Cómo construir una red WiFi para campus: una guía de TI para universidades

Bienvenido al Informe de Redes de Purple Enterprise. Hoy abordaremos un desafío importante de infraestructura: cómo crear una red WiFi para campus. Específicamente, analizaremos implementaciones en universidades y grandes recintos. Si usted es CTO, Director de TI o arquitecto de redes, este informe es para usted. Dejaremos de lado la teoría y nos enfocaremos en las realidades prácticas de implementación en entornos inalámbricos de alta densidad. Comencemos con el contexto. Una red WiFi para campus ya no es solo una comodidad. Es una infraestructura crítica. Los estudiantes llegan el primer día con tres o cuatro dispositivos. El personal necesita una conectividad confiable para videoconferencias, aplicaciones en la nube y sistemas de gestión de edificios. Y cada vez más, el campus mismo se está convirtiendo en un entorno inteligente, con sensores IoT, señalización digital y control de acceso, todo operando sobre la misma infraestructura inalámbrica. El desafío no es solo la cobertura. Es la capacidad. Y esa distinción es el concepto más importante en este informe. Comencemos con la base: el estudio de sitio. En el entorno de un campus, un estudio predictivo utilizando planos de planta es solo el punto de partida. Necesita absolutamente realizar estudios activos en el sitio. Vemos que demasiados recintos confían únicamente en modelos de software. Una pared de ladrillo en un aula del siglo XIX atenúa la señal de manera muy diferente a una pared de tablaroca moderna. Un edificio de la época victoriana con muros gruesos de piedra y techos altos se comportará de manera completamente diferente a un bloque de campus moderno diseñado a la medida. Su estudio activo debe mapear las zonas de alta densidad - auditorios, centros de estudiantes, bibliotecas, cafeterías - e identificar fuentes de interferencia de RF. Los hornos de microondas, los dispositivos Bluetooth e incluso las redes vecinas pueden degradar el rendimiento si no los ha tomado en cuenta. El resultado de su estudio debe ser un mapa de calor que muestre la intensidad de la señal, la utilización de canales y los niveles de interferencia en cada piso de cada edificio. Esto se convierte en la base de su plan de colocación de puntos de acceso. Ahora, al planificar la colocación de los puntos de acceso, la regla general es la capacidad sobre la cobertura. Ya no se trata solo de hacer llegar una señal a la esquina de la habitación. Se trata de soportar tres dispositivos por estudiante en un auditorio de trescientos asientos. Esto significa implementar puntos de acceso de alta densidad, normalmente WiFi 6 o WiFi 6E, y gestionar agresivamente el traslape de canales. Para espacios de alta densidad, considere implementar puntos de acceso con antenas direccionales que enfoquen la energía de RF hacia abajo, hacia las áreas de asientos, en lugar de antenas omnidireccionales que emiten la señal en todas direcciones y causan interferencia entre los AP adyacentes. Pasando a la arquitectura. Un modelo de tres niveles es el estándar para las redes de campus empresariales: Gestión, Núcleo y Acceso. En la parte superior, tienes tu controlador WLAN centralizado, ya sea local o administrado en la nube. Este es el cerebro de la red. Se encarga de la itinerancia sin interrupciones, la aplicación de políticas, la optimización de RF y la administración del firmware en todos tus puntos de acceso. Los controladores administrados en la nube se han convertido en la opción dominante para las nuevas implementaciones porque simplifican la administración de múltiples sitios y reducen los costos de hardware local. En el medio, tienes tu infraestructura de conmutación central y de distribución. Estos son tus switches de alta capacidad que agregan el tráfico de la capa de acceso y lo dirigen a tu puerta de enlace de internet y recursos internos. En la parte inferior, tienes tu capa de acceso: switches Power over Ethernet y los propios puntos de acceso inalámbricos. Para nuevas implementaciones, PoE Plus es el estándar mínimo, ya que los puntos de acceso WiFi 6 consumen más energía que sus predecesores. Ahora hablemos sobre la incorporación y autenticación de usuarios, porque aquí es donde muchas redes de campus fallan en la práctica. Tienes miles de usuarios transitorios: estudiantes inscritos, personal administrativo, académicos visitantes, delegados de conferencias y el público en general. Cada grupo tiene diferentes requisitos de acceso y diferentes implicaciones de seguridad. Para el personal y los estudiantes inscritos, la implementación de 802.1X con autenticación EAP no es negociable. Esto vincula el acceso inalámbrico a tu proveedor de identidad existente, ya sea Active Directory, LDAP o un servicio de identidad en la nube. Los usuarios se autentican con sus credenciales institucionales y la red los asigna dinámicamente a la VLAN correspondiente. Esto proporciona un acceso cifrado basado en credenciales que cumple con los requisitos de estándares como ISO 27001 y Cyber Essentials. Para los huéspedes y usuarios transitorios, necesitas una solución de Captive Portal que sea segura, cumpla con las normativas y no genere un flujo constante de tickets de soporte técnico. Aquí es donde una plataforma dedicada de WiFi para invitados aporta valor real. Una solución como la plataforma de WiFi para invitados de Purple proporciona una incorporación segura que cumple con el GDPR, páginas de bienvenida personalizables y, lo más importante, análisis sobre cómo se utiliza tu espacio. Obtienes visibilidad de los patrones de afluencia, los tiempos de permanencia y los períodos de mayor uso; información que tiene un valor operativo real. Hablemos de las VLAN y la segmentación de red. La segmentación de VLAN adecuada es esencial tanto para la seguridad como para el rendimiento. Como mínimo, debes tener VLAN separadas para el personal, los estudiantes, los invitados y los dispositivos IoT. Tu VLAN de IoT es particularmente importante. Los sensores de edificios inteligentes, los controladores de HVAC, la señalización digital y las cámaras de seguridad nunca deben compartir un segmento de red con los dispositivos de los usuarios. Un dispositivo IoT con una vulnerabilidad no debería poder comunicarse con la laptop de un estudiante. Ahora hablemos de la itinerancia, porque una transferencia sin interrupciones es fundamental para la experiencia del usuario. Mientras un usuario camina de la biblioteca a la cafetería, su llamada de VoIP no debería cortarse. Su transmisión de video no debería experimentar buffering. Su aplicación en la nube no debería agotar el tiempo de espera. Lograr esto requiere un ajuste cuidadoso de la potencia de transmisión y la implementación de estándares de roaming rápido. Los tres estándares que debe conocer son 802.11k, 802.11v y 802.11r. Juntos, a veces se les llama la trifecta del roaming rápido. El estándar 802.11k permite que los puntos de acceso proporcionen a los clientes una lista de AP vecinos, de modo que el dispositivo sepa a dónde hacer roaming antes de que sea necesario. El estándar 802.11v permite que la red sugiera a un cliente que debe hacer roaming hacia un mejor AP. Y el estándar 802.11r habilita la transición rápida de BSS, reduciendo drásticamente el tiempo de autenticación durante un roaming - lo cual es crítico para aplicaciones de voz y en tiempo real. Pero nada de esto funciona si su potencia de transmisión está mal configurada. Si sus AP están transmitiendo a máxima potencia, los dispositivos clientes se mantendrán conectados a un AP incluso cuando haya uno más cercano disponible. Este es el clásico problema del cliente pegajoso. El dispositivo ve una señal fuerte de un AP lejano y se niega a hacer roaming a uno más cercano, lo que resulta en un rendimiento degradado para ese usuario y una carga innecesaria en el AP lejano. La solución es ajustar el tamaño de sus celdas. Reduzca la potencia de transmisión para que las celdas de cobertura de los AP adyacentes apenas se superpongan - típicamente entre un quince y un veinte por ciento. Y deshabilite las tasas de datos más bajas - uno, dos y cinco punto cinco megabits por segundo - en sus puntos de acceso. Cuando permite que los dispositivos se conecten a estas velocidades heredadas, mantendrán una señal débil de forma indefinida. Deshabilitar estas tasas obliga al dispositivo a perder la conexión y hacer roaming a un AP con señal más fuerte. Es hora de algunas preguntas rápidas basadas en lo que escuchamos con más frecuencia de los clientes. Pregunta uno: ¿Deberíamos separar los dispositivos IoT en su propia red? Absolutamente. Coloque los dispositivos IoT - pantallas inteligentes, sensores de HVAC, sistemas de control de acceso - en una VLAN dedicada con reglas de firewall estrictas. No permita que saturen sus redes de datos principales y no les permita comunicarse lateralmente con los dispositivos de los usuarios. Pregunta dos: ¿Cómo manejamos los dispositivos heredados que no son compatibles con la autenticación moderna? Para los dispositivos que no pueden realizar 802.1X - como televisores inteligentes más antiguos o consolas de videojuegos en alojamientos para estudiantes - implemente MAC Authentication Bypass, o MAB. Esto le permite registrar direcciones MAC de dispositivos específicos y asignarlas a una VLAN adecuada sin requerir autenticación basada en credenciales. Pregunta tres: ¿Qué pasa con la cobertura en exteriores? Es esencial y a menudo se deja como una idea de último momento. Utilice puntos de acceso robustos y resistentes a la intemperie con antenas direccionales para cubrir patios, áreas de asientos al aire libre e instalaciones deportivas. Los AP para exteriores deben soportar temperaturas extremas, humedad y resistencia al vandalismo - no despliegue unidades para interiores en exteriores. Pregunta cuatro: ¿Cómo manejamos la seguridad del plano de administración? Asegúrese de que la interfaz de administración de su controlador esté en una VLAN de administración dedicada, accesible solo desde estaciones de trabajo de administradores autorizados. Habilite la autenticación de múltiples factores para todas las cuentas de administrador. Y revise la postura de seguridad de sus puntos de acceso con regularidad. Para resumir los puntos clave de la sesión de hoy. Primero: diseñe para la capacidad, no solo para la cobertura. En un entorno de campus moderno, el cuello de botella casi nunca es la intensidad de la señal - es la capacidad de dar servicio a cientos de dispositivos concurrentes de manera eficiente. Segundo: realice estudios de RF activos en el sitio. No dependa únicamente de modelos predictivos. Los materiales de construcción, las fuentes de interferencia y la distribución física deben validarse en el mundo real. Tercero: implemente una arquitectura de tres niveles con administración centralizada. Un controlador administrado en la nube le brinda visibilidad y control en todas sus instalaciones. Cuarto: use 802.1X para el personal y los estudiantes, y un Captive Portal seguro para los invitados. Aproveche su plataforma de WiFi de invitados para capturar análisis e impulsar la inteligencia operativa. Quinto: sintonice su red para un roaming fluido. Implemente 802.11k, v y r. Reduzca la potencia de transmisión. Desactive las tasas de datos heredadas. Elimine los clientes pegajosos. Y sexto: segmente su red con VLANs. Mantenga separado el tráfico de IoT, invitados, personal y estudiantes. Para un análisis técnico más profundo, que incluye diagramas de arquitectura, ejemplos prácticos y una lista de verificación de implementación completa, lea nuestra guía completa sobre cómo construir una red WiFi de campus en el sitio web de Purple. Gracias por escuchar el Purple Enterprise Network Briefing.