Integración de Cisco WLC y Catalyst con Purple WiFi: Guía paso a paso de acceso para invitados

Resumen ejecutivo

Las redes inalámbricas empresariales deben dar servicio a distintos grupos de usuarios simultáneamente: invitados que necesitan un acceso a Internet sin fricciones, personal que requiere un acceso seguro a los recursos corporativos y dispositivos sin interfaz de usuario (headless) o de inquilinos que necesitan estar aislados entre sí. Confiar en una única clave precompartida (Pre-Shared Key) compartida para cualquiera de estos grupos es una vulnerabilidad de seguridad. Una sola credencial comprometida expone a todo el segmento, y revocar el acceso requiere cambiar una contraseña global, lo que interrumpe la conexión de todos los dispositivos de la red.

Esta guía detalla la integración de los controladores de LAN inalámbrica (WLC) de Cisco y el hardware de la serie Catalyst 9800 con la capa en la nube de Purple. Proporcionamos la configuración paso a paso para tres niveles de autenticación distintos: una red abierta de Guest WiFi con redirección a Captive Portal impulsada por Purple, una red WiFi segura para el personal (Staff WiFi) que utiliza autenticación mediante certificados 802.1X EAP-TLS, y un entorno WiFi Multi-Tenant que utiliza Cisco Identity Pre-Shared Keys (iPSK) con asignación dinámica de VLAN. Al desplegar esta arquitectura, aislará los recursos corporativos del tráfico de visitantes, automatizará el control de acceso basado en la identidad y capturará datos de primera mano a través de la plataforma de WiFi Analytics de Purple. Purple opera en más de 80.000 recintos activos y registró 440 millones de inicios de sesión en 2024 (datos internos de Purple), lo que la convierte en una capa en la nube probada para la infraestructura de Cisco a escala.

Análisis técnico profundo: la arquitectura de tres niveles

Un despliegue inalámbrico empresarial moderno en hardware de Cisco debe atender a distintos perfiles de usuario con diferentes requisitos de seguridad y acceso. La integración entre Cisco WLC y Purple permite una infraestructura de hardware unificada para dar servicio a estos perfiles a través de distintos mecanismos de autenticación, todos gestionados desde un único controlador Catalyst 9800.

Nivel 1: Guest WiFi - Central Web Authentication (CWA)

Para los visitantes en entornos de Hostelería y Retail , el objetivo es una incorporación sin fricciones combinada con una captura de datos que cumpla con las normativas. Esto se logra utilizando un SSID abierto junto con Central Web Authentication (CWA). Cuando un invitado se conecta, el Cisco WLC aplica una lista de control de acceso (ACL) de preautenticación: el walled garden. Esta ACL bloquea el tráfico general de Internet al tiempo que permite el tráfico a los dominios del Captive Portal de Purple, DNS y endpoints de inicio de sesión social.

Cuando el invitado intenta navegar, el WLC intercepta la solicitud HTTP y emite una redirección a la página de bienvenida de Purple. El invitado se autentica a través del método elegido (inicio de sesión social, registro por correo electrónico o código de cupón). A continuación, Purple actúa como el servidor RADIUS, enviando un mensaje de Change of Authorization (CoA) de RADIUS de vuelta al WLC. El CoA indica al WLC que mueva al cliente del estado de preautenticación a un estado de postautenticación en una VLAN de invitados aislada, concediendo acceso a Internet. Cada inicio de sesión se registra en la plataforma de analítica de Purple, capturando datos de primera mano de conformidad con GDPR y CCPA.

Nivel 2: Staff WiFi - 802.1X EAP-TLS

Los dispositivos corporativos requieren el más alto nivel de seguridad. IEEE 802.1X define el control de acceso a la red basado en puertos (PNAC) y, cuando se combina con EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), ofrece una autenticación basada en certificados que elimina por completo las contraseñas. Los certificados digitales se despliegan en los dispositivos corporativos a través de la gestión de dispositivos móviles (MDM): Microsoft Intune, Jamf o equivalente. El Cisco WLC actúa como el autenticador, pasando mensajes EAP entre el suplicante (dispositivo) y el servidor RADIUS. El servidor RADIUS valida el certificado y devuelve un Access-Accept con atributos opcionales de asignación de VLAN.

Dado que la autenticación se basa en certificados en lugar de contraseñas, no hay credenciales que robar. Si se pierde un dispositivo o un empleado se marcha, se revoca el certificado. El acceso termina instantáneamente sin interrumpir a ningún otro usuario. Para un análisis exhaustivo de los estándares de seguridad empresarial, incluidos WPA3 y Zero Trust, consulte nuestra guía sobre Seguridad WiFi empresarial: una guía completa para 2026 .

Nivel 3: WiFi Multi-Tenant - Cisco iPSK y asignación dinámica de VLAN

En entornos como residencias de estudiantes, espacios de coworking o centros comerciales, se necesitan redes privadas y segmentadas para diferentes inquilinos sin difundir docenas de SSIDs. Cisco Identity PSK (iPSK) resuelve esto. Todos los inquilinos se conectan a un único SSID. El WLC envía una solicitud de autenticación MAC al servidor RADIUS para cada dispositivo que se conecta. El servidor RADIUS devuelve la PSK específica para ese inquilino como un atributo cisco-av-pair, junto con atributos RADIUS estándar de la IETF para asignar dinámicamente el cliente a la VLAN correcta.

