iPSK para el sector residencial multifamiliar: una guía completa para empresas

Resumen ejecutivo

Para los operadores de Build-to-Rent (BTR), los promotores inmobiliarios y los propietarios de MDU, el WiFi ya no es un servicio complementario. Es el servicio básico que los residentes evalúan antes de firmar un contrato de alquiler. Los enfoques tradicionales fallan a gran escala: las redes PSK compartidas exponen los dispositivos de un residente a todos los vecinos, la autenticación 802.1X Enterprise bloquea los dispositivos domésticos inteligentes de los que dependen los residentes, y un router físico en cada vivienda crea graves interferencias de radiofrecuencia (RF) que reducen la velocidad de todo el edificio.

Identity PSK (iPSK) resuelve estos tres problemas. Emite una contraseña de WiFi única para cada hogar en una única red para todo el edificio. Cada contraseña se asocia a una VLAN aislada, creando una "burbuja de WiFi" privada para cada residente. Los dispositivos dentro de la burbuja se descubren entre sí (los teléfonos transmiten a los televisores, las consolas se conectan a Internet, los altavoces inteligentes responden a comandos de voz) mientras permanecen completamente invisibles para los vecinos. Purple ofrece esto como una capa de software en la nube independiente del hardware, que se ejecuta en los puntos de acceso Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet que ya posee. El resultado es un incremento en el alquiler de entre 15 y 30 libras por vivienda al mes, periodos de desocupación entre 5 y 10 días más cortos y una reducción del 30-50 % en los costes de conectividad por vivienda en comparación con los contratos de banda ancha individuales.

Análisis técnico detallado

Qué hace realmente iPSK

iPSK (Identity Pre-Shared Key) - conocido como PPSK por HPE Aruba, Personal Private Network por Cisco Meraki, y ePSK por Cambium y Juniper Mist - permite que un único SSID acepte miles de contraseñas diferentes simultáneamente. Cada contraseña es única para un residente u hogar. La red utiliza esa contraseña como una señal de identidad, no solo como una clave de acceso.

Cuando el dispositivo de un residente se conecta, el punto de acceso (AP) no se limita a comprobar si la contraseña es correcta. Reenvía la solicitud de autenticación a un servidor RADIUS (Remote Authentication Dial-In User Service). El servidor RADIUS valida la contraseña con el perfil del residente y devuelve un mensaje Access-Accept que contiene atributos de política específicos; el más importante es el VLAN ID asignado a ese residente. A continuación, el AP etiqueta todo el tráfico de ese dispositivo con la VLAN correcta, situándolo dentro del segmento de red aislado del residente.

Esta asignación dinámica de VLAN es el mecanismo que crea la burbuja de WiFi por residente. El teléfono, el ordenador portátil y la smart TV del Residente A comparten la misma VLAN y pueden comunicarse libremente utilizando protocolos de multidifusión y difusión (mDNS para AirPlay y Chromecast, SSDP para DLNA). Los dispositivos del Residente B se encuentran en una VLAN completamente independiente y son invisibles para el Residente A, aunque ambos hogares compartan los mismos puntos de acceso físicos.

Por qué 802.1X no funciona para entornos residenciales

IEEE 802.1X es el estándar de oro para la autenticación en redes empresariales. Requiere que cada dispositivo presente un nombre de usuario y contraseña o un certificado digital a un servidor RADIUS a través de un intercambio EAP (Extensible Authentication Protocol). El problema en los entornos residenciales es la compatibilidad de los dispositivos. Las bombillas inteligentes, los asistentes de voz, las consolas de videojuegos y la mayoría de los sensores de IoT no incluyen un suplicante 802.1X. No pueden participar en un intercambio EAP. Forzar 802.1X en una red residencial significa que los residentes no podrán conectar sus dispositivos domésticos inteligentes, lo que genera una oleada de llamadas de soporte y una insatisfacción significativa de los residentes.

iPSK utiliza WPA2 o WPA3 a nivel de cliente, algo que todos los dispositivos de consumo admiten. La lógica de identidad de nivel empresarial se ejecuta completamente en el backend entre el AP y el servidor RADIUS, de forma invisible para el dispositivo de conexión.

