¿Cuál es la diferencia entre una red WiFi de invitados y tu red principal?

GUION DE PODCAST: "¿Cuál es la diferencia entre una red WiFi para invitados y su red principal?" DURACIÓN: ~10 minutos | VOZ: Inglés británico, masculino, tono de consultor sénior --- [INTRODUCCIÓN - 1 MINUTO] Bienvenidos de nuevo. Hoy voy a ir directo al grano, porque este es uno de esos temas que parecen engañosamente sencillos, pero que causan graves problemas a las organizaciones cuando no se gestionan correctamente. La pregunta es: ¿cuál es realmente la diferencia entre una red WiFi para invitados y su red corporativa principal, y por qué esa distinción es enormemente importante desde el punto de vista de la seguridad, el cumplimiento y las operaciones? Tanto si gestiona una cadena hotelera, un complejo comercial, un centro de conferencias o una instalación del sector público, en el momento en que ofrece WiFi a los visitantes, introduce un vector de riesgo en su infraestructura. La forma en que gestione esa separación - a nivel de SSID, a nivel de VLAN y a través de su arquitectura de autenticación - determinará si su WiFi para invitados es un activo empresarial o una fuente de problemas. Comencemos. --- [ANÁLISIS TÉCNICO DETALLADO - 5 MINUTOS] Empecemos por lo fundamental. Su red corporativa - lo que llamaríamos su red principal - es el entorno donde residen sus sistemas críticos para el negocio. Es decir, sus controladores de dominio, sus servidores de archivos, sus terminales de punto de venta, su infraestructura de videovigilancia, sus sistemas ERP y sus bases de datos de recursos humanos. El acceso a estos recursos debe estar estrictamente controlado, autenticado mediante el estándar 802.1X de la IEEE con certificados o credenciales, y restringido a dispositivos conocidos y gestionados. Su red inalámbrica para invitados, por el contrario, es un entorno compartido, exclusivo para internet, destinado a visitantes, clientes y contratistas que necesitan conectividad pero que no tienen ningún motivo para acceder a sus recursos internos. En el momento en que un invitado se conecta, debe aterrizar en un segmento de red completamente aislado, sin visibilidad - y sin ruta de acceso - a nada que esté en el lado corporativo. Ahora bien, aquí es donde muchas organizaciones se equivocan. Piensan que el mero hecho de tener un SSID independiente - un nombre de red diferente - es aislamiento suficiente. No lo es. Un SSID es solo una etiqueta. Sin un etiquetado de VLAN adecuado a nivel de conmutador y de punto de acceso, el tráfico de ambos SSID puede seguir atravesando el mismo dominio de difusión de Capa 2. Esto significa que un dispositivo en su SSID "GuestWiFi" podría, en teoría, ver el tráfico de su SSID corporativo si la infraestructura de conmutación subyacente no está configurada correctamente. La arquitectura correcta es el mapeo de SSID a VLAN. Su SSID de invitados se mapea a una VLAN dedicada - por ejemplo, la VLAN 10 - que se transmite a través de sus conmutadores gestionados y finaliza en una interfaz de cortafuegos independiente o en una zona DMZ. Esa VLAN tiene una ruta hacia internet y a ningún otro sitio. Su SSID corporativo se mapea a la VLAN 20, que se enruta a través de su cortafuegos principal con acceso total a los recursos internos. Las dos VLAN nunca intercambian tráfico a menos que haya configurado explícitamente el enrutamiento inter-VLAN con las listas de control de acceso correspondientes, algo que, para el tráfico de invitados, no debería hacer. En el lado del punto de acceso, la mayoría de las controladoras inalámbricas empresariales - ya sea que utilices Cisco Meraki, Aruba, Juniper Mist o Ruckus - admiten múltiples SSIDs por radio con asignación de VLAN por SSID. Esta es una funcionalidad estándar. Lo que debes asegurarte es de que tus puntos de acceso estén conectados a puertos troncales en tus switches, no a puertos de acceso, para que las etiquetas VLAN se conserven durante todo el trayecto hasta tu capa de distribución. Ahora hablemos de la autenticación. Para tu red corporativa, el estándar de oro es IEEE 802.1X con un backend RADIUS - idealmente con EAP-TLS basado en certificados en lugar de métodos de usuario y contraseña. Esto garantiza que solo los dispositivos unidos al dominio o con certificados provistos puedan autenticarse. Si utilizas una infraestructura RADIUS, vale la pena analizar RadSec - que es RADIUS sobre TLS - el cual cifra el tráfico de autenticación entre tus puntos de acceso y tu servidor RADIUS. Tienes una guía detallada sobre eso en [RadSec: Securing RADIUS Authentication Traffic with TLS](/guides/radsec-radius-over-tls) si quieres profundizar más. Para tu red de invitados, el modelo de autenticación es fundamentalmente diferente. No estás tratando con dispositivos gestionados. Estás tratando con smartphones, tablets y portátiles personales que pertenecen a personas que no conoces. El enfoque estándar aquí es un Captive Portal - una página de inicio de sesión basada en web que intercepta la primera solicitud HTTP o HTTPS del invitado y lo redirige a una página de registro o de condiciones de servicio. Aquí es donde las plataformas como la solución de WiFi para invitados de Purple aportan un valor significativo: en lugar de mostrar simplemente una página de bienvenida básica, estás capturando datos de primera mano - nombre, correo electrónico, información demográfica - con un consentimiento explícito que cumple con el GDPR, lo cual se integra directamente en tus flujos de trabajo de CRM y automatización de marketing. En cuanto al cifrado, WPA3 es ahora el estándar