La guía empresarial para configurar WiFi de invitados: seguridad, segmentación y velocidad

Hable en inglés británico con un tono seguro, autoritario y conversacional, como un consultor sénior de redes que informa a un director de tecnología antes de una reunión del consejo. Ritmo medido, dicción clara, ocasional ingenio seco. Profesional pero no rígido: Bienvenido al informe técnico de Purple. Soy su anfitrión y hoy vamos a tratar un tema que se encuentra justo en la intersección entre un dolor de cabeza para el departamento de TI y una oportunidad de negocio real: la configuración correcta del WiFi de invitados. No la versión de "conecta un router y reza para que funcione". La versión empresarial. La que mantiene contentos a sus auditores, conectados a sus invitados e intacta su red corporativa. [pausa breve] Empecemos con el contexto. El WiFi de invitados ya no es un servicio opcional. Es infraestructura. La plataforma de Purple funciona en más de 80.000 recintos activos, desde hoteles Premier Inn hasta Manchester Airports Group, desde Harrods hasta McDonald's. ¿Y qué es lo único que tienen en común todos y cada uno de estos despliegues? En el momento en que el WiFi de invitados se cae, sufre una brecha de seguridad o no supera una auditoría de conformidad, se convierte en el fallo informático más visible del edificio. Así que asegurémonos de que el suyo no lo sea. [pausa breve] Sección uno: la arquitectura. ¿Qué estamos construyendo realmente? Un despliegue de WiFi de invitados bien diseñado cuenta con tres zonas de red distintas, a veces cuatro. La zona uno es su red de invitados: solo acceso a internet, completamente aislada de su infraestructura corporativa. La zona dos es su red de personal: autenticada, cifrada y con acceso a los recursos internos. La zona tres es su red IoT: sistemas de gestión de edificios, impresoras, sensores, todo ello aislado tanto de los invitados como del personal. Y si trabaja en el sector del comercio minorista o la hostelería, la zona cuatro es su LAN corporativa, que contiene sus sistemas de punto de venta y cualquier elemento que tenga que ver con los datos de los titulares de tarjetas. La palabra clave aquí es aislada. No separada por una contraseña. No en un SSID diferente que resulta que comparte la misma subred. Realmente aislada, en la capa de red, mediante VLAN - Virtual Local Area Networks - con reglas de firewall de estado entre cada zona. [pausa breve] ¿Por qué es esto tan importante? Dos palabras: PCI-DSS. La normativa PCI-DSS - el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago - exige que cualquier red que transporte datos de titulares de tarjetas esté completamente segregada de cualquier red a la que puedan acceder los invitados. Si el WiFi de invitados y sus terminales de punto de venta comparten el mismo segmento de red, toda su infraestructura entra dentro del ámbito de PCI-DSS. Esto se traduce en análisis de vulnerabilidad externos trimestrales, pruebas de penetración anuales y una carga de conformidad que cuesta mucho más que la configuración de la VLAN que decidió omitir. La solución es sencilla. VLAN 10 para invitados. VLAN 20 para el personal. VLAN 30 para IoT. VLAN 1 para su LAN corporativa. Reglas de firewall que denieguen explícitamente cualquier tráfico desde la VLAN 10 a las VLAN 20 y 1. Listo. El alcance de su evaluación de conformidad con PCI-DSS se reduce drásticamente. [pausa breve] Ahora hablemos de cifrado. El estándar que debería implementar hoy en día es WPA3, el estándar Wi-Fi Protected Access 3, ratificado por la Wi-Fi Alliance. WPA3 sustituye a WPA2 y aborda dos vulnerabilidades críticas: elimina el vector de ataque KRACK e introduce la Autenticación Simultánea de Iguales (SAE), que evita los ataques de diccionario sin conexión contra los intercambios de claves (handshakes) capturados. Para las redes de invitados específicamente, vale la pena conocer WPA3 en modo Enhanced Open, también llamado OWE (Opportunistic Wireless Encryption). OWE cifra el tráfico entre cada dispositivo y el punto de acceso sin necesidad de contraseña. Los invitados se conectan sin problemas, pero su tráfico se cifra en tránsito. Se acabó el análisis pasivo de tráfico (sniffing) en redes abiertas. Para la red de sus empleados, lo ideal es utilizar WPA3 Enterprise con autenticación 802.1X. El estándar 802.1X es la norma IEEE para el control de acceso a redes basado en puertos. Utiliza un servidor RADIUS - Remote Authentication Dial-In User Service - para autenticar cada dispositivo de forma individual antes de concederle acceso a la red. El dispositivo