UU PPSK: comparación de funciones y modelos de implementación

UU PPSK: Comparación de características y modelos de despliegue Un podcast de Purple Technical Briefing Duración aproximada: 14 minutos Bienvenido a Purple Technical Briefing. Le guiaré a través de una de las decisiones más importantes que tomará al diseñar el WiFi para una propiedad residencial o comercial multi-inquilino: qué modelo de clave precompartida desplegar. Y, específicamente, nos centraremos en UU PPSK, que significa clave precompartida única por usuario, y por qué se ha convertido en la arquitectura preferida para los operadores de Build to Rent, proveedores de alojamiento para estudiantes y propietarios de MDU en todo el Reino Unido. Empecemos con el problema. Si es un promotor inmobiliario o propietario, gestiona un edificio donde decenas o cientos de hogares independientes comparten la misma infraestructura de red física. Necesita que cada residente tenga una experiencia WiFi privada, similar a la de su hogar. Su Chromecast necesita encontrar su teléfono. Su altavoz inteligente necesita hablar con sus bombillas. Y, fundamentalmente, nada de eso debería ser visible para el residente del apartamento de al lado. La respuesta tradicional a esto era una contraseña compartida, lo que representa un desastre de seguridad a gran escala, o un despliegue empresarial completo de 802.1X, que requiere una infraestructura de clave pública, gestión de certificados y un servidor RADIUS para el cual la mayoría de los operadores inmobiliarios simplemente no tienen los recursos de TI necesarios. Ninguna de esas opciones es adecuada para un bloque BTR de 200 unidades. Ahí es donde entra en juego PPSK. PPSK significa clave privada precompartida. El concepto es sencillo: en lugar de una contraseña WiFi compartida para todo el edificio, cada residente obtiene su propia contraseña única. Se conectan al mismo SSID, al mismo nombre de red, pero su clave es solo suya. Si se mudan, se revoca su clave. Esto tiene un impacto nulo en cualquier otro residente. Ahora bien, en realidad existen tres modelos distintos, y comprender la diferencia entre ellos es fundamental para tomar la decisión arquitectónica correcta. El primer modelo es un PSK compartido estándar. Una contraseña, todos en la misma red. Esto es lo que la mayoría de los edificios todavía utilizan hoy en día. Es sencillo de desplegar, pero representa un único punto de fallo. Si un residente comparte la contraseña en un foro, habrá perdido el control de su red. ¿Quiere eliminar el acceso de un contratista? Tiene que cambiar la contraseña para todos. A gran escala, esto es sencillamente inmanejable. El segundo modelo es Group PPSK. Aquí se asigna una clave única a cada grupo de usuarios, tal vez una clave por planta o una clave por tipo de contrato de alquiler. Es mejor que una contraseña compartida, pero sigue teniendo un problema de radio de impacto. Si una clave de un grupo se ve comprometida, todo el grupo se ve afectado. Y sigue sin poder aislar a los residentes individuales entre sí en la capa de red. El tercer modelo, y en el que nos centramos hoy, es UU PPSK, Unique per-User Pre-Shared Key, también llamado iPSK por Cisco, DPSK por Ruckus y MPSK por HPE Aruba. La terminología varía según el fabricante, pero el concepto es idéntico. Cada residente, cada grupo de dispositivos, obtiene su propia clave criptográficamente única. Y esa clave se asocia a su propia VLAN, su propio segmento de red, completamente aislado de cualquier otro residente del edificio. Esta es la arquitectura que ofrece lo que yo llamo la burbuja de WiFi. Los dispositivos del Residente A pueden verse entre sí, pueden transmitir contenido, emparejarse y compartir archivos, exactamente como lo harían en la red de su casa. Pero el Residente A no puede ver ningún dispositivo que pertenezca al Residente B, aunque ambos estén conectados al mismo punto de acceso, en el mismo SSID, utilizando la misma infraestructura de cable física. Permítame guiarle a través del flujo de autenticación técnica, porque aquí es donde ocurre la magia. Cuando el dispositivo de un residente se conecta al SSID, el Wireless LAN Controller intercepta el intento de conexión y reenvía la dirección MAC del dispositivo a un servidor RADIUS. El servidor RADIUS, que puede estar alojado en la nube, como el de Purple, busca esa dirección MAC en su almacén de identidades. Devuelve una respuesta Access-Accept que contiene la clave precompartida única asignada a ese residente. El controlador valida la clave que presentó el dispositivo con la clave devuelta. Si coinciden, el dispositivo se autentica y se coloca en la VLAN dedicada del residente. De manera fundamental, esa respuesta RADIUS también incluye la asignación de VLAN. Por lo tanto, el dispositivo no solo se autentica. Se coloca automáticamente en el segmento de red correcto, con la política de ancho de banda correcta y las reglas de firewall correctas, todo desde un único SSID. Sin proliferación de SSIDs. Sin sobrecarga de beacons. Un nombre de red, cientos de redes privadas aisladas debajo de él. Ahora, unas palabras sobre la aleatorización de direcciones MAC, porque este es el error en el que caen la mayoría de las implementaciones. Desde iOS 14, Android 10 y Windows 11, los dispositivos utilizan direcciones MAC aleatorias de forma predeterminada por razones de privacidad. Si su servidor RADIUS está realizando una búsqueda de MAC y el dispositivo presenta una dirección aleatoria, la búsqueda falla y el dispositivo no puede conectarse. La solución consiste en configurar su SSID para solicitar que los clientes utilicen su dirección MAC de hardware permanente, o implementar un flujo de trabajo de registro previo en el que los residentes registren su dispositivo antes de conectarse. La plataforma de Purple gestiona esto automáticamente como parte del flujo de incorporación de residentes. Hablemos de los modelos de implementación, porque UU PPSK se puede implementar de tres formas distintas, y la elección correcta dependerá del tamaño de su edificio, de sus recursos de TI y de su presupuesto. El primero es PPSK local en controlador. En este modelo, las claves únicas se almacenan directamente en el controlador inalámbrico, sin necesidad de un servidor RADIUS externo. Esto funciona bien para implementaciones más pequeñas, de hasta unas 200 unidades, y es el más sencillo de operar. Ubiquiti UniFi ofrece soporte nativo para esto. La limitación es la escalabilidad. La mayoría de los controladores tienen un límite de unos pocos cientos de entradas PPSK locales, y se pierde la gestión centralizada del ciclo de vida que hace que la operación de PPSK sea viable a escala. El segundo modelo es PPSK respaldado por RADIUS. Aquí, las claves se almacenan en un servidor RADIUS externo y el controlador consulta al servidor RADIUS para cada nueva conexión. Esto permite escalar a miles de unidades. TP-Link Omada admite hasta 4000 PPSK con un servidor RADIUS externo. Ruckus SmartZone, HPE Aruba ClearPass y Cisco ISE admiten este modelo. La sobrecarga operativa es mayor, pero la escalabilidad y las capacidades de gestión del ciclo de vida son significativamente mejores. El tercer modelo, y el que Purple recomienda para operadores de BTR (Build to Rent) y MDU (unidades de viviendas múltiples), es el servicio en la nube RADIUS-as-a-Service. En este caso, Purple aloja y gestiona la infraestructura RADIUS, y usted conecta sus puntos de acceso a ella a través de una superposición en la nube. Esto le ofrece la escalabilidad de PPSK respaldado por RADIUS sin la sobrecarga operativa de ejecutar su propio servidor RADIUS. La plataforma de Purple se integra sobre su hardware existente, ya sea Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet, y proporciona la capa de orquestación para el aprovisionamiento de claves, la gestión del ciclo de vida y la incorporación de residentes. El ciclo de vida de las claves está totalmente automatizado. Un residente se muda, su clave se aprovisiona a través de la integración con el sistema de gestión de propiedades. Se marcha, su clave se revoca al instante, sin ningún impacto en los demás residentes. Sin intervención manual, sin brechas de seguridad y sin complicaciones con la rotación de contraseñas. Permítame presentarle dos escenarios concretos de implementación para ilustrar esto de forma práctica. El primero es una promoción Build to Rent de 250 unidades. El desarrollador había especificado puntos de acceso Cisco Meraki en todo el edificio. Necesitaban que cada residente tuviera una experiencia de WiFi privada con soporte completo para IoT, disponibilidad de mudanza el mismo día y capacidad para soportar de 15 a 25 dispositivos por hogar. El hogar promedio de BTR conecta ahora 18 dispositivos a la red WiFi, desde teléfonos y portátiles hasta altavoces inteligentes, dispositivos de streaming y electrodomésticos conectados. La arquitectura implementada consistió en un único SSID en todo el edificio, con PPSK a través del servicio cloud RADIUS de Purple. Cada residente recibió una clave única al mudarse, entregada a través de la aplicación para residentes. La clave se asoció a una VLAN dedicada con una subred privada, lo que proporcionó a cada hogar un segmento de red totalmente aislado. Se habilitó la reflexión mDNS dentro de cada VLAN, de modo que Chromecast, Apple TV y Sonos funcionaron perfectamente. El edificio comenzó a operar con 250 VLAN de residentes activas desde el primer día, con cero configuración manual de RADIUS por parte del equipo en el sitio.El segundo escenario es un bloque de alojamiento para estudiantes de 400 camas diseñado para tal fin. El desafío aquí es la rotación anual de la cohorte. Cada agosto, 400 estudiantes se mudan y 400 nuevos estudiantes se instalan, a menudo en la misma semana. Con un modelo de PSK compartido, eso significa una rotación de contraseña en todo el edificio que afecta a cada residente que regresa. Con UU PPSK, significa revocar 400 claves y aprovisionar 400 nuevas, todo automatizado a través de la integración con el sistema de gestión de estudiantes. La implementación utilizó Ruckus SmartZone con DPSK, respaldado por el servicio RADIUS de