Guía de administración de redes para configurar la autenticación RADIUS en WiFi de invitados

Guía de administración de redes para configurar la autenticación RADIUS para WiFi de invitados - Guion de podcast [INTRODUCCIÓN - aproximadamente 1 minuto] Hola y bienvenidos. Les voy a guiar a través de todo lo que necesitan saber sobre la configuración de la autenticación RADIUS para WiFi de invitados, desde la arquitectura subyacente hasta los pasos prácticos que su equipo debe seguir, pasando por los errores más comunes que suelen arruinar las implementaciones. Esto no es una clase teórica. Piénsenlo como una sesión informativa de un consultor senior que se ha sentado a la mesa con directores de TI de hoteles, cadenas de retail, estadios y centros de conferencias, y les ha ayudado a hacerlo bien. Cubriremos los aspectos técnicos fundamentales, los patrones de implementación del mundo real y dónde encaja la plataforma RADIUS nativa de la nube de Purple en todo esto. Empecemos. [INMERSIÓN TÉCNICA - aproximadamente 5 minutos] Entonces, ¿qué es exactamente RADIUS? RADIUS significa Remote Authentication Dial-In User Service. Es un protocolo de red - definido en el RFC 2865 - que proporciona autenticación, autorización y contabilidad centralizadas para el acceso a la red. En términos sencillos: es el sistema que decide si el dispositivo de un visitante tiene permitido acceder a su red, bajo qué condiciones y durante cuánto tiempo. Y después, registra toda la sesión. Para el WiFi de invitados específicamente, RADIUS se sitúa entre sus puntos de acceso y su capa de identidad. Un visitante se conecta a su SSID, su dispositivo envía una solicitud de autenticación al punto de acceso y este la reenvía a un Servidor de Acceso a la Red - o NAS - que luego realiza la consulta al servidor RADIUS. El servidor RADIUS valida las credenciales, devuelve un Access-Accept o un Access-Reject, y la sesión comienza o se bloquea. Los paquetes de contabilidad (accounting) realizan el seguimiento de la duración de la sesión, los datos consumidos y el motivo de la finalización. Las tres funciones principales se suelen denominar AAA: autenticación, autorización y contabilidad (Accounting). La autenticación confirma la identidad. La autorización define a qué puede acceder esa identidad: límites de ancho de banda, asignación de VLAN o duración de la sesión. La contabilidad crea la pista de auditoría. Ahora bien, para el WiFi de invitados, el método de autenticación importa muchísimo. En un entorno corporativo, lo normal sería utilizar 802.1X con EAP-TLS, basado en certificados y muy seguro. Para los invitados, eso es inviable. Los invitados no tienen certificados en sus dispositivos personales. Por tanto, el patrón habitual es un Captive Portal combinado con RADIUS. El visitante llega a una página de bienvenida, introduce sus datos o se autentica a través de un inicio de sesión social, y el Captive Portal intercambia esas credenciales con el servidor RADIUS en su nombre. El servidor RADIUS indica entonces al punto de acceso que conceda el acceso. Esta es exactamente la arquitectura con la que opera Purple. Nuestro servicio RADIUS nativo de la nube gestiona el intercambio de autenticación, mientras que el Captive Portal - que usted personaliza y configura a través de la plataforma Purple - gestiona la experiencia de cara al visitante. El punto de acceso solo necesita conocer la dirección del servidor RADIUS, el puerto y el secreto compartido. Purple proporciona los tres.Hablemos de puertos y protocolos. El tráfico de autenticación RADIUS se ejecuta en el puerto UDP 1812. El registro de conexiones (accounting) de RADIUS se ejecuta en el puerto UDP 1813. Configurarás ambos en tus puntos de acceso. El secreto compartido es una clave previamente compartida entre tu punto de acceso y el servidor RADIUS; trátala como una contraseña. Utiliza una cadena larga generada aleatoriamente. No la reutilices nunca en diferentes despliegues. En cuanto al hardware, Purple es independiente del hardware. Trabajamos con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, entre otros. Los pasos de configuración varían según el fabricante, pero los parámetros RADIUS subyacentes son consistentes: IP o nombre de host del servidor, puerto de autenticación 1812, puerto de registro de conexiones (accounting) 1813, secreto compartido e intervalo de registro de conexiones. Para los puntos de acceso Avaya, por ejemplo, configuras los atributos RADIUS en la sección External RADIUS, estableces el formato Called-Station-Id en formato MAC con guiones UC, activas el registro de conexiones (accounting) y luego configuras el SSID con redirección de página web que apunte a las URL de Captive Portal de Purple. La documentación de soporte de Purple cubre los pasos exactos para Avaya en el enlace de la guía. Para los dispositivos de la serie Pepwave MAX, puedes realizar la configuración a través de InControl2 - su plataforma de gestión en la nube - o directamente a través de la interfaz web local. De cualquier manera, estarás configurando un Captive Portal externo, apuntando la autenticación y el registro de conexiones (accounting) a los servidores RADIUS de Purple, y configurando el SSID con seguridad abierta y el Captive Portal asociado. Una vez más, los pasos exactos se encuentran en los documentos de soporte de Purple. Una decisión de arquitectura que vale la pena destacar: servidores RADIUS primarios y secundarios. Configura siempre ambos. Purple proporciona dos direcciones de servidor