Logo iPSK: la guía completa para empresas
Esta guía explica cómo la tecnología Identity Pre-Shared Key (iPSK) resuelve el principal desafío de seguridad en entornos WiFi de múltiples inquilinos: ofrecer aislamiento de nivel empresarial y control por usuario sin comprometer la compatibilidad con dispositivos IoT, consolas de videojuegos y tecnología para el hogar inteligente. Cubre la arquitectura técnica completa, las estrategias de implementación y el caso de negocio para promotores inmobiliarios, operadores de BTR y equipos de TI de hostelería.
Escuchar esta guía
Ver transcripción del podcast
Resumen ejecutivo
Ofrecer un servicio de WiFi seguro y de alto rendimiento en entornos multi-inquilino - como propiedades de alquiler de obra nueva (BTR), residencias de estudiantes y establecimientos de hostelería - presenta un conflicto fundamental. Las contraseñas compartidas estándar (WPA2-Personal) ofrecen la sencillez que requieren los dispositivos inteligentes, pero carecen de la seguridad y el control necesarios para las redes empresariales. Por el contrario, la autenticación Enterprise (802.1X) proporciona una seguridad sólida, pero suele fallar a la hora de admitir los dispositivos IoT "sin pantalla" y las videoconsolas de los que dependen los residentes actuales.
Identity Pre-Shared Key (iPSK) resuelve este conflicto. Al asignar una contraseña de WiFi única y fácil de gestionar a cada usuario o dispositivo individual en un único nombre de red (SSID) compartido, iPSK ofrece la seguridad y el control por usuario de una red empresarial con la experiencia fluida "como en casa" de un router doméstico. Esta guía detalla la arquitectura técnica, las estrategias de implantación y los beneficios comerciales de implementar Logo iPSK, proporcionando pautas prácticas para responsables de TI y operadores de establecimientos que deseen desplegar un sistema de WiFi multi-inquilino seguro y escalable.
Purple opera en más de 80.000 establecimientos activos y ha procesado 440 millones de inicios de sesión en 2024 (datos internos de Purple). Nuestra solución de WiFi multi-inquilino funciona como una capa de nube independiente del hardware, compatible con toda la gama de puntos de acceso empresariales que su equipo ya gestiona.
Análisis técnico detallado: comprensión de la arquitectura iPSK
En esencia, iPSK reduce la distancia entre la sencillez de consumo y el control empresarial mediante el uso de la autenticación dinámica RADIUS para gestionar claves precompartidas estándar de forma individual por usuario.
El flujo de autenticación
En una red WPA2-PSK tradicional, el punto de acceso valida la contraseña del cliente de forma local frente a una única clave configurada globalmente. En un despliegue de iPSK, el punto de acceso delega esta validación en un servidor de autenticación central. La secuencia se desarrolla de la siguiente manera.
En primer lugar, el dispositivo del usuario intenta conectarse al SSID compartido utilizando su contraseña iPSK única y provista. En segundo lugar, el controlador inalámbrico intercepta el intento de conexión y envía una solicitud RADIUS Access-Request al servidor de autenticación - como Cisco ISE, HPE Aruba ClearPass o el RADIUS en la nube de Purple. Esta solicitud suele incluir la dirección MAC del cliente y la contraseña introducida. En tercer lugar, el servidor RADIUS consulta su base de datos para verificar las credenciales. Es importante destacar que no se limita a devolver un resultado binario de aceptación o rechazo. Una vez realizada la autenticación con éxito, el servidor RADIUS devuelve un mensaje Access-Accept con atributos específicos del fabricante - como los Cisco AV-Pairs. Estos atributos asignan dinámicamente al cliente a una red de área local virtual (VLAN) específica, aplican perfiles de calidad de servicio (QoS) y aplican límites de ancho de banda.
