Tres SSIDs para gobernarlos a todos: guía de configuración de WiFi para invitados, personal e IoT

GUION DE PODCAST: "Tres SSIDs para gobernarlos a todos: guía de configuración de WiFi para invitados, personal e IoT" [INTRODUCCIÓN Y CONTEXTO - 1 min] Es un consultor de redes sénior que ofrece una sesión informativa de confianza y autoritaria a un cliente. Hable en inglés británico con un tono claro, pausado y profesional. Autoridad tranquila, no académica. Conversacional pero preciso. El ritmo es constante y deliberado: Bienvenido a la serie de sesiones informativas técnicas de Purple WiFi Intelligence. Hoy abordaremos el diseño de WiFi de tres SSIDs: la arquitectura que separa el tráfico de invitados, del personal y de IoT en redes distintas y aisladas utilizando una única infraestructura inalámbrica. Si gestiona el WiFi de un hotel, un establecimiento comercial, un centro de conferencias, un estadio o cualquier recinto donde conviven tanto redes de cara al público como operativas, esta sesión informativa le interesa directamente. [INMERSIÓN TÉCNICA - 5 min] Permítame ponerles en contexto primero. La mayoría de los recintos empresariales actuales utilizan al menos cinco o seis SSIDs. Hay uno para invitados, uno para el personal, uno para terminales de punto de venta, uno para dispositivos IoT, tal vez uno oculto para contratistas y, a menudo, uno heredado que nadie recuerda muy bien por qué existe. Cada uno de esos SSIDs transmite una trama de baliza (beacon frame) cada 100 milisegundos a la velocidad de datos más baja de la radio. En un recinto denso con 50 puntos de acceso en el mismo canal, eso se traduce en cientos de tramas de gestión por segundo que consumen tiempo de transmisión antes de que se envíe un solo byte de datos de usuario. El consenso del sector es claro: no transmitir más de tres SSIDs por radio. Tres es el número que equilibra la segmentación de la seguridad con el rendimiento inalámbrico. Así pues, el diseño de tres SSIDs es el siguiente. SSID uno: una red WiFi para invitados abierta con un Captive Portal para el acceso de visitantes. SSID dos: una red WPA2 o WPA3-Enterprise para el personal e invitados seguros, que utiliza autenticación 802.1X y RADIUS. SSID tres: una red xPSK para dispositivos IoT, terminales de tarjetas, señalización digital e impresoras, que utiliza claves precompartidas por dispositivo para asignar dinámicamente VLANs según la identidad del dispositivo. Tres SSIDs. Tres segmentos de red completamente aislados. Una única infraestructura inalámbrica física. Vamos a analizar cada uno en detalle. Vamos a analizar cada uno en detalle. El SSID uno es su WiFi de invitados. Configure esto como una red abierta: sin clave precompartida, sin contraseña WPA2-Personal. El punto de acceso transmite el SSID sin cifrado en la capa de asociación. Cuando un visitante se conecta, su dispositivo obtiene una dirección IP de un servidor DHCP en su VLAN de invitados, normalmente la VLAN 10. Cada consulta DNS y solicitud HTTP es interceptada por el controlador inalámbrico o por un dispositivo de Captive Portal dedicado, que redirige el navegador del visitante a su página de portal. Aquí es donde se integra la plataforma de Purple. El Captive Portal gestiona la autenticación del visitante, ya sea mediante inicio de sesión social, registro por correo electrónico, verificación por SMS o un código de cupón. Captura el consentimiento conforme al GDPR, registra los datos del visitante como datos de origen (first-party data) y, a continuación, indica al controlador que conceda acceso a Internet. La sesión del visitante se etiqueta en la VLAN 10, y su cortafuegos aplica una política estricta: solo acceso a Internet, con una regla explícita de denegación total que bloquea cualquier ruta hacia su espacio de direcciones internas RFC 1918. El entorno controlado (walled garden) es un paso de configuración fundamental en este punto. Antes de que un visitante complete el inicio de sesión en el portal, su dispositivo debe poder acceder a la propia página del portal. Para ello, se configura un walled garden: una lista blanca de direcciones IP y dominios a los que se puede acceder sin autenticación. Esta lista debe incluir la IP o el nombre de host de su servidor de Captive Portal, cualquier extremo de CDN que utilice y los