Saltar al contenido principal

Plataformas de WiFi centralizadas de Aruba para invitados frente a plataformas dedicadas de portal cautivo: comparativa de CRM, Passpoint e informes

Utilice esta comparativa para elegir entre Cloud Guest nativo de Aruba Central, ClearPass Guest y una plataforma dedicada en la nube como Purple para su entorno de HPE Aruba. Puede adaptar cada opción en función de quién sea el propietario del WiFi para invitados, dónde deban guardarse sus datos, cómo registre el consentimiento de GDPR, si los invitados que regresan necesitan Passpoint y cuánto cuesta cada opción a tres años vista.

Por Iain JewittPublicado
📖 14 min de lectura4,249 palabras3 ejemplos resueltos12 definiciones clave

Plataformas de WiFi centralizadas de Aruba para invitados frente a plataformas dedicadas de portal cautivo: comparativa de C…

Aruba Central incluye una página de inicio de sesión alojada con acceso mediante clic, inicio de sesión mediante redes sociales y patrocinado, lo cual es suficiente para el acceso básico de invitados. No tiene conectores CRM nativos ni flujo de trabajo de consentimiento de marketing. ClearPass Guest agrega profundidad de políticas, pero requiere servidores y habilidades especializadas. Las plataformas dedicadas, como Purple, agregan sincronización con CRM, Passpoint y analítica de visitantes en el hardware Aruba existente a través de RADIUS externo.

¿Qué opción de WiFi para invitados de Aruba debe elegir?

Una infraestructura de HPE Aruba le ofrece tres arquitecturas realistas para el acceso de invitados. Las tres se ejecutan en los puntos de acceso que ya posee. Se diferencian en quién las opera, cuánto cuesta ejecutarlas y qué sucede con los datos.

Primero, dos términos. Un portal cautivo es la página web que ve un dispositivo antes de que se le permita conectarse a internet. RADIUS (Servicio de Usuarios de Acceso Telefónico de Autenticación Remota) es el protocolo que utiliza un punto de acceso para preguntar a un servidor si debe admitir un dispositivo y en qué términos.

  • Acceso de invitados nativo de Central. La página de inicio de sesión de Cloud Guest alojada dentro de HPE Aruba Networking Central. Gestiona los términos de acceso mediante clic, cuentas de invitados creadas por operadores, visitantes aprobados por patrocinadores e inicio de sesión social.
  • ClearPass Guest. El módulo para invitados de HPE Aruba Networking ClearPass Policy Manager, que se ejecuta en sus propias máquinas virtuales o dispositivos. Se adapta a equipos donde el acceso de invitados es parte de un programa más amplio de control de acceso a la red.
  • Una plataforma dedicada de WiFi para invitados en la nube. Un portal cautivo externo y servicio de RADIUS en la nube, como Purple Guest WiFi, conectado a Central a través de configuraciones estándar de redireccionamiento y RADIUS. Se adapta a propiedades donde el marketing, el CRM y los informes de visitantes son la razón por la que existe la red.

Utilice esta regla general. Si el equipo de red es propietario de la solución de WiFi para invitados y nadie más adelante necesita los datos, el acceso nativo para invitados de Central es suficiente. Si ya ejecuta ClearPass para el personal con IEEE 802.1X (el estándar de autenticación basado en puertos detrás del WiFi empresarial) y la postura del dispositivo, extiéndalo a los invitados. Si el departamento de marketing u operaciones necesita datos propios con consentimiento en un CRM en múltiples sitios sin personal de TI local, una plataforma en la nube es más sencilla de operar.

En qué se diferencian realmente la solución de WiFi para invitados de Aruba Central y las plataformas dedicadas

Esta comparación de WiFi para invitados de Aruba Central se reduce a cuatro áreas: inicio de sesión, CRM y consentimiento, reconocimiento de invitados recurrentes e informes.

Página de inicio de sesión e ingreso

Cloud Guest de Central le permite configurar un logotipo, colores, fondo y términos de uso. Las opciones de inicio de sesión abarcan acceso anónimo mediante clic, cuentas de invitados creadas por operadores, acceso aprobado por patrocinadores e inicio de sesión social. Para una recepción o una sala de conferencias, eso cumple con los requisitos.

Las limitaciones del portal cautivo de Aruba Central aparecen cuando la página de inicio tiene que hacer algo más que conceder acceso. Cloud Guest está diseñado para admitir un dispositivo, no para ejecutar un programa de captura de datos. No escribe los datos de inicio de sesión directamente en una plataforma de marketing y no conserva un registro de consentimiento por invitado sobre el que marketing pueda actuar.

CRM y consentimiento

La integración con el CRM del WiFi para invitados de Aruba es donde las tres opciones se separan más claramente. Los datos de los invitados en Central permanecen dentro de Central a menos que los extraiga a través de las API REST de Central. Alguien tiene que escribir, alojar y mantener esa integración.

ClearPass puede llamar a sistemas externos a través de sus API REST y Context Server Actions, su función de integración HTTP saliente. Eso es flexible, pero cada conector es un pequeño proyecto de software propiedad de su equipo.