La red de área privada (PAN)
La ventaja operativa más significativa de iPSK en entornos multiinquilino es la creación de la red de área privada (PAN). En una promoción inmobiliaria de alquiler para construir (BTR), cientos de residentes se conectan a los mismos puntos de acceso físicos. Sin aislamiento, esto plantea un riesgo de seguridad considerable. Sin embargo, aplicar un aislamiento de capa 2 generalizado - típico en las redes de Guest WiFi - interrumpe los protocolos de detección de dispositivos como mDNS y Bonjour. Esto evita que el smartphone de un residente se comunique con su propio Chromecast, altavoz Sonos o impresora inalámbrica.
iPSK soluciona este problema asignando la clave única de cada residente a una VLAN específica y aislada. Los dispositivos autenticados con la clave del Residente A se colocan en la VLAN 101. El aislamiento de capa 2 se desactiva dentro de esta VLAN, lo que permite la detección y comunicación fluida entre dispositivos, reproduciendo la experiencia de una red doméstica privada. Los dispositivos autenticados con la clave del Residente B se colocan en la VLAN 102. Se aplica un aislamiento estricto entre las VLAN. El Residente A no puede ver ni interactuar con los dispositivos del Residente B, lo que garantiza una privacidad absoluta en toda la infraestructura compartida.
Terminología de los fabricantes
Aunque las normas IEEE 802.11 y los protocolos RADIUS subyacentes siguen siendo los mismos, los fabricantes de hardware empresarial utilizan una terminología diferente para esta tecnología. Cisco utiliza Identity PSK (iPSK) o Personal Private Network. HPE Aruba utiliza Multi-PSK (MPSK). Ruckus utiliza Dynamic PSK (DPSK). El concepto y el flujo de autenticación son idénticos en los tres casos. La plataforma de Purple unifica estas diferencias, proporcionando una única capa de gestión para el hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.
Guía de implementación: despliegue de iPSK
La implementación de iPSK requiere una coordinación cuidadosa entre su infraestructura inalámbrica, su Proveedor de Identidad (IdP) y su capa de orquestación de red.
1. Preparación de la infraestructura
Asegúrese de que sus controladores inalámbricos y puntos de acceso admitan la asignación dinámica de VLAN a través de RADIUS. La plataforma de Purple se integra como una superposición en la nube independiente del hardware, compatible con la lista de hardware canónico mencionada anteriormente. También debe diseñar su estrategia de direccionamiento IP para gestionar una alta densidad de dispositivos. Un apartamento BTR típico puede albergar entre 15 y 25 dispositivos conectados. Por lo tanto, un edificio de 200 unidades requiere ámbitos DHCP dimensionados para entre 3.000 y 5.000 dispositivos simultáneos. Asegúrese de que sus máscaras de subred tengan el tamaño adecuado - un pool de VLAN por residente de /22 o /21 es un punto de partida habitual.
2. Integración con el Proveedor de Identidad
La gestión manual de claves no es escalable. Su implementación de iPSK debe integrarse con el Proveedor de Identidad de su organización, como Microsoft Entra ID, Okta o Google Workspace. Cuando se añade un nuevo residente al IdP - por ejemplo, al firmar un contrato de alquiler - la capa de orquestación genera automáticamente una clave iPSK única y aprovisiona el perfil RADIUS correspondiente. Cuando el contrato finaliza, el IdP activa la capa de orquestación para revocar la clave al instante, finalizando el acceso a la red sin afectar a ningún otro residente.
Para los operadores de hostelería, se aplica la misma lógica a través del Property Management System. Purple se integra directamente con las principales plataformas de PMS para automatizar la generación de claves en el check-in y su revocación en el check-out.
3. Incorporación de usuarios
La experiencia de incorporación debe ser sencilla. Facilite la clave iPSK al residente antes de su llegada mediante un correo electrónico o SMS automatizado. Para los dispositivos IoT sin interfaz de usuario, proporcione un portal de autoservicio donde los residentes puedan registrar manualmente las direcciones MAC de los dispositivos que carecen de ella - termostatos inteligentes, impresoras inalámbricas, videoconsolas - asegurando que se ubiquen en la Private Area Network correcta.
Para analizar más a fondo la arquitectura de SSID junto con iPSK, consulte nuestra guía sobre tres SSIDs para gobernarlos a todos: invitados, Passpoint y IoT WiFi .
Buenas prácticas
Automatice el ciclo de vida. Nunca gestione las claves iPSK de forma manual. Confíe en el aprovisionamiento y la revocación automatizados vinculados directamente a su IdP o Property Management System. La capa de orquestación de Purple gestiona este proceso de extremo a extremo.
