Adquisición de WiFi escolar: 802.1X para empleados, dispositivos de alumnos, visitantes y filtrado en una sola especificación

Una especificación de WiFi escolar debe incluir cuatro redes: personal, dispositivos administrados de alumnos, visitantes y dispositivos del edificio. Debe definir la autenticación, la segmentación y el filtrado para cada una. El personal y los dispositivos administrados de alumnos deben conectarse mediante 802.1X o claves por dispositivo, nunca con una contraseña compartida. El filtrado debe cumplir con los estándares de filtrado y monitoreo del DfE en todas las redes, incluida la red de visitantes.

¿Qué hace realmente una única especificación de WiFi escolar?

Una única especificación elimina la brecha que se genera cuando tres proveedores son responsables de una parte distinta de la red. En una escuela típica, un proveedor vende los puntos de acceso, otro administra RADIUS y un tercero filtra el tráfico web. Cuando un alumno accede a contenido dañino en la red de visitantes, ningún proveedor asume la responsabilidad de manera individual.

Incluir todas las redes en una sola licitación de WiFi escolar soluciona este problema desde la etapa contractual. Cada red obtiene cuatro elementos:

• Un responsable asignado.
• Un método de autenticación.
• Una VLAN, es decir, una LAN virtual: una red lógica que mantiene el tráfico separado en conmutadores y puntos de acceso compartidos.
• Una política de filtrado.

Los licitantes cotizan para la totalidad de las instalaciones. El responsable designado de salvaguarda (DSL) recibe un solo conjunto de reportes en lugar de tres.

Para el WiFi de un fideicomiso multiescolar (multi-academy trust), la especificación también funciona como plantilla. Cada escuela hereda las mismas redes y políticas, con variaciones locales únicamente donde el fideicomiso lo autorice. Una escuela que se incorpore al fideicomiso el próximo año adoptará la plantilla en lugar de llevar a cabo su propio proceso de adquisiciones.

¿Qué necesita antes de redactar la licitación de WiFi escolar?

Reúna cinco elementos antes de comenzar a redactar. Cada uno influye en lo que solicitará a los licitantes.

Una lista de activos por escuela. Registre los modelos de puntos de acceso, controladores, conmutadores y las fechas de soporte del proveedor. Purple es independiente del hardware y opera como una capa superpuesta en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si su hardware se encuentra en esa lista y aún cuenta con soporte, es posible que la licitación no requiera un lote de hardware en absoluto. Por qué su próxima actualización de WiFi no necesita hardware nuevo expone este caso detalladamente.

Su fuente de identidades. La mayoría de las escuelas utilizan Microsoft Entra ID o Google Workspace para las cuentas del personal y de los alumnos, y algunos fideicomisos emplean Okta. La plataforma de WiFi debe autenticar contra ese directorio, no contra una segunda lista de cuentas.

Un inventario de dispositivos. Cuente los iPads, Chromebooks y laptops Windows administrados, y registre quién los gestiona. Indique si una plataforma de gestión de dispositivos móviles (MDM) ya los tiene registrados. Un MDM es software que envía configuraciones, aplicaciones y credenciales a los dispositivos propiedad de la escuela.

Su esquema actual de filtrado y monitoreo. Registre el proveedor, la fecha de finalización del contrato y el líder sénior responsable. El estándar del DfE exige designar roles específicos antes de tomar cualquier decisión tecnológica.

Aprobación de protección y salvaguarda. Su DSL y el responsable de seguridad en línea deben aprobar los requisitos de filtrado antes de que se publique la licitación. La guía "Keeping Children Safe in Education" otorga al DSL la responsabilidad principal de la seguridad en línea, lo que incluye comprender el filtrado y el monitoreo implementados.

¿Cómo redactar cada red en la especificación de red de la escuela?

Comience la especificación con una tabla como la siguiente. En ella se indica a cada postor quién utiliza cada red, cómo se conecta y qué se filtra. Luego, los postores responden línea por línea.

