Nama iPSK: a comprehensive guide for businesses

Resumen ejecutivo

Gestionar la conectividad en entornos multiinquilino obliga a asumir ciertos compromisos. Si despliega hardware individual por unidad, generará graves interferencias de RF y una pesada carga de mantenimiento de hardware. Si emite SSIDs compartidos, comprometerá la privacidad de los residentes y romperá la compatibilidad con los dispositivos IoT. Identity Pre-Shared Key (iPSK) elimina este dilema. Le permite emitir un único SSID seguro al tiempo que asigna una credencial única a cada unidad de residentes. El servidor RADIUS asocia cada credencial a una VLAN dedicada, creando una Red de Área Privada (PAN) para cada apartamento. Los residentes conectan Smart TVs, consolas de videojuegos y portátiles con la misma sencillez que en una red doméstica. Los equipos de TI mantienen una visibilidad centralizada, asignación dinámica de VLAN y gestión automatizada del ciclo de vida. Esta guía detalla la arquitectura técnica, los pasos de despliegue y los resultados empresariales medibles de la implementación de iPSK para promotores inmobiliarios, operadores de BTR y arrendadores.

Análisis técnico en profundidad: la arquitectura iPSK

Los modelos tradicionales de seguridad de red fallan en los entornos residenciales modernos. El PSK estándar (WPA2-Personal) ofrece cero aislamiento entre unidades y escala con dificultad. WPA3-Enterprise (802.1X) proporciona una seguridad excelente, pero rompe la compatibilidad con dispositivos IoT sin interfaz de usuario y consolas de videojuegos, que no pueden procesar flujos de autenticación basados en certificados.

iPSK soluciona este problema trasladando la lógica de segmentación desde la capa de RF a la capa de autenticación RADIUS. Cada residente recibe una clave precompartida única. Esa clave es el token de identidad. Cuando el servidor RADIUS la valida, asigna simultáneamente al residente a una VLAN dedicada, aislando su tráfico de cualquier otra unidad del edificio.

El flujo de autenticación

Cuando un residente conecta un dispositivo al SSID de todo el edificio, se produce la siguiente secuencia:

Paso 1 - Asociación. El dispositivo se asocia con el punto de acceso utilizando su credencial PSK única. El AP bloquea todo el tráfico excepto las tramas EAPOL (Extensible Authentication Protocol over LAN).

Paso 2 - Solicitud de RADIUS. El AP encapsula la credencial y la reenvía al servidor RADIUS como un paquete Access-Request.

Paso 3 - Evaluación de políticas. El servidor RADIUS valida la clave frente al almacén de identidades. Si coincide, prepara una respuesta Access-Accept que contiene tres atributos estándar de la IETF críticos:

Paso 4 - Asignación dinámica. El AP lee el Tunnel-Private-Group-ID y dirige el tráfico del dispositivo directamente a la VLAN dedicada del residente. El switch de red ascendente gestiona este tráfico como si el residente estuviera conectado físicamente a un puerto dedicado.

Paso 5 - Red de área privada (PAN). Los dispositivos del residente ahora están aislados en la Capa 2. Pueden descubrirse y comunicarse entre sí (mediante reflexión mDNS), pero siguen siendo invisibles para cualquier otra unidad del edificio.

Esta arquitectura garantiza que 200 apartamentos que comparten los mismos puntos de acceso físicos tengan un tráfico completamente aislado. Un residente de la unidad 401 puede transmitir a su Apple TV. No puede ver la impresora de la unidad 402.

Nombres de implementación de los fabricantes

La lógica central de iPSK es consistente en toda la infraestructura de hardware empresarial, aunque la nomenclatura de los fabricantes varía:

Guía de implementación: despliegue de iPSK

El despliegue de iPSK requiere coordinación en toda la infraestructura de red. Siga esta secuencia de despliegue independiente del fabricante.

Fase 1: preparación de la infraestructura de red

Defina su esquema de VLAN antes de tocar cualquier hardware. Para un edificio de 200 unidades, asigne las VLAN de la 101 a la 300, una por apartamento. Cada VLAN necesita su propia subred dedicada y su propio rango de DHCP.