Los tres atributos RADIUS de la IETF que impulsan la asignación dinámica de VLAN son:

El Tunnel-Private-Group-ID se codifica como una cadena, tal como se define en RFC 2868. El ID de VLAN debe existir en el WLC para que la asignación se realice correctamente.

Guía de implementación: configuración de Cisco Catalyst 9800 WLC

Los siguientes pasos detallan la configuración para un Cisco Catalyst 9800 WLC con IOS-XE para integrarse con Purple para la redirección de Guest WiFi. Para despliegues heredados de AireOS WLC, los ajustes equivalentes están disponibles en el portal de soporte de Purple.

Paso 1: Configurar la autenticación y la contabilidad RADIUS

Debe apuntar el WLC a los servidores RADIUS de Purple para gestionar la autenticación de invitados y la contabilidad de sesiones.

1. Vaya a Configuración > Seguridad > AAA > Servidores/Grupos > RADIUS > Servidores > + Añadir.
2. Introduzca la dirección IP del servidor RADIUS principal de Purple, establezca auth-port en 1812, acct-port en 1813 e introduzca el secreto compartido del portal de Purple.
3. Habilite Soporte para CoA; esto es obligatorio para la redirección del Captive Portal.
4. Repita el proceso para el servidor RADIUS secundario de Purple.
5. Vaya a RADIUS > Grupos de servidores > + Añadir y cree un grupo que contenga ambos servidores.
6. Vaya a Lista de métodos AAA > Autorización > + Añadir, establezca el Tipo en network y apúntelo al grupo de servidores RADIUS.
7. Vaya a Lista de métodos AAA > Contabilidad > + Añadir, establezca el Tipo en identity y apúntelo al mismo grupo.

Los comandos de CLI equivalentes en IOS-XE son:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Paso 2: Definir la ACL de preautenticación (walled garden)

La ACL de preautenticación permite el tráfico a la página de inicio de Purple y a los servicios esenciales antes de que el usuario se autentique. Esto es el walled garden.

1. Vaya a Configuración > Seguridad > ACL > + Añadir.
2. Cree una ACL extendida IPv4 llamada Purple_Guest_Walled_Garden.
3. Añada reglas para denegar el tráfico a la IP de gestión del WLC y a las IP de los servidores RADIUS.
4. Añada reglas para permitir DNS (puerto UDP 53) a sus servidores DNS.
5. Añada reglas para permitir el tráfico a los rangos de IP y dominios del walled garden de Purple (obtenga la lista actual en el portal de soporte de Purple para su tipo de hardware específico).
6. Añada una regla final permit ip any any: el WLC redireccionará el tráfico permitido a la CPU para el procesamiento del portal.

Paso 3: Configurar la WLAN de invitados

1. Vaya a Configuración > Etiquetas y perfiles > WLANs > + Añadir.
2. Cree una WLAN llamada Guest-WiFi con el SSID que elija.
3. En Seguridad > Capa 2, establezca la seguridad en Ninguna (Abierta).
4. En Seguridad > Capa 3, habilite Web Policy y establezca el tipo de Web Auth en External.
5. Introduzca su URL de acceso de Purple en el campo de redirección.
6. Aplique la ACL Purple_Guest_Walled_Garden.
7. En Seguridad > Servidores AAA, asigne los servidores RADIUS de Purple tanto a Autenticación como a Contabilidad.

Paso 4: Configurar el perfil de política

1. Vaya a Configuración > Etiquetas y perfiles > Política > + Añadir.
2. En Políticas de acceso, asigne la VLAN 20 (o su VLAN de invitados designada).
3. En Avanzado, habilite Allow AAA Override y NAC State.
4. Asigne la lista de métodos de contabilidad de Purple.

El equivalente en CLI:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Paso 5: Configurar iPSK para despliegues multiinquilino o de IoT

Para iPSK, la configuración de la WLAN difiere de la configuración de invitados. La WLAN utiliza WPA2-PSK con el filtrado MAC habilitado, y el perfil de política tiene activo AAA Override para aceptar la PSK y la VLAN por cliente desde el servidor RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

El servidor RADIUS (configurado en Purple o en su plataforma RADIUS) devuelve los siguientes atributos por grupo de inquilinos:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

Buenas prácticas

El cumplimiento de los estándares establecidos garantiza la estabilidad, la seguridad y el cumplimiento normativo en todo su despliegue.

Obligue a una validación estricta de certificados. Al desplagar 802.1X, configure los dispositivos cliente a través de MDM para que confíen explícitamente en la autoridad de certificación de su servidor RADIUS y especifique el nombre de servidor esperado. No hacerlo deja a los clientes vulnerables a ataques de puntos de acceso no autorizados (rogue access points), en los que un atacante presenta un certificado fraudulento para capturar credenciales. Este es un requisito indispensable, no una recomendación.

