con RADIUS para 802.1X del personal y PPSK con VLAN dinámica para el aislamiento multiinquilino. Los atributos RADIUS que necesita son Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 y Tunnel-Private-Group-Id con el ID de VLAN. Purple proporciona el backend de RADIUS as a Service, la plataforma de la página de bienvenida y la capa de análisis. [pausa corta] Sus próximos pasos: obtenga las credenciales de RADIUS de Purple de su panel de control, configure la redirección de página externa en su VAP de invitados, añada las entradas del Walled Garden, habilite Dynamic VLAN en su VAP de personal y realice una prueba de autenticación para cada segmento de red antes de la puesta en marcha. Si va a desplegar PPSK para multiinquilino, planifique su esquema de numeración de VLAN antes de comenzar, ya que cambiar los ID de VLAN una vez que los inquilinos están activos requiere coordinación. [pausa media] Esta es la sesión informativa. Para consultar la referencia de configuración paso a paso completa, el diagrama de arquitectura de Mermaid y la tabla de atributos RADIUS, consulte la guía escrita. Gracias por su tiempo.