El consentimiento es el requisito más difícil. El artículo 7 del GDPR exige que usted demuestre que cada persona dio su consentimiento, y el Recital 32 establece que las casillas marcadas previamente no cuentan. Una casilla de verificación de términos de uso en una página de inicio no es un consentimiento de marketing. Purple utiliza opciones de suscripción de elección consciente que mantienen el consentimiento de marketing separado de los términos de la red. Purple se integra con plataformas de CRM y marketing, cuenta con la certificación ISO 27001 y cumple con el GDPR y la CCPA.

Passpoint e invitados recurrentes

Reconocer a los invitados recurrentes por la dirección MAC ya no funciona de forma confiable. Apple introdujo direcciones privadas por red en iOS 14, y Android 10 aleatoriza la dirección MAC de forma predeterminada. Por lo tanto, un dispositivo que regresa puede parecer nuevo, lo que obliga a repetir los inicios de sesión e infla los recuentos de visitantes.

Passpoint, también conocido como Hotspot 2.0, aborda esto. Permite que un dispositivo se una a una red de forma automática y segura mediante un perfil instalado una sola vez. Se basa en IEEE 802.11u para el descubrimiento de redes y utiliza 802.1X con EAP (Protocolo de Autenticación Extensible) para la autenticación cifrada. OpenRoaming, la federación de la Wireless Broadband Alliance basada en Passpoint, permite que un dispositivo con un perfil de un proveedor de identidades se una a cualquier lugar participante.

Los puntos de acceso Aruba Instant y AOS-10 pueden anunciar redes Passpoint configuradas en Central. El anuncio es solo la mitad del trabajo, porque el perfil y la autenticación aún necesitan un servicio de identidad detrás de ellos. ClearPass Onboard puede aprovisionar perfiles. Purple admite Passpoint y OpenRoaming desde la misma plataforma que ejecuta el portal cautivo. Para obtener detalles específicos de hoteles, consulte Plataformas de WiFi para invitados de hotel: comparación de integración de PMS, Passpoint y ancho de banda por niveles.

Reportes

Central reporta lo que necesita un ingeniero de redes: número de clientes, utilización de puntos de acceso, número de sesiones de invitados y estado de la conexión. ClearPass Insight reporta resultados de autenticación y registros de auditoría. Ninguno de los dos está diseñado para responder a preguntas de marketing u operaciones, como cuántos invitados regresaron este mes.

Los informes de Purple WiFi Analytics muestran visitas, visitas recurrentes, tiempo de permanencia y crecimiento de opt-in por lugar. La base de datos subyacente es amplia: Purple gestiona 500 millones de usuarios e inicios de sesión al año.

Capacidad Aruba Central native guest ClearPass Guest Plataforma en la nube dedicada (Purple)
Dónde se ejecuta Alojado en HPE Aruba Networking Central Sus máquinas virtuales o dispositivos de hardware Nube de Purple, superpuesta en sus puntos de acceso Aruba
Métodos de inicio de sesión Clic directo, cuentas de operador, patrocinado, inicio de sesión social Autorregistro, patrocinado, cuentas de operador, inicio de sesión social Formularios con marca, inicio de sesión social, opt-ins de elección consciente
Conectores de CRM y mercadotecnia Ninguno integrado; solo API REST Desarrollo personalizado mediante API REST y Context Server Actions Se integra con plataformas de CRM y mercadotecnia
Registro de consentimiento de mercadotecnia Solo aceptación de términos de uso Campos personalizados que usted diseña y mantiene Opt-in independiente almacenado con cada perfil
Passpoint Anuncio de punto de acceso configurado en Central Aprovisionamiento de perfiles mediante ClearPass Onboard Perfiles Passpoint más OpenRoaming
Enfoque de los informes Estado de la red y recuento de sesiones Informes de autenticación y auditoría en Insight Visitas, visitas recurrentes, tiempo de permanencia y opt-ins
Habilidades para la operación diaria Administrador de red Aruba Especialista en ClearPass Equipo de mercadotecnia u operaciones, con IT para la configuración
Más adecuado para Oficinas, ayuntamientos, lugares pequeños con necesidades solo de acceso Recintos que ejecutan ClearPass para NAC de personal y postura Grupos hoteleros, cadenas comerciales, estadios y recintos con múltiples sedes

¿Cómo funcionan RADIUS externo y CoA con Aruba Instant y AOS-10?

Una plataforma externa se conecta a Aruba mediante dos mecanismos estándar. La redirección del Captive Portal envía al invitado a la página de inicio de sesión externa. RADIUS transmite la decisión de vuelta a la red.

El flujo del Captive Portal externo

  1. El dispositivo de un invitado se conecta al SSID de invitados abierto y recibe un rol previo a la autenticación.
  2. Ese rol permite únicamente el walled garden, la lista de destinos a los que un dispositivo puede acceder antes de iniciar sesión.
  3. El punto de acceso intercepta la primera solicitud web y redirige el navegador al Captive Portal externo. La redirección incluye parámetros como la dirección MAC del cliente, el punto de acceso y el SSID.
  4. El invitado inicia sesión. El servicio RADIUS en la nube de la plataforma devuelve un Access-Accept al dispositivo Aruba.
  5. El Access-Accept puede contener el atributo específico del proveedor (VSA) Aruba-User-Role, un campo RADIUS definido por HPE Aruba. Esto cambia el dispositivo a un rol posterior a la autenticación con su propia política de firewall y contrato de ancho de banda.

