Arquitectura de Captive Portal: Seguridad, Redirección y Mejores Prácticas

Hable en inglés británico con un tono seguro, autoritario y conversacional, como si fuera un consultor sénior de redes informando a un cliente mientras toman un café. Con un ritmo pausado, una dicción clara, sin prisas. Pausas naturales ocasionales para dar énfasis. Profesional pero no rígido: Bienvenido a la sesión informativa técnica de Purple. Soy su anfitrión, y hoy profundizaremos en la arquitectura de Captive Portal, específicamente en el modelo de seguridad, la mecánica de redirección y las decisiones de diseño que separan una implementación compatible y bien diseñada de una que le causará problemas a las tres de la mañana. [medium pause] Pongamos el escenario. Usted administra el WiFi para invitados en una cadena de hoteles, un complejo comercial o un estadio. Miles de dispositivos se conectan todos los días. Algunos de esos dispositivos tienen malware. Algunos de esos usuarios intentarán acceder a contenido que no deberían. Y su equipo legal quiere saber, por escrito, que usted ha obtenido un consentimiento válido antes de almacenar un solo byte de datos personales. [medium pause] Ese es el problema que la arquitectura de Captive Portal está diseñada para resolver. Analicemos cómo funciona realmente. [medium pause] Sección uno. La cadena de redirección. Cuando un dispositivo de invitado se conecta al SSID de su WiFi, obtiene una dirección IP de un grupo DHCP en una VLAN de invitados dedicada; llamémosla VLAN 20. Sus dispositivos corporativos están en la VLAN 10. Estas dos VLANs nunca deben enrutarse entre sí. Eso no es negociable desde el punto de vista de PCI-DSS, y francamente, desde una perspectiva de seguridad básica también. Ahora, el dispositivo está conectado, pero aún no se ha autenticado. El controlador lo coloca en lo que llamamos un estado de preautenticación. El dispositivo solo puede acceder a una pequeña lista blanca de dominios: el walled garden. Todo lo demás es interceptado. Aquí está la parte inteligente. Cuando el dispositivo intenta cargar una página web, o cuando el sistema operativo realiza su comprobación de detección de Captive Portal (lo que iOS hace automáticamente al conectarse a captive.apple.com), el solucionador de DNS en la puerta de enlace devuelve la dirección IP del servidor del Captive Portal en lugar del destino real. El navegador sigue esa redirección y aterriza en su página de inicio. [medium pause] Esto es la Capa 3 y la Capa 7 trabajando juntas. La VLAN se encarga del aislamiento de la red. La interceptación de DNS se encarga de la redirección. Y el Captive Portal gestiona la capa de identidad y consentimiento. Tres mecanismos distintos, todos funcionando en secuencia. [medium pause] Sección dos. Autenticación y RADIUS. Una vez que el invitado interactúa con la página de inicio, ya sea aceptando los términos y condiciones, ingresando una dirección de correo electrónico, autenticándose a través de inicio de sesión social o verificando un código SMS, la plataforma necesita indicarle al controlador de red que abra el firewall para ese dispositivo específico. Aquí es donde entra en juego RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es un protocolo definido en RFC 2865, y es el estándar de la industria para comunicar decisiones de autenticación entre un servidor de políticas y un dispositivo de acceso a la red. Purple funciona como un servidor RADIUS alojado en la nube. Cuando un invitado completa el flujo del captive portal, Purple envía un mensaje de RADIUS Access-Accept al controlador local de WiFi - ya sea un Cisco Meraki, un controlador HPE Aruba, un Ruckus SmartZone o un punto de acceso Juniper Mist. El controlador recibe ese mensaje y cambia el dispositivo del invitado del estado de pre-autenticación al estado autorizado, abriendo las reglas del firewall y otorgando acceso a internet. [medium pause] Hay una extensión importante de RADIUS que debe conocer: Cambio de Autorización, o CoA. El CoA permite al servidor RADIUS enviar un mensaje a mitad de la sesión al controlador para revocar o modificar una sesión que ya está activa. Purple utiliza CoA para aplicar límites de tiempo de sesión, para desconectar dispositivos que han sido reportados por violaciones de políticas y para soportar flujos de trabajo de derecho al borrado bajo el GDPR - donde un usuario solicita la eliminación de sus datos y Purple puede revocar