Recomendamos una subred /28 (14 direcciones IP utilizables) por apartamento para dar cabida a la densidad de dispositivos actuales. El residente medio tiene entre siete y diez dispositivos conectados. Una subred /28 proporciona suficiente margen sin desperdiciar espacio de direcciones. Para un edificio de 200 unidades, el bloque de red principal es un /21 (2.048 direcciones IP en total).

Paso crítico: Etiquete todas las VLAN de inquilinos potenciales en los puertos troncales que conectan sus switches de extremo a los puntos de acceso. Si el servidor RADIUS asigna un usuario a la VLAN 105 pero la VLAN 105 no está etiquetada en el puerto del switch, el tráfico se pierde por completo. El usuario se autentica correctamente pero no puede obtener una dirección IP a través de DHCP. Este es el error de despliegue más común en entornos MDU.

Fase 2: configuración del controlador inalámbrico

Configure su controlador inalámbrico para transmitir un único SSID. Establezca el modo de seguridad en WPA2/WPA3 con iPSK o control de acceso basado en MAC habilitado. Dirija todas las solicitudes de autenticación a su servidor RADIUS. Desactive la transmisión de SSID para cualquier red heredada por unidad una vez que se haya validado el SSID de iPSK. Consolidar en un único SSID tiene un beneficio inmediato en el rendimiento de RF. Cada SSID que emite consume tiempo de transmisión con tramas de gestión (beacons, respuestas de sondeo) a la velocidad de datos obligatoria más baja. Eliminar 10 SSID heredados puede recuperar entre el 15 % y el 20 % del tiempo de transmisión disponible, según los datos de despliegue de Purple.

Fase 3: Integración del servidor RADIUS y del proveedor de identidad

Su servidor RADIUS es el motor de políticas. Debe estar configurado para:

1. Aceptar solicitudes de autenticación de sus puntos de acceso (configuración de secreto compartido).
2. Validar credenciales contra su almacén de identidades (Microsoft Entra ID, Okta, Google Workspace o una base de datos local).
3. Devolver el atributo Tunnel-Private-Group-ID correcto para cada credencial.

Purple actúa como la capa de orquestación entre su software de gestión de propiedades (PMS) y el servidor RADIUS. Cuando se firma un contrato de alquiler en su PMS, Purple genera automáticamente una iPSK única, la asocia con la VLAN correcta y envía la credencial por correo electrónico al residente. Cuando el contrato termina, Purple revoca la clave al instante. El equipo de TI no tiene que intervenir para nada.

Fase 4: Configuración del reenvío mDNS

Los residentes esperan funciones de hogar inteligente. Transmitir contenido desde un teléfono a una televisión, imprimir de forma inalámbrica y conectar altavoces inteligentes depende de la detección de mDNS (DNS multidifusión), también conocido como Apple Bonjour o DLNA.

En una red estándar, mDNS se bloquea entre VLAN para evitar la detección de dispositivos entre diferentes inquilinos. Este es el comportamiento correcto. Sin embargo, debe habilitar el reenvío mDNS dentro de cada VLAN individual para que los dispositivos del propio residente puedan descubrirse entre sí. Configure su controlador inalámbrico para reenviar el tráfico mDNS únicamente dentro de los límites de la VLAN de cada inquilino. No habilite el reenvío global de mDNS en todas las VLAN.

Fase 5: Automatización del ciclo de vida y autoservicio

No gestione las claves de forma manual. En una promoción de 200 viviendas con una rotación habitual de inquilinos, la gestión manual de claves introduce errores humanos y genera brechas de seguridad cuando los inquilinos salientes conservan credenciales activas.

La aplicación Purple automatiza todo el ciclo de vida del residente:

• Incorporación: La integración con el PMS activa la generación y el envío de claves antes de la mudanza.
• Alquiler activo: Los residentes utilizan el portal de autoservicio para añadir dispositivos, comprobar velocidades o solicitar una renovación de clave.
• Salida: La fecha de finalización del contrato activa la revocación automática de la clave y el reciclaje de la VLAN.

Buenas prácticas para operadores de BTR

Automatice la incorporación. No gestione las claves de forma manual. Integre su PMS con Purple para activar la generación automática de claves y su envío por correo electrónico antes de que el residente se mude. Esto ofrece la experiencia Instant-On que define a una marca BTR de primer nivel.