presenta las credenciales, el servidor RADIUS las valida con su proveedor de identidad - Microsoft Entra ID, Okta o Google Workspace son las opciones habituales - y solo entonces el punto de acceso abre el puerto. [short pause] Esto nos lleva a los métodos de autenticación. Dentro de 802.1X, dispone de varias variantes de EAP (Extensible Authentication Protocol). EAP-TLS utiliza una autenticación mutua basada en certificados. Tanto el servidor como el cliente presentan certificados. Es la opción más segura y la recomendada para cualquier entorno en el que se desplieguen dispositivos gestionados. EAP-TTLS y PEAP (Protected EAP) utilizan un certificado en el lado del servidor con credenciales de usuario y contraseña del cliente. Son más fáciles de implementar pero ligeramente menos seguros. Para las redes de invitados, no se utiliza 802.1X. Se utiliza un Captive Portal - una página web que intercepta la sesión del navegador del invitado y le obliga a autenticarse antes de concederle acceso a Internet. El Captive Portal es donde entra en juego el GDPR. [short pause] El GDPR - Reglamento General de Protección de Datos - exige que cualquier dato personal que recopile en el Captive Portal tenga una base jurídica. Para la red WiFi de invitados, esa base suele ser casi siempre el consentimiento. Y el consentimiento según el GDPR debe ser libre, específico, informado e inequívoco. Las casillas premarcadas no sirven. Vincular el consentimiento de marketing con el acceso a la red tampoco sirve. Lo que sí sirve es lo que Purple denomina opciones de inclusión de libre elección. El invitado ve una opción clara y sincera: conectarse a la red WiFi y, opcionalmente, marcar esta casilla si desea recibir comunicaciones de marketing. El acceso a la red y el consentimiento de marketing son decisiones independientes. Eso cumple con el GDPR. Además, curiosamente, por eso los datos que recopila son de mayor calidad, porque las personas que decidieron registrarse realmente querían hacerlo. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials. Eso significa que, al implementar Purple como capa de captive portal, el marco de cumplimiento ya está integrado. No empieza de cero. [short pause] Sección dos: el análisis técnico profundo. Hablemos en detalle de hardware e implementación. Purple es independiente del hardware. Se implementa como una superposición de nube en sus puntos de acceso existentes. La lista oficial de hardware cubre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si utiliza alguno de ellos, solo tiene que configurar su SSID de invitados para que apunte al endpoint de RADIUS o del captive portal de Purple, y la plataforma se encargará de la autenticación, la captura de datos y el análisis a partir de ahí. La secuencia de implementación para un hotel o centro de conferencias típico es la siguiente. En primer lugar, configure sus VLAN en el conmutador central. En segundo lugar, cree sus SSID en el controlador inalámbrico: uno para invitados, otro para el personal y otro para IoT. En tercer lugar, asocie cada SSID a su VLAN correspondiente. En cuarto lugar, configure las reglas del cortafuegos para aplicar el aislamiento de zonas. En quinto lugar, apunte su SSID de invitados al captive portal de Purple. En sexto lugar, configure su SSID de personal para que se autentique contra su servidor RADIUS, que a su vez realiza consultas a su proveedor de identidad. Esa es la estructura básica. Los detalles le dan vida. [short pause] En cuanto a la gestión del ancho de banda: las redes de invitados necesitan políticas de QoS (calidad de servicio) para evitar que un solo dispositivo sature el enlace de subida. Un punto de partida sensato es de 10 megabits por segundo de descarga y 5 megabits por segundo de subida por dispositivo, con un límite estricto a nivel de SSID. Para entornos con implementaciones de alta densidad (estadios, centros de conferencias), es recomendable recurrir al band steering para dirigir los dispositivos compatibles a la banda de 5 gigahercios, y potencialmente a la de 6 gigahercios si sus puntos de acceso admiten WiFi 6E. En cuanto a los DNS: la VLAN de invitados debe utilizar un resolutor DNS que filtre los dominios maliciosos. Esto no es opcional si trabaja en el sector sanitario o educativo; es una medida de protección para evitar que su red se utilice para acceder a contenidos nocivos. El complemento Purple Shield proporciona esta función a nivel de plataforma. [short pause] Sección tres: errores de implementación comunes y cómo evitarlos. Primer error: redes planas. Sigo viendo esto en entornos de