Purple. Cada estudiante recibió su clave única por correo electrónico durante el registro previo a la llegada. La clave era válida durante la duración de su contrato de arrendamiento y caducaba automáticamente en la fecha de finalización de su contrato. El equipo de operaciones informó de una reducción del 70% en los tickets de soporte relacionados con WiFi en el primer trimestre, principalmente porque los problemas de emparejamiento de Chromecast y smart TV que habían afectado a la implementación anterior de PSK compartido se eliminaron por completo. Ahora permítame cubrir el aspecto del cumplimiento normativo, porque esto importa a los operadores de propiedades de formas que a veces no se valoran lo suficiente. El GDPR exige que pueda demostrar la responsabilidad del procesamiento de datos. En un contexto de WiFi, eso significa ser capaz de identificar qué residente generó qué tráfico de red, y ser capaz de responder a una solicitud de acceso del interesado o a una solicitud de las fuerzas del orden con datos precisos y específicos del residente. Con un PSK compartido, eso es imposible. Cada dispositivo en la red parece idéntico desde la perspectiva del servidor RADIUS. Con UU PPSK, cada conexión está vinculada a una clave de residente específica, que a su vez está vinculada a un registro de arrendamiento específico. Su pista de auditoría está completa. Permítame darle tres reglas prácticas antes de pasar a las preguntas rápidas. Regla uno: si su edificio tiene más de 50 unidades, use UU PPSK respaldado por RADIUS, no PPSK local del controlador. El límite de escalabilidad de PPSK local del controlador le causará problemas dentro de los 12 meses posteriores a la puesta en marcha. Regla dos: planifique para la aleatorización MAC desde el primer día. Incorpore un flujo de trabajo de preregistro en su proceso de incorporación de residentes. No asuma que los dispositivos presentarán su dirección MAC permanente por defecto. Regla tres: automatice el ciclo de vida de las claves. El valor operativo de UU PPSK sobre un PSK compartido depende por completo de que las claves se aprovisionen y revoquen automáticamente. La gestión manual de claves a gran escala no es viable. Integre con su sistema de gestión de propiedades o sistema de gestión de estudiantes desde el principio. Bien, hagamos una ronda rápida de las preguntas que me hacen con más frecuencia. ¿Funciona UU PPSK con WPA3? Sí, con salvedades. WPA3-SAE cambia el mecanismo de saludo (handshake). La mayoría de los controladores modernos admiten UU PPSK en modo de transición WPA2 y WPA3 para compatibilidad con versiones anteriores. Consulte la documentación específica de su proveedor antes de especificar una implementación pura de WPA3.¿Cuántas claves únicas admite un solo SSID? Esto depende de la plataforma de su controlador. Con un servidor RADIUS externo, el límite práctico es la capacidad de su base de datos RADIUS. El servicio de cloud RADIUS de Purple se escala para admitir decenas de miles de claves concurrentes. ¿Es UU PPSK un sustituto de 802.1X? No. Para flotas de dispositivos corporativos totalmente gestionados con terminales registrados en MDM y con una infraestructura de certificados ya implementada, WPA3-Enterprise con 802.1X ofrece una postura de seguridad más sólida. UU PPSK es la herramienta adecuada para entornos en los que no se controlan los dispositivos que se conectan a la red, que es exactamente el escenario que se da en las implementaciones de BTR, residencias de estudiantes y MDU. ¿En qué hardware se ejecuta? La capa en la nube de Purple es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. No es necesario reemplazar los puntos de acceso existentes. En resumen: UU PPSK es la arquitectura de autenticación que hace que el WiFi multi-inquilino sea operativamente viable a escala residencial. Ofrece aislamiento de red por residente, compatibilidad total con IoT, gestión automatizada del ciclo de vida de las claves y un registro de auditoría compatible con GDPR, todo desde un único SSID en su hardware existente. Los tres modelos de implementación (local del controlador, con respaldo de RADIUS y cloud RADIUS-as-a-Service) se adaptan a diferentes tamaños de edificios y niveles de recursos de TI. Para cualquier proyecto de más de 50 unidades, la opción adecuada es cloud RADIUS-as-a-Service. Elimina los costes operativos de gestionar su propia infraestructura RADIUS y le proporciona la escalabilidad y las capacidades de gestión del ciclo de vida que necesita. La plataforma de WiFi multi-inquilino de Purple ofrece exactamente esto. Fundada en 2012, operamos en 80.000 espacios activos y nuestra plataforma ha procesado 440 millones de inicios de sesión solo en 2024. Contamos con la certificación ISO 27001, cumplimos con la normativa GDPR y somos independientes del hardware. Si está planeando una implementación de BTR, residencia de estudiantes o MDU y desea comprender cómo se adapta UU PPSK a su arquitectura específica, las guías enlazadas en esta sesión informativa son un buen punto de partida. Gracias por escucharnos. Hasta la próxima.