Red	Quién la utiliza	Cómo se autentica	Segmentación	Política de filtrado	Componente de Purple
Personal	Docentes, personal de apoyo, personal suplente, equipo central del fideicomiso	IEEE 802.1X frente a Entra ID, Google Workspace o Okta; certificados en computadoras portátiles administradas	VLAN propia con acceso al MIS, impresoras y recursos compartidos de archivos	Política del personal, filtrada y registrada a nombre de la persona	Purple Access, Shield
Dispositivos administrados de los alumnos	iPads, Chromebooks y computadoras portátiles propiedad de la escuela	Certificado EAP-TLS o iPSK por dispositivo, entregado mediante inscripción en MDM	VLAN propia, sin ruta hacia los recursos del personal	Política para alumnos adecuada para la edad, registrada por dispositivo	Purple Access, Purple MDM, Shield
Dispositivos propios de los alumnos (opcional, bachillerato)	Estudiantes de bachillerato con teléfonos y computadoras portátiles personales	802.1X con cuenta de alumno o iPSK por alumno	VLAN propia, solo internet	Política de alumnos, registrada por alumno	Purple Access, Shield
Visitantes y contratistas	Padres de familia, miembros de la junta directiva, contratistas, arrendatarios de instalaciones	Portal cautivo con acceso limitado por tiempo o patrocinado	Aislamiento de clientes, solo internet	Política de visitantes, filtrada y registrada	Purple Access, Shield
Dispositivos del edificio	Impresoras, equipo audiovisual, control de acceso a puertas, CCTV, sensores	iPSK por dispositivo	VLAN aislada, solo los servicios que requiere cada dispositivo	Bloqueada únicamente a los destinos requeridos	Purple Access, Shield

Personal: 802.1X frente al directorio que ya opera

IEEE 802.1X es el estándar para el control de acceso a la red. Un dispositivo debe autenticarse ante un servidor RADIUS antes de recibir cualquier tipo de acceso a la red. RADIUS (Remote Authentication Dial-In User Service) es el protocolo que verifica la credencial y devuelve una respuesta de aceptación o rechazo.

Redacte el requisito de forma clara: "Los dispositivos del personal se autentican con IEEE 802.1X frente al proveedor de identidades del fideicomiso. No hay una contraseña compartida para el personal". Purple Access proporciona RADIUS en la nube, por lo que usted no necesita implementar ningún servidor local en cada escuela.

Solicite dos métodos:

• EAP-TLS para computadoras portátiles administradas del personal. Cada dispositivo presenta un certificado distribuido por MDM, de modo que nadie tenga que escribir nada.
• PEAP o claves individuales para los teléfonos del personal. PEAP envía una contraseña dentro de un túnel TLS cifrado.

Especifique WPA3-Enterprise cuando los puntos de acceso y los dispositivos lo admitan, usando WPA2-Enterprise como alternativa. Cómo configurar Enterprise WiFi en iOS y macOS con 802.1X explica los pasos que deben realizarse en el dispositivo.

Automatice las altas, bajas y cambios de puesto. Cuando el fideicomiso deshabilita la cuenta de directorio de una persona que deja la institución, su acceso a WiFi debe finalizar en ese mismo instante. Pida a los proveedores que expliquen exactamente cómo llegan los cambios de cuenta a la red. Esto podría ser SCIM, un estándar para sincronizar cuentas entre sistemas, o una búsqueda de directorio en tiempo real. Califíquelos según el tiempo de demora entre la deshabilitación de la cuenta y el término del acceso.

Dispositivos administrados de los alumnos: inscritos, no ingresados manualmente

Una contraseña compartida en 600 iPads de alumnos falla de forma predecible. Una vez que un alumno conoce la clave, su teléfono personal se conecta a una red destinada únicamente a los dispositivos escolares. Luego, los registros muestran tráfico que usted no puede atribuir a ningún dispositivo administrado.