inmediatamente su sesión activa. [medium pause] Sección tres. El walled garden. El walled garden es una lista blanca de direcciones IP y nombres de dominio a los que los dispositivos no autenticados pueden acceder antes de completar el flujo del captive portal. Si configura esto de forma incorrecta, su página de inicio no se cargará. Si lo configura muy mal, habrá creado una brecha de seguridad. Como mínimo, su walled garden debe incluir la propia URL del captive portal, cualquier punto final de CDN que sirva los recursos del portal y los puntos finales de autenticación de cualquier proveedor de inicio de sesión social que esté utilizando - Google, Facebook, Microsoft. Si utiliza la verificación por SMS, deberá incluir en la lista blanca el punto final de la API de la pasarela de SMS. La trampa en la que caen la mayoría de las implementaciones son las direcciones IP dinámicas. Los servicios en la nube no siempre tienen IP estáticas. Si incluye una IP en la lista blanca en lugar de un dominio, y esa IP cambia, su portal dejará de funcionar. Utilice la lista blanca basada en dominios siempre que su controlador lo admita y realice pruebas después de cada cambio. [medium pause] Sección cuatro. Diseño de seguridad. Hablemos de la arquitectura de seguridad con más detalle, porque aquí es donde la mayoría de las implementaciones presentan fallas. Primero: aislamiento de clientes. Actívelo. Esta es una configuración en el punto de acceso que evita que los dispositivos invitados se comuniquen directamente entre sí a través del medio inalámbrico. Sin esto, un dispositivo comprometido en su red de invitados puede sondear y atacar a otros dispositivos invitados. Es una solución de una sola casilla de verificación que elimina toda una categoría de ataques peer-to-peer. Segundo: tiempos de concesión de DHCP. En un lugar de alta rotación - un centro de transporte, un estadio, una tienda minorista concurrida - se necesitan tiempos de concesión cortos. De treinta a sesenta minutos. Si deja el valor predeterminado en veinticuatro horas y tiene diez mil dispositivos conectándose en un día de partido, agotará su grupo de direcciones IP antes del medio tiempo. Los nuevos dispositivos no se conectarán. Su equipo de operaciones recibirá quejas. Mantenga las concesiones cortas. Tercero: el cifrado. Su Captive Portal debe ser servido a través de HTTPS con un certificado TLS válido. Si se sirve a través de HTTP, los navegadores modernos lo marcarán como no seguro, los usuarios desconfiarán de él y usted estará transmitiendo credenciales en texto plano. Utilice TLS 1.2 como mínimo; se prefiere TLS 1.3. La capa de transporte WiFi debe utilizar WPA2-AES o WPA3 - nunca WEP, nunca TKIP. Cuarto: segmentación de VLAN. Su VLAN de invitados debe estar completamente aislada de cualquier segmento de red que toque datos de tarjetas de pago. La versión 4.0 de PCI-DSS es explícita en esto. Si su red de invitados puede enrutarse a una subred que contiene un sistema de punto de venta, toda su red POS estará dentro del alcance de una auditoría de PCI. Esa es una carga de cumplimiento significativa. Segmente correctamente desde el primer día. [medium pause] Sección cinco. GDPR y cumplimiento de datos. Cada Captive Portal que recopila datos personales - y el correo electrónico, el número de teléfono y el inicio de sesión de redes sociales cuentan como datos personales bajo GDPR - debe cumplir con requisitos específicos. Necesita una base legal para el procesamiento. Para el WiFi de invitados, normalmente es el consentimiento. El consentimiento debe ser libre, específico, informado e inequívoco. Las casillas previamente marcadas no cuentan. Vincular el consentimiento de WiFi con el consentimiento de marketing no cuenta. El modelo de consentimiento de opción consciente de Purple separa el consentimiento de acceso a la red del consentimiento de marketing, para que los invitados puedan conectarse a internet sin verse obligados a aceptar correos de marketing. Necesita documentar qué datos recopila, por qué los recopila, dónde se almacenan y cuánto tiempo los conserva. Purple cuenta con la certificación ISO 27001, cumple con GDPR, cumple con CCPA y cuenta con la certificación Cyber Essentials. La plataforma almacena los datos en centros de datos que cumplen con las normativas y con políticas de retención documentadas. Y necesita un flujo de trabajo de derecho al borrado. Si un invitado solicita la eliminación