Tres SSIDs para gobernarlos a todos: guía de configuración de WiFi para invitados, Passpoint e IoT

Le damos la bienvenida a la serie de informes técnicos de Purple. Hoy analizaremos el diseño de tres SSID de WiFi: una arquitectura de red que consolida el acceso de invitados, la incorporación automatizada y segura, y la gestión de dispositivos IoT bajo tres redes inalámbricas diseñadas específicamente para ello. Si gestiona una red WiFi en un hotel, un comercio minorista, un estadio o un centro de conferencias, este es el diseño que debería implementar en 2025 y de cara al futuro. [medium pause] Permítame ponerle en contexto. La mayoría de los establecimientos que encontramos todavía utilizan, en el mejor de los casos, dos SSID: una red de invitados y algo que se suele denominar red de personal. El problema es que esas dos redes acaben soportándolo todo. Los datáfonos están en el mismo segmento que los smartphones de los invitados. Los contratistas se conectan al mismo SSID que la señalización digital. Los sensores IoT comparten ancho de banda con los visitantes que reproducen vídeo en streaming. Eso no es una política de seguridad sólida; es un riesgo. El diseño de tres SSID soluciona este problema proporcionando a cada clase de dispositivo y usuario su propia red dedicada, su propia VLAN y su propio método de autenticación. Tres SSID. Tres VLAN. Una arquitectura de seguridad coherente. [medium pause] Veamos cada una de ellas. El SSID número uno es su WiFi de invitados abierto. Esta es la red tradicional de Captive Portal, la que ven los visitantes cuando abren su teléfono y se conectan. Es abierto, lo que significa que no requiere clave compartida previamente, porque el objetivo es evitar cualquier fricción en el momento de la conexión. La autenticación se realiza en la capa del portal. El visitante se conecta, es redirigido a una página de bienvenida, acepta las condiciones del servicio y, opcionalmente, facilita una dirección de correo electrónico o un número de teléfono. Ese es el consentimiento explícito de libre elección para cumplir con el GDPR. La plataforma de Purple gestiona esto de forma nativa: el portal captura datos de origen, registra la marca de tiempo del consentimiento y asocia la sesión a la VLAN 10, que es su segmento de invitados. La VLAN 10 solo tiene acceso a Internet. No puede acceder a sus sistemas TPV, a sus servidores de administración ni a ningún otro recurso interno. Las reglas de firewall se encargan de aplicar esto en el extremo de la red. Desde el punto de vista del cumplimiento, este SSID realiza el trabajo más pesado. El GDPR exige que registre el consentimiento, la base jurídica para el tratamiento y la marca de tiempo. Purple registra todo eso de forma automática. Si se encuentra en un establecimiento sujeto a la normativa PCI DSS (un hotel con terminales de pago en las habitaciones, por ejemplo), el SSID de invitados debe estar completamente aislado de cualquier entorno de datos de titulares de tarjetas. Esto se consigue mediante la segmentación de VLAN con una política de firewall inter-VLAN. [medium pause] El SSID número dos es su red Passpoint, también conocida como Hotspot 2.0. Aquí es donde el diseño se vuelve verdaderamente interesante. Passpoint es un estándar IEEE 802.11u que permite que un dispositivo descubra, se autentique y se conecte automáticamente a una red WiFi sin ninguna interacción del usuario. Sin portal. Sin solicitudes de contraseña. El dispositivo negocia la autenticación en segundo plano mediante EAP (protocolo de autenticación extensible, por sus siglas en inglés) y se conecta de forma cifrada desde el primer paquete. ¿Cómo sabe un dispositivo que debe conectarse? Tiene instalado un perfil Passpoint. Con Purple, ese perfil se entrega a través de la aplicación Purple o mediante un SDK que usted integra en su propia aplicación de marca. Cuando un visitante que regresa entra en su establecimiento, su dispositivo detecta su SSID de Passpoint emitiendo una respuesta ANQP, la compara con el perfil instalado y se conecta automáticamente. Todo el proceso dura menos de dos segundos. El usuario nunca llega a tocar su teléfono. El flujo de autenticación utiliza EAP-TLS o EAP-TTLS con PEAP, según su configuración. El dispositivo presenta una credencial a su servidor RADIUS (Purple actúa como ese servidor RADIUS en la nube) y el servidor devuelve un RADIUS Access-Accept con un atributo de asignación de VLAN. Ese atributo le indica al punto de acceso en qué VLAN debe colocar esa sesión. Así, el usuario de una aplicación de fidelización podría acabar en la VLAN 20, que tiene acceso a su plataforma de fidelización y a contenidos más completos. Un miembro del personal que utilice el mismo SSID de Passpoint con una credencial diferente acaba en la VLAN 30, que tiene acceso a los sistemas internos. Un solo SSID. Asignación dinámica de VLAN. Directiva aplicada por identidad. [medium pause] El SSID número tres es su red xPSK. xPSK es un término general que abarca iPSK, PPSK, DPSK y MPSK: todas ellas variaciones del mismo concepto de claves precompartidas por dispositivo o por grupo. La idea es sencilla: en lugar de una única contraseña compartida para sus dispositivos IoT y contratistas, cada dispositivo o grupo obtiene su propia clave única. Esa clave se asocia a una VLAN específica. Cuando un terminal de tarjetas se conecta con su clave, entra en la VLAN 40, que es su red de pago bajo el estándar PCI. Cuando un reproductor de señalización digital se conecta con su clave, entra en la VLAN 50, que tiene acceso a su servidor de gestión de contenidos pero a nada más. Cuando un contratista se conecta con una clave temporal, entra en la VLAN 60, que tiene acceso a internet y a nada interno. Cuando usted revoca la clave de ese contratista, este queda fuera de la red de inmediato. Sin necesidad de cambiar la contraseña en cada dispositivo. El mecanismo detrás de xPSK varía según el proveedor. En Cisco Meraki se llama iPSK (Identity PSK) y funciona a través de RADIUS. En HPE Aruba, el equivalente es MPSK, también gestionado por RADIUS. Ruckus lo denomina DPSK (Dynamic PSK). Juniper Mist utiliza PPSK con asignación dinámica de VLAN a través del panel en la nube de Mist. Ubiquiti UniFi admite el control de acceso a la red con asignación de VLAN por cliente en las versiones de firmware recientes. Purple se integra con estas cinco plataformas como proveedor de RADIUS en la nube. [medium pause] Hablemos ahora de la secuencia de implementación. El orden importa. Comience con el diseño de su VLAN antes de tocar la configuración inalámbrica. Defina primero sus VLAN en la capa de conmutación (switch). Configure su directiva de enrutamiento inter-VLAN y bloquéela en el firewall antes de que se conecte cualquier dispositivo. Este es el error más común que vemos: los equipos configuran primero la red inalámbrica y luego intentan adaptar la segmentación de la VLAN. Hágalo al revés. En segundo lugar, configure su servidor RADIUS. En la plataforma de Purple, navegue hasta la sección de configuración de RADIUS, genere sus credenciales de servidor y anote las direcciones IP primaria y secundaria, el puerto de autenticación (normalmente el 1812) y el secreto compartido. En tercer lugar, cree sus SSIDs. Para el SSID de invitados, establezca la seguridad como abierta, habilite la redirección del Captive Portal y apunte la URL de redirección a su portal de Purple. Para el SSID de Passpoint, habilite 802.11u y configure sus elementos ANQP: su dominio NAI (NAI Realm), su identificador de organización (OI) de Roaming Consortium si participa en OpenRoaming, y la información de su establecimiento. Establezca WPA2-Enterprise o WPA3-Enterprise como tipo de seguridad. Para el SSID xPSK, configure los ajustes MPSK o DPSK específicos del proveedor y dirija la autenticación a su punto de conexión RADIUS de Purple. En cuarto lugar, configure su walled garden para el SSID de invitados. Incluya los dominios del portal de Purple, su solucionador de DNS y los puntos de conexión de detección de Captive Portal que utilizan iOS y Android: captivedetect.apple.com de Apple y connectivitycheck.gstatic.com de Google. [medium pause] Dos ejemplos del mundo real. Un hotel de 350 habitaciones en el centro de Londres implementó esta arquitectura en 28 puntos de acceso con hardware HPE Aruba. Antes de la implementación, los terminales de pago compartían segmento de red con los dispositivos de los invitados, lo que suponía un fallo de conformidad con PCI. El rediseño de tres SSIDs trasladó los terminales de pago a una VLAN dedicada con