Implemente la limitación de MAC. Configure el servidor RADIUS para restringir el número máximo de direcciones MAC simultáneas permitidas por cada clave iPSK única. Esto evita que una sola clave se comparta en toda una planta.
Segmente al personal y a los residentes. No mezcle al personal operativo y a los residentes en la misma red lógica. Utilice iPSK para asignar dinámicamente los dispositivos del personal a una VLAN administrativa dedicada con acceso a los sistemas de gestión del edificio, mientras restringe las VLAN de los residentes al acceso exclusivo a internet. Standardise on WPA3. Where client hardware supports it, deploy WPA3-Personal alongside iPSK to benefit from Simultaneous Authentication of Equals (SAE), which protects against offline dictionary attacks. WPA3 is defined under IEEE 802.11-2020 and is the current industry standard for new deployments.
Plan for DHCP lease management. Implement aggressive DHCP lease times - four to eight hours - to quickly reclaim IP addresses from transient devices and prevent exhaustion in high-density environments.
Troubleshooting and risk mitigation
IP address exhaustion. High device density in multi-tenant environments rapidly consumes available IP addresses, preventing new devices from connecting. Implement short DHCP lease times and use large subnets (e.g., /22 or /21) for resident VLANs. Monitor DHCP pool utilisation via your WiFi Analytics dashboard.
mDNS flooding. In large deployments, multicast DNS traffic from thousands of IoT devices can degrade overall wireless performance. Ensure your wireless controllers are configured to drop mDNS traffic that attempts to cross VLAN boundaries. The Private Area Network architecture inherently limits mDNS propagation to the individual resident's VLAN.
RADIUS latency. Slow response times from the RADIUS server cause client authentication timeouts and a poor user experience. Use geographically distributed, highly available cloud RADIUS infrastructure. Purple guarantees 99.999% uptime (Purple SLA data), ensuring reliable authentication regardless of venue location.
Firmware compatibility. Not all access point firmware versions support dynamic VLAN assignment via RADIUS. Before deployment, verify that your hardware is running a firmware version that supports the full iPSK feature set, including AAA Override and dynamic VLAN assignment.
ROI and business impact
Treating WiFi as a managed amenity rather than a utility transforms the commercial model for multi-tenant operators.
| Metric | BTR Benchmark | Source |
|---|---|---|
| Rent premium per unit per month | £15-30 | British Property Federation sector research |
| Reduction in void period | 5-10 days | BTR sector operator benchmarks |
| Per-door cost vs. per-unit broadband | 30-50% lower | Purple deployment data |
| Amenity ranking in tenant surveys | Top 5 | BTR and PBSA booking research |
For IT teams, iPSK dramatically reduces support tickets. You eliminate the "my console won't connect" calls because iPSK supports headless devices natively. You eliminate the manual password rotations when a resident moves out. For venue operators, it turns WiFi from a cost centre into a value driver.
La solución de WiFi multi-tenant de Purple funciona como una superposición en la nube en su hardware empresarial existente. Gestionamos la autenticación RADIUS, la gestión del ciclo de vida de las claves y la incorporación de residentes, lo que le permite ofrecer una red fluida basada en la identidad sin la sobrecarga administrativa. Purple cuenta con la certificación ISO 27001, cumple con el GDPR y tiene la certificación Cyber Essentials.
Para los operadores de hostelería , iPSK elimina la queja más común de los huéspedes - el inicio de sesión recurrente en el Captive Portal - a la vez que mantiene la seguridad y las capacidades de captura de datos de una plataforma gestionada de Guest WiFi . Para entornos de retail , iPSK protege las redes del personal y de los dispositivos IoT en un único SSID sin la complejidad de la gestión de certificados 802.1X. Para entornos del sector sanitario , iPSK aísla los dispositivos médicos IoT sensibles en su propia VLAN a la vez que proporciona una conectividad privada y sencilla para pacientes y visitantes. Para los centros de transporte , iPSK se adapta a la alta densidad de dispositivos de las terminales de pasajeros, manteniendo el aislamiento por sesión.