El flujo de autenticación en detalle

La siguiente secuencia describe lo que ocurre desde el momento en que se conecta el dispositivo de un residente:

1. El dispositivo transmite una solicitud de sondeo y se asocia con el SSID.
2. El dispositivo envía su contraseña durante el protocolo de acuerdo de cuatro vías de WPA2/WPA3.
3. El AP intercepta la contraseña y construye un Access-Request de RADIUS, que incluye la dirección MAC del dispositivo y la contraseña como un atributo Cisco AV-Pair (psk-mode y psk-password).
4. El servidor RADIUS en la nube (el RADIUS-as-a-Service de Purple) valida la contraseña con la base de datos de residentes.
5. Si se realiza correctamente, el servidor RADIUS devuelve un Access-Accept con el ID de VLAN, la política de QoS y el perfil de ancho de banda para ese residente.
6. El AP asigna el dispositivo a la VLAN especificada y completa la asociación.
7. El dispositivo recibe una dirección IP del ámbito DHCP para esa VLAN y se conecta dentro de su segmento aislado.

Toda la secuencia se completa en menos de 500 milisegundos y es transparente para el residente.

Notas de implementación de proveedores

El concepto central está estandarizado, pero las implementaciones de los proveedores difieren en cuanto a terminología y configuración:

La capa RADIUS en la nube de Purple abstrae estas diferencias de los proveedores, ofreciendo una única interfaz de gestión independientemente del hardware subyacente.

-

Guía de implementación

Paso 1: Segmentación de red y direccionamiento IP

Las redes residenciales de alta densidad exigen una planificación cuidadosa de las subredes. Un hogar típico conecta entre 15 y 25 dispositivos. Un edificio de 200 viviendas puede albergar entre 3.000 y 5.000 dispositivos simultáneos en las horas punta. Una subred /24 estándar proporciona 254 direcciones IP utilizables, lo cual es insuficiente incluso para una sola planta.

Utilice subredes /20 o /21 para las VLAN de clientes. Una subred /20 proporciona 4.094 direcciones utilizables; una subred /21 proporciona 2.046. Asigne una VLAN de gestión dedicada para su infraestructura de red, una VLAN independiente para los sistemas IoT del edificio (control de accesos, CCTV, climatización) y VLAN residenciales individuales gestionadas de forma dinámica por el servidor RADIUS.

Habilite el aislamiento de clientes entre VLAN a nivel de AP, pero asegúrese de permitir la comunicación intra-VLAN para que los dispositivos dentro de la misma burbuja de residente puedan comunicarse libremente.

Paso 2: Integración de RADIUS-as-a-Service

El RADIUS en la nube de Purple elimina la necesidad de desplegar y mantener una infraestructura RADIUS local. Configure sus AP para que apunten a los endpoints RADIUS de Purple (primario y secundario para redundancia). Purple funciona con un tiempo de actividad del 99,999 %, lo que garantiza la disponibilidad de la autenticación incluso durante las ventanas de mantenimiento.

Para las propiedades que utilizan Microsoft Entra ID o Okta como proveedor de identidad, Purple se integra a través de SCIM (System for Cross-domain Identity Management) para sincronizar los perfiles de los residentes de forma automática. Esto significa que cuando se añade o elimina a un residente en su proveedor de identidad, su iPSK se aprovisiona o revoca sin intervención manual.

Paso 3: Automatización del ciclo de vida del inquilino

La eficiencia operativa de iPSK depende de la integración con su sistema de gestión de propiedades (PMS). El flujo de trabajo debe ser el siguiente:

Al firmar el contrato: El PMS activa una llamada API a Purple. Purple genera un iPSK único para la vivienda, lo almacena en el perfil del residente y envía por correo electrónico la contraseña al residente. No se requiere intervención manual de TI.

