Segmentación de redes WiFi: VLAN, SSID y tráfico de invitados

Te damos la bienvenida a la serie de Informes Técnicos de Purple. Hoy vamos a abordar una de las decisiones más importantes y que más se suelen malinterpretar en el diseño de redes inalámbricas corporativas: la segmentación de redes WiFi. Si gestionas un hotel, una superficie comercial, un centro de conferencias, un estadio o cualquier recinto en el que ofrezcas tanto WiFi para clientes como para operaciones, este episodio te interesa directamente. Vamos a analizar por qué la segmentación es innegociable en 2024, cómo trabajan juntos las VLAN y los múltiples SSID para ofrecerla, y cómo es realmente un despliegue bien diseñado en la práctica. Esto no es una clase teórica. Al final de este informe, dispondrás de un marco de trabajo claro para evaluar tu red actual, identificar las deficiencias y tomar una decisión fundamentada sobre los siguientes pasos. Entremos en materia. Entonces, ¿qué es exactamente la segmentación de redes WiFi? En esencia, consiste en la práctica de dividir una única infraestructura física inalámbrica en múltiples redes aisladas de forma lógica. Cada segmento transporta un tráfico diferente, da servicio a distintos usuarios o dispositivos y se rige por políticas de seguridad diferentes, todo ello ejecutándose sobre los mismos puntos de acceso físicos y el mismo cableado. Las dos tecnologías que lo hacen posible son las VLAN (redes de área local virtuales) y los SSID (identificadores de conjunto de servicios). Vamos a ver cada una de ellas. Una VLAN es un concepto de Capa 2 definido en el estándar IEEE 802.1Q. Permite que un único conmutador físico o punto de acceso albergue múltiples dominios de difusión lógicamente independientes. Piensa en ello como si tuvieras varias carreteras independientes que pasan por el mismo túnel. Los vehículos, que son tus paquetes de datos, se etiquetan con un ID de VLAN al entrar en la red, y esa etiqueta determina por qué carretera circulan y qué salidas pueden utilizar. Los ID de VLAN van del 1 al 4094 y, en un despliegue corporativo bien diseñado, cada clase de tráfico recibe su propio ID. Un SSID es simplemente el nombre de red que un dispositivo inalámbrico ve y al que se conecta. Cuando configuras varios SSID en un punto de acceso, cada uno de ellos se asigna a una VLAN correspondiente. Así, tu red de invitados, llamémosla VenueGuest, se asigna a la VLAN 10. La red de tu personal se asigna a la VLAN 20. Tus dispositivos IoT y de gestión del edificio se asignan a la VLAN 30. Y tus terminales de punto de venta o de pago se ubican en la VLAN 40, que cuenta con los controles de acceso más estrictos para cumplir con los requisitos PCI DSS.Ahora bien, ¿por qué es esto tan importante desde el punto de vista de la seguridad? La respuesta es el movimiento lateral. En una red plana y no segmentada, donde todos los dispositivos comparten el mismo dominio de difusión, un dispositivo comprometido puede comunicarse directamente con cualquier otro dispositivo de esa red. El smartphone de un invitado infectado con malware puede, en teoría, sondear sus terminales de punto de venta (POS), los portátiles de su personal o su sistema de CCTV. No se trata de un riesgo teórico, sino de un vector de ataque documentado. La segmentación de red elimina esa superficie de ataque al garantizar que el tráfico de un segmento simplemente no pueda llegar a otro sin pasar por un cortafuegos o un router que aplique una directiva explícita. Desde la perspectiva del cumplimiento normativo, la segmentación suele ser obligatoria, no opcional. La norma PCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago) exige que los entornos de datos de los titulares de tarjetas estén aislados de todo el demás tráfico de red. El GDPR impone obligaciones en torno a la minimización de datos y el control de acceso que son mucho más fáciles de cumplir cuando la arquitectura de su red impone la separación por diseño. En entornos sanitarios, las redes de dispositivos clínicos deben estar aisladas de la red WiFi general según las directrices de NHS Digital. Analicemos la arquitectura con un poco más de detalle. En una implementación empresarial típica, dispondrá de un conmutador principal (core switch) conectado a su enlace ascendente de internet y cortafuegos. Ese conmutador transporta varias VLAN como tráfico etiquetado, lo que se denomina puertos troncales (trunk ports), hasta su controlador de LAN inalámbrica o sus puntos de acceso gestionados en la nube. Cada punto de acceso emite múltiples SSID simultáneamente. Los puntos de acceso empresariales modernos de proveedores como Cisco Meraki, Aruba, Ruckus y Ubiquiti pueden gestionar entre ocho y dieciséis SSID por radio, aunque la práctica recomendada es limitarse a cuatro o menos para minimizar la sobrecarga de gestión y la contaminación de radiofrecuencia. El controlador de LAN inalámbrica gestiona el mapeo entre los SSID y las VLAN, y también aplica el aislamiento de clientes dentro de cada SSID. El aislamiento de clientes es una configuración crítica: evita que los dispositivos de un mismo SSID se comuniquen directamente entre sí, lo cual es esencial en una red de invitados donde no se desea que el dispositivo de un usuario se comunique con el de otro. La autenticación es la otra dimensión clave. Para su red de invitados, normalmente utilizará un SSID abierto con un Captive Portal: una página de autenticación web donde los invitados inician sesión a través de redes sociales, correo electrónico o un código de cupón. Aquí es donde una plataforma como la solución de Guest WiFi de Purple aporta un valor significativo: gestiona el Captive Portal, la captura de datos, la gestión del consentimiento según el GDPR y las analíticas de marketing posteriores, todo ello integrado con su arquitectura de VLAN. Para la red de su personal corporativo, debería implementar WPA3-Enterprise, que utiliza la autenticación IEEE 802.1X contra un servidor RADIUS, normalmente integrado con su Active Directory o Azure AD. Esto significa que cada miembro del personal se autentica con sus credenciales corporativas y la red puede aplicar directivas por usuario en función de su rol o departamento. Para los dispositivos IoT, el desafío es diferente. La mayoría de los dispositivos IoT no admiten 802.1X, por lo que utilizará WPA2-PSK o WPA3-SAE con una contraseña segura y rotativa, combinada con reglas de firewall estrictas que limiten a qué pueden acceder dichos dispositivos. Muchas organizaciones también implementan el filtrado de direcciones MAC como un control adicional en las VLAN de IoT, aunque esto debe tratarse como una medida secundaria en lugar de un control de seguridad principal. Otra consideración de arquitectura que vale la pena señalar: la gestión del ancho de banda. En su VLAN de invitados, debe implementar una limitación de velocidad por cliente, normalmente entre 5 y 20 megabits por segundo de bajada, según su capacidad total de enlace ascendente y el número previsto de usuarios simultáneos. Esto evita que un solo invitado sature su enlace ascendente y degrade la experiencia de todos los demás. Ahora permítame ofrecerle el marco práctico de implementación. Lo dividiría en cinco fases. Fase uno: clasificación del tráfico. Antes de tocar un solo puerto de switch, documente cada tipo de dispositivo y clase de tráfico en su entorno. Dispositivos de invitados, dispositivos del personal, IoT, terminales de pago, sistemas de gestión de edificios, CCTV. Cada uno necesita un hogar. Fase dos: diseño de VLAN. Asigne un ID de VLAN y una subred IP a cada clase de tráfico. Mantenga su VLAN de invitados en una subred completamente separada sin ruta a su espacio de direcciones interno. Su firewall debe tener una regla explícita de denegar todo entre la VLAN de invitados y todo lo interno, permitiendo únicamente el acceso a internet saliente. Fase tres: mapeo de SSID. Configure sus SSIDs en su controlador inalámbrico, asocie cada uno a su VLAN, habilite el aislamiento de clientes en el SSID de invitados y establezca su método de autenticación por segmento. Fase cuatro: política de firewall. Aquí