Redacte este requisito: "Los dispositivos administrados de los alumnos reciben su credencial de red a través de la inscripción en MDM. Ningún alumno ni miembro del personal escribe o conoce la clave". Dos métodos lo cumplen:

• Certificados EAP-TLS, uno por dispositivo. Esta es la opción más sólida.
• iPSK (clave precompartida de identidad, también llamada PPSK). Cada dispositivo obtiene su propia clave en el mismo nombre de red, por lo que puede revocar un dispositivo sin afectar al resto.

El MDM de Purple inscribe los dispositivos administrados de los alumnos para que la credencial llegue con la configuración del dispositivo. Un iPad extraviado se traduce en una sola credencial revocada, no en un cambio de clave en toda la escuela.

Los dispositivos en carritos compartidos necesitan una línea adicional en la especificación. Los registros de filtrado nombrarán al dispositivo, no al alumno. Solicite a los proveedores que demuestren cómo se alinean los registros de los dispositivos con sus registros de préstamo u horarios. Su responsable de seguridad digital (DSL) podrá identificar entonces quién tenía el dispositivo en ese momento.

Visitantes y contratistas: con límite de tiempo y aún bajo filtrado

Los visitantes se conectan a través de un portal cautivo. Esta es una página web que se muestra antes de conceder el acceso a la red. Especifique tres tipos de acceso:

• Acceso para eventos para padres de familia y grupos comunitarios, que vence al finalizar el evento.
• Acceso patrocinado para directivos y profesionales visitantes, aprobado por un miembro específico del personal.
• Acceso para contratistas, que vence en la fecha de finalización del contrato.

Recopile únicamente los datos que necesita, conforme a GDPR, con opciones de suscripción voluntaria y consciente para cualquier elemento adicional al acceso. El Guest WiFi de Purple opera este modelo en más de 80,000 recintos activos en 90 países.

La red para visitantes no está exenta de filtrado. El estándar del DfE aplica el filtrado a las cuentas de invitados y a cada dispositivo que utilice la conexión de banda ancha de la escuela.

Caso práctico: una escuela secundaria con alquileres nocturnos. Una escuela secundaria alquila su polideportivo y su auditorio a grupos comunitarios cuatro noches a la semana. A los arrendatarios se les entregaba la contraseña de WiFi del personal desde una tarjeta plastificada. Sus dispositivos se conectaban a la red VLAN de los empleados bajo la política de filtrado para el personal.

La escuela tomó tres medidas:

1. Migró al personal a 802.1X, por lo que ya no quedó ninguna clave compartida para entregar.
2. Asignó a cada uno de los cuatro alquileres semanales su propio código de portal cautivo, el cual vence a la hora de finalización de la reserva.
3. Aplicó la política de filtrado de visitantes a cada dispositivo de los arrendatarios.

El resultado modelado es cuantificable. Las credenciales compartidas del personal en circulación pasaron de una a cero. Cada alquiler obtuvo su propio código con fecha de vencimiento. Cada sesión de los arrendatarios en el registro de filtrado incluye ahora un código vinculado a una referencia de reservación.

Dispositivos de las instalaciones: aislados de forma predeterminada

Las impresoras, los sistemas audiovisuales, los controles de acceso y las cámaras de CCTV rara vez son compatibles con 802.1X. Asigne a cada dispositivo, o a cada clase de dispositivo, su propia iPSK en una VLAN aislada. Limite cada dispositivo únicamente a los servicios que necesita. Un proyector no necesita una ruta hacia el servidor del MIS.

Filtrado y monitoreo en cada red: lo que exigen los estándares del DfE

Los estándares de filtrado y monitoreo del DfE, parte de sus estándares digitales y tecnológicos para escuelas y universidades, establecen cuatro expectativas:

1. Identificar y asignar roles y responsabilidades para gestionar los sistemas de filtrado y monitoreo.
2. Revisar la provisión de filtrado y monitoreo al menos una vez por año académico.
3. Bloquear contenido dañino e inapropiado sin afectar de manera irrazonable la enseñanza y el aprendizaje.
4. Contar con estrategias de monitoreo eficaces que satisfagan las necesidades de protección y salvaguarda de la escuela.

El estándar es específico sobre el sistema de filtrado. Debe aplicarse a cuentas de invitados, dispositivos propiedad de la escuela y cualquier dispositivo que utilice la conexión de banda ancha de la institución. Debe:

• Filtrar todas las conexiones a internet, incluida cualquier conexión de respaldo.
• Ser adecuado para la edad y el nivel de los usuarios.
• Gestionar contenido multilingüe, imágenes, errores ortográficos comunes y abreviaturas.
• Identificar y bloquear métodos de elusión, como redes VPN y servicios proxy.
• Enviar alertas cuando se bloquee contenido.

El proveedor de filtrado debe ser miembro de la Internet Watch Foundation (IWF). Debe estar registrado en la lista de la Counter-Terrorism Internet Referral Unit (CTIRU) y bloquear contenido ilegal, incluido el material de abuso sexual infantil. Los informes de filtrado deben mostrar:

• El nombre o ID del dispositivo y la dirección IP, así como el usuario individual siempre que sea posible.
• La hora y fecha del intento de acceso.
• El término de búsqueda o el contenido bloqueado.

Convierta cada punto en un requisito numerado y solicite a cada licitador pruebas concretas, no un simple sí. Dichas pruebas deben incluir su membresía de la IWF, su estatus ante la CTIRU y su respuesta publicada a las definiciones de filtrado adecuado del UK Safer Internet Centre.

Purple Shield aplica el filtrado por red. Las redes de alumnos, personal y visitantes pueden tener políticas diferentes dentro de un mismo conjunto de registros. Dado que Purple Access reconoce quién o qué se autenticó, una solicitud bloqueada se asigna a un miembro específico del personal, a un dispositivo administrado o a un código de visitante. Esa identidad es exactamente lo que exige el requisito de informes del DfE.

Informes, soporte e implementación en toda una fundación educativa (trust)

Informes. Solicite informes en tres niveles: por red, por escuela y para toda la fundación. El responsable de protección (DSL) necesita informes y alertas de solicitudes bloqueadas. El administrador de operaciones necesita datos de conexión y capacidad. Los directivos necesitan evidencia para la revisión anual. Los informes de la red de visitantes pueden integrarse junto con WiFi Analytics para obtener datos sobre eventos y alquileres.

Soporte. Especifique los tiempos de respuesta durante la jornada escolar, durante las vacaciones y para derivaciones de protección infantil. Indique la ruta de escalamiento para una alerta de filtrado generada fuera del horario laboral. Solicite certificaciones. Purple cuenta con la certificación ISO 27001 e Cyber Essentials, cumple con GDPR y funciona con un tiempo de actividad del 99.999 %.

Implementación. Incluya una escuela piloto en el contrato antes de la implementación en todo el grupo educativo. Programe las escuelas restantes en periodos vacacionales. Solicite a los postores un plan de funcionamiento en paralelo: la red antigua con clave compartida se mantiene activa brevemente mientras se migran los dispositivos y luego se retira en una fecha fija.

Caso práctico: un grupo de ocho escuelas. Un grupo educativo de dos escuelas secundarias y seis primarias operaba ocho configuraciones distintas de WiFi. El filtrado se dividía en tres contratos independientes. Los iPads de los alumnos de cada escuela se conectaban mediante una clave compartida.

El grupo educativo siguió cuatro pasos:

1. Emitió una sola especificación con la tabla de red de cinco filas descrita anteriormente.
2. Especificó una superposición en la nube sobre sus puntos de acceso existentes de Cisco Meraki y HPE Aruba.
3. Realizó una prueba piloto en una escuela primaria durante las vacaciones de Semana Santa.
4. Implementó la solución en las siete escuelas restantes durante el verano.

El resultado proyectado: ocho claves compartidas para alumnos se redujeron a cero. Tres contratos de filtrado se convirtieron en un único conjunto de políticas por red. Ocho paquetes de revisión anual independientes se transformaron en un solo informe para todo el grupo.

¿Cómo verificar las respuestas de los postores y la red en producción?

Evalúe demostraciones, no documentos. Pida a cada postor preseleccionado que realice cinco tareas en vivo:

• Desactivar una cuenta de personal en su directorio y demostrar que el acceso a WiFi finaliza.
• Revocar la credencial del iPad de un alumno sin afectar a los demás.
• Mostrar una solicitud bloqueada con el ID del dispositivo, la hora y el término de búsqueda.
• Mostrar la red de visitantes aplicando su política de filtrado.
• Mostrar una vista a nivel de escuela y una vista a nivel de grupo educativo con los mismos datos.

Tras la implementación, ejecute pruebas de aceptación desde cada red. Utilice la herramienta SWGfL Test Filtering para comprobar que el contenido de IWF y CTIRU esté bloqueado en las conexiones de personal, alumnos, visitantes y de respaldo. Luego, revise la segmentación: intente acceder a los recursos del personal desde el dispositivo de un alumno y desde la red de visitantes. Instale una aplicación VPN de uso común en un dispositivo de prueba y confirme que el filtro la detecte. Registre los resultados; constituirán la primera entrada de su revisión anual.

¿Qué suele salir mal y cómo solucionarlo?

La línea de respaldo no tiene filtrado. Las escuelas con una conexión secundaria de banda ancha suelen filtrar únicamente la principal. La norma del DfE cubre todas las conexiones a Internet, por lo que debe incluir expresamente la conexión de respaldo en la especificación.

Los certificados vencen a mitad del periodo escolar. Si los certificados de los dispositivos de los alumnos vencen en marzo, una generación escolar completa perderá la conexión a la red. Exija la renovación mediante MDM antes de su vencimiento, con alertas al administrador de red con 30 días de anticipación.

Los dispositivos más antiguos no son compatibles con 802.1X. Algunos equipos audiovisuales y modelos antiguos de impresoras solo admiten una clave precompartida. Trasládelos a iPSK por dispositivo en la VLAN de dispositivos del edificio en lugar de mantener activa una clave compartida.

El bloqueo excesivo interrumpe las clases. La norma le pide que no afecte la enseñanza de forma irrazonable. Especifique una vía de solicitud de desbloqueo el mismo día para los profesores, registrando cada cambio para la revisión anual.

Los teléfonos del personal solicitan confiar en un certificado. Los teléfonos no administrados solicitan al personal que acepte el certificado del servidor RADIUS en la primera conexión. Publique una guía de conexión de una página con capturas de pantalla e implemente perfiles en los dispositivos administrados para que la solicitud nunca aparezca.

Los dispositivos compartidos en carritos generan registros anónimos. Los registros a nivel de dispositivo solo se convierten en evidencia a nivel de persona cuando coinciden con un registro de salida. Acuerde el proceso de registro con su DSL antes de la puesta en marcha.

¿Cuánto cuesta y qué obtiene a cambio?

No permita que los licitadores ofrezcan una sola suma global. Pídales que coticen por separado seis conceptos:

• Número de escuelas.
• Redes por escuela.
• Dispositivos administrados.
• Complementos.
• Implementación única.
• Renovación anual.

Purple ofrece precios a través de tres planes: Connect, Capture y Engage. SecurePass, Verify y Shield están disponibles como complementos de seguridad. Reutilizar el hardware compatible elimina la partida de capital más grande de la mayoría de las licitaciones.

El retorno proviene de eliminar trabajo y contratos:

• Sin claves compartidas que rotar. Ya no es necesario cambiar las contraseñas compartidas del personal y de los alumnos tras cada filtración.
• Revocación automática de bajas. Las personas que dejan la institución pierden el acceso a WiFi cuando Recursos Humanos deshabilita su cuenta en el directorio.
• Un único paquete de revisión anual. La revisión del DfE se basa en un solo conjunto de informes, no en uno por escuela.
• Menos contratos. WiFi, RADIUS y el filtrado pasan de tres contratos a uno solo.

Reemplazar a los proveedores independientes de WiFi para invitados, RADIUS y filtrado de DNS expone en detalle las ventajas de la consolidación para entornos con múltiples sitios.

Preguntas frecuentes

¿Puede Purple funcionar en los puntos de acceso que nuestras escuelas ya tienen?

Sí. Purple es independiente del hardware y funciona como una superposición en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si sus puntos de acceso están en esa lista y aún cuentan con soporte del proveedor, es posible que la licitación de WiFi de su escuela no necesite un lote de hardware. Pida a los licitadores que confirmen las fechas de soporte de cada modelo en su lista de inventario antes de evaluar las propuestas.

¿Debe aplicarse el filtrado a la red de visitantes?

Sí. Los estándares de filtrado y monitoreo del DfE aplican el filtrado a las cuentas de invitados y a cada dispositivo que utilice la conexión de banda ancha de la escuela. Su red de visitantes necesita su propia política de filtrado, registrada como cualquier otra red. Purple Shield aplica el filtrado por red, de modo que los visitantes, alumnos y personal pueden tener cada uno una política distinta bajo un único conjunto de informes.

¿Cómo se conectan los iPad y Chromebook administrados de los alumnos sin una contraseña compartida?

Reciben una credencial única a través del enrolamiento en MDM, ya sea un certificado EAP-TLS o una iPSK por dispositivo. Ningún alumno ni profesor ve ni escribe la clave. El MDM de Purple enrola los dispositivos administrados de los alumnos para que la credencial llegue con la configuración del dispositivo. La pérdida de un dispositivo implica revocar una sola credencial, no cambiar la contraseña en toda la escuela.

¿El personal puede iniciar sesión con sus cuentas de Microsoft Entra ID o Google Workspace?

Sí. Purple Access autentica al personal a través de IEEE 802.1X con Microsoft Entra ID, Okta o Google Workspace mediante RADIUS en la nube. Usted no mantiene una lista independiente de cuentas de WiFi. Cuando la federación de escuelas (trust) inhabilita la cuenta de directorio de una persona que se va, su acceso a la red finaliza con ella. Pida a los licitantes que demuestren esa secuencia en vivo durante la evaluación.

¿Se debe adquirir el filtrado junto con el WiFi o licitarse por separado?

Especifique el filtrado por red dentro de la especificación de WiFi, independientemente de la opción que elija. Adquirir ambos en conjunto mediante Purple Access y Purple Shield significa que cada solicitud bloqueada lleva la identidad que se autenticó. Esa identidad es lo que exige el requisito de informes del DfE. Los contratos separados hacen que esa vinculación sea más difícil de comprobar en su revisión anual.

¿Una federación de escuelas (trust) puede realizar una prueba piloto en una escuela antes de comprometer a todas las escuelas?

Sí. Incluya una escuela piloto en el contrato con pruebas de aceptación, y luego programe las escuelas restantes durante los periodos vacacionales. La capa en la nube de Purple permite que cada escuela herede la plantilla de red de la federación. Cada escuela mantiene variaciones locales sólo donde la federación lo permite, por lo que la configuración piloto se convierte en el estándar de la federación.

¿Los datos de los visitantes se manejan de conformidad con GDPR?

Sí. Purple cumple con GDPR y cuenta con la certificación ISO 27001. El portal cautivo puede recopilar el mínimo necesario para el acceso, con autorizaciones explícitas para cualquier fin adicional. Establezca su propio periodo de retención en la especificación. Solicite a cada licitante que indique dónde se almacenan los datos de los visitantes y quién puede acceder a ellos.

¿Cómo debemos solicitar a los licitantes que coticen una licitación de WiFi escolar?

Solicite precios desglosados por escuela, red, dispositivo administrado, complemento, implementación única y renovación anual. Purple fija sus precios a través de sus planes Connect, Capture y Engage, con SecurePass, Verify y Shield como complementos. Un desglose línea por línea le permite comparar a los licitantes de manera justa. También muestra el ahorro de reutilizar los puntos de acceso que ya posee.