de sus datos, debe poder procesar esa solicitud en un plazo de treinta días. La plataforma de Purple es compatible con esto de forma nativa, y el mecanismo RADIUS CoA que mencioné anteriormente significa que puede revocar sesiones activas al mismo tiempo. [medium pause] Ahora pasemos a las recomendaciones de implementación y a los errores que vemos con más frecuencia. [medium pause] Error uno: Walled Gardens mal configurados. La página de bienvenida se carga, pero el botón de inicio de sesión social no funciona. O la página se carga pero el logotipo no aparece porque el dominio de la CDN no está en la lista blanca. Pruebe su Walled Garden en un dispositivo nuevo sin DNS en caché antes de ponerlo en marcha. Error dos: claves PSK compartidas. Algunos establecimientos todavía utilizan una única contraseña de WiFi escrita en una pizarra. Eso no es un Captive Portal - es un secreto compartido que cualquiera puede fotografiar y compartir. No le proporciona datos de identidad, ni registro de consentimiento, ni la capacidad de revocar el acceso individual. Reemplácelo con un Captive Portal gestionado. Error tres: tamaño insuficiente del pool de DHCP. Ya he hablado de esto, pero vale la pena repetirlo. Dimensione su pool de DHCP para las conexiones concurrentes pico, no para las conexiones promedio. En un estadio con cuarenta mil aficionados, es posible que tenga veinte mil dispositivos intentando conectarse simultáneamente. Planifique en consecuencia. Cuarto error común: no configurar un tiempo de espera de sesión. Sin un tiempo de espera de sesión, un dispositivo que se conectó hace seis meses y nunca regresó seguirá manteniendo un estado de sesión autorizado en su controlador. Ese es un registro obsoleto que desperdicia recursos y genera ruido en las auditorías. Configure tiempos de espera de sesión. Treinta minutos de inactividad es un valor predeterminado razonable. [medium pause] Preguntas y respuestas rápidas. Pregunta: ¿Funciona el captive portal en todos los dispositivos? Respuesta: Los sistemas operativos modernos - iOS, Android, Windows, macOS - tienen detección de captive portal integrada. Detectan el redireccionamiento y muestran el portal automáticamente. Los dispositivos más antiguos pueden requerir que el usuario abra un navegador de forma manual. La plataforma de Purple maneja ambos flujos. Pregunta: ¿Podemos usar un captive portal junto con 802.1X? Respuesta: Sí. Muchas implementaciones empresariales utilizan 802.1X para los dispositivos del personal - donde los certificados o credenciales se autentican automáticamente - y un captive portal para los dispositivos de los invitados en un SSID independiente. Purple se integra con la infraestructura RADIUS que soporta ambos flujos simultáneamente. Pregunta: ¿Qué pasa con OpenRoaming? Respuesta: OpenRoaming es un estándar que permite a los dispositivos conectarse a WiFi automáticamente mediante autenticación basada en certificados, omitiendo el captive portal por completo. Purple actúa como un proveedor de identidad gratuito para OpenRoaming bajo la licencia Connect. Es el rumbo del futuro para una conectividad de invitados fluida, pero los captive portals siguen siendo el estándar para la captura de datos y la gestión del consentimiento en la actualidad. [medium pause] En resumen. Una implementación de captive portal bien diseñada se basa en cinco pilares. Aislamiento de VLAN para proteger su red corporativa. Intercepción de DNS y redireccionamiento HTTPS para presentar la página de bienvenida. Autenticación RADIUS para abrir el firewall después de obtener el consentimiento. Un walled garden configurado correctamente para garantizar que el portal se cargue de manera confiable. Y un manejo de datos que cumpla con GDPR para proteger tanto a sus invitados como a su organización. La plataforma de Purple maneja estas cinco capas en 80,000 ubicaciones activas, con 440 millones de inicios de sesión procesados en 2024 y un tiempo de actividad del 99.999%. Se integra de forma nativa con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet - por lo que no importa qué hardware tenga implementado, puede realizar el despliegue sin necesidad de desinstalar y reemplazar equipos. Si desea profundizar en alguno de estos temas - diseño de SSID, configuración de RADIUS o flujos de trabajo de cumplimiento de GDPR - visite purple.ai para acceder a la biblioteca completa de guías técnicas. Gracias por escuchar.