Al mudarse: El residente conecta sus dispositivos utilizando la contraseña enviada por correo electrónico. Todos los dispositivos se ubican inmediatamente en su VLAN aislada. La experiencia es idéntica a la configuración de un router de banda ancha doméstico.

Durante el contrato: El residente utiliza la aplicación de Purple para añadir nuevos dispositivos, comprobar el estado de la conectividad y gestionar su red. Los dispositivos IoT sin interfaz de usuario (enchufes inteligentes, sensores) se pueden registrar por dirección MAC a través del portal de autoservicio.

Al mudarse: El PMS activa una llamada API de revocación. Purple invalida inmediatamente el iPSK del residente. Ningún otro residente se ve afectado. La VLAN de la vivienda queda libre y lista para el próximo residente.

Paso 4: Planificación de RF y ubicación de los puntos de acceso

Reemplazar los routers por unidad con una red gestionada reduce drásticamente el número de transmisores de radio en el edificio. En un edificio de 200 unidades, eliminar 200 routers domésticos elimina una fuente significativa de interferencia de canal compartido. Despliegue AP de clase empresarial en pasillos o en ubicaciones específicas dentro de las unidades, buscando una intensidad de señal de -65 dBm o mejor en el punto más lejano de cada unidad.

Para edificios con paredes de hormigón grueso o distribuciones complejas, utilice AP de montaje en pared desplegados dentro de las unidades en lugar de AP montados en los pasillos. Coordine con las herramientas de planificación de RF del proveedor de sus AP (Cisco Meraki RF Planner, Aruba AirMatch, Ruckus SmartRF) para modelar la cobertura antes de la instalación.

-

Buenas prácticas

Gestión del tráfico de difusión (broadcast)

La alta densidad de dispositivos amplifica el tráfico de difusión. Las tramas mDNS, ARP y SSDP de miles de dispositivos pueden consumir una cantidad de tiempo de transmisión significativa. Active la conversión de Multicast a Unicast en sus AP para convertir las tramas de difusión en transmisiones unicast dirigidas. Esto reduce el desperdicio de tiempo de transmisión y mejora la duración de la batería de los dispositivos móviles.

Para mDNS específicamente, despliegue una pasarela o proxy mDNS (disponible de forma nativa en Cisco Meraki, Aruba y Ruckus) para gestionar el descubrimiento de servicios a través de las VLAN donde sea necesario, como para los servicios de impresión en todo el edificio en las zonas comunes.

CGNAT y tipos de NAT para videojuegos

El agotamiento de las direcciones IPv4 en grandes despliegues requiere el uso de NAT de grado de operador (CGNAT). Sin embargo, las configuraciones estrictas de CGNAT interrumpen el tráfico de videojuegos peer-to-peer, lo que resulta en una NAT de tipo estricto o Tipo 3 en consolas PlayStation y Xbox. Configure su pasarela para admitir UPnP (Universal Plug and Play) o PCP (Port Control Protocol) para las VLAN de los residentes. Esto permite que las consolas negocien automáticamente asignaciones de puertos abiertos sin necesidad de reglas de firewall manuales.

Seguridad y conformidad con el GDPR

Los datos de WiFi de los residentes se encuentran en un contexto de privacidad sensible. Los residentes mantienen una relación continua con el operador, y la exposición de datos se prolonga durante años en lugar de minutos. Las consideraciones clave de cumplimiento incluyen:

El aislamiento de residentes como requisito de privacidad: Bajo el GDPR, los operadores tienen el deber de diligencia de evitar que un residente acceda a los datos o dispositivos de otro. El aislamiento de VLAN de iPSK es el mecanismo técnico que satisface este requisito.

Retención de datos: Conserve los registros de conexión WiFi identificables de los residentes solo durante el tiempo que sea operativamente necesario. Seis meses es un límite máximo habitual por motivos de seguridad y cumplimiento.

Residencia de datos: Purple almacena por defecto los datos en infraestructuras ubicadas en la UE, con opciones de residencia de datos específicas para el Reino Unido tras el Brexit. Purple cuenta con las certificaciones ISO 27001, GDPR y Cyber Essentials.