RADIUS para redundancia. Si el primario no está accesible, el punto de acceso realiza la conmutación por error al secundario de forma automática. Sin un secundario, una interrupción en el servidor RADIUS significa que tus invitados no podrán conectarse. En un hotel con 300 habitaciones o un estadio con 40 000 aficionados, eso es un incidente grave. La segmentación de VLAN es la otra pieza fundamental. El tráfico de tu WiFi de invitados nunca debe tocar tu red corporativa u operativa. Asigna las sesiones de invitados a una VLAN dedicada, enruta esa VLAN a un enlace de internet independiente o, como mínimo, a través de un firewall con reglas de salida estrictas. Este es un requisito de PCI-DSS si procesas pagos con tarjeta en cualquier parte de la misma infraestructura física, y es simplemente una buena práctica en cualquier caso. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - aproximadamente 2 minutos] Permíteme indicarte las tres cosas que suelen fallar con más frecuencia. Primero: discrepancias en el secreto compartido. El secreto compartido en el punto de acceso debe coincidir exactamente con el registrado en el servidor RADIUS. Distingue entre mayúsculas y minúsculas, carácter por carácter. Un solo carácter incorrecto produce un Access-Reject sin ningún mensaje de error útil. Copia y pega siempre desde tu panel de Purple en lugar de escribirlo manualmente. Segundo: vacíos en la lista blanca. Antes de que el visitante se autentique, su dispositivo debe llegar al Captive Portal. Eso significa que ciertos dominios deben estar en la lista blanca del punto de acceso: las URL del portal de Purple, los endpoints de autenticación y cualquier proveedor de inicio de sesión social que esté utilizando. Si la lista blanca está incompleta, los visitantes verán una página en blanco o un tiempo de espera agotado. Purple mantiene una lista actualizada de los dominios requeridos en la documentación de soporte; use esa lista, no lo deje al azar. Tercero: intervalo de contabilidad. Esto controla la frecuencia con la que el punto de acceso envía actualizaciones de contabilidad provisionales al servidor RADIUS. Si lo configura demasiado largo, perderá granularidad de sesión. Si lo configura demasiado corto, generará tráfico innecesario. Para la mayoría de las implementaciones, el rango correcto es de 240 a 300 segundos. El intervalo recomendado por Avaya es de 300 segundos; el de Pepwave es de 180 a 240 segundos. Siga la guía específica del proveedor. En cuanto al cumplimiento: el GDPR exige que tenga una base legal para recopilar datos de los visitantes. Un Captive Portal bien configurado con casillas de verificación de consentimiento explícito cumple con esto. La plataforma de Purple cumple con el GDPR y cuenta con la certificación ISO 27001. Cada inicio de sesión a través de Purple es una suscripción por elección consciente: el visitante acepta activamente sus términos antes de conectarse. Ese registro de auditoría es su prueba de cumplimiento. [PREGUNTAS Y RESPUESTAS RÁPIDAS - aproximadamente 1 minuto] Preguntas rápidas que me hacen con frecuencia. "¿Tengo que reemplazar mi hardware existente?" No. Purple se integra sobre su infraestructura existente. No es necesario realizar una sustitución completa. "¿Puedo usar RADIUS para el WiFi del personal en la misma plataforma?" Sí. Purple admite SSID independientes para invitados y personal, con diferentes políticas de autenticación en cada uno. "¿Qué pasa si mi establecimiento tiene varias sedes?" Purple gestiona implementaciones multisitio desde un único panel de control. Configura una vez y replica en todas las sedes. "¿Es el RADIUS en la nube menos seguro que el local?" No. El RADIUS en la nube de Purple funciona con un 99.999 % de tiempo de actividad, certificación ISO 27001 y cifrado de extremo a extremo. La superficie de ataque es menor que la de un servidor autogestionado porque los parches y el endurecimiento de seguridad se gestionan de forma centralizada. "¿Cuánto tiempo lleva una implementación completa?" Para un solo establecimiento con hardware compatible, un administrador de red puede completar la configuración de RADIUS en menos de dos horas. El equipo de incorporación de Purple está disponible para ayudarle. [RESUMEN Y PRÓXIMOS PASOS - aproximadamente 1 minuto] En resumen. La autenticación RADIUS para WiFi de invitados le brinda control de acceso centralizado, un registro de contabilidad completo y la base de cumplimiento que necesita para GDPR y PCI-DSS. La arquitectura es sencilla: punto de acceso a NAS, luego a servidor RADIUS y finalmente a la plataforma en la nube de Purple. Los tres aspectos que hay que configurar correctamente son el secreto compartido, la lista blanca de dominios y el intervalo de contabilidad. Purple opera un RADIUS nativo de la nube en más de 80,000 establecimientos en todo el mundo, gestionando 440 millones de inicios de sesión en 2024. La plataforma es independiente del hardware, cuenta con la certificación ISO 27001 y cumple con el GDPR. Sus siguientes pasos: compruebe si su hardware está en la lista de dispositivos compatibles de Purple, obtenga las credenciales del servidor RADIUS desde su panel de control de Purple y siga la guía de configuración específica del proveedor en el centro de soporte de Purple. Si necesita ayuda, el equipo técnico de Purple puede guiarle a lo largo del proceso. Gracias por su atención. La guía escrita completa con diagramas, ejemplos prácticos y referencias de configuración está enlazada a continuación.