Central admite un Captive Portal externo como una opción estándar de página de bienvenida en la WLAN. Lo configura una vez a nivel de grupo en Central y cada dispositivo en ese grupo lo hereda.

Aruba Instant: el controlador virtual y Dynamic RADIUS Proxy

En un clúster de Aruba Instant, cada punto de acceso puede enviar sus propias solicitudes de RADIUS. Un servicio de RADIUS en la nube tendría entonces que confiar en la dirección de cada punto de acceso en cada sitio.

El Dynamic RADIUS Proxy cambia esto. Cuando se habilita, el controlador virtual de Instant realiza el proxy del tráfico de RADIUS para el clúster, de modo que el servidor de RADIUS ve una sola fuente por sitio. Esto facilita enormemente las reglas de firewall y la gestión de secretos compartidos a lo largo de una infraestructura grande.

AOS-10: los puntos de acceso autentican, los gateways aplican las políticas

AOS-10 traslada la autenticación de clientes WLAN al punto de acceso, incluso para los SSID con túneles. Los gateways gestionan la ruta de datos y la aplicación de roles para el tráfico con túneles. Antes de la puesta en marcha, confirme en la documentación de AOS-10 de HPE Aruba Networking qué dispositivo genera las solicitudes de RADIUS en su diseño. Su servicio de RADIUS debe confiar en esa dirección y sus mensajes CoA deben llegar a ella.

Cambio de autorización para sesiones, niveles y revocaciones

El Cambio de autorización (CoA), definido en el RFC 5176, permite que un servidor de RADIUS altere o finalice una sesión activa sin que el invitado tenga que volver a conectarse. Tres usos son importantes en el WiFi:

  • Finalizar una sesión cuando caduca un voucher con límite de tiempo o un pase para eventos.
  • Actualizar un nivel después de que un huésped del hotel compra un paquete de ancho de banda premium.
  • Revocar el acceso de un dispositivo que infringe la política de uso aceptable.

La mayoría de las pruebas de CoA fallidas se deben a tres causas. El firewall bloquea el tráfico entrante de autorización dinámica hacia el dispositivo Aruba. El secreto compartido no coincide. O el nombre de rol devuelto por RADIUS no existe en el punto de acceso o gateway. El artículo de integración de HPE Aruba de Purple en el centro de soporte de Purple guía a través de cada configuración paso a paso.

¿Cuándo es la opción correcta el acceso nativo para invitados de Aruba Central?

El acceso nativo para invitados de Central es la opción correcta cuando el acceso es el único requisito. Elija esta opción cuando:

  • Los invitados necesitan términos de uso, un límite de tiempo y nada más.
  • La aprobación de un patrocinador por correo electrónico cubre su proceso de visitantes.
  • Nadie en mercadotecnia ni en operaciones necesita los datos de inicio de sesión.
  • Tiene menos de un puñado de sitios y el equipo de red está dispuesto a gestionar la página de inicio.

El área de recepción de un ayuntamiento local es un caso típico. Los visitantes aceptan los términos, reciben un límite de sesión y se van. No hay un CRM al que alimentar ni consentimientos que registrar, por lo que una plataforma externa agrega costos sin agregar valor.

¿Tiene preguntas sobre su configuración específica?

Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.

¿Cuándo es ClearPass Guest la opción correcta?

ClearPass Guest justifica su costo operativo cuando el acceso de invitados forma parte de un programa de control de acceso más amplio. Elija esta opción cuando:

  • Ya opera ClearPass para el 802.1X del personal, control de puertos cableados o postura de dispositivos con OnGuard.
  • Su equipo de seguridad necesita un solo motor de políticas para dispositivos corporativos, de invitados e IoT.
  • La política exige servidores de autenticación dentro de su propio centro de datos.
  • Cuenta con la contratación de ingenieros con experiencia en ClearPass. HPE Aruba ofrece una ruta de certificación dedicada de ClearPass por este motivo.Un grupo hospitalario que ya utiliza ClearPass para crear perfiles de dispositivos clínicos es un buen ejemplo. Extender el mismo clúster al WiFi para invitados de pacientes y visitantes mantiene un solo registro de auditoría para el sector de la Salud. El esfuerzo marginal es menor que el de implementar una segunda plataforma.

¿Cuándo es una plataforma en la nube para invitados más sencilla que ClearPass Guest?

Para los equipos de hostelería y comercio minorista, una plataforma en la nube es más sencilla por razones estructurales. Esos equipos raras veces cuentan con personal técnico local. El departamento de marketing gestiona la experiencia del invitado. Además, la red de propiedades crece mediante adquisiciones, a menudo con hardware variado.

Una alternativa a ClearPass Guest en la nube elimina las partes de ClearPass que a los equipos de hostelería y comercio minorista les resultan más complejas. No hay servidores que actualizar, clústeres que dimensionar ni certificados que renovar por su cuenta. Purple es independiente del hardware. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Por lo tanto, una sola plataforma para invitados puede cubrir al mismo tiempo una red de instalaciones con Aruba y otra adquirida con Meraki.

Purple opera en más de 80,000 recintos activos en más de 90 países (presentación principal de Purple, capturada en 2026), con un tiempo de actividad del 99.999% (datos propios de Purple). Marcas de hostelería como Premier Inn, Whitbread y Pizza Express ejecutan su WiFi para invitados en Purple.