recomendado para ambas redes. Para tu red de invitados, WPA3-SAE - Simultaneous Authentication of Equals - proporciona secreto hacia adelante, lo que significa que incluso si la clave compartida previamente se ve comprometida, el tráfico de sesiones pasadas no se puede descifrar. Para tu red corporativa, WPA3-Enterprise con modo de 192 bits proporciona el nivel más alto de protección para entornos sensibles. Una cosa más en el aspecto técnico: el aislamiento de clientes. En tu VLAN de invitados, debes habilitar el aislamiento de clientes inalámbricos - a veces llamado aislamiento de AP - que evita que los dispositivos de los invitados se comuniquen entre sí en el mismo SSID. Sin esto, un dispositivo de invitado podría intentar sondear o atacar a otros dispositivos de invitados en la misma red. Esto es especialmente importante en entornos de alta densidad como vestíbulos de hoteles, centros de conferencias y tiendas minoristas donde cientos de dispositivos pueden estar conectados simultáneamente. - - - [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES] Bien, hablemos de lo que suele salir mal en la práctica. El error más común que veo es que las organizaciones desplieguen WiFi para invitados en hardware de consumo o no gestionado que no admite un etiquetado de VLAN adecuado. Si sus puntos de acceso no pueden canalizar VLANs, no podrá lograr una segmentación de red adecuada. Punto final. Este es un requisito de infraestructura no negociable. El segundo peligro es la saturación del ancho de banda. Sin políticas de QoS, un solo invitado que reproduzca vídeo en 4K puede saturar su enlace ascendente y degradar el rendimiento para sus usuarios corporativos. Necesita limitar la velocidad en la VLAN de invitados - normalmente un límite de descarga por cliente de entre 5 y 20 megabits por segundo según la capacidad de su enlace ascendente - y una priorización del tráfico que garantice que el tráfico corporativo siempre tenga prioridad. Tercero: DNS y DHCP. Su VLAN de invitados debe tener su propio rango DHCP con un intervalo de IP independiente - algo como 192.168.100.0/24 - y debe usar un solucionador DNS público como 8.8.8.8 o 1.1.1.1, no su servidor DNS interno. Si los invitados resuelven el DNS a través de su servidor interno, habrá creado un vector de fuga de información y, potencialmente, una superficie de ataque de rebote de DNS. Cuarto, y esto es fundamental para la hostelería y el comercio minorista: el cumplimiento de PCI-DSS. Si su infraestructura de tarjetas de pago - sus terminales de punto de venta (TPV), sus pasarelas de pago - comparte algún segmento de red con su WiFi para invitados, es casi seguro que esté infringiendo los requisitos de PCI-DSS. El entorno de datos de los titulares de tarjetas debe estar completamente aislado. Una VLAN de invitados correctamente segmentada y sin enrutamiento entre VLANs hacia su red de TPV es un requisito fundamental para el cumplimiento de PCI. Por último, registro y monitorización. Su red de invitados debe tener su propio flujo NetFlow o syslog hacia su SIEM. Debe poder demostrar, a efectos de GDPR y de intercepción legal, quién estaba conectado, cuándo y qué tráfico generó. La plataforma de análisis de Purple captura eventos de conexión, el tiempo de permanencia y los datos de frecuencia de las visitas que alimentan directamente esta pista de auditoría. - [PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 MINUTO] Preguntas rápidas que me hacen con frecuencia: "¿Puedo usar los mismos puntos de acceso físicos para ambas redes?" - Sí, por supuesto. Ese es precisamente el objetivo de tener múltiples SSID con etiquetado de VLAN. Un AP, múltiples redes lógicas. "¿Necesito conexiones a Internet independientes para la red de invitados y la corporativa?" - No, pero sí necesita políticas de firewall independientes e idealmente interfaces o subinterfaces WAN independientes para aplicar QoS y modelado de tráfico de forma autónoma. "¿Qué pasa con los dispositivos IoT, dónde se colocan?" - Tienen su propia VLAN, separada tanto de la de invitados como de la corporativa. El IoT es un tercer segmento de red, no un subconjunto de ninguna de las dos. "¿Sigue siendo aceptable WPA2 para las redes de invitados?" - Es funcional, pero se recomienda encarecidamente WPA3. WPA2 con TKIP está obsoleto. Si todavía utiliza TKIP en algún lugar, soluciónelo hoy mismo. - [RESUMEN Y SIGUIENTES PASOS - 1 MINUTO] Para resumir: la diferencia entre una red WiFi para invitados y su red principal no es solo cuestión de una contraseña diferente o de un nombre de SSID distinto. Se trata de una separación arquitectónica fundamental implementada a nivel de VLAN, aplicada por su infraestructura de conmutación y firewall, con modelos de autenticación, políticas de QoS y requisitos de monitorización diferenciados para cada una. Hágalo bien y tendrá un despliegue de WiFi para invitados seguro, que cumple con las normativas y que (con la plataforma adecuada por encima) se convertirá en un auténtico activo de datos propios para sus equipos de marketing y operaciones. Hágalo mal y tendrá un riesgo de movimiento lateral acechando en su recepción, emitiendo en frecuencias de 2.4 y 5 gigahercios. Si desea profundizar más en la parte de la autenticación, consulte la guía de RadSec. Y si está evaluando plataformas de WiFi para invitados, la solución de Purple en purple.ai cubre toda la infraestructura, desde el Captive Portal y la captura de datos que cumple con el GDPR, hasta la analítica de WiFi y la inteligencia de ubicaciones. Gracias por escucharnos. Nos vemos en la próxima. - FIN DEL GUION