Consentimiento: Los residentes deben aceptar una política de uso aceptable clara durante el proceso de incorporación. El portal de autoservicio de Purple incluye flujos de consentimiento configurables.

-

Casos de estudio reales

Caso de estudio 1: Promoción BTR de 350 unidades

Un promotor inmobiliario que gestionaba un complejo BTR de 350 unidades en una importante ciudad del Reino Unido se enfrentaba a tres problemas: 350 routers de consumo individuales que generaban graves interferencias de RF, una espera media de 72 horas para la activación de la banda ancha que retrasaba las mudanzas y un equipo de soporte que dedicaba el 40 % de su tiempo a incidencias relacionadas con el WiFi.

El operador desplegó el Multi-Tenant WiFi de Purple en todo el edificio utilizando los AP de Cisco Meraki existentes. Purple se integró con el PMS existente de la propiedad a través de la API. Tras la firma del contrato de arrendamiento, los residentes recibieron su iPSK único por correo electrónico. El día de la mudanza, la conectividad fue instantánea. El entorno de RF mejoró significativamente con la retirada de los 350 routers de consumo, y las velocidades medias en todo el edificio aumentaron un 35 %. Las incidencias de soporte relacionadas con el WiFi disminuyeron un 60 % en los primeros tres meses, lo que se atribuyó al portal de gestión de dispositivos en autoservicio y a la eliminación de los problemas de emparejamiento de dispositivos inteligentes.

Caso de estudio 2: Residencia de estudiantes de 1.200 camas

Un proveedor de alojamiento para estudiantes construido para tal fin (PBSA) necesitaba incorporar a 1.200 estudiantes en un solo fin de semana al inicio del año académico. El sistema anterior de PSK compartido requería que el personal distribuyera manualmente hojas de contraseñas y gestionara cientos de llamadas de soporte de estudiantes que no podían conectar sus videoconsolas y televisiones inteligentes.

Con iPSK desplegado a través de Purple en puntos de acceso de HPE Aruba, cada estudiante recibió su contraseña única con su paquete de bienvenida antes de su llegada. Los estudiantes registraron sus dispositivos sin pantalla (consolas, televisiones inteligentes) a través de la aplicación de Purple durante la semana anterior a la mudanza. El fin de semana de llegada, el equipo de TI gestionó menos de 20 llamadas de soporte de conectividad entre los 1.200 estudiantes, una reducción del 94 % en comparación con el año anterior. La configuración del proxy mDNS resolvió todos los problemas de emparejamiento de Chromecast y AirPlay que anteriormente habían generado el mayor volumen de incidencias.

ROI e impacto empresarial

Para los operadores de BTR y MDU, el caso financiero para el WiFi con iPSK gestionado es evidente. La investigación de la British Property Federation y los propios datos de Purple de más de 80.000 centros activos respaldan los siguientes puntos de referencia:

El impacto en los ingresos operativos netos (NOI) se compone de tres vectores: el incremento directo del alquiler, la reducción de la pérdida de ingresos por periodos de desocupación y la reducción de los costes de soporte de TI. En un edificio de 200 unidades con un incremento de £20 por unidad al mes, el aumento de los ingresos anuales es de £48.000. La eliminación de 200 routers de consumo con un coste medio de sustitución de £80 cada uno ahorra £16.000 solo en hardware en un ciclo de cinco años, sin tener en cuenta el ahorro de energía y el tiempo de mantenimiento.

El modelo de precios de Purple es por unidad y por mes, sin contratos de banda ancha vinculados, lo que significa que el operador captura todo el valor del servicio de WiFi en lugar de compartirlo con un ISP externo.

-

Lecturas adicionales

Para temas relacionados con el diseño de redes, consulte Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi y la guía de referencia iPSK: una guía completa para empresas . Para conocer la plataforma subyacente, explore Guest WiFi y WiFi Analytics . Purple presta servicio a operadores de los sectores de Hospitality , Retail , Healthcare y Transport .