Definiciones clave
Identity Pre-Shared Key (iPSK)
Un método de seguridad inalámbrica que permite utilizar múltiples contraseñas únicas en un único nombre de red compartido (SSID), con cada contraseña vinculada a políticas de usuario específicas a través de un servidor RADIUS. Cisco utiliza el término iPSK; HPE Aruba utiliza MPSK; Ruckus utiliza DPSK.
Cuando los equipos de TI necesitan proteger una red compartida sin comprometer la compatibilidad con dispositivos IoT y consolas de videojuegos, y cuando se requiere la revocación por usuario sin la complejidad de los certificados 802.1X.
Private Area Network (PAN)
Un segmento de red aislado y asignado dinámicamente - normalmente una VLAN - creado para un usuario o unidad familiar individual. Los dispositivos dentro de la PAN pueden comunicarse entre sí a través de mDNS y protocolos de Capa 2, mientras permanecen aislados de todos los demás usuarios en la misma infraestructura física.
Clave para entornos multi-inquilino donde los residentes esperan que sus impresoras inalámbricas, altavoces inteligentes y dispositivos de streaming funcionen de forma segura, tal como lo harían en un router doméstico privado.
RADIUS
Remote Authentication Dial-In User Service. Un protocolo de red que proporciona una gestión centralizada de autenticación, autorización y contabilidad (AAA) para los usuarios que se conectan a un servicio de red. Definido en RFC 2865.
El motor de backend que hace posible iPSK al validar las claves únicas, devolver asignaciones de VLAN específicas y aplicar políticas de ancho de banda por usuario.
mDNS Reflection
Un servicio de red que permite que el tráfico DNS multicast - utilizado por protocolos como Apple Bonjour y Google Cast para la detección de dispositivos - funcione dentro de segmentos de red específicos, lo que permite que los dispositivos se encuentren entre sí sin un servidor DNS tradicional.
Necesario para que los residentes puedan transmitir Netflix desde su teléfono a su smart TV, o para que un portátil detecte una impresora inalámbrica, a través de la infraestructura WiFi compartida del edificio.
Aislamiento de Capa 2
Un ajuste de seguridad que evita que los dispositivos conectados al mismo punto de acceso o VLAN se comuniquen directamente entre sí en la capa de enlace de datos.
Utilizado en redes de invitados para proteger a los usuarios entre sí, pero debe gestionarse con cuidado en despliegues iPSK para permitir que los propios dispositivos de un residente interactúen dentro de su PAN mientras permanecen aislados de otros residentes.
Captive Portal
Una página web que un usuario debe ver e interactuar con ella antes de que se le conceda acceso a una red WiFi pública. Normalmente se utiliza para la aceptación de condiciones, autenticación o captura de datos.
Una fuente común de fricción para los residentes a largo plazo e incompatible con dispositivos IoT sin pantalla. iPSK se implementa para eliminar la necesidad de inicios de sesión recurrentes en el Captive Portal en entornos residenciales y de hostelería.
Dispositivo sin pantalla
Un dispositivo conectado a la red que carece de una pantalla tradicional o interfaz de navegador web, como un termostato inteligente, una impresora inalámbrica, una consola de videojuegos o un altavoz inteligente.
Estos dispositivos no pueden navegar por los Captive Portal ni por las solicitudes de certificados 802.1X, lo que convierte a iPSK en el único método viable de autenticación empresarial segura para ellos.
WPA3-Personal
La última generación de seguridad WiFi estándar, definida bajo IEEE 802.11-2020, que utiliza la autenticación simultánea de iguales (SAE) para reemplazar el intercambio de claves precompartidas y proteger contra ataques de diccionario fuera de línea.
Debe desplegarse junto con iPSK para proporcionar el nivel más alto de cifrado para los dispositivos cliente compatibles, especialmente en propiedades de nueva construcción donde el hardware lo soporte.
VLAN (Virtual Local Area Network)
Un segmento lógico de red que agrupa dispositivos independientemente de su ubicación física, proporcionando aislamiento de tráfico y límites de seguridad dentro de una infraestructura de red física compartida.
El mecanismo mediante el cual iPSK crea redes de área privada por residente. La clave única de cada residente es asignada a un ID de VLAN específico por el servidor RADIUS.