retail. Un SSID, una subred, los invitados y los terminales de punto de venta en el mismo dominio de difusión. Esto incumple el requisito 1.3 de PCI-DSS, que exige la segmentación de red entre las redes no seguras y el entorno de datos de los titulares de tarjetas. Soluciónelo con VLAN antes de su próxima auditoría QSA. Segundo error: certificados autofirmados en los portales cautivos. Cuando un invitado se conecta a su red y su navegador muestra una advertencia de certificado, o bien hace clic para omitirla (lo que le enseña a ignorar las advertencias de seguridad) o bien se marcha. Utilice un certificado TLS válido de una entidad de certificación reconocida en su captive portal. Let's Encrypt es gratuito. No hay excusa. Tercer error: sin tiempo de espera de sesión. Las sesiones de invitados deben caducar. Un tiempo de espera de sesión de 24 horas es razonable para el sector hotelero. Un tiempo de espera de 4 horas es adecuado para el comercio minorista. Sin un tiempo de espera, un dispositivo conectado hace seis meses todavía tiene una sesión activa y, potencialmente, sigue apareciendo en sus análisis como un "visitante". Cuarto error: falta de registros de acceso. El GDPR y la mayoría de las normativas nacionales de telecomunicaciones exigen conservar los registros de conexión (dirección IP, dirección MAC, marca de tiempo y duración de la sesión) durante un período definido. Purple los conserva automáticamente y los exporta en formatos compatibles con las solicitudes de las fuerzas del orden. Si utiliza un Captive Portal propio, asegúrese de que su registro esté configurado y de que su política de retención esté documentada. [breve pausa] Sección cuatro: preguntas rápidas. ¿Necesito un SSID independiente para los dispositivos IoT? Sí. Los dispositivos IoT son el vector más común para los ataques de movimiento lateral. Aíslelos. ¿Puedo utilizar un único punto de acceso para invitados y personal? Sí, siempre que admita varios SSIDs asignados a diferentes VLANs. La mayoría de los puntos de acceso empresariales lo hacen. Solo asegúrese de que el puerto troncal del conmutador esté configurado correctamente. ¿WPA3 estropea los dispositivos más antiguos? Algunos dispositivos antiguos no son compatibles con WPA3. Configure su SSID en modo de transición WPA2/WPA3 para mantener la compatibilidad con versiones anteriores y ofrecer WPA3 a los dispositivos compatibles. ¿Cuál es la diferencia entre Passpoint y un Captive Portal? Passpoint - también conocido como Hotspot 2.0 - permite que los dispositivos se conecten automáticamente mediante una credencial previamente aprovisionada, sin necesidad de interactuar con un Captive Portal. Es ideal para visitantes frecuentes o miembros de programas de fidelización. Purple es compatible con Passpoint y OpenRoaming, lo que amplía la conexión automática a través de una red federada de establecimientos participantes. [breve pausa] Sección cinco: resumen y próximos pasos. Esto es lo que debería llevarse de esta sesión. Uno: segmente su red. Invitados, personal, IoT y LAN corporativa en VLANs separadas con reglas de firewall explícitas entre ellas. Esto es lo más eficaz que puede hacer por la seguridad y el cumplimiento normativo. Dos: implemente WPA3 donde su hardware lo admita. WPA3 Enterprise para el personal. WPA3 Enhanced Open o un Captive Portal para invitados. Tres: haga que su Captive Portal cumpla con el GDPR. Separe el acceso a la red del consentimiento de marketing. Utilice opciones de aceptación de elección consciente. Conserve los registros de conexión. Cuatro: utilice una capa de nube independiente del hardware como Purple. Le ofrece una experiencia de usuario consistente en todo su patrimonio, independientemente del proveedor de puntos de acceso que utilice. Y convierte su WiFi de invitados de un centro de costes en una fuente de datos de primera mano. Cinco: mídalo. La plataforma de análisis de Purple le ofrece datos de afluencia, tiempo de permanencia, tasas de visitas recurrentes e información demográfica, todo ello derivado de los datos de conexión WiFi. Ese es el tipo de inteligencia que justifica la inversión en infraestructura ante una junta a la que no le importan las VLANs pero sí los ingresos. [breve pausa] Si desea profundizar en cualquiera de estos temas, la guía escrita completa está disponible en el sitio web de Purple. Cubre la configuración de VLAN, la configuración de RADIUS, el mapeo de datos de GDPR y ejemplos prácticos de implementaciones en hostelería, comercio minorista y estadios. Gracias por escuchar el Purple Technical Brief. Nos vemos en el próximo.