Ejemplo práctico: un grupo de 40 hoteles en Aruba Instant

Situación. Un grupo administra 40 Hoteles con un promedio de 120 habitaciones, con puntos de acceso Aruba Instant gestionados en Central. Dos ingenieros de red cubren todas las instalaciones desde la oficina central. El WiFi para invitados utiliza una página de bienvenida por clics de Central. El equipo de marketing desea captar correos electrónicos consentidos de los invitados en el CRM y tener una visión de las estancias repetidas. Una propuesta de ClearPass Guest requiere un clúster central al que cada hotel deba acceder a través de la WAN.

Qué hacen. Los ingenieros orientan la WLAN para invitados en el grupo Central hacia el portal cautivo externo y la nube RADIUS de Purple. Habilitan el Dynamic RADIUS Proxy para que cada hotel presente una única dirección de origen. Agregan las entradas de walled garden y, luego, ofrecen un perfil Passpoint en el primer inicio de sesión para que los invitados habituales se conecten automáticamente.

Resultado para medir. En el área de TI, un solo cambio de configuración a nivel de grupo abarca los 40 hoteles, sin necesidad de agregar servidores. En el área de marketing, el cálculo se realiza de la siguiente manera. Las cifras se han modelado a partir de supuestos definidos, no de resultados notificados.

  • 40 hoteles × 120 habitaciones = 4,800 habitaciones.
  • Con una ocupación del 75%, representan 3,600 habitaciones ocupadas por noche, o 1,314,000 noches-habitación al año.
  • Con una estancia promedio de dos noches y un inicio de sesión por estancia, representan 657,000 estancias.
  • Con una tasa de consentimiento de marketing del 30%, se obtienen cerca de 197,000 perfiles de invitados consentidos al año.

A continuación, el grupo mide la tasa real de consentimiento, la tasa de estancias repetidas y la tasa de coincidencia en el CRM con respecto a estas líneas de base.

Ejemplo práctico: un minorista de moda con 150 tiendas en AOS-10

Situación. Una cadena de tiendas minoristas de 150 sucursales opera puntos de acceso AOS-10 administrados en Central, vinculados localmente en cada tienda. Los equipos de tienda no tienen un rol de TI. La oficina central desea que los registros se vinculen al CRM de fidelización y obtener una tasa de visitas recurrentes para cada tienda.

Lo que hacen. El equipo de red implementa una configuración de portal cautivo externo en todo el grupo de Central, con la personalización de marca a nivel de tienda gestionada en Purple. Purple sincroniza con el CRM los perfiles de compradores que han dado su consentimiento. Las visitas recurrentes se atribuyen mediante la identidad de inicio de sesión en lugar de solo la dirección del dispositivo, lo que limita el efecto de la aleatorización de MAC.

Resultado a medir. Nuevamente, las cifras son modeladas. Si cada tienda recibe 3,000 compradores a la semana y el 5% se conecta, la cadena registra 22,500 conexiones a la semana, o 1,170,000 al año. La oficina central compara la tasa de visitas recurrentes por tienda y la tasa de suscripción por región. El equipo de mercadotecnia cambia la campaña de la página de inicio en Purple sin generar un ticket de cambio de red.

Donde las tiendas también entregan tabletas o dispositivos personales al personal, consulte BYOD WiFi Onboarding: Administración de dispositivos no administrados en hoteles y tiendas minoristas.

¿Cuánto cuesta operar cada opción de WiFi para invitados de Aruba?

El precio de la licencia es la parte más pequeña de la comparación. El costo de operación proviene de la infraestructura, las actualizaciones y el personal responsable de la plataforma. Ninguna de las tres opciones requiere nuevos puntos de acceso, el mismo argumento presentado en Por qué su próxima actualización de WiFi no necesita nuevo hardware.

Componente de costo Aruba Central native guest ClearPass Guest Plataforma dedicada en la nube (Purple)
Licencias Incluidas en su suscripción de puntos de acceso de Central Licencias por dispositivo final adicionales a Central Suscripción en el plan Connect, Capture o Engage
Servidores Ninguno Máquinas virtuales o appliances, generalmente dos o más nodos para redundancia Ninguno
Certificados Alojados por HPE Aruba Certificados HTTPS y de servidor RADIUS renovados por su equipo Alojados por Purple
Actualizaciones de software Entregadas por HPE Aruba en Central Planificadas y aplicadas por su equipo, clúster por clúster Entregadas por Purple
Integración con CRM Desarrollo a la medida mediante las API REST de Central Desarrollo a la medida con API REST y Context Server Actions Integraciones de la plataforma con herramientas de CRM y mercadotecnia
Responsable del día a día Administrador de red Especialista en ClearPass Equipo de mercadotecnia u operaciones

El costo oculto de la opción nativa de Central es la información que deja de recopilar. El costo oculto de ClearPass Guest es el tiempo invertido por especialistas en mantener funciones para invitados que el equipo de mercadotecnia podría gestionar por sí mismo. Evalúe el costo de cada opción a tres años, incluyendo las horas de personal, antes de comparar las cotizaciones de licencias.

¿Cómo tomar la decisión para su infraestructura de Aruba?

Parta de su situación, no de la lista de funciones. Esta matriz de decisión vincula las infraestructuras de Aruba más comunes con una recomendación.

