Hotel Guest WiFi Architecture: PMS Integration, Captive Portals, and Bandwidth Control

Bienvenido al Informe Técnico de Purple. Hoy cubriremos la arquitectura de WiFi para huéspedes de hoteles, específicamente los tres pilares que determinan si su implementación tiene éxito o fracasa: la integración con PMS, el diseño del Captive Portal y el control de ancho de banda. Si usted es un gerente de TI, un arquitecto de red o un CTO responsable de un hotel o de una cartera de propiedades, este informe es para usted. Entraremos en detalles técnicos, pero lo mantendremos de manera práctica. Cada punto se conecta con una decisión que tendrá que tomar. Comencemos con la arquitectura en sí. Una red de WiFi de hotel no es una implementación de oficina estándar. Tiene que dar servicio al menos a tres poblaciones distintas simultáneamente: huéspedes, personal y sistemas del edificio. Cada una tiene requisitos de seguridad, rendimiento y cumplimiento completamente diferentes. El error fundamental que cometen la mayoría de las implementaciones es tratar a las tres como una sola red. El enfoque correcto es la segmentación por VLAN (redes de área local virtuales, definidas en el estándar IEEE 802.1Q). Usted crea redes lógicamente separadas en la misma infraestructura física. El WiFi de huéspedes se ubica en la VLAN 10, aislado de todo lo interno. El acceso del personal se ubica en la VLAN 20, autenticado a través de 802.1X contra su servidor RADIUS. Los dispositivos IoT (pantallas inteligentes, termostatos, cerraduras de puertas) se ubican en la VLAN 30 con reglas de firewall estrictas que limitan a qué pueden acceder. Y si tiene terminales de punto de venta en cualquier parte de la propiedad, necesitan su propia VLAN por completo, porque PCI DSS requiere que los entornos de datos de titulares de tarjetas estén aislados de todo el demás tráfico de red. Esto no es opcional. Es un requisito de cumplimiento básico. Y también es su defensa principal contra el movimiento lateral: el patrón de ataque donde un dispositivo de huésped comprometido sondea sus sistemas internos. Ahora, para la capa inalámbrica. Si está implementando nueva infraestructura hoy en día, debería estar especificando WiFi 6 (IEEE 802.11ax). En entornos de alta densidad como salas de conferencias o grandes espacios para eventos, WiFi 6E añade la banda de 6 gigahertz, lo que le brinda significativamente más espectro para trabajar. La mejora clave de rendimiento sobre la generación anterior es OFDMA (acceso múltiple por división de frecuencias ortogonales), que permite que un solo punto de acceso atienda a múltiples clientes simultáneamente en lugar de secuencialmente. En términos prácticos, está viendo aproximadamente cuatro veces la capacidad de rendimiento por punto de acceso en comparación con WiFi 5, con una latencia mucho menor bajo carga. La ubicación de los puntos de acceso importa más de lo que la mayoría de la gente cree. El instinto es colocar los AP en los pasillos. Eso es un error. En un hotel, se busca cobertura dentro de la habitación. La mejor práctica es un AP por habitación, o como mínimo uno por cada dos habitaciones, montado en el techo o detrás de la televisión. Esto elimina el problema de la sombra del pasillo, donde la señal tiene que penetrar dos paredes para llegar a un huésped. Para espacios públicos (lobbies, restaurantes, salas de conferencias), encargue un estudio de sitio de RF adecuado antes de finalizar la ubicación. Cada punto de acceso debe estar cableado. Cat 6A para cada AP, terminado en un switch PoE en cada piso. El WiFi en malla está bien para un hogar. En un hotel, se necesita un backhaul determinista y de baja latencia. Ahora hablemos de la integración con el PMS (sistema de gestión de propiedades). Aquí es donde la arquitectura de WiFi para hoteles difiere más drásticamente de una implementación empresarial estándar. El PMS es el sistema de registro de la estancia de cada huésped. Sabe quién hizo el check-in, en qué habitación está, cuándo hace el check-out y qué categoría de tarifa reservó. Integrar su Captive Portal