es donde fallan la mayoría de los despliegues. La arquitectura VLAN es tan fuerte como las reglas de enrutamiento inter-VLAN en su firewall. Documente cada flujo permitido de forma explícita. Deniegue todo lo demás por defecto. Fase cinco: monitorización y validación. Despliegue una herramienta de monitorización de red y valide que su segmentación realmente funciona. Realice pruebas de penetración periódicas o, como mínimo, utilice una herramienta de escaneo desde un dispositivo de invitado para confirmar que no puede acceder a las subredes internas. Ahora, los errores comunes. El más habitual que veo son los puertos trunk mal configurados. Si un puerto de switch que transporta múltiples VLAN se configura accidentalmente como un puerto de acceso, todo el tráfico colapsa en una sola VLAN y su segmentación desaparece silenciosamente. Audite siempre las configuraciones de sus switches después de cualquier cambio. El segundo error común es la proliferación de SSIDs. Cada SSID adicional que transmite consume tiempo de aire para las tramas de baliza (beacon frames), incluso cuando no hay clientes conectados. En un recinto denso con cientos de puntos de acceso, transmitir ocho SSIDs por AP puede degradar significativamente el rendimiento. Manténgalo optimizado. El tercer error es olvidarse de la red cableada. La segmentación de la WiFi no sirve de nada si su infraestructura cableada no está segmentada de la misma manera. Un invitado que se conecte a un puerto Ethernet en una sala de reuniones y acceda a su red corporativa habrá eludido toda su arquitectura de seguridad inalámbrica. Permítame repasar algunas preguntas que suelo recibir de los clientes. ¿Cuántos SSID deberíamos emitir? No más de cuatro por banda de radio. Tres es lo ideal: invitado, corporativo e IoT. ¿Necesitamos un punto de acceso físico independiente para los invitados? No. Los AP empresariales modernos gestionan múltiples SSID y VLAN en el mismo hardware. La separación física es innecesaria y costosa. ¿Puede la plataforma de Purple funcionar con la infraestructura inalámbrica existente? Sí. Purple se integra con todos los principales proveedores de redes inalámbricas empresariales mediante RADIUS estándar y etiquetado VLAN. No necesita reemplazar sus AP. ¿Es obligatorio WPA3 para las redes de invitados? Aún no es obligatorio, pero sí muy recomendable. El protocolo de Autenticación Simultánea de Iguales de WPA3 elimina la vulnerabilidad de ataque por diccionario presente en WPA2-PSK. Impleméntelo si la combinación de dispositivos de sus clientes lo admite. ¿Cuál es la segmentación mínima viable para un espacio pequeño? Como mínimo: una VLAN de invitados, una VLAN de personal y una VLAN de IoT. Eso se traduce en tres VLAN, tres SSID y un firewall con reglas inter-VLAN. Esa es su línea de base. Para resumir: la segmentación de redes WiFi mediante VLAN y múltiples SSID es la arquitectura fundamental de seguridad y cumplimiento para cualquier despliegue inalámbrico de empresa o establecimiento. No es opcional si gestiona tráfico de invitados, datos de pago o dispositivos clínicos. Es la diferencia entre una red defendible y otra que es una vulnerabilidad. Las conclusiones clave son estas. Primero: asocie cada tipo de dispositivo a una VLAN dedicada antes de diseñar nada. Segundo: las reglas inter-VLAN de su firewall son tan importantes como la propia arquitectura VLAN. Denegación por defecto, permiso explícito. Tercero: mantenga bajo su número de SSID, habilite el aislamiento de clientes en las redes de invitados e implemente la limitación de velocidad por cliente. Cuarto: valide su segmentación periódicamente. No asuma que está funcionando solo porque la configuró una vez. Si busca añadir una capa de WiFi de invitados gestionada con captura de datos conforme al GDPR, autenticación mediante Captive Portal y análisis de marketing sobre su arquitectura segmentada, la plataforma de Purple está diseñada para encajar directamente en esta arquitectura. Puede obtener más información en purple dot ai. Gracias por escuchar. Hasta la próxima.