extremos de los proveedores de inicio de sesión social, como los servidores OAuth de Facebook o los extremos de autenticación de Google. El SSID dos es su WiFi para el personal. Utiliza WPA2-Enterprise o WPA3-Enterprise, lo que implica autenticación 802.1X. Cuando un miembro del personal se conecta, su dispositivo inicia un intercambio EAP con el punto de acceso, que actúa como autenticador y reenvía las credenciales a su servidor RADIUS. El servidor RADIUS valida la identidad frente a su proveedor de identidad y devuelve un mensaje Access-Accept. La clave para la asignación dinámica de VLAN son tres atributos RADIUS específicos en ese mensaje Access-Accept. El atributo 64, Tunnel-Type, debe establecerse en el valor 13, que significa VLAN. El atributo 65, Tunnel-Medium-Type, debe establecerse en el valor 6, que significa IEEE 802. Y el atributo 81, Tunnel-Private-Group-ID, contiene el ID de VLAN real como una cadena de texto. Cuando el punto de acceso recibe estos atributos, etiqueta dinámicamente esa sesión con la VLAN especificada. Un miembro del equipo de finanzas se autentica y accede a la VLAN 20. Un contratista se autentica con una credencial diferente y accede a la VLAN 30 con un acceso más restringido. Mismo SSID, misma red física, segmentos lógicos completamente distintos. El servicio RADIUS en la nube de Purple gestiona la capa de autenticación RADIUS para la WiFi del personal, integrándose con su proveedor de identidad y devolviendo los atributos de VLAN dinámica correctos por usuario. El SSID tres es su WiFi para IoT. xPSK resuelve un problema que ni las redes abiertas ni el estándar 802.1X pueden solucionar de forma eficaz. Los dispositivos IoT, los terminales de tarjetas, los reproductores de señalización digital y las impresoras no pueden autenticarse con 802.1X. Sin embargo, no se pueden colocar en una red WPA2-Personal plana con una única contraseña compartida, ya que un dispositivo comprometido tendría acceso a todos los demás dispositivos de ese segmento. xPSK mantiene una base de datos de contraseñas únicas, una por dispositivo o grupo de dispositivos. El dispositivo se conecta utilizando su clave única. El controlador valida la clave y devuelve los atributos de VLAN dinámica. Un terminal de tarjetas se conecta y accede a la VLAN 50, su red de pago aislada por PCI DSS. Un termostato inteligente se conecta y accede a la VLAN 40, su red IoT con enrutamiento restringido. La terminología del fabricante varía. Cisco Meraki lo llama iPSK. HPE Aruba lo llama MPSK. Ruckus lo llama DPSK. Juniper Mist y Ubiquiti UniFi lo llaman PPSK. La arquitectura subyacente es idéntica en los cinco fabricantes. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 min] Usted es un consultor de redes sénior que ofrece una sesión informativa segura y autorizada a un cliente. Hable en un tono claro, pausado y profesional. Autoridad tranquila, no académica. Conversacional pero preciso. El ritmo es constante y deliberado: Hablemos ahora de los errores comunes de implementación y de los escenarios del mundo real. El primer error común son los puertos trunk mal configurados. Los puertos de su switch que transportan múltiples VLAN deben estar configurados como puertos trunk 802.1Q, no como puertos de acceso. Si un puerto trunk se configura accidentalmente como puerto de acceso, todo el tráfico se colapsa en una sola VLAN y su segmentación desaparece silenciosamente. Audite siempre la configuración de su switch después de cualquier cambio. El segundo error común es un walled garden incompleto. Si la página de su Captive Portal no se carga porque no ha incluido en la lista de permitidos los endpoints correctos, los visitantes verán una pantalla en blanco y asumirán que el WiFi no funciona. Pruebe su walled garden desde un dispositivo nuevo sin DNS en caché antes de la puesta en marcha. El tercer error común es la aleatorización de direcciones MAC. Los dispositivos iOS y Android modernos utilizan una dirección MAC aleatoria para cada red a la que se unen. Si su sistema xPSK depende de la vinculación de direcciones MAC para asociar un dispositivo con su clave única, tendrá fallos de autenticación cuando un dispositivo cambie su dirección. Utilice implementaciones de fabricantes que vinculen la sesión a la propia clave en lugar de a la MAC. Permítame presentarle dos escenarios del mundo real. Escenario uno: un hotel de 200 habitaciones. El hotel necesita ofrecer WiFi para huéspedes en todas las habitaciones y zonas comunes, WiFi para el personal (recepción, limpieza y administración) y conectividad IoT para termostatos inteligentes, sistemas de IPTV y controladores de cerraduras de puertas. Implementan tres SSIDs en sus puntos de acceso Cisco Meraki. El SSID uno, la red de huéspedes, utiliza el captive portal de Purple con registro por correo electrónico y captura de consentimiento de conformidad con el GDPR. Los huéspedes se autentican, acceden a la VLAN 10 y obtienen acceso exclusivo a internet con un límite de velocidad de 20 megabits por segundo por cliente. El SSID dos, la red del personal, utiliza WPA3-Enterprise con autenticación RADIUS contra Microsoft Entra ID. El personal de recepción accede a la VLAN 20 con acceso al sistema de gestión de la propiedad. El personal de limpieza accede a la VLAN 21 con acceso exclusivo a la aplicación de limpieza. El SSID tres, la red IoT, utiliza Meraki iPSK. Cada termostato inteligente tiene una clave única mapeada a la VLAN 40. Cada controlador de cerradura de puerta tiene una clave única mapeada a la VLAN 41. Los sistemas de IPTV tienen claves mapeadas a la VLAN 42. Ninguna de las VLAN de IoT tiene acceso a internet y todas cuentan con reglas de firewall estrictas que limitan la comunicación a sus servidores de gestión específicos. [Preguntas y respuestas rápidas - 1 min] Y ahora, algunas preguntas rápidas. ¿Necesito un servidor RADIUS independiente para xPSK? Depende del proveedor y de la escala. Para implementaciones pequeñas, Cisco Meraki iPSK y HPE Aruba MPSK-Local pueden almacenar claves directamente en el controlador sin necesidad de un servidor RADIUS. Para escala empresarial, se necesita un servidor RADIUS central, ya sea su propia instancia de FreeRADIUS o NPS, o un servicio RADIUS en la nube como el de Purple. ¿Es obligatorio WPA3-Enterprise? Aún no, pero impleméntelo allí donde los dispositivos de los clientes lo admitan. El modo de seguridad de 192 bits de WPA3 y las tramas de gestión protegidas (Protected Management Frames) eliminan varios vectores de ataque presentes en WPA2. Ejecute WPA3 en modo de transición para mantener la compatibilidad con versiones anteriores. ¿Cómo gestiono el BYOD en el SSID del personal? Utilice PEAP-MSCHAPv2 para la autenticación basada en credenciales, que funciona con dispositivos personales sin requerir la implementación de certificados. Si necesita una seguridad más sólida, implemente EAP-TLS con certificados enviados a través de su MDM. ¿Cuál es la configuración mínima viable para un establecimiento pequeño? Tres SSIDs, tres VLANs, un firewall con reglas entre VLAN y un captive portal para huéspedes. Esa es su línea base. Puede añadir RADIUS y xPSK a medida que crezca su parque de dispositivos. [RESUMEN Y SIGUIENTES PASOS - 1 min] En resumen: el diseño de tres SSIDs le ofrece la segmentación que necesita sin la sobrecarga de tiempo de transmisión (airtime) que supone ejecutar cinco o seis redes independientes. El WiFi para huéspedes con un captive portal gestiona el acceso de los visitantes y el cumplimiento del GDPR. El WiFi para el personal con 802.1X y asignación dinámica de VLAN gestiona el control de acceso basado en la identidad. El WiFi de IoT con xPSK gestiona dispositivos sin pantalla (headless) con aislamiento por dispositivo. Sus siguientes pasos: audite su número de SSID actual. Si está emitiendo más de tres, planifique una consolidación. Revise su diseño de VLAN y las reglas de firewall inter-VLAN. Y si aún no utiliza un captive portal gestionado con captura de datos conforme al GDPR, ese es el cambio de mayor valor que puede realizar hoy en su red de invitados. La plataforma de Purple es compatible con esta arquitectura de tres SSID en más de 80.000 recintos activos en todo el mundo. Proporcionamos el captive portal de Guest WiFi, el RADIUS en la nube para Staff WiFi y las integraciones con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi para que todo el diseño funcione como un único sistema gestionado. Gracias por escuchar este informe técnico de Purple. En las notas del programa encontrará enlaces a la guía escrita completa y a los diagramas de arquitectura.