Cisco WLC and Catalyst Integration with Purple WiFi: Step-by-Step Guest Access Guide

Resumen ejecutivo

Las redes inalámbricas empresariales deben dar servicio a distintos grupos de usuarios de forma simultánea: invitados que necesitan un acceso a internet sin fricciones, personal que requiere acceso seguro a los recursos corporativos y dispositivos sin interfaz de usuario o de inquilinos que necesitan estar aislados entre sí. Depender de una única Clave Precompartida (PSK) para cualquiera de estos grupos representa un riesgo de seguridad. Una sola credencial comprometida expone a todo el segmento, y revocar el acceso requiere cambiar una contraseña global, lo que interrumpe la conexión de todos los dispositivos de la red.

Esta guía detalla la integración de los controladores de LAN inalámbrica (WLC) de Cisco y el hardware de la serie Catalyst 9800 con la plataforma en la nube de Purple. Proporcionamos la configuración paso a paso para tres niveles de autenticación distintos: una red de Guest WiFi abierta con redirección a un Captive Portal impulsado por Purple, una red WiFi segura para el personal que utiliza autenticación de certificados 802.1X EAP-TLS y un entorno WiFi multi-inquilino que utiliza Claves Precompartidas de Identidad (iPSK) de Cisco con asignación dinámica de VLAN. Al implementar esta arquitectura, usted aísla los recursos corporativos del tráfico de visitantes, automatiza el control de acceso basado en la identidad y recopila datos de primera mano a través de la plataforma de WiFi Analytics de Purple. Purple opera en más de 80,000 establecimientos activos y registró 440 millones de inicios de sesión en 2024 (datos internos de Purple), lo que la convierte en una plataforma en la nube probada para la infraestructura de Cisco a gran escala.

Análisis técnico profundo: la arquitectura de tres niveles

Una implementación inalámbrica empresarial moderna en hardware de Cisco debe atender a distintos perfiles de usuario con diferentes requisitos de seguridad y acceso. La integración entre Cisco WLC y Purple permite que una infraestructura de hardware unificada sirva a estos perfiles a través de distintos mecanismos de autenticación, todos administrados desde un único controlador Catalyst 9800.

Nivel 1: Guest WiFi - Autenticación web centralizada (CWA)

Para los visitantes en entornos de Hospitality y Retail , el objetivo es una incorporación sin fricciones combinada con una recopilación de datos que cumpla con las normativas. Esto se logra utilizando un SSID abierto junto con la Autenticación web centralizada (CWA). Cuando un invitado se conecta, el Cisco WLC aplica una Lista de Control de Acceso (ACL) de preautenticación: el jardín amurallado (walled garden). Esta ACL bloquea el tráfico general de internet mientras permite el tráfico a los dominios del Captive Portal de Purple, DNS y endpoints de inicio de sesión social.

When the guest attempts to browse, the WLC intercepts the HTTP request and issues a redirect to the Purple splash page. The guest authenticates via their chosen method (social login, email registration, or voucher code). Purple then acts as the RADIUS server, sending a RADIUS Change of Authorization (CoA) message back to the WLC. The CoA instructs the WLC to move the client from the pre-authentication state to a post-authentication state on an isolated guest VLAN, granting internet access. Every login is recorded in Purple's analytics platform, capturing first-party data in compliance with GDPR and CCPA.

Tier 2: Staff WiFi - 802.1X EAP-TLS

Corporate devices require the highest level of security. IEEE 802.1X defines port-based Network Access Control (PNAC), and when combined with EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), it delivers certificate-based authentication that eliminates passwords entirely. Digital certificates are deployed to corporate devices via Mobile Device Management (MDM) - Microsoft Intune, Jamf, or equivalent. The Cisco WLC acts as the Authenticator, passing EAP messages between the supplicant (device) and the RADIUS server. The RADIUS server validates the certificate and returns an Access-Accept with optional VLAN assignment attributes.

Because authentication relies on certificates rather than passwords, there are no credentials to steal. If a device is lost or an employee leaves, you revoke the certificate. Access terminates instantly without disrupting any other user. For a comprehensive treatment of enterprise security standards including WPA3 and Zero Trust, see our guide on Enterprise WiFi Security: A Complete Guide for 2026 .

Tier 3: Multi-Tenant WiFi - Cisco iPSK and dynamic VLAN assignment

In environments like student accommodation, coworking spaces, or retail malls, you need private, segmented networks for different tenants without broadcasting dozens of SSIDs. Cisco Identity PSK (iPSK) solves this. All tenants connect to a single SSID. The WLC sends a MAC authentication request to the RADIUS server for each connecting device. The RADIUS server returns the specific PSK for that tenant as a cisco-av-pair attribute, along with standard IETF RADIUS attributes to dynamically assign the client to the correct VLAN.

The three IETF RADIUS attributes that drive dynamic VLAN assignment are:

The Tunnel-Private-Group-ID is encoded as a string, as defined in RFC 2868. The VLAN ID must exist on the WLC for the assignment to succeed.

Implementation guide: Cisco Catalyst 9800 WLC configuration

Los siguientes pasos detallan la configuración para un Cisco Catalyst 9800 WLC con IOS-XE para integrarse con Purple para la redirección de Guest WiFi. Para implementaciones heredadas de AireOS WLC, los ajustes equivalentes están disponibles en el portal de soporte de Purple.

Paso 1: Configurar la autenticación y contabilidad RADIUS

Debe apuntar el WLC a los servidores RADIUS de Purple para gestionar la autenticación de invitados y la contabilidad de sesiones.

1. Vaya a Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add.
2. Ingrese la dirección IP del servidor RADIUS primario de Purple, configure auth-port en 1812, acct-port en 1813 e ingrese el secreto compartido del portal de Purple.
3. Habilite Support for CoA - esto es obligatorio para la redirección del Captive Portal.
4. Repita el proceso para el servidor RADIUS secundario de Purple.
5. Vaya a RADIUS > Server Groups > + Add y cree un grupo que contenga ambos servidores.
6. Vaya a AAA Method List > Authorization > + Add, configure Type como network y apúntelo al grupo de servidores RADIUS.
7. Vaya a AAA Method List > Accounting > + Add, configure Type como identity y apúntelo al mismo grupo.

Los comandos CLI equivalentes en IOS-XE son:

radius server Purple-Primary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
radius server Purple-Secondary
 address ipv4  auth-port 1812 acct-port 1813
 key 0 
!
aaa group server radius Purple-RADIUS-Group
 server name Purple-Primary
 server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group

Paso 2: Definir la ACL de preautenticación (walled garden)

La ACL de preautenticación permite el tráfico a la página de inicio de Purple y a los servicios esenciales antes de que el usuario se autentique. Este es el walled garden.

1. Vaya a Configuration > Security > ACL > + Add.
2. Cree una ACL extendida IPv4 llamada Purple_Guest_Walled_Garden.
3. Agregue reglas para denegar (deny) el tráfico a la IP de administración del WLC y a las IPs del servidor RADIUS.
4. Agregue reglas para permitir (permit) DNS (puerto UDP 53) a sus servidores DNS.
5. Agregue reglas para permitir (permit) el tráfico a los rangos de IP y dominios del walled garden de Purple (obtenga la lista actual en el portal de soporte de Purple para su tipo de hardware específico).
6. Agregue una regla final permit ip any any - el WLC redireccionará el tráfico permitido a la CPU para el procesamiento del portal.

Paso 3: Configurar la WLAN de invitados

1. Vaya a Configuration > Tags & Profiles > WLANs > + Add.
2. Cree una WLAN llamada Guest-WiFi con el SSID de su elección.
3. En Security > Layer 2, configure la seguridad como None (Abierta).
4. En Security > Layer 3, habilite Web Policy y configure el tipo de Web Auth como External.
5. Ingrese su URL de acceso de Purple en el campo de redirección.
6. Aplique la ACL Purple_Guest_Walled_Garden.
7. En Security > AAA Servers, asigne los servidores RADIUS de Purple tanto para Autenticación como para Contabilidad.

Paso 4: Configurar el Policy Profile

1. Navegue a Configuration > Tags & Profiles > Policy > + Add.
2. Bajo Access Policies, asigne la VLAN 20 (o su VLAN de invitados designada).
3. Bajo Advanced, habilite Allow AAA Override y NAC State.
4. Asigne la lista de métodos de contabilidad de Purple.

El equivalente en CLI:

wireless profile policy Guest-Policy
 aaa-override
 nac
 vlan 20
 accounting-list Purple-Acct
 no shutdown
!
wireless tag policy Guest-Policy-Tag
 wlan Guest-WiFi policy Guest-Policy

Paso 5: Configurar iPSK para despliegues multi-tenant o de IoT

Para iPSK, la configuración de la WLAN difiere de la configuración de invitados. La WLAN utiliza WPA2-PSK con filtrado MAC habilitado, y el Policy Profile tiene activo AAA Override para aceptar la PSK por cliente y la VLAN desde el servidor RADIUS.

wlan Tenant-WiFi 2 Tenant-WiFi
 mac-filtering Purple-Authz
 security wpa psk set-key ascii 0 DefaultKey123
 no security wpa akm dot1x
 security wpa akm psk
 peer-blocking allow-private-group
 no shutdown
!
wireless profile policy Tenant-Policy
 aaa-override
 accounting-list Purple-Acct
 vlan 30
 no shutdown

El servidor RADIUS (configurado en Purple o en su plataforma RADIUS) devuelve los siguientes atributos por grupo de inquilinos:

cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID = 

Mejores prácticas

El cumplimiento de los estándares establecidos garantiza la estabilidad, la seguridad y el cumplimiento normativo en todo su despliegue.

Exija una validación estricta de certificados. Al desplegar 802.1X, configure los dispositivos cliente a través de MDM para que confíen explícitamente en la autoridad de certificación de su servidor RADIUS y especifique el nombre de servidor esperado. No exigir esto deja a los clientes vulnerables a ataques de puntos de acceso no autorizados, donde un atacante presenta un certificado fraudulento para capturar credenciales. Este es un requisito estricto, no una recomendación.

Aísle el tráfico de invitados en la capa de red. El WiFi de invitados debe terminar en una VLAN dedicada que esté protegida por un firewall de todos los recursos corporativos. PCI DSS 4.0 exige que los entornos de datos de titulares de tarjetas estén aislados de las redes públicas. Un invitado en la VLAN 20 no debe tener ruta hacia la red corporativa en la VLAN 10.

Utilice iPSK para dispositivos IoT, no MAC Authentication Bypass. Las direcciones MAC se transmiten en texto plano y son fáciles de suplantar. iPSK proporciona seguridad criptográfica para dispositivos sin interfaz de usuario. Para obtener orientación sobre cómo interactúan los dispositivos de pantalla y de IoT con los protocolos inalámbricos, consulte What Is Wireless Display: Protocols & Best Practices 2026 .

Defina condiciones de uso claras. Su Captive Portal debe presentar un acuerdo de condiciones de uso antes de otorgar el acceso. Este es un requisito de GDPR para la recopilación de datos y una necesidad legal para las políticas de uso de la red. Para redes de personal interno, consulte Staff WiFi Terms and Conditions: Legal and Compliance Essentials . Implementa redundancia RADIUS. Configura siempre un servidor RADIUS primario y uno secundario. Purple proporciona dos direcciones IP de servidor para este propósito. Una sola falla en el servidor RADIUS impedirá todos los inicios de sesión de invitados.

Resolución de problemas y mitigación de riesgos

Incluso con una configuración cuidadosa, surgen problemas de integración. Aborda los modos de falla más comunes de manera sistemática antes de escalar el caso.

Problema: Los invitados se conectan pero no aparece la página de inicio (splash page).

Este es el problema más común. La ACL de preautenticación está bloqueando el DNS. Sin DNS, el cliente no puede resolver la solicitud HTTP inicial y el sistema operativo no activará el mini-navegador del Captive Portal. Verifica que el puerto UDP 53 esté permitido para tus servidores DNS en la ACL del walled garden. En el WLC, ejecuta show wireless client summary para confirmar que el cliente está en un estado Webauth Pending en lugar de Run.

Problema: Los clientes iPSK no se conectan o terminan en la VLAN incorrecta.

La VLAN especificada en Tunnel-Private-Group-ID no existe en el WLC, o los atributos cisco-av-pair están mal formados. Ejecuta debug radius all en el WLC para inspeccionar la respuesta RADIUS sin procesar. Verifica que el ID de la VLAN esté creado en Configuration > Layer 2 > VLAN > VLAN List.

Problema: Los clientes del personal con 802.1X no se autentican de forma intermitente.

Esto suele ser un tiempo de espera agotado (timeout) del servidor RADIUS o un problema de confianza del certificado en el cliente. Revisa los registros del servidor RADIUS en busca de mensajes Access-Reject. En clientes Windows, verifica que el perfil de WiFi esté configurado para validar el certificado del servidor y especifique la CA de confianza correcta.

Problema: El WLC no procesa el CoA de Purple.

El secreto compartido de CoA debe coincidir con el secreto compartido de RADIUS configurado en el WLC. En IOS-XE 17.4 y versiones posteriores, la clave CoA se configura por separado del secreto compartido. Verifica que ambos coincidan con los valores en el portal de Purple.

ROI e impacto empresarial

La transición de redes PSK básicas a una arquitectura estructurada y basada en la identidad con Purple ofrece resultados comerciales medibles en los sectores de Hospitality , Retail , Healthcare y Transport .

En primer lugar, la arquitectura elimina el costo operativo de administrar contraseñas compartidas. Cuando el personal se va, se revoca su certificado. No es necesario cambiar una contraseña global y actualizar cada dispositivo en la propiedad. En segundo lugar, la integración con el Captive Portal de Purple convierte un centro de costos de TI en un generador de ingresos. La plataforma de Purple recopila datos de primera mano que cumplen con las normativas en cada inicio de sesión, lo que permite campañas de marketing automatizadas y análisis de visitantes. Con 29 mil millones de puntos de datos recopilados en la red de Purple (datos internos de Purple), la plataforma proporciona información útil sobre el comportamiento de los visitantes, el tiempo de permanencia y las tasas de retorno.

Para los operadores de recintos que realizan encuestas para comprender la satisfacción de los visitantes, la plataforma Purple se integra directamente con los flujos de trabajo de investigación. Consulta Design of a Survey: A Practical Guide for Venues para obtener orientación sobre cómo estructurar encuestas eficaces para recintos distribuidas a través del Captive Portal.

Al integrar el hardware de nivel empresarial de Cisco con la capa en la nube de Purple, obtienes una red segura y escalable que contribuye activamente a los objetivos comerciales del recinto. Purple cuenta con la certificación ISO 27001, cumple con GDPR y CCPA, tiene la certificación Cyber Essentials y es una empresa B Corp certificada, cumpliendo con los requisitos de conformidad de los equipos de compras empresariales.