iPSK ff: una guía completa para empresas
iPSK ff (Identity Pre-Shared Key) es el estándar de autenticación WiFi definitivo para entornos multiinquilino, ya que ofrece una contraseña única para cada residente en un único SSID, con asignación dinámica de VLAN y aislamiento de Capa 2. Esta guía cubre la arquitectura técnica, los pasos de implementación y el caso comercial para promotores inmobiliarios, operadores de BTR y propietarios que despliegan WiFi gestionado a escala.
Escuchar esta guía
Ver transcripción del podcast
Resumen ejecutivo
Para los operadores de Build-to-Rent (BTR), los promotores inmobiliarios y los propietarios de edificios de viviendas multifamiliares (MDU), el WiFi ya no es un servicio complementario. Es el servicio básico que los residentes evalúan antes de firmar un contrato de alquiler. Los enfoques tradicionales fallan a gran escala: las redes PSK compartidas exponen los dispositivos de un residente a todos los vecinos, la autenticación 802.1X Enterprise bloquea los dispositivos domésticos inteligentes en los que confían los residentes, y un router físico en cada vivienda genera graves interferencias de radiofrecuencia (RF) que reducen la velocidad de todo el edificio.
Identity PSK (iPSK) resuelve estos tres problemas. Emite una contraseña de WiFi única para cada hogar en una única red para todo el edificio. Cada contraseña se asigna a una VLAN aislada, creando una burbuja de WiFi privada por residente. Los dispositivos dentro de la burbuja se descubren entre sí - los teléfonos transmiten a los televisores, las consolas se conectan a Internet, los altavoces inteligentes responden a los comandos de voz - mientras permanecen completamente invisibles para los vecinos. Purple ofrece esto como una capa en la nube independiente del hardware, que se ejecuta en puntos de acceso Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. El resultado es un incremento en el precio del alquiler de entre 15 y 30 libras por unidad al mes, periodos de desocupación de entre cinco y diez días más cortos, y una reducción del 30 al 50 % en los costes de conectividad por puerta en comparación con los contratos de banda ancha individuales (datos internos de Purple, 2025).
Análisis técnico detallado
Qué hace realmente iPSK
iPSK (Identity Pre-Shared Key) - conocido como MPSK por HPE Aruba, DPSK por Ruckus y ePSK por Cambium y Juniper Mist - permite que un único SSID acepte miles de contraseñas diferentes simultáneamente. Cada contraseña es única para un residente o un hogar. La red utiliza esa contraseña como una señal de identidad, no solo como una clave de acceso.
Cuando se conecta el dispositivo de un residente, el punto de acceso (AP) no se limita a comprobar si la contraseña es correcta. Reenvía la solicitud de autenticación a un servidor RADIUS (Remote Authentication Dial-In User Service). El servidor RADIUS valida la contraseña con el perfil del residente y devuelve un mensaje de Access-Accept que contiene atributos de política específicos; lo más importante, el identificador de VLAN asignado a ese residente. A continuación, el AP etiqueta todo el tráfico de ese dispositivo con la VLAN correcta, colocándolo dentro del segmento de red aislado del residente.
Esta asignación dinámica de VLAN es el mecanismo que crea la burbuja de WiFi por residente. El teléfono, el ordenador portátil y la Smart TV del Residente A comparten la misma VLAN y pueden comunicarse libremente utilizando protocolos de multidifusión y difusión (mDNS para AirPlay y Chromecast, SSDP para DLNA). Los dispositivos del Residente B se encuentran en una VLAN completamente separada y son invisibles para el Residente A, a pesar de que ambos hogares comparten los mismos puntos de acceso físicos.
Por qué 802.1X no funciona para entornos residenciales
IEEE 802.1X es el estándar de oro para la autenticación de redes empresariales. Requiere que cada dispositivo presente un nombre de usuario y contraseña o un certificado digital a un servidor RADIUS a través de un intercambio EAP (Extensible Authentication Protocol). El problema en los entornos residenciales es la compatibilidad de los dispositivos. Las bombillas inteligentes, los asistentes de voz, las videoconsolas y la mayoría de los sensores IoT no incluyen un suplicante 802.1X. No pueden participar en un intercambio EAP. Forzar 802.1X en una red residencial significa que los residentes no podrán conectar sus dispositivos domésticos inteligentes, lo que genera una avalancha de llamadas de soporte y una insatisfacción significativa de los residentes.
iPSK utiliza WPA2-Personal o WPA3-Personal a nivel de cliente, algo que todos los dispositivos de consumo admiten. La lógica de identidad de nivel empresarial se ejecuta completamente en el backend entre el AP y el servidor RADIUS, de forma invisible para el dispositivo que se conecta.
Flujo de autenticación en detalle
La siguiente secuencia describe lo que ocurre desde el momento en que se conecta el dispositivo de un residente:
- El dispositivo transmite una solicitud de sondeo (probe request) y se asocia con el SSID.
- El dispositivo envía su frase de contraseña durante el saludo de cuatro vías de WPA2/WPA3.
- El AP intercepta la frase de contraseña y construye un RADIUS Access-Request, que incluye la dirección MAC del dispositivo y la frase de contraseña como un atributo Cisco AV-Pair (
psk-modeypsk-password). - El servidor RADIUS en la nube (el RADIUS-as-a-Service de Purple) valida la frase de contraseña en la base de datos de residentes.
- Si el proceso tiene éxito, el servidor RADIUS devuelve un Access-Accept con el VLAN ID, la política de QoS y el perfil de ancho de banda para ese residente.
- El AP asigna el dispositivo a la VLAN especificada y completa la asociación.
- El dispositivo recibe una dirección IP del alcance DHCP para esa VLAN y se conecta dentro de su segmento aislado.
Toda la secuencia se completa en menos de 500 milisegundos y es transparente para el residente.
Notas de implementación del fabricante
El concepto principal está estandarizado, pero las implementaciones de los fabricantes difieren en la nomenclatura y la gestión de atributos. Cisco Meraki utiliza los Cisco AV-Pairs psk-mode y psk-password. HPE Aruba ClearPass utiliza su propio conjunto de atributos MPSK. Ruckus SmartZone admite DPSK de forma nativa sin un servidor RADIUS para despliegues más pequeños, aunque se recomienda la integración con RADIUS para cualquier propiedad de más de 50 unidades. La capa de RADIUS en la nube de Purple abstrae estas diferencias, presentando una única interfaz de gestión independientemente del hardware subyacente.
-
Guía de implementación
Paso 1: Diseño de subredes y VLAN
En un entorno BTR de alta densidad, prevea de 15 a 25 dispositivos por unidad. Una subred /24 estándar (254 direcciones útiles) agotará rápidamente su grupo DHCP en un edificio con más de diez unidades. Utilice subredes /20 o /21 para sus VLAN de cliente. Asegúrese de que los tiempos de concesión de DHCP estén configurados correctamente - normalmente de ocho a 12 horas para residenciales, pero más cortos para entornos de huéspedes de paso como hoteles o apartamentos con servicios.
Diseñe una VLAN independiente para los dispositivos IoT de gestión del edificio (sistemas de entrada de puertas, CCTV, sensores HVAC). Esto mantiene la infraestructura operativa aislada del tráfico de los residentes y simplifica las auditorías de seguridad.
Paso 2: Ubicación de los puntos de acceso y planificación de RF
Retire los routers de las unidades individuales antes de desplegar los AP gestionados. Coloque AP de nivel empresarial en pasillos, zonas comunes y salas de instalaciones para proporcionar cobertura sin penetrar en las unidades individuales. Utilice un estudio de RF profesional para determinar la densidad de AP. Para un edificio residencial típico con construcción de hormigón estándar, un AP por cada dos a cuatro unidades es un punto de partida razonable, pero compruébelo siempre con un estudio del emplazamiento.
Configure los AP para priorizar las bandas de 5GHz y 6GHz. Reserve los 2.4GHz para los dispositivos IoT heredados que no puedan conectarse a bandas superiores. Active la orientación de banda para dirigir automáticamente los dispositivos compatibles a las bandas más rápidas.
Paso 3: Automatización de la gestión del ciclo de vida de las claves
No gestione las claves manualmente. Integre su sistema de gestión de propiedades (PMS) o proveedor de identidad (IdP) con su infraestructura RADIUS. Cuando se firme un nuevo contrato de arrendamiento, el sistema debe generar automáticamente una iPSK única y enviarla por correo electrónico al residente. Al mudarse, la clave debe revocarse al instante. La plataforma de Purple actúa como esta capa de orquestación, integrándose con Microsoft Entra ID, Okta y Google Workspace, así como con las principales plataformas de PMS. Esta automatización elimina la sobrecarga de trabajo manual que hace que los despliegues de iPSK a gran escala sean inviables desde el punto de vista operativo sin las herramientas adecuadas.
Paso 4: Gestión de la aleatorización de direcciones MAC
Los sistemas operativos modernos utilizan la aleatorización de direcciones MAC por defecto por razones de privacidad. iOS 14 y versiones posteriores, Android 10 y versiones posteriores, y Windows 11 aleatorizan la dirección MAC al conectarse a nuevas redes. Dado que iPSK depende de las direcciones MAC para la búsqueda de identidad en algunas implementaciones, una MAC aleatoria puede causar fallos de autenticación o impedir la asignación de VLAN.
La mitigación recomendada es configurar el portal de registro para indicar a los residentes que desactiven la opción "Dirección privada" (iOS) o "MAC aleatoria" (Android) para el SSID del edificio. Alternativamente, implemente un flujo de trabajo de preregistro en el que el residente se autentique a través de un portal web en su primera conexión, vinculando la dirección MAC actual de su dispositivo a su perfil. El portal de autoservicio de Purple gestiona esto automáticamente.
Paso 5: Gestión de dispositivos en autoservicio
Los residentes añaden nuevos dispositivos con regularidad. Proporcione un portal de autoservicio o una app donde los residentes puedan registrar nuevas direcciones MAC, ver los dispositivos conectados y restablecer su frase de contraseña sin tener que ponerse en contacto con la administración del edificio. El portal para residentes de Purple gestiona esto, reduciendo los tickets de soporte hasta en un 60% en comparación con las redes gestionadas manualmente (datos internos de Purple, 2025).
Buenas prácticas
Para maximizar la eficacia de su despliegue de iPSK, siga estas recomendaciones estándar del sector:
Aplique el aislamiento de Capa 2 a nivel de SSID. Configure el bloqueo peer-to-peer en el SSID, anulándolo únicamente para los dispositivos dentro de la misma VLAN asignada. Esto garantiza que la PAN funcione correctamente y evita el tráfico entre residentes en la capa inalámbrica, no solo en la capa de enrutamiento.
Diseñe para la redundancia de RADIUS. Su red es tan fiable como su infraestructura RADIUS. Despliegue servidores RADIUS primarios y secundarios en diferentes zonas de disponibilidad o centros de datos. Configure el WLC con los temporizadores de failover adecuados - normalmente de tres a cinco segundos antes de cambiar al servidor secundario.
Supervise el estado de la RF de forma continua. Incluso con menos AP que en un diseño de un router por unidad, supervise la utilización de los canales y la interferencia cocanal. Utilice las herramientas analíticas de RF integradas en Cisco Meraki, HPE Aruba Central o Juniper Mist AI para detectar y resolver las interferencias de forma automática.
Cúmplase con el GDPR y las normas de protección de datos. iPSK en sí es un mecanismo de autenticación de red, no una herramienta de recopilación de datos. Sin embargo, los datos de identidad que almacena en su base de datos RADIUS (nombres de residentes, direcciones de correo electrónico, direcciones MAC de dispositivos) son datos personales en virtud del GDPR. Asegúrese de que sus políticas de retención de datos, mecanismos de consentimiento y acuerdos de procesamiento de datos estén implementados antes de la puesta en marcha. Purple cuenta con las certificaciones GDPR, CCPA, ISO 27001 y Cyber Essentials.
Pruebe su flota de dispositivos IoT antes de la puesta en marcha. La mayoría de los dispositivos IoT funcionan correctamente con iPSK, pero algunos dispositivos más antiguos presentan peculiaridades en torno al protocolo de enlace WPA2-PSK. Realice una prueba de compatibilidad previa al despliegue, especialmente para cualquier hardware personalizado o heredado, como sistemas de control de acceso antiguos o sensores de gestión de edificios.
Para obtener una perspectiva más amplia sobre cómo estructurar su red para el tráfico de invitados, personal e IoT, consulte nuestra guía sobre Tres SSIDs para dominarlos a todos: invitado, Passpoint e IoT WiFi .
Resolución de problemas y mitigación de riesgos
Tiempos de espera de autenticación agotados
Si el servidor RADIUS tarda en responder, el WLC puede desconectar al cliente antes de que se complete el protocolo de enlace. Supervise la latencia de respuesta de RADIUS y asegúrese de que se mantiene por debajo de 200 ms. Si utiliza un servicio RADIUS en la nube, verifique la estabilidad del enlace ascendente WAN y configure el almacenamiento en caché local de RADIUS cuando el hardware lo admita.
Agotamiento de DHCP
Si los dispositivos se conectan pero no reciben una dirección IP, su subred es demasiado pequeña o los tiempos de concesión son demasiado largos. Supervise la utilización del grupo DHCP y amplíe el alcance antes de que alcance el 80% de su capacidad. En un edificio de 200 viviendas con 25 dispositivos por vivienda, necesita un mínimo de 5.000 direcciones disponibles - una subred /19 proporciona 8.190 direcciones útiles y le ofrece margen de crecimiento.
Problemas de roaming
En un entorno con varios puntos de acceso, asegúrese de que 802.11k (informes de vecinos), 802.11v (gestión de transición BSS) y 802.11r (transición rápida BSS) estén habilitados para ayudar al roaming de los clientes. Si un dispositivo pierde la conexión al moverse entre AP, verifique que la VLAN exista y esté correctamente configurada en modo trunk en todos los switches y puntos de acceso. Un error común es configurar la VLAN en el WLC pero olvidar añadirla al puerto trunk en el switch de distribución.
La aleatorización de direcciones MAC causa fallos de autenticación
Si los residentes informan de desconexiones intermitentes, especialmente después de que su dispositivo haya estado inactivo, la aleatorización de direcciones MAC es la causa más probable. Revise sus registros RADIUS en busca de mensajes de Access-Reject de direcciones MAC desconocidas. Implemente el flujo de trabajo de preregistro descrito en el Paso 4 de la guía de implementación.
ROI e impacto empresarial
La implementación de iPSK transforma el WiFi de un coste hundido a un activo estratégico para los operadores de BTR y promotores inmobiliarios.
Incremento del alquiler. El WiFi gestionado como un servicio incluido permite un incremento en el precio del alquiler de 15 a 30 libras al mes por vivienda en el mercado BTR del Reino Unido (datos internos de Purple, 2025). En una promoción de 200 viviendas, esto representa entre 36.000 y 72.000 libras de ingresos anuales adicionales.
Reducción de periodos de desocupación. La experiencia "Instant-On" - donde un residente recibe su clave exclusiva antes del día de la mudanza y está conectado en el momento en que llega - reduce los periodos de desocupación de cinco a diez días. Con un alquiler medio mensual de 1.500 libras por vivienda, esto supone evitar pérdidas de 250 a 500 libras por desocupación.
Menores costes de hardware. Eliminar los routers individuales de 200 viviendas elimina el coste de capital de 200 dispositivos de consumo (normalmente de 50 a 100 libras cada uno) y los costes indirectos de soporte continuo para gestionarlos. Los AP empresariales colocados en los pasillos cuestan más por unidad pero dan cobertura a varias viviendas, reduciendo significativamente el número total de dispositivos.
Menores costes indirectos de soporte. El aprovisionamiento y la revocación automatizados de claves, combinados con la gestión de dispositivos en modo autoservicio, reducen los tickets de soporte relacionados con el WiFi hasta en un 60% (datos internos de Purple, 2025). Para un equipo de gestión inmobiliaria que gestiona 500 viviendas, esto representa una reducción significativa de los costes operativos.
Analítica y datos. La plataforma de WiFi Analytics de Purple proporciona información sobre la utilización de la red, las horas de mayor uso y la densidad de dispositivos por planta. Estos datos sirven para tomar decisiones sobre la ubicación de los AP, el aprovisionamiento de ancho de banda y la inversión en futuras infraestructuras. Para obtener más información sobre cómo la plataforma de Guest WiFi de Purple admite implementaciones multi-inquilino, incluido el conjunto completo de funciones para la incorporación de residentes y la gestión del ciclo de vida, visite nuestras páginas de productos dedicadas.
Para lecturas relacionadas sobre los modelos de implementación de PPSK y cómo se comparan con iPSK en las diferentes implementaciones de proveedores, consulte nuestra guía sobre PPSK usm kubang kerian: comparación de características y modelos de implementación .
Definiciones clave
iPSK (Identity Pre-Shared Key)
Un método de autenticación inalámbrica que asigna una contraseña única a cada usuario o dispositivo en un único SSID. La contraseña actúa como una señal de identidad, lo que activa la asignación dinámica de VLAN y la aplicación de políticas por usuario a través de un servidor RADIUS.
El modelo de autenticación principal para WiFi residencial multiinquilino, que sustituye tanto a la PSK compartida como a 802.1X en entornos con flotas de dispositivos mixtas.
VLAN (Virtual Local Area Network)
Una subred lógica que agrupa dispositivos de diferentes ubicaciones físicas en un único dominio de difusión, aislando su tráfico de otras VLAN en la misma infraestructura física.
El mecanismo que crea el aislamiento por residente en una implementación de iPSK. La clave única de cada residente se asigna a un ID de VLAN específico devuelto por el servidor RADIUS.
RADIUS (Remote Authentication Dial-In User Service)
Un protocolo de red que proporciona una gestión centralizada de Autenticación, Autorización y Contabilización (AAA). En una implementación de iPSK, el servidor RADIUS valida la contraseña y devuelve la asignación de VLAN.
La inteligencia de backend en una implementación de iPSK. Purple proporciona RADIUS-as-a-Service, eliminando la necesidad de alojar esta infraestructura por cuenta propia.
PAN (Private Area Network)
Un segmento de red virtualizado y aislado creado para un residente específico, que permite que sus dispositivos se descubran y se comuniquen entre sí mediante mDNS y SSDP, permaneciendo invisibles para otros residentes en la misma infraestructura física.
El beneficio para el residente del aislamiento de VLAN de iPSK. Permite el funcionamiento de AirPlay, Chromecast y el descubrimiento de dispositivos domésticos inteligentes dentro de la burbuja del residente.
Aleatorización de direcciones MAC
Una función de privacidad en iOS 14+, Android 10+ y Windows 11 que cambia periódicamente la dirección MAC del dispositivo para evitar el seguimiento en las redes.
Un desafío operativo importante para las implementaciones de iPSK. Las MAC aleatorizadas pueden causar fallos de autenticación si el servidor RADIUS utiliza direcciones MAC para la identificación de dispositivos.
Dispositivo headless (sin interfaz)
Un dispositivo conectado a la red sin una interfaz de usuario tradicional (pantalla o teclado), como una bombilla inteligente, un sensor ambiental o un dongle de streaming.
Estos dispositivos no pueden navegar por portales cautivos ni admiten la autenticación mediante certificados 802.1X, lo que convierte a iPSK en el único método de autenticación viable para ellos.
Aislamiento de Capa 2
Una configuración de seguridad de red que evita que los dispositivos de la misma subred o SSID se comuniquen directamente entre sí en la capa de enlace de datos.
Esencial en implementaciones multiinquilino para evitar que un residente acceda a los dispositivos de otro, incluso si se encuentran en la misma infraestructura física.
BTR (Build-to-Rent)
Desarrollos residenciales construidos específicamente para ser diseñados y gestionados para el alquiler a largo plazo, normalmente con una gestión de propiedad profesional y servicios compartidos.
El mercado principal para las implementaciones gestionadas de WiFi con iPSK en el sector residencial del Reino Unido. Los operadores de BTR tratan el WiFi como un servicio gestionado incluido en el alquiler.
RADIUS-as-a-Service
Una infraestructura RADIUS alojada en la nube que gestiona la autenticación, autorización y contabilización sin requerir que el operador despliegue y gestione servidores RADIUS locales.
Purple proporciona RADIUS-as-a-Service como parte de su plataforma Multi-Tenant WiFi, compatible con hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.
Ejemplos prácticos
Una promoción de BTR de 300 unidades está experimentando graves problemas de rendimiento WiFi. Los residentes se quejan de velocidades lentas y conexiones caídas. La configuración actual utiliza una red PSK estándar con routers de consumo individuales en cada piso. El operador del edificio quiere actualizar a una solución gestionada sin reemplazar el cableado estructurado existente.
El edificio sufre una interferencia masiva de co-canal causada por 300 routers no gestionados que transmiten simultáneamente en canales de 2.4GHz y 5GHz superpuestos. El plan de remediación es el siguiente. Primero, realizar un estudio de radiofrecuencia (RF) para identificar las peores zonas de interferencia y determinar la ubicación óptima de los AP en pasillos y zonas comunes. Segundo, desplegar AP de clase empresarial - Cisco Meraki MR46 o HPE Aruba AP-505 son adecuados para un entorno de pasillo residencial - conectados al cableado estructurado existente. Tercero, configurar un único SSID para todo el edificio con autenticación iPSK, utilizando el RADIUS-as-a-Service de Purple como motor de identidad. Cuarto, integrar Purple con el sistema de gestión de propiedades (PMS) para generar automáticamente iPSK únicas para cada residente y enviárselas por correo electrónico antes de la mudanza. Quinto, configurar tres VLAN: Residente (una por hogar), IoT (compartida para dispositivos de gestión del edificio) y Gestión (para la administración de los AP). Sexto, retirar los routers de consumo individuales de cada piso. El resultado esperado es una reducción del 60 - 80% en los tickets de soporte, la eliminación de la interferencia de co-canal y una mejora medible en las puntuaciones de satisfacción de los residentes.
Una cadena minorista con 80 sucursales necesita conectar terminales de punto de venta (POS), tabletas del personal, señalización digital y el WiFi para invitados de los clientes a la misma infraestructura inalámbrica física sin comprometer el cumplimiento de PCI-DSS. El equipo de TI quiere evitar la transmisión de múltiples SSID, lo que degrada el rendimiento WiFi.
Desplegar iPSK en un único SSID corporativo en las 80 sucursales. Generar cuatro categorías de iPSK: una para terminales POS, otra para tabletas del personal, otra para señalización digital y otra para el acceso de invitados de clientes. Configurar el servidor RADIUS para devolver diferentes ID de VLAN según la iPSK utilizada. VLAN 10: Terminales POS - restringido para enrutar el tráfico solo al rango de IP de la pasarela de pago. VLAN 20: Tabletas del personal - VLAN corporativa general con acceso a internet y enrutamiento de aplicaciones internas. VLAN 30: Señalización digital - restringido al servidor de gestión de contenidos. VLAN 40: Invitado de cliente - acceso solo a internet con un Captive Portal para la captura de datos, gestionado a través de la plataforma de Guest WiFi de Purple. Aplicar el aislamiento de Capa 2 entre todas las VLAN a nivel de WLC y switch. Para el cumplimiento de PCI-DSS, documente la segmentación de VLAN en su diagrama de red e inclúyala en su evaluación anual de QSA. El diseño de un único SSID elimina la penalización de rendimiento de múltiples SSID y simplifica el entorno de RF en las 80 sucursales.
Preguntas de práctica
Q1. Está diseñando la red WiFi para un bloque de alojamiento de estudiantes de 500 camas. El cliente desea la máxima seguridad, pero insiste en que los estudiantes deben poder conectar sus consolas PlayStation y Xbox sin ninguna configuración manual. ¿Qué modelo de autenticación recomienda y por qué?
Sugerencia: Considere las capacidades de las videoconsolas en relación con la autenticación basada en certificados y la navegación por portales cautivos.
Ver respuesta modelo
Recomiende iPSK. Aunque 802.1X ofrece la máxima seguridad para dispositivos corporativos gestionados, las consolas de juegos no incluyen un suplicante 802.1X y no pueden participar en un intercambio EAP. Tampoco pueden navegar de forma fiable por los Captive Portals. iPSK proporciona la seguridad necesaria mediante la asignación dinámica de VLAN y el aislamiento de Capa 2, al tiempo que permite que las consolas se conecten mediante una contraseña estándar WPA2-Personal, exactamente como lo harían en casa. Cada estudiante recibe una clave única, sus dispositivos están aislados de los dispositivos de otros estudiantes y el equipo de TI puede revocar el acceso al instante si es necesario.
Q2. El responsable de TI de un hotel informa que los huéspedes que utilizan la nueva red iPSK se desconectan con frecuencia y se ven obligados a volver a autenticarse, especialmente cuando utilizan dispositivos modernos iPhone y Android. Los registros de RADIUS muestran un gran volumen de mensajes Access-Reject de direcciones MAC que no se encuentran en el almacén de identidades. ¿Cuál es la causa más probable y cómo la resolvería?
Sugerencia: Piense en cómo los sistemas operativos móviles modernos gestionan sus identificadores de hardware para proteger la privacidad del usuario en diferentes redes.
Ver respuesta modelo
La causa es la aleatorización de direcciones MAC. iOS 14+ y Android 10+ aleatorizan la dirección MAC del dispositivo al conectarse a nuevas redes y la rotan periódicamente a partir de entonces. Dado que el servidor RADIUS utiliza la dirección MAC para identificar el dispositivo y buscar el iPSK asociado, una dirección MAC rotada da como resultado un Access-Reject. La resolución consiste en implementar un flujo de trabajo de preregistro: en la primera conexión, el huésped se autentica a través de un portal web, que vincula su dirección MAC actual a su perfil. Además, indique a los huéspedes que desactiven la opción "Dirección privada" para el SSID del hotel en la configuración de su dispositivo. El portal de incorporación de huéspedes de Purple automatiza ambos pasos.
Q3. Está implementando iPSK en una promoción de BTR de 200 viviendas. Seis meses después de la puesta en marcha, los residentes de las viviendas 150-200 notifican desconexiones intermitentes al moverse entre plantas. Los registros de RADIUS muestran una autenticación correcta, pero los dispositivos pierden la conectividad durante el movimiento. ¿Cuál es la causa más probable y cómo la resolvería?
Sugerencia: La autenticación RADIUS se está realizando correctamente, por lo que el problema no está en la capa de identidad. Concéntrese en lo que sucede después de la autenticación cuando un dispositivo se mueve entre puntos de acceso.
Ver respuesta modelo
El problema es un fallo de roaming en la capa inalámbrica. Aunque la autenticación RADIUS se realiza correctamente, el dispositivo no está realizando la transición de forma limpia entre los AP. Compruebe que 802.11k (informes de vecinos), 802.11v (gestión de transición BSS) y 802.11r (transición rápida BSS) están habilitados en el SSID. Verifique también que las VLAN de los residentes estén correctamente conectadas en troncal (trunk) a todos los switches y AP en las plantas 4 y 5; una causa común de la pérdida de conectividad post-roaming es una VLAN que existe en la WLC pero falta en la configuración troncal de un switch de distribución específico. Utilice los registros de roaming de clientes de la WLC para identificar a qué AP se está moviendo el dispositivo y si la transferencia de VLAN se está completando correctamente.
Continúe leyendo esta serie
Uu PPSK pdf: comparación de características y modelos de despliegue
Esta guía de referencia técnica compara la arquitectura WiFi PPSK (Private Pre-Shared Key) con los despliegues tradicionales de 802.1X y PSK estándar. Proporciona a los arquitectos de red y a los responsables de TI estrategias de implementación neutras respecto al proveedor para entornos multiinquilino residenciales, IoT y BTR.
Uu PPSK 2023: comparación de características y modelos de despliegue
Esta guía de referencia técnica compara la arquitectura WiFi Unique per-User Private Pre-Shared Key (UU PPSK) frente a los despliegues tradicionales de PSK compartido y 802.1X, con un enfoque específico en el panorama de 2023 de las implementaciones de proveedores y las capacidades de las plataformas. Proporciona a los promotores inmobiliarios, operadores de BTR y arrendadores de MDU estrategias de despliegue prácticas, orientación sobre arquitectura de VLAN y flujos de trabajo automatizados para la gestión del ciclo de vida. La guía cubre tres modelos de despliegue, casos de estudio del mundo real y las implicaciones de cumplimiento de cada enfoque de autenticación.
PPSK xaverius: comparación de características y modelos de implementación
Esta guía autorizada analiza la arquitectura PPSK xaverius para entornos multi-inquilino como Build to Rent y residencias de estudiantes. Compara los modelos de implementación, detalla las estrategias de ejecución y explica cómo el aislamiento de VLAN por unidad ofrece una experiencia de WiFi doméstica manteniendo la seguridad empresarial.