Ejemplos prácticos
Una propiedad de Build to Rent de 250 unidades está experimentando un alto volumen de incidencias de soporte de TI porque los residentes no pueden conectar sus televisiones inteligentes, consolas de videojuegos y impresoras inalámbricas a la red WPA2-Enterprise del edificio. El equipo de TI necesita una solución que mantenga la seguridad de nivel empresarial y la revocación por usuario sin requerir que los residentes configuren certificados.
Migrar el SSID de los residentes de WPA2-Enterprise (802.1X) a una arquitectura iPSK. Integrar el sistema de gestión de propiedades (PMS) con el RADIUS en la nube de Purple a través de la aplicación Purple. Configurar el servidor RADIUS para asignar dinámicamente la clave única de cada residente a una VLAN dedicada, creando una red de área privada por apartamento. Habilitar la reflexión mDNS dentro de la VLAN de cada residente para que las televisiones inteligentes, impresoras y consolas de videojuegos puedan ser descubiertas por el teléfono o portátil del residente. Los residentes conectan sus dispositivos utilizando su clave única - presentada como una solicitud de contraseña estándar WPA2/WPA3 - sin necesidad de configurar certificados. Cuando un residente se muda, el PMS activa a Purple para revocar instantáneamente la clave, finalizando todo acceso sin afectar a otros residentes.
Un hotel de 150 habitaciones quiere eliminar los inicios de sesión diarios en el Captive Portal para los huéspedes, que causan fricción y rompen la conectividad de los dispositivos de streaming, sin volver a una única contraseña compartida e insegura para todo el establecimiento. El hotel también quiere asegurarse de que cuando un huésped realice el check-out, su acceso WiFi se interrumpa de inmediato.
Implementar iPSK integrado con el sistema de gestión de propiedades (PMS) del hotel. Al realizar el check-in, el PMS activa a Purple para generar una clave WiFi única y enviarla al huésped por correo electrónico o SMS. El huésped conecta sus dispositivos una sola vez utilizando esta clave. El servidor RADIUS asigna al huésped a una VLAN aislada durante la duración de su estancia. Al realizar el check-out, el PMS activa a Purple para revocar instantáneamente la clave. Los dispositivos del huésped pierden la conectividad de inmediato. El hotel mantiene un SSID de WiFi para invitados independiente para los visitantes del vestíbulo utilizando un flujo de Captive Portal estándar, manteniendo los dos casos de uso arquitectónicamente separados.
Preguntas de práctica
Q1. Su propiedad BTR actualmente utiliza WPA2-Enterprise (802.1X). Los residentes se quejan de que no pueden conectar sus consolas PlayStation 5 ni sus dispositivos Amazon Echo a la red. El equipo de TI ha confirmado que los dispositivos funcionan correctamente. ¿Cuál es el cambio arquitectónico más seguro y escalable para resolver esto?
Sugerencia: Considere las capacidades de autenticación de las consolas de videojuegos sin pantalla y los altavoces inteligentes frente a los requisitos de seguridad empresarial.
Ver respuesta modelo
Migre el SSID de residentes de WPA2-Enterprise a Identity PSK (iPSK). Las consolas de videojuegos y los altavoces inteligentes carecen del software suplicante necesario para procesar certificados 802.1X o solicitudes complejas de usuario y contraseña. iPSK ofrece la solicitud de contraseña simple de WPA2/WPA3 que requieren estos dispositivos, mientras que el servidor RADIUS mantiene la seguridad de nivel empresarial, la asignación dinámica de VLAN y la revocación por usuario. La clave única del residente mapea sus dispositivos a una VLAN dedicada, creando una Red de Área Privada que permite el descubrimiento de dispositivos a la vez que los aísla de otros residentes.
Q2. Está implementando iPSK en un bloque de alojamiento para estudiantes de 500 unidades. Durante las pruebas, observa que, aunque los dispositivos se conectan correctamente, el Residente A puede transmitir vídeos de YouTube al televisor inteligente del Residente B en el piso de abajo. ¿Qué configuración falta?
Sugerencia: Revise cómo gestiona el servidor RADIUS la autorización después de validar las credenciales, y cómo el controlador aplica la política devuelta.