Su situación Recomendación Por qué
De una a cinco sedes, WiFi para invitados solo de acceso, sin CRM Invitados nativo en Central Ya está incluido; no se requiere nada más
ClearPass ya gestiona al personal, la 802.1X y la postura; los datos de invitados se quedan con TI Extender ClearPass Guest Un motor de políticas y un historial de auditoría
Grupo hotelero o comercial multisede, mercadotecnia requiere datos consentidos Plataforma en la nube dedicada Sincronización con CRM y consentimiento sin servidores
Propiedades mixtas de Aruba y otros proveedores tras una adquisición Plataforma en la nube dedicada Independiente del hardware; una plataforma de invitados para todos los proveedores
Los invitados recurrentes deben conectarse sin volver a registrarse Plataforma en la nube o ClearPass Onboard con Passpoint Central anuncia Passpoint pero requiere un servicio de identidad
ClearPass para el personal, mercadotecnia requiere datos de invitados ClearPass para el personal, plataforma en la nube para invitados Cada herramienta realiza la función para la que fue creada

Posteriormente, responda a cinco preguntas con sus responsables de red y mercadotecnia presentes:

  1. ¿Quién administrará la página de bienvenida en el día a día y cuenta con conocimientos en ClearPass?
  2. ¿En qué sistema deben registrarse los datos de los invitados y quién mantiene esa conexión?
  3. ¿Cómo registrará el consentimiento de mercadotecnia según la norma exigida por el Artículo 7 de GDPR?
  4. ¿Cuántas sedes añadirá en los próximos 24 meses y con qué hardware?
  5. ¿Los invitados recurrentes requieren una conexión automática y cifrada a través de Passpoint o OpenRoaming?

Si las respuestas apuntan a una administración por parte de mercadotecnia, un destino CRM y una propiedad en crecimiento, la opción que requiere menor esfuerzo es una plataforma en la nube sobre Central. Si apuntan a una administración por parte de TI y un solo motor de políticas para cada dispositivo, ClearPass es la mejor opción.

Preguntas frecuentes

¿Aruba Central incluye un portal cautivo o necesito uno externo?

Sí, Aruba Central incluye un portal cautivo alojado llamado Cloud Guest. Este admite términos de acceso mediante clic, cuentas de invitados creadas por operadores, acceso aprobado por patrocinadores e inicio de sesión con redes sociales, personalizado con su logotipo y colores. Necesitará un portal cautivo externo cuando los datos de inicio de sesión deban enviarse a un CRM, cuando requiera un registro de consentimiento de mercadotecnia o cuando desee informes de visitantes más allá de las estadísticas de la red. Central admite portales cautivos externos como una opción estándar en la configuración de la WLAN.

¿Puede ejecutarse Purple en nuestros puntos de acceso HPE Aruba existentes?

Sí, Purple se ejecuta en los puntos de acceso HPE Aruba existentes gestionados en Aruba Central, tanto en Aruba Instant como en AOS-10. Purple es una superposición en la nube. Solo debe orientar la WLAN para invitados hacia el portal cautivo y el servicio RADIUS en la nube de Purple, conservando su hardware actual. Purple es independiente del hardware, por lo que la misma plataforma también cubre las propiedades de Cisco Meraki, Ruckus y Juniper Mist que adquiera posteriormente.

¿Necesitamos ClearPass Guest para conectar la WiFi para invitados de Aruba a un CRM?

No, no se requiere ClearPass Guest para la integración del CRM con el WiFi para invitados de Aruba. ClearPass puede llamar a sistemas externos a través de sus API REST y Context Server Actions, pero su equipo debe crear y mantener cada conector. Una plataforma dedicada en la nube se conecta a los puntos de acceso de Aruba a través de configuraciones estándar de RADIUS y portal cautivo externo. Luego, sincroniza los datos de los invitados que dieron su consentimiento con las plataformas de CRM y marketing sin necesidad de servidores locales.

¿Aruba admite Passpoint para el WiFi para invitados?

Sí, los puntos de acceso Aruba Instant y AOS-10 pueden anunciar redes Passpoint (Hotspot 2.0) configuradas en Aruba Central. Anunciar la red es solo la mitad del trabajo. Los dispositivos de los invitados también necesitan un perfil Passpoint y un servicio de identidad que los autentique mediante 802.1X. ClearPass Onboard o una plataforma en la nube como Purple proporcionan esa parte. Purple también admite OpenRoaming, por lo que los dispositivos registrados con perfil se conectan automáticamente a los establecimientos participantes.

¿Cómo gestiona un portal cautivo externo el consentimiento del GDPR en las redes Aruba?

La plataforma externa registra el consentimiento, no el punto de acceso. El artículo 7 del GDPR exige demostrar que cada persona dio su consentimiento, y el considerando 32 descarta las casillas marcadas previamente. Purple utiliza la aceptación mediante elección consciente, la cual mantiene el consentimiento de marketing independiente de la aceptación de los términos de uso. Almacena el registro de consentimiento con cada perfil. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR y la CCPA.

¿Qué implica migrar de ClearPass Guest a una plataforma en la nube?

Migrar desde ClearPass Guest representa un cambio de WLAN y RADIUS, no un proyecto de hardware. Usted redirige el portal cautivo y los servidores de autenticación de la red SSID para invitados a la plataforma en la nube y actualiza el walled garden. También confirma que los nombres de rol devueltos en las respuestas de RADIUS existan en sus dispositivos Aruba. La mayoría de los equipos realizan una prueba piloto en un sitio, comparan los datos de las sesiones y luego implementan la solución mediante grupos de Central. ClearPass puede mantener la red 802.1X del personal.