reglas de firewall que solo permitían tráfico HTTPS saliente hacia el procesador de pagos. La auditoría PCI se superó en el siguiente ciclo. La captación de datos de invitados aumentó un 34 % en los primeros tres meses porque la experiencia del portal era más rápida y el flujo de suscripción más sencillo. Una cadena de tiendas con 80 establecimientos en todo el Reino Unido redujo su número de SSIDs por tienda de una media de 4,2 a tres. Los terminales de punto de venta electrónico (EPOS) y la señalización digital se trasladaron al SSID xPSK con claves por dispositivo gestionadas de forma centralizada a través de Purple. El personal pasó a un SSID de Passpoint utilizando sus credenciales de Microsoft Entra ID mediante EAP-TTLS. El equipo de TI notificó una reducción del 60 % en los tickets de soporte relacionados con la WiFi en el primer trimestre tras la implementación. [medium pause] Algunos errores de implementación que debe evitar. Configuración del tiempo de espera (timeout) de RADIUS: si sus puntos de acceso no pueden conectarse con el servidor RADIUS de Purple dentro del tiempo de espera configurado, denegarán la conexión. Configure siempre las direcciones del servidor RADIUS tanto principal como secundaria. Etiquetado de VLAN en puertos troncales: cada puerto de enlace ascendente (uplink) del punto de acceso debe estar configurado como un enlace troncal que transporte todas las VLAN que utilizan sus SSIDs. Un error común es configurar la VLAN en el controlador pero olvidar añadirla al enlace troncal en el puerto del switch. Configuración de Passpoint ANQP: la lista de dominios NAI (NAI Realm) debe coincidir exactamente con lo que figura en el perfil de Passpoint instalado en el dispositivo. Si no coinciden, los dispositivos omitirán su red durante la fase de detección. Realice pruebas con un dispositivo que sepa que funciona correctamente antes de la implementación en producción. Rotación de claves xPSK: las claves de contratistas deben tener una fecha de expiración establecida en el aprovisionamiento. El panel de Purple le permite revocar claves individuales sin afectar a ningún otro dispositivo de la red. [medium pause] Preguntas rápidas. ¿Puedo ejecutar los tres SSIDs en el mismo punto de acceso? Sí. Mantenga el recuento total de SSID por punto de acceso en seis o menos para minimizar la sobrecarga de balizas (beacons). ¿Requiere Passpoint una aplicación específica? Con Purple, requiere la aplicación Purple o un SDK integrado en su propia aplicación de marca. El SDK gestiona el aprovisionamiento del perfil de forma silenciosa en segundo plano. ¿Cumple xPSK con la normativa PCI para terminales de tarjetas? Sí, siempre que la VLAN que transporta el tráfico de los dispositivos de pago esté correctamente segmentada y las reglas del cortafuegos restrinjan el tráfico únicamente a lo que requiere el procesador de pagos. ¿Qué ocurre si se cae el portal del SSID de invitados? Configure una redirección de respaldo o una página de bienvenida local en el controlador del punto de acceso. La plataforma de Purple funciona con un tiempo de actividad del 99,999 %, pero una configuración de respaldo de seguridad siempre es una buena práctica. [medium pause] En resumen. El diseño de tres SSIDs le ofrece una red de invitados con un Captive Portal que cumple con las normativas para la captura de datos, una red Passpoint para una incorporación segura y automatizada a través de la aplicación Purple o el SDK con asignación dinámica de VLAN, y una red xPSK que consolida dispositivos IoT, terminales de tarjetas, señalización digital, contratistas y BYOD bajo claves por dispositivo asignadas a VLANs específicas. El resultado es una postura de seguridad más limpia, una mejor experiencia para el visitante y una red que es realmente gestionable a escala. Comience con su diseño de VLAN, configure RADIUS, cree sus SSIDs y establezca su walled garden. El equipo de incorporación de Purple puede guiarle a través de la configuración para su plataforma de hardware específica. La guía escrita completa está disponible en purple.ai. Busque "three SSIDs to rule them all" para obtener la referencia de configuración paso a paso con detalles específicos del proveedor para Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Gracias por escuchar.