con el PMS permite a los huéspedes autenticarse usando su número de habitación y apellido, sin contraseñas que recordar ni códigos de cupón que escribir. El Captive Portal envía una consulta de API en tiempo real al PMS, valida las credenciales contra las reservaciones activas y otorga el acceso en un lapso de 200 a 500 milisegundos. El protocolo que sustenta la mayoría de estas integraciones es FIAS (Fidelio Interface Application Specification). Desarrollado originalmente para el PMS Fidelio, ahora Oracle Opera, FIAS se ha convertido en el estándar de facto para las interfaces de sistemas hoteleros. Más allá de la autenticación, la integración con el PMS permite la gestión automática de sesiones. Cuando un huésped hace el check-out, el PMS envía un evento de check-out a la plataforma de WiFi, la cual revoca su token de acceso de inmediato. Sin necesidad de intervención manual. El valor de los datos aquí es significativo. Cada sesión de WiFi autenticada crea un registro de huésped verificado: nombre, correo electrónico, tipo de habitación, duración de la estancia y tipo de dispositivo. Esos datos, capturados con el consentimiento explícito de la GDPR en la página de inicio (splash page), se convierten en un activo de marketing de primer nivel. La plataforma de Purple ha procesado 440 millones de inicios de sesión en 2024 a través de 80,000 establecimientos. Los datos de huéspedes capturados a través de Captive Portals integrados con el PMS alcanzan de manera constante tasas de validación del 70 al 80 por ciento, en comparación con el 30 al 40 por ciento de los envíos de formularios no validados. Pasemos al diseño del Captive Portal. Un Captive Portal es la puerta de enlace de autenticación con la que se topan los huéspedes al conectarse por primera vez. Intercepta el tráfico HTTP y redirige el navegador a una página alojada antes de otorgar acceso a internet. El mecanismo técnico funciona de la siguiente manera. El punto de acceso o controlador asigna al dispositivo del huésped una dirección IP restringida. Todas las solicitudes HTTP se redirigen a la URL del portal a través de una intercepción de DNS. El huésped se autentica. El controlador recibe una señal de autorización del servidor RADIUS. La dirección MAC del dispositivo se agrega a la lista de permitidos. Se otorga el acceso normal a internet. El cumplimiento de la GDPR en el Captive Portal no es negociable. Su página de inicio debe presentar un aviso de privacidad claro, opciones de consentimiento explícito para marketing y un mecanismo para que los huéspedes ejerzan sus derechos de datos. Fundamentalmente, el consentimiento para usar el WiFi no es lo mismo que el consentimiento para recibir correos electrónicos de marketing. Estas deben ser opciones de consentimiento separadas e independientes. La plataforma de Purple maneja esto de forma nativa, con registros de consentimiento vinculados a cada perfil de usuario e historiales de auditoría disponibles para revisión regulatoria. Por seguridad, WPA3 es el estándar actual. WPA3-Personal utiliza la Autenticación Simultánea de Iguales (SAE, por sus siglas en inglés), lo que elimina la vulnerabilidad a ataques de diccionario presente en WPA2-PSK. Para redes de invitados, un SSID abierto detrás de un Captive Portal con Opportunistic Wireless Encryption proporciona cifrado sin requerir una clave precompartida. El aislamiento de clientes debe estar habilitado en todos los SSIDs de invitados para evitar el tráfico peer-to-peer entre los dispositivos de los invitados. Ahora, el control de ancho de banda. Este es el tercer pilar y es el que más a menudo se subestima en su diseño. La regla general para la planificación del ancho de banda en hoteles es esta: planifique para la demanda pico, no para la demanda promedio. Para una propiedad de escala media, presupueste de 10 a 25 megabits por segundo por habitación. Para un hotel de servicio completo, de 25 a 50 megabits por segundo por habitación. Para una propiedad de lujo o enfocada en conferencias, de 50 a 100 megabits por segundo por habitación. La limitación de tasa por cliente evita que un solo invitado sature su enlace de subida. En Cisco Meraki, esto se configura como un límite de ancho de banda por cliente en el SSID. En HPE Aruba, es una política de rol de usuario aplicada a través del controlador. En Juniper Mist, es una política de límite de tasa de WLAN. El mecanismo difiere según el proveedor, pero el principio es el mismo: definir un límite de bajada y subida por dispositivo y aplicarlo a nivel del controlador. La Calidad de Servicio (QoS, por sus siglas en inglés) se sitúa por encima de la limitación de tasa. WMM, WiFi Multimedia, es el estándar 802.11e que define cuatro colas de tráfico: voz, video, mejor esfuerzo (best effort) y fondo. Las llamadas de VoIP y video deben priorizarse en las colas de voz y video. La navegación web y las descargas entran en la categoría de mejor esfuerzo. Configurar WMM correctamente significa que un invitado en una videollamada no sufrirá interrupciones cuando la persona de la habitación de al lado comience una descarga pesada. Ahora permítame darle las recomendaciones de implementación y los errores que debe evitar. Comience con un estudio de cobertura (site survey). Antes de tocar un solo cable, recorra la propiedad con un analizador de espectro. Identifique las fuentes de interferencia existentes: redes vecinas, hornos de microondas en la cocina, teléfonos DECT en la recepción. Esto guiará su plan de canales y la ubicación de los AP. Segundo, diseñe su arquitectura de VLAN antes de configurar cualquier cosa. Planifique: VLAN para WiFi de invitados, VLAN para el personal, VLAN para IoT y sistemas del edificio, y VLAN de administración. Documente y apruebe esto antes del despliegue. Tercero, dimensione correctamente su enlace de subida a internet. Para un hotel de 200 habitaciones con un 80 por ciento de ocupación, planificar para 25 megabits por habitación en horas pico le da un ancho de banda mínimo garantizado de 4 gigabits por segundo. Una línea dedicada con capacidad de ráfaga (burstable) es el producto adecuado aquí, no una conexión de banda ancha estándar. Los errores comunes. El más frecuente es el aprovisionamiento insuficiente del enlace de subida y luego culpar a la infraestructura inalámbrica cuando los huéspedes se quejan. Nueve de cada diez veces, un WiFi de hotel lento es un problema de ancho de banda de internet, no un problema de radiofrecuencia. El segundo error es implementar un Captive Portal que recopile datos pero que no tenga un flujo de trabajo de marketing posterior. Ya ha creado el activo de datos. Ahora utilícelo. Correos electrónicos previos a la estancia, encuestas posteriores a la estancia, inscripción en programas de fidelización, ofertas dirigidas durante la estancia. Preguntas rápidas. ¿Necesito WiFi 6 o bastará con WiFi 5? Si va a implementar una nueva infraestructura hoy en día, elija siempre WiFi 6. La diferencia de costo es mínima y el margen de rendimiento es significativo. ¿Debería cobrar a los huéspedes por el WiFi? No. En 2026, el WiFi de pago para huéspedes es un riesgo para la satisfacción del cliente. ¿Cómo manejo a un huésped que se queja de un WiFi lento? Primero, verifique la utilización de su enlace ascendente de internet. Segundo, verifique el recuento de asociación de AP. Tercero, busque AP no autorizados o interferencias en su plan de canales. Para concluir. La arquitectura de WiFi para huéspedes de hotel, cuando se realiza correctamente, es un activo estratégico, no un costo de servicio público. Las tres cosas que debe recordar: Uno: segmente su red desde el primer día. Huéspedes, personal e IoT en VLAN separadas, con un firewall entre ellos. Dos: integre su Captive Portal con su PMS. La autenticación por número de habitación y apellido le brinda datos verificados de los huéspedes y una gestión de sesiones sin interrupciones. Tres: dimensione su enlace ascendente de internet para la demanda máxima, no para la demanda promedio, e implemente una limitación de velocidad por cliente para proteger la experiencia de cada huésped en la red. Gracias por escuchar.