¿Cómo se licencia una plataforma de invitados en la nube en comparación con ClearPass Guest?

Una plataforma de invitados en la nube se licencia mediante suscripción, sin necesidad de comprar ni alojar servidores. ClearPass requiere licencias por punto final, además de máquinas virtuales o appliances, generalmente dos o más nodos para garantizar la resiliencia. También requiere tiempo del personal para actualizaciones y renovaciones de certificados. Purple se vende en tres planes: Connect, Capture y Engage. El acceso nativo para invitados de Central se incluye dentro de su suscripción existente de puntos de acceso.

Definiciones clave

Portal cautivo

Página web a la que se redirige un dispositivo antes de que se le conceda acceso a la red, implementada mediante interceptación HTTP en el punto de acceso. En Aruba, el redireccionamiento lleva al portal parámetros como la dirección MAC del cliente, el punto de acceso y el SSID.

Se presenta como la opción de página de bienvenida en una WLAN de Central. El hecho de que se ejecute en Cloud Guest de Central o en una plataforma externa determina dónde se almacenan los datos de inicio de sesión y los registros de consentimiento.

RADIUS

Remote Authentication Dial-In User Service, especificado en RFC 2865, transmite mensajes Access-Request, Access-Accept y Access-Reject entre un dispositivo de red y un servidor de autenticación, con atributos que establecen las condiciones de la sesión.

Una plataforma externa de invitados devuelve su decisión de inicio de sesión a Aruba a través de RADIUS, por lo que las reglas de su firewall y las claves secretas compartidas deben confiar en el servicio RADIUS en la nube.

Cambio de autorización (CoA)

Definidos en la norma RFC 5176 como parte de la autorización dinámica de RADIUS, los mensajes CoA-Request y Disconnect-Request permiten que un servidor RADIUS altere o finalice una sesión activa sin que el cliente tenga que volver a conectarse.

Se utiliza para finalizar sesiones de cupones expiradas, aumentar el nivel de ancho de banda de un huésped de hotel o revocar un dispositivo que incumpla la política de uso aceptable. La mayoría de las pruebas fallidas se deben a firewalls, secretos o nombres de roles faltantes.

IEEE 802.1X

El estándar IEEE para el control de acceso a redes basado en puertos, que define un suplicante, un autenticador y un servidor de autenticación que intercambian mensajes EAP antes de que se abra un puerto o una asociación inalámbrica.

Si ClearPass ya ejecuta 802.1X para el personal, extenderlo a los invitados mantiene un solo motor de políticas. Passpoint también depende de 802.1X para la autenticación cifrada de invitados.

EAP (Protocolo de Autenticación Extensible)

Un marco de autenticación especificado en RFC 3748 que traslada métodos como EAP-TLS o EAP-TTLS dentro de 802.1X, lo que permite intercambiar credenciales sin exponerlas en el aire.

Las conexiones de invitados de Passpoint se autentican con EAP sobre 802.1X, razón por la cual debe existir un servicio de identidad detrás de cualquier red Passpoint que anuncie Central.

Passpoint (Hotspot 2.0)

Un programa de certificación que utiliza IEEE 802.11u para el descubrimiento de red previo a la asociación y 802.1X con EAP para la autenticación cifrada, de modo que un dispositivo con un perfil instalado se conecta automáticamente.

Los puntos de acceso Aruba Instant y AOS-10 pueden anunciar Passpoint desde Central. Es la solución para evitar que la aleatorización de MAC afecte el reconocimiento de invitados recurrentes, pero requiere ClearPass Onboard o una plataforma como Purple para emitir perfiles.

OpenRoaming

Una federación de la Wireless Broadband Alliance basada en Passpoint, en la que un dispositivo que posee un perfil de un proveedor de identidad participante puede autenticarse en cualquier ubicación participante.

Purple admite OpenRoaming junto con Passpoint, lo cual es importante si desea que los invitados recurrentes se conecten entre diferentes ubicaciones sin tener que volver a iniciar sesión.

Jardín amurallado

La lista de destinos a los que un dispositivo con un rol previo a la autenticación puede acceder antes de iniciar sesión, aplicada por la política del firewall del punto de acceso o del gateway.

Cuando apunta una WLAN de invitados de Aruba a un portal cautivo externo, agrega los hosts de la plataforma al walled garden para que se cargue la página de inicio de sesión.

VSA de Aruba-User-Role

Un atributo específico del proveedor de RADIUS definido por HPE Aruba, devuelto en un Access-Accept para mover a un cliente a un rol con nombre posterior a la autenticación, con su propia política de firewall y contrato de ancho de banda.

El nombre del rol devuelto debe existir en el punto de acceso o gateway de Aruba; de lo contrario, las pruebas de autenticación y CoA fallarán.

Proxy RADIUS dinámico

Una función de Aruba Instant en la que el controlador virtual actúa como proxy del tráfico de RADIUS para el clúster, de modo que el servidor de RADIUS ve una sola dirección de origen por sitio en lugar de cada punto de acceso.

