Diseño de una arquitectura WiFi multi-inquilino para MDU

Diseño de una arquitectura WiFi multiinquilino para MDU: un informe técnico de Purple. Le damos la bienvenida a la serie de informes técnicos de Purple. Hoy profundizaremos en la arquitectura que sustenta algunas de las implementaciones de WiFi más complejas de los entornos empresariales: el WiFi multiinquilino para edificios de viviendas de múltiples unidades (MDU) y de uso mixto. Tanto si es responsable de un hotel de 300 habitaciones en el que los huéspedes, el personal y los sistemas de gestión del edificio comparten la misma infraestructura física, de un complejo mixto de oficinas y comercios, o de una residencia de estudiantes con cientos de inquilinos independientes, el reto es esencialmente el mismo: ¿cómo ofrecer una conectividad fiable, segura y aislada a múltiples partes independientes a través de una única red física compartida? No se trata de un ejercicio teórico. Las decisiones que tome en la fase de diseño de la arquitectura determinarán directamente su nivel de seguridad, su grado de cumplimiento de normativas como el GDPR y PCI-DSS y, sinceramente, si su servicio de soporte se verá desbordado por las quejas seis meses después de la puesta en marcha. Así que entremos en materia. La base de cualquier arquitectura WiFi multiinquilino es la segmentación de la red, y el mecanismo principal para lograr esa segmentación es el etiquetado VLAN, definido según la norma IEEE 802.1Q. El concepto es sencillo: se asigna a cada inquilino, o a cada clase de tráfico, a una VLAN distinta. El tráfico de la VLAN 10 no puede llegar al tráfico de la VLAN 20 a menos que se permita explícitamente mediante una política de enrutamiento o de cortafuegos. Ese aislamiento lógico es su primera línea de defensa. Pero aquí es donde los arquitectos suelen cometer su primer error: confunden la segmentación por VLAN con la seguridad. Las VLAN proporcionan aislamiento, no seguridad. Sigue necesitando políticas de cortafuegos entre las VLAN, sigue necesitando listas de control de acceso y sigue teniendo que pensar detenidamente qué enrutamiento inter-VLAN permite. Un puerto troncal mal configurado puede desmoronar todo su modelo de segmentación en cuestión de segundos. Hablemos ahora de la capa física. En un entorno MDU, lo habitual es disponer de una infraestructura física compartida (cableado, matriz de conmutación y puntos de acceso) que da servicio a varios inquilinos. Los propios puntos de acceso emiten múltiples SSID, cada uno de ellos asignado a una VLAN diferente. De este modo, el inquilino A se conecta a su SSID, su tráfico se etiqueta con la VLAN 10 en el AP, atraviesa la matriz de conmutación compartida en un puerto troncal y llega a la capa de distribución, donde se enruta hacia la subred aislada del inquilino A. El tráfico del inquilino B sigue la misma ruta física pero queda completamente aislado en la capa 2. Aquí es donde la elección de la plataforma de puntos de acceso resulta de gran importancia. Necesita AP que admitan múltiples asignaciones de SSID a VLAN, que puedan gestionar la radiofrecuencia en potencialmente decenas de unidades muy próximas entre sí y que se integren con un controlador centralizado o una plataforma de gestión en la nube. El controlador es fundamental: es el que le permite aplicar cambios de políticas, supervisar el rendimiento por inquilino y responder a incidencias sin tener que intervenir en cada AP de forma individual. En lo que respecta a la autenticación, el estándar actual para despliegues multiinquilino de nivel empresarial es IEEE 802.1X con autenticación RADIUS. Cada inquilino se autentica contra su propio servidor RADIUS, o contra una infraestructura RADIUS compartida con aplicación de políticas por inquilino. WPA3-Enterprise es ahora el estándar de cifrado recomendado - proporciona un modo de seguridad de 192 bits para entornos de alta sensibilidad y elimina las vulnerabilidades asociadas con el acuerdo de clave en cuatro pasos de WPA2. Para los segmentos de WiFi para invitados - y en el contexto de un MDU, casi siempre tendrá al menos uno - normalmente se