Habilite el reenvío mDNS por VLAN. Asegúrese de que la transmisión de contenido y los dispositivos domésticos inteligentes funcionen correctamente dentro de cada PAN. Restrinja mDNS estrictamente a los límites de cada VLAN individual para evitar la detección de dispositivos entre diferentes viviendas. Monitor RF health continuously. Consolidating to a single SSID reduces management frame overhead. Use the reclaimed airtime to optimise channel widths and transmit power. Purple's WiFi Analytics platform provides the visibility to act on this data.

Plan for device density. Design your IP addressing scheme to support peak density without exhausting DHCP pools. Use Purple's multi-tenant iPSK subnet designer to calculate the correct parent network block for your building.

Set certificate renewal alerts. If your RADIUS infrastructure uses server-side certificates, set renewal reminders at 90, 60, and 30 days. An expired certificate drops the entire building offline.

Maintain WPA2 compatibility. Some legacy IoT devices do not support WPA3 transition modes. Keep WPA2 compatibility enabled on the same SSID to avoid breaking older devices.

For a broader view of SSID architecture, read Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi .

Troubleshooting and risk mitigation

The black hole VLAN. Symptom: user authenticates successfully but fails to obtain an IP address. Cause: the assigned VLAN is not tagged end-to-end from the AP through the edge switches to the DHCP server. Resolution: verify trunk port configuration on every switch in the path.

Certificate expiration. Symptom: entire building loses WiFi access simultaneously. Cause: RADIUS server certificate has expired. Resolution: implement automated certificate monitoring with 90-day advance alerts. Consider using Let's Encrypt with automated renewal for RADIUS server certificates.

mDNS not working within a unit. Symptom: resident cannot cast to their TV or discover their printer. Cause: mDNS reflection is disabled globally or not scoped to the resident's VLAN. Resolution: enable per-VLAN mDNS reflection on the wireless controller.

DHCP pool exhaustion. Symptom: devices connect to WiFi but cannot obtain an IP address, despite correct VLAN tagging. Cause: DHCP scope is too small for the number of connected devices. Resolution: expand the subnet to a /27 (30 usable IPs) for high-density units or student accommodation.

Key sharing between residents. Symptom: multiple residents appear on the same VLAN. Cause: a resident has shared their unique PSK with a neighbour. Resolution: implement key rotation policies and educate residents that their key is tied to their unit's network segment.

ROI and business impact

Transitioning to an iPSK architecture delivers measurable business outcomes for BTR operators and landlords.

Reducción de gastos de capital. Eliminar los routers individuales en un edificio de 200 viviendas elimina 200 dispositivos domésticos de la red. Según los datos de implantación de Purple, esto reduce el CapEx de hardware hasta un 40% en comparación con un modelo de router por vivienda. Los puntos de acceso centralizados de calidad empresarial, situados estratégicamente en todo el edificio, ofrecen una mejor cobertura con menos dispositivos.

Reducción de gastos operativos. La gestión automatizada del ciclo de vida elimina el esfuerzo de TI manual asociado al restablecimiento de contraseñas, la resolución de problemas de Captive Portal y la sustitución de hardware. El volumen de incidencias de soporte técnico relacionadas con la conectividad WiFi disminuye significativamente cuando los residentes reciben una credencial de funcionamiento antes de mudarse.

Generación de ingresos. La arquitectura iPSK permite ofrecer paquetes de ancho de banda por niveles. Puede ofrecer un nivel básico incluido en el cargo de servicio y un nivel premium (por ejemplo, un nivel para videojuegos o streaming con velocidades más altas) como complemento opcional. Como iPSK se basa en la identidad, puede mejorar el nivel de velocidad de un residente al instante a través del panel de Purple, sin necesidad de realizar cambios de hardware.

Fidelización de residentes. En el mercado de BTR, la calidad del WiFi se cita sistemáticamente como uno de los tres factores principales en las encuestas de satisfacción de los residentes. La experiencia de encendido instantáneo - donde el WiFi funciona en el momento en que un residente entra por la puerta - favorece directamente la fidelización y las opiniones positivas.

Para obtener un contexto específico de cada sector, explore las guías de Purple para entornos de Hostelería , Retail y Sanidad , o consulte la guía relacionada sobre Logo iPSK: una guía completa para empresas .

Purple se fundó en 2012 y opera en más de 80.000 espacios activos, con 350 millones de usuarios únicos y 440 millones de inicios de sesión registrados en 2024. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA, Cyber Essentials y B Corp.