Ver respuesta modelo
El servidor RADIUS no está asignando VLAN únicas por usuario, o el controlador inalámbrico no está aplicando el aislamiento de Capa 2 entre esas VLAN. La respuesta Access-Accept de RADIUS debe incluir los atributos específicos del proveedor - como Cisco AV-Pairs o Tunnel-Private-Group-ID - para asignar dinámicamente al Residente A y al Residente B a VLAN separadas. Sin esto, todos los residentes caen en el mismo dominio de difusión y el tráfico mDNS se cruza entre ellos. Verifique que AAA Override esté habilitado en la WLAN y que el perfil RADIUS incluya los atributos de asignación de VLAN correctos.
Q3. Un operador de instalaciones desea implementar iPSK pero planea generar y enviar por correo electrónico de forma manual las claves únicas utilizando una hoja de cálculo maestra actualizada por el personal de recepción cada semana. ¿Por qué este enfoque es fundamentalmente erróneo y qué debería reemplazarlo?
Sugerencia: Considere la sobrecarga operativa y las implicaciones de seguridad de la gestión manual del ciclo de vida de las credenciales a gran escala.
Ver respuesta modelo
La gestión manual de claves no es escalable e introduce graves riesgos de seguridad. Los retrasos en las actualizaciones manuales significan que los antiguos residentes conservan el acceso a la red mucho tiempo después de mudarse, lo que genera una exposición de seguridad significativa. Los nuevos residentes experimentan retrasos para conectarse, lo que perjudica la experiencia de mudanza. La implementación debe integrar la capa de orquestación de red directamente con el Proveedor de Identidad - como Microsoft Entra ID o Okta - o con el Sistema de Gestión de Propiedades para automatizar la generación de claves en el momento de la mudanza y la revocación instantánea en el momento de la salida. Esto elimina el error humano, garantiza una revocación sin retrasos y elimina la carga administrativa continua del personal de recepción.
Q4. Una propiedad BTR de 300 unidades ha implementado iPSK con éxito. A los seis meses, los residentes informan de fallos de conectividad intermitentes en los que sus dispositivos no pueden obtener una dirección IP. El hardware inalámbrico funciona correctamente. ¿Cuál es la causa más probable?
Sugerencia: Considere la relación entre la densidad de dispositivos, la duración del arrendamiento de DHCP y el tamaño del grupo de direcciones IP.
Ver respuesta modelo
La causa más probable es el agotamiento del grupo de direcciones DHCP. Con 15 a 25 dispositivos por hogar, un edificio de 300 unidades puede tener de 4.500 a 7.500 dispositivos simultáneos. Si los alcances de DHCP se dimensionaron para una menor densidad de dispositivos, o si los tiempos de arrendamiento son demasiado largos - permitiendo que los dispositivos que ya se han marchado retengan las direcciones - el grupo se agotará. La solución consiste en revisar y ampliar el tamaño de la subred DHCP (pasando a /21 o /20 por grupo de VLAN si es necesario) y reducir los tiempos de arrendamiento de DHCP a entre cuatro y ocho horas para garantizar una rápida recuperación de direcciones de los dispositivos transitorios o desconectados.
Continúe leyendo esta serie
PPSK WPA3: comparación de características y modelos de implementación
Esta guía de referencia técnica compara PPSK y WPA3-SAE, explicando sus diferencias arquitectónicas y modelos de implementación para entornos multi-inquilino. Ofrece orientación práctica para directores de TI y promotores inmobiliarios sobre cómo lograr redes WiFi seguras y aisladas utilizando las soluciones basadas en identidad de Purple.
PPSK en la práctica: comparación de funciones y modelos de implementación
Esta guía compara PPSK (Private Pre-Shared Key) con PSK estándar y 802.1X, detallando los modelos de implementación para entornos multi-inquilino. Equipa a los directores de IT y operadores de propiedades para implementar un WiFi seguro y aislado para los residentes, que admita dispositivos domésticos inteligentes y genere un valor comercial medible.
PPSK: comparación de características y modelos de implementación
Esta guía técnica detalla la implementación de arquitecturas de Clave Precompartida Privada (PPSK) y Clave Precompartida de Identidad (iPSK) en entornos de alta densidad multiinquilino. Proporciona estrategias de implementación prácticas para promotores inmobiliarios y directores de TI para proteger las redes de los residentes, admitir dispositivos IoT y generar un ROI positivo a través de WiFi gestionado.