opta por un modelo de Captive Portal. El invitado se conecta a un SSID abierto o WPA2-Personal, es redirigido a una página de bienvenida para su autenticación o aceptación de términos, y luego se le concede acceso exclusivo a Internet en una VLAN aislada. Es fundamental que esa VLAN de invitados no tenga ruta hacia ninguna VLAN de inquilinos. Ninguna. Esto no es negociable tanto desde el punto de vista de la seguridad como del GDPR. Hablemos por un momento del entorno de radiofrecuencia, porque aquí es donde los despliegues MDU se vuelven realmente complejos. Cuando hay varios inquilinos en unidades adyacentes - piense en el pasillo de un hotel con habitaciones a ambos lados, o en un centro comercial con tiendas que comparten paredes - se tiene un entorno de RF de alta densidad. La interferencia de canal adyacente es su enemiga. Necesita un ejercicio de planificación de RF adecuado antes del despliegue: un estudio de cobertura que mapee la propagación de la señal, identifique las fuentes de interferencia y defina su estrategia de asignación de canales. La banda de 2.4 GHz le ofrece tres canales que no se solapan en la mayoría de las regiones reguladoras - canales 1, 6 y 11. La banda de 5 GHz ofrece significativamente más, razón por la cual los despliegues modernos dirigen a los clientes a 5 GHz siempre que es posible. WiFi 6 y WiFi 6E amplían esto aún más en la banda de 6 GHz, lo que le brinda un espectro limpio y libre de interferencias de dispositivos heredados. Para los nuevos despliegues de MDU en 2025 y en adelante, especificar puntos de acceso compatibles con WiFi 6E es la decisión correcta - el margen de espectro adicional ofrece grandes ventajas en entornos densos. Un patrón de arquitectura que está ganando una tracción significativa en los grandes despliegues de MDU es el uso de una red superpuesta definida por software - específicamente enfoques SD-WAN o SD-LAN donde las políticas de los inquilinos se definen de forma centralizada y se envían al extremo. Esto desacopla la capa de políticas de la infraestructura física, lo que significa que puede incorporar a un nuevo inquilino, modificar su asignación de ancho de banda o revocar su acceso sin tener que tocar una sola línea de comandos del switch. Para los operadores de recintos que gestionan docenas o cientos de inquilinos, esa eficiencia operativa es transformadora. El IoT es la otra dimensión que no puede ignorar. En una MDU moderna, ya sea un hotel, un complejo comercial o un bloque residencial, existen sistemas de gestión de edificios, controladores de HVAC, iluminación inteligente, control de accesos, CCTV y una gama cada vez mayor de otros dispositivos conectados. Estos deben estar en su propia VLAN aislada, completamente separados tanto del tráfico de los inquilinos como del tráfico de invitados. Los dispositivos de IoT son notoriamente difíciles de parchear y representan una superficie de ataque significativa. Segméntelos, monitorícelos y aplique un filtrado de salida estricto para que solo puedan comunicarse con sus plataformas de gestión designadas. Bien, pasemos a la práctica. Así es como abordaría yo un despliegue de MDU desde cero. Comience con su diseño lógico antes de tocar un solo componente de hardware. Planifique el número de inquilinos, sus clases de tráfico (gestión, corporativo, invitados, IoT, pagos) y asigne las VLAN en consecuencia. Documente su esquema de direccionamiento IP. Defina su política de enrutamiento inter-VLAN: qué puede comunicarse con qué y qué está absolutamente prohibido. A continuación, realice su planificación de RF. Encargue un estudio de cobertura real en el terreno. No confíe en los mapas de cobertura de los proveedores, ya que, en el mejor de los casos, son optimistas. Necesita mediciones de señal reales en el espacio físico, teniendo en cuenta los materiales de las paredes, la construcción de los suelos y el entorno de RF de los edificios colindantes. Al especificar el hardware, priorice las plataformas que admitan la gestión centralizada en la nube. Los costes operativos de gestionar un parque de AP distribuidos sin un controlador son