Habilitarlo en los entornos de Instant simplifica las reglas de firewall y la gestión de secretos compartidos cuando conecta muchos sitios a un servicio de RADIUS en la nube.

GDPR Artículo 7

El Artículo 7 del Reglamento (UE) 2016/679 establece las condiciones para el consentimiento, exigiendo que el responsable del tratamiento demuestre que cada interesado dio su consentimiento. El considerando 32 establece que las casillas preactivadas o la inactividad no constituyen consentimiento.

Una casilla de verificación de términos de uso en una página de bienvenida no constituye un consentimiento de marketing. Necesita un consentimiento registrado e independiente por cada invitado antes de enviar los datos de inicio de sesión a un CRM para marketing.

Aleatorización de direcciones MAC

Comportamiento del dispositivo que reemplaza la dirección MAC del hardware por una dirección privada por red, introducido por Apple en iOS 14 y habilitado de forma predeterminada en Android 10.

Hace que los dispositivos que regresan parezcan nuevos, lo que obliga a repetir los inicios de sesión e infla el recuento de visitantes; por lo tanto, el reconocimiento debe basarse en la identidad de inicio de sesión o en Passpoint en lugar de solo en la dirección MAC.

Ejemplos resueltos

Un grupo de 40 hoteles con un promedio de 120 habitaciones opera Aruba Instant administrado en Central, con dos ingenieros de red en la oficina central y una página de bienvenida con inicio de sesión por clic. El departamento de Mercadotecnia desea obtener correos electrónicos con consentimiento de los huéspedes en el CRM y una vista de las estancias recurrentes. Una propuesta de ClearPass Guest requiere un clúster central al que cada hotel acceda a través de la WAN. ¿Qué debe hacer el grupo?

Los ingenieros dirigen la WLAN de invitados del grupo de Central al portal cautivo externo de Purple y a RADIUS en la nube, de modo que un solo cambio a nivel de grupo llegue a los 40 hoteles sin necesidad de añadir servidores. Activan el proxy RADIUS dinámico para que cada hotel presente una dirección de origen, añaden las entradas del jardín vallado y ofrecen un perfil de Passpoint en el primer inicio de sesión para una reconexión automática. Según el modelo basado en los supuestos planteados -4,800 habitaciones con una ocupación del 75 %, una estancia de dos noches y una tasa de aceptación del 30 %-, se obtienen unos 197,000 perfiles con consentimiento al año. A continuación, el grupo mide las tasas reales de aceptación, de estancias recurrentes y de coincidencia en el CRM con respecto a esa línea base.

Una cadena de tiendas de moda de 150 establecimientos opera puntos de acceso AOS-10 administrados en Central, vinculados localmente en cada tienda. Los equipos de las tiendas no tienen ninguna función de TI. La oficina central desea que los registros estén vinculados al CRM de fidelización y obtener una tasa de visitas recurrentes por tienda. ¿Cómo debe implementar el WiFi para invitados WiFi?

El equipo de red implementa una configuración de portal cautivo externo en todo el grupo de Central, gestionando la personalización de la marca por tienda en Purple. Purple sincroniza los perfiles de compradores con consentimiento en el CRM, y las visitas recurrentes se atribuyen mediante la identidad de inicio de sesión en lugar de la sola dirección del dispositivo, lo que limita el efecto de la aleatorización de MAC. Según el modelo basado en 3,000 compradores por tienda a la semana y una tasa de conexión del 5 %, la cadena registra 22,500 conexiones a la semana, es decir, 1,170,000 al año. La oficina central compara la tasa de visitas recurrentes por tienda y la tasa de aceptación por región, y el departamento de Mercadotecnia cambia las campañas de bienvenida sin tener que abrir una solicitud de cambio de red.

Un consorcio hospitalario ya utiliza ClearPass para crear perfiles de dispositivos clínicos y desea ofrecer WiFi para invitados WiFi a pacientes y visitantes. ¿Debería añadir una segunda plataforma de invitados?

El consorcio amplía su clúster de ClearPass existente al WiFi para invitados WiFi de pacientes y visitantes con ClearPass Guest. Ya dispone de los servidores, las competencias especializadas y un motor de políticas único que cubre los dispositivos corporativos y clínicos, por lo que el esfuerzo marginal es menor que introducir una segunda plataforma. Mantener a los invitados en el mismo clúster también preserva un registro de auditoría único en todo el entorno sanitario. Si más adelante el departamento de Mercadotecnia necesita datos con consentimiento de los visitantes en un CRM, el consorcio puede mantener ClearPass para el personal y los dispositivos y gestionar a los invitados en una plataforma en la nube, de modo que cada herramienta cumpla la función para la que fue creada.

Preguntas frecuentes

¿Aruba Central incluye un portal cautivo o necesito uno externo?

Sí, Aruba Central incluye un portal cautivo alojado llamado Cloud Guest. Admite aceptación de términos mediante un clic, cuentas de invitados creadas por operadores, acceso aprobado por patrocinadores e inicio de sesión social, personalizado con su logotipo y colores. Necesitará un portal cautivo externo cuando los datos de inicio de sesión deban enviarse a un CRM, cuando requiera un registro del consentimiento de marketing o cuando desee informes de visitantes más allá de las estadísticas de red. Central admite portales cautivos externos como una opción estándar en la configuración de la WLAN.