Aísle el tráfico de invitados en la capa de red. El WiFi de invitados debe terminar en una VLAN dedicada que esté protegida por un cortafuegos de todos los recursos corporativos. PCI DSS 4.0 exige que los entornos de datos de titulares de tarjetas estén aislados de las redes públicas. Un invitado en la VLAN 20 no debe tener ruta hacia la red corporativa en la VLAN 10.

Utilice iPSK para dispositivos IoT, no MAC Authentication Bypass. Las direcciones MAC se transmiten en texto plano y son fáciles de suplantar. iPSK proporciona seguridad criptográfica para dispositivos sin pantalla (headless). Para obtener orientación sobre cómo interactúan los dispositivos de visualización e IoT con los protocolos inalámbricos, consulte Qué es la visualización inalámbrica: protocolos y buenas prácticas para 2026 .

Defina unas condiciones de uso claras. Su Captive Portal debe presentar un acuerdo de condiciones de uso antes de permitir el acceso. Este es un requisito de GDPR para la recopilación de datos y una necesidad legal para las políticas de uso de la red. Para redes de personal interno, consulte Términos y condiciones del WiFi para el personal: aspectos legales y de cumplimiento esenciales .

Despliegue redundancia RADIUS. Configure siempre un servidor RADIUS principal y otro secundario. Purple proporciona dos direcciones IP de servidor para este fin. Un único fallo en el servidor RADIUS impedirá todos los inicios de sesión de invitados.

Resolución de problemas y mitigación de riesgos

Incluso con una configuración cuidadosa, la integracicuando surjan problemas. Aborde los modos de fallo más comunes de forma sistemática antes de escalar el caso.

Problema: Los invitados se conectan pero no aparece la página de bienvenida.

Este es el problema más común. La ACL de preautenticación está bloqueando el DNS. Sin DNS, el cliente no puede resolver la solicitud HTTP inicial y el sistema operativo no activará el mini-navegador del Captive Portal. Verifique que el puerto UDP 53 esté permitido hacia sus servidores DNS en la ACL del walled garden. En la WLC, ejecute show wireless client summary para confirmar que el cliente se encuentra en un estado Webauth Pending en lugar de Run.

Problema: Los clientes iPSK no se conectan o terminan en la VLAN incorrecta.

La VLAN especificada en Tunnel-Private-Group-ID no existe en la WLC, o los atributos cisco-av-pair están mal formados. Ejecute debug radius all en la WLC para inspeccionar la respuesta RADIUS sin procesar. Verifique que el ID de VLAN esté creado en Configuration > Layer 2 > VLAN > VLAN List.

Problema: Los clientes del personal con 802.1X no se autentican de forma intermitente.

Esto suele deberse a un tiempo de espera agotado (timeout) del servidor RADIUS o a un problema de confianza del certificado en el cliente. Revise los registros del servidor RADIUS en busca de mensajes Access-Reject. En los clientes Windows, verifique que el perfil de WiFi esté configurado para validar el certificado del servidor y que especifique la CA de confianza correcta.

Problema: La WLC no procesa el CoA de Purple.

El secreto compartido de CoA debe coincidir con el secreto compartido de RADIUS configurado en la WLC. En IOS-XE 17.4 y versiones posteriores, la clave CoA se configura por separado del secreto compartido. Verifique que ambos coincidan con los valores del portal de Purple.

ROI e impacto empresarial

La transición de redes PSK básicas a una arquitectura estructurada y basada en la identidad con Purple ofrece resultados comerciales medibles en los sectores de Hostelería , Retail , Sanidad y Transporte .

En primer lugar, esta arquitectura elimina el coste operativo de gestionar contraseñas compartidas. Cuando un empleado se marcha, se revoca su certificado. No es necesario cambiar una contraseña global y actualizar cada dispositivo de las instalaciones. En segundo lugar, la integración con el Captive Portal de Purple convierte un centro de costes de TI en un generador de ingresos. La plataforma de Purple recopila datos de origen (first-party data) conformes con la normativa en cada inicio de sesión, lo que permite realizar campañas de marketing automatizadas y análisis de visitantes. Con 29.000 millones de puntos de datos recopilados en toda la red de Purple (datos internos de Purple), la plataforma ofrece información práctica sobre el comportamiento de los visitantes, el tiempo de permanencia y las tasas de retorno.

Para los operadores de recintos que realizan encuestas para conocer la satisfacción de los visitantes, la plataforma de Purple se integra directamente con los flujos de trabajo de investigación. Consulte Diseño de una encuesta: guía práctica para recintos para obtener orientación sobre cómo estructurar encuestas eficaces en recintos distribuidas a través del Captive Portal.

Al integrar el hardware de nivel empresarial de Cisco con la capa en la nube de Purple, se obtiene una red segura y escalable que contribuye activamente a los objetivos comerciales del recinto. Purple cuenta con la certificación ISO 27001, cumple con GDPR y CCPA, y tiene las certificaciones Cyber Essentials y B Corp, satisfaciendo así los requisitos de cumplimiento de los equipos de compras de las grandes empresas.