insostenibles a gran escala. Busque plataformas que le ofrezcan políticas de ancho de banda por SSID, informes por inquilino e integración con su infraestructura RADIUS. En cuanto a los errores comunes: el fallo más habitual que observo es una configuración insuficiente de los puertos troncales. Los arquitectos diseñan un esquema de VLAN excelente y luego se olvidan de permitir explícitamente las VLAN correspondientes en cada enlace troncal de la ruta. El tráfico se pierde silenciosamente, los inquilinos se quejan y el equipo de soporte pasa días localizando el problema. Documente minuciosamente sus configuraciones de enlaces troncales y valídelas durante la puesta en marcha. El segundo error es la proliferación de SSID. Cada SSID que transmite consume tiempo de emisión para las tramas de baliza (beacon frames). En un entorno denso, transmitir ocho o diez SSID por AP degrada el rendimiento de todos. Mantenga el número de SSID al mínimo necesario, normalmente no más de cuatro por radio. Utilice la asignación dinámica de VLAN mediante atributos RADIUS en lugar de SSID independientes para dar servicio a varios inquilinos desde un único SSID. El tercer error es descuidar el plano de gestión. Su VLAN de gestión (aquella en la que se comunican sus AP, switches y controladores) debe estar completamente aislada de todas las VLAN de inquilinos e invitados. Si un inquilino puede acceder a su plano de gestión, tiene una vulnerabilidad de seguridad crítica. Utilice la gestión fuera de banda (out-of-band) siempre que sea posible y aplique ACL estrictas al tráfico de gestión. Ahora permítame repasar algunas preguntas que surgen constantemente en este tipo de despliegues. ¿Cuántos inquilinos puede soportar un único AP? En términos prácticos, la mayoría de los AP empresariales pueden gestionar de 20 a 30 clientes activos concurrentes por radio antes de que disminuya el rendimiento. En un MDU denso, planifique un AP por cada 15 a 20 dispositivos activos, no por unidad física. ¿Necesito un AP independiente para cada inquilino? No, ese es precisamente el objetivo de la multi-tenancy basada en VLAN. Varios inquilinos comparten el mismo AP, y el aislamiento del tráfico se aplica en la capa de red. ¿Cuál es la asignación de ancho de banda adecuada por inquilino? No existe una respuesta universal, pero un punto de partida habitual es garantizar de 10 a 25 megabits por segundo con capacidad de ráfaga hasta el límite de la capacidad de enlace ascendente disponible. Utilice políticas de QoS para aplicar esto y evitar que un solo inquilino sature el enlace ascendente compartido. ¿Cómo gestiono a un inquilino que necesita su propio firewall? Proporcióneles una VLAN dedicada y un punto de entrega enrutado. Conectan su propio CPE o firewall a esa entrega, y todo lo que quede por detrás será responsabilidad suya. Para resumir: una arquitectura WiFi multi-inquilino bien diseñada para un MDU se basa en cuatro pilares. En primer lugar, una segmentación rigurosa de VLAN con políticas de firewall aplicadas de forma estricta entre segmentos. En segundo lugar, una gestión centralizada basada en controlador que le proporciona visibilidad operativa y control de políticas a escala. En tercer lugar, una planificación de RF adecuada que tenga en cuenta el entorno físico y la densidad del despliegue. Y en cuarto lugar, un modelo de seguridad que aborde los requisitos de autenticación, cifrado, aislamiento de IoT y cumplimiento normativo desde el primer día. Las organizaciones que lo hacen bien obtienen resultados medibles: reducción de los costes de soporte, incorporación de inquilinos más rápida, un nivel demostrable de cumplimiento normativo en las auditorías y la capacidad de monetizar la conectividad como servicio en lugar de tratarla como un centro de costes. Si está planificando un despliegue en un MDU y desea explorar cómo la plataforma de Purple puede proporcionar analíticas, gestión de WiFi para invitados y una capa de informes a nivel de inquilino sobre su infraestructura de red, los recursos enlazados en la guía son un buen punto de partida. Gracias por escuchar. Hasta la próxima.