¿Purple puede ejecutarse en nuestros puntos de acceso de HPE Aruba existentes?

Sí, Purple funciona en los puntos de acceso de HPE Aruba existentes administrados en Aruba Central, tanto en Aruba Instant como en AOS-10. Purple es una superposición en la nube. Usted dirige la WLAN para invitados al portal cautivo y servicio de RADIUS en la nube de Purple, y conserva su hardware. Purple es independiente del hardware, por lo que la misma plataforma también cubre las instalaciones de Cisco Meraki, Ruckus y Juniper Mist que adquiera más adelante.

¿Necesitamos ClearPass Guest para conectar el WiFi para invitados de Aruba a un CRM: WiFi?

No, ClearPass Guest no es necesario para la integración del CRM con el WiFi para invitados de Aruba. ClearPass puede realizar llamadas a sistemas externos mediante sus API REST y Context Server Actions, pero su equipo tendrá que crear y mantener cada conector. Una plataforma dedicada en la nube se conecta a los puntos de acceso de Aruba a través de configuraciones estándar de portal cautivo externo y RADIUS. Luego, sincroniza los datos de los invitados con consentimiento hacia las plataformas de CRM y marketing sin necesidad de servidores locales.

¿Aruba es compatible con Passpoint para el WiFi para invitados de WiFi?

Sí, los puntos de acceso Aruba Instant y AOS-10 pueden anunciar redes Passpoint (Hotspot 2.0) configuradas en Aruba Central. Anunciar la red es solo la mitad del trabajo. Los dispositivos de los invitados también necesitan un perfil Passpoint y un servicio de identidad que los autentique mediante 802.1X. ClearPass Onboard o una plataforma en la nube como Purple proporcionan esa parte. Purple también es compatible con OpenRoaming, por lo que los dispositivos con perfil se conectan automáticamente en los establecimientos participantes.

¿Cómo gestiona un portal cautivo externo el consentimiento del GDPR en redes Aruba?

La plataforma externa es la que registra el consentimiento, no el punto de acceso. El Artículo 7 del GDPR le exige demostrar que cada persona otorgó su consentimiento, y el Recital 32 descarta las casillas premarcadas. Purple utiliza autorizaciones de elección consciente que mantienen el consentimiento de marketing separado de la aceptación de los términos de uso. Almacena el registro del consentimiento con cada perfil. Purple cuenta con la certificación ISO 27001 y cumple con GDPR y CCPA.

¿Qué implica migrar de ClearPass Guest a una plataforma en la nube?

Migrar desde ClearPass Guest es un cambio de WLAN y RADIUS, no un proyecto de hardware. Usted dirige el portal cautivo y los servidores de autenticación del SSID para invitados a la plataforma en la nube y actualiza el walled garden. También debe confirmar que los nombres de rol devueltos en las respuestas de RADIUS existan en sus dispositivos Aruba. La mayoría de los equipos realiza una prueba piloto en un sitio, compara los datos de las sesiones y luego realiza el despliegue mediante grupos de Central. ClearPass puede mantener el 802.1X del personal.

¿Cómo se licencia una plataforma de WiFi para invitados en la nube en comparación con ClearPass Guest?

Una plataforma de WiFi para invitados en la nube se licencia mediante suscripción, sin necesidad de comprar ni alojar servidores. ClearPass requiere licencias por punto de conexión, además de máquinas virtuales o licencias de hardware, por lo general dos o más nodos para garantizar la resiliencia. También requiere tiempo de personal para actualizaciones y renovaciones de certificados. Purple se vende en tres planes: Connect, Capture y Engage. El acceso nativo para invitados de Central se incluye dentro de su suscripción existente de puntos de acceso.

Continúe leyendo esta serie

Ruckus SmartZone y RUCKUS One WiFi para invitados WiFi frente a plataformas de portal cautivo externas

Decida si el acceso de WiFi para invitados nativo de Ruckus SmartZone o RUCKUS One cubre las necesidades de sus instalaciones, o si vale la pena pagar la suscripción a un portal cautivo externo como Purple. Puede asignar sus sitios, proveedores y propiedad de datos a una recomendación clara. También entenderá la integración de WISPr, la interfaz Northbound e RADIUS, así como el costo de cada opción.

Leer la guía →

Portales de Juniper Mist para invitados de WiFi vs. superposiciones externas de portal cautivo: comparación multisitio

Usted podrá decidir, establecimiento por establecimiento, si el portal nativo de Juniper Mist para invitados es suficiente o si una superposición externa de portal cautivo justifica su licencia. También sabrá cómo reenviar una WLAN de Mist a una superposición, configurar la contabilidad de RADIUS y mantener un solo registro de invitados a lo largo de una migración por fases desde controladores heredados.

Leer la guía →

Captive Portals vs. Redes Abiertas: Balanceando la Seguridad y la UX

Esta guía de referencia técnica proporciona a los arquitectos de red y gerentes de TI un plan integral para implementar redes WiFi para invitados. Analiza las compensaciones técnicas entre las redes abiertas y los captive portals, detallando cómo balancear los protocolos de seguridad con la experiencia de usuario. Los lectores aprenderán a configurar mecanismos de redirección resilientes, gestionar la aleatorización de direcciones MAC e implementar flujos de trabajo de autenticación fluidos.

Leer la guía →

¿Tiene preguntas sobre su configuración específica?

Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.