Cómo implementar iPSK en Cisco Meraki, HPE Aruba y Ruckus

Cisco Meraki, HPE Aruba y Ruckus permiten colocar diferentes dispositivos o grupos en diferentes políticas sin tener que crear un SSID independiente para cada grupo. Configure un SSID WPA2 Personal, cree u obtenga una clave personal, asóciela con una VLAN o rol y luego compruebe que la eliminación bloquea las nuevas asociaciones. 1 2 3

¿Qué hace realmente una implementación de iPSK?

Una clave precompartida de identidad, o iPSK, proporciona una contraseña única a un dispositivo o grupo mientras mantiene un SSID compartido. Los proveedores utilizan diferentes nombres para esto. Cisco Meraki llama a su opción respaldada por RADIUS iPSK. HPE Aruba llama a esto clave precompartida múltiple, o MPSK. Ruckus llama a esto PSK dinámico, o DPSK. Ubiquiti UniFi llama a su opción local clave precompartida privada, o PPSK.

El resultado práctico de esto es un acceso controlado en una sola red WiFi personal. Puede segregar un dispositivo de sala, un dispositivo residente o un dispositivo operativo sin transmitir un SSID independiente para cada caso de uso. El punto de control varía según la plataforma. Cisco Meraki puede obtener la clave y las anulaciones de VLAN a través de RADIUS. HPE Aruba recupera contraseñas cifradas e información de autorización de ClearPass. Ruckus puede colocar una DPSK directamente en un rol de usuario o VLAN. UniFi PPSK asigna contraseñas a VLANs localmente. 1 2 3 4

Esto no es una alternativa a 802.1X. El estándar IEEE 802.1X proporciona control de acceso a la red basado en puertos, mientras que iPSK es adecuado para dispositivos que requieren un SSID compartido y acceso con clave personal. 5

¿Qué necesita antes de comenzar?

Comience con un diseño de reenvío en lugar del dashboard. Cree VLANs de destino y asegúrese de que cualquier VLAN que pueda devolver un SSID esté activa en cada enlace ascendente de AP. Elija resultados de políticas que los operadores puedan explicar, como residente, operaciones del edificio, dispositivo de habitación y prueba. Decida si las claves serán por dispositivo o por grupo controlado. Las claves por dispositivo permiten una revocación precisa, mientras que las claves de grupo reducen el esfuerzo de resolución de problemas pero aumentan el impacto de una filtración. 3 Para un diseño respaldado por RADIUS, registre los puntos de acceso o su subred de administración como clientes RADIUS. Use el mismo secreto compartido en los puntos de acceso y en el servidor RADIUS. Cisco Meraki documenta esta relación en la configuración de su servidor RADIUS. Guarde el código secreto en su almacén de secretos aprobado y establezca un propietario designado para cada población de claves. 1

Registre el SSID, el resultado de la política, la fuente de la clave, la dirección MAC del dispositivo de prueba y el resultado de la revocación cuando corresponda. La aleatorización de MAC puede complicar los flujos de trabajo vinculados a MAC, lo cual es citado por Cisco Meraki como una razón para usar Easy PSK. 1

¿Cómo se configura Cisco Meraki iPSK con RADIUS?

Use Cisco Meraki iPSK con RADIUS cuando requiera un control centralizado. En el dashboard, abra Wireless > Configure > Access control, seleccione el SSID de destino y elija Identity PSK with RADIUS. Establezca la Splash Page en None (Direct access), luego agregue los detalles del servidor RADIUS. La guía de Cisco Meraki incluye pantallas y ejemplos actuales. 1

Para flujos de trabajo basados en MAC, su registro RADIUS vincula la dirección MAC del cliente y la PSK a través de Tunnel-Password. En Easy PSK, el AP proporciona atributos de saludo específicos del proveedor Meraki; RADIUS busca la iPSK y envía un Access-Accept, después de lo cual el AP reinicia el saludo de clave. 1

Configure el modo puente donde requiera la asignación de VLAN por dispositivo. Establezca la VLAN del SSID predeterminada en Client IP and VLAN, luego habilite la anulación de RADIUS documentada para que un Access-Accept pueda reemplazar esa etiqueta de VLAN predeterminada. Si también requiere políticas de firewall, modelado de tráfico u otras políticas del dashboard, cree una política de grupo del dashboard coincidente en Network-wide > Configure > Group Policies. La secuencia de validación de Cisco Meraki consiste en conectar un dispositivo de prueba, verificar los registros en vivo de RADIUS e inspeccionar el cliente en el dashboard. 1

Cisco Meraki no admite esta capacidad de iPSK con RADIUS en WPA3 ni en SSIDs tunelizados a un MX Concentrator. Confirme ambos aspectos antes de comenzar un proyecto piloto. 1

¿Cómo se configura HPE Aruba MPSK en Aruba Central?

Use HPE Aruba MPSK con ClearPass cuando requiera que ClearPass emita frases de contraseña y decisiones de autorización específicas para dispositivos o grupos. La ruta documentada en Aruba Central es Manage > Devices > Access Points > Config > WLANs. Agregue un SSID o edite un SSID existente, abra Security, seleccione Personal, elija MPSK-AES en la administración de claves, seleccione ClearPass Policy Manager como el servidor primario y guarde los cambios. 2 El flujo documentado es sencillo. Un dispositivo se registra y recibe una frase de contraseña. Se conecta con WPA2-PSK-AES. El AP realiza la autenticación MAC contra ClearPass. ClearPass devuelve un Access-Accept con información de autorización y el atributo específico del proveedor Aruba-MPSK-Passphrase. El AP genera la PSK y completa el intercambio de claves de cuatro vías. Una frase de contraseña incorrecta o un Access-Reject impiden la conexión. 2 No habilite manualmente la autenticación MAC en la WLAN solo porque el flujo incluye una búsqueda MAC. Aruba establece que MPSK y la autenticación MAC manual son mutuamente excluyentes. También señala que MPSK es mutuamente excluyente con la lista de denegación y los servidores RADIUS internos. Considere esas restricciones como puntos de control de revisión de diseño antes de cambiar los perfiles de producción. 2

Planifique la revocación en función de la caché. La documentación de Aruba establece que el AP almacena la frase de contraseña MPSK en una caché local para el roaming y puede omitir la autenticación MAC cuando encuentra una entrada coincidente. Por lo tanto, simplemente eliminar un registro o cambiar una política no es prueba suficiente. Su prueba de aceptación debe incluir una nueva asociación después de que el estado en caché haya dejado de permitir la credencial anterior. Utilice los documentos operativos actuales de Aruba y ClearPass para definir los procesos de borrado o vencimiento de la caché para su versión. 2

¿Cómo se generan las claves Ruckus DPSK en SmartZone?

Utilice Ruckus DPSK cuando SmartZone sea su punto de control operativo y desee que el controlador genere y revoque las claves. Primero, asegúrese de que la WLAN tenga habilitado DPSK. Luego vaya a Security > Access Control > Dynamic PSK y seleccione Generate DPSKs. Seleccione la WLAN, elija la cantidad de claves, luego ingrese o genere un nombre de usuario y una frase de contraseña. Seleccione un rol de usuario, configure el VLAN ID y elija si la clave es una DPSK de grupo. 3

Elija el tipo de DPSK con cuidado. Una clave no vinculada se vincula al primer uso, una clave de grupo puede servir a múltiples dispositivos y una clave vinculada se puede importar por dirección MAC utilizando un archivo CSV. 3

Ruckus vincula el rol de usuario seleccionado a los atributos y permisos del rol, que incluyen VLAN, UTP y restricciones de tiempo. También puede configurar el VLAN ID durante la creación de la clave. Esto le permite utilizar un SSID consistente mientras mantiene la decisión de control de acceso vinculada al registro DPSK o a su rol. 3

Para la revocación, seleccione la DPSK en la lista de Dynamic PSK y utilice Delete. Pruebe la eliminación con el mismo dispositivo utilizado para emitir la clave. Olvide la red SSID o desconéctela, luego intente una nueva conexión utilizando la clave eliminada. Registre una unión denegada como condición de aprobación. No declare el éxito basándose únicamente en la ausencia de la clave en la lista del controlador. 3

¿Cómo asigna RADIUS una clave a una VLAN o política?

RADIUS no hace que todos los proveedores funcionen de la misma manera. Este transporta la decisión de autenticación y autorización. El AP o controlador determina qué atributos devueltos admite. El RFC 4675 describe los atributos RADIUS para la asignación dinámica de VLAN en redes IEEE 802 y señala que un dispositivo de red inalámbrica puede tratar una asociación de seguridad como un puerto virtual. 6

Para Cisco Meraki, pruebe tanto la VLAN predeterminada como los resultados de invalidación de RADIUS, luego coloque la VLAN devuelta y la configuración del tronco del AP en un registro de cambios. Para Aruba, demuestre el resultado de la política de ClearPass en su propio entorno. Para Ruckus, mantenga el rol o la VLAN seleccionados durante la generación de DPSK compatibles con el diseño del switch y la puerta de enlace. 1 2 3

¿Cómo se prueba si funciona la revocación de claves?

Incluya la revocación en la primerísima implementación. Está probando la respuesta operativa ante un dispositivo local perdido, un contratista desvinculado o una clave emitida incorrectamente. La condición de éxito no es "eliminamos el registro". La condición de éxito es "el dispositivo no puede completar una nueva asociación con la clave eliminada y los registros identifican el motivo".

Comience con una prueba positiva. Conecte un dispositivo de prueba utilizando la clave emitida. Capture el evento de aceptación del controlador o RADIUS, la política de cliente asignada y el segmento de red observado por el dispositivo. Para Cisco Meraki, verifique los detalles del cliente en el Dashboard y sus registros de RADIUS. Para Ruckus, capture el registro de DPSK, el rol o la VLAN y el resultado de la asociación. Para Aruba, capture el resultado de ClearPass así como el resultado del AP. 1 2 3

Luego revoque la clave de su origen de datos real. Elimine o deniegue la asignación de RADIUS de Cisco Meraki correspondiente. Elimine el registro o la autorización de ClearPass que proporciona la decisión de MPSK de Aruba. Elimine la DPSK de Ruckus. Para UniFi PPSK, elimine la asignación de contraseña a VLAN en la configuración actual de UniFi y valídela de acuerdo con la documentación actual de UniFi antes de usar el flujo de trabajo en un entorno de producción. 1 2 3 4 Fuerce una nueva asociación. Desactive y vuelva a activar el WiFi o elimine el SSID, luego intente volver a unirse con la clave anterior. Revise los registros exactos. Para Aruba, se debe considerar el almacenamiento en caché adicional porque una MPSK almacenada en caché puede eludir una nueva búsqueda de autenticación MAC. Una nueva prueba que utiliza un estado almacenado en caché no demuestra una revocación oportuna. 2

Finalmente, pruebe una clave cercana que no esté afectada en el mismo SSID. Aún debería unirse y recibir la política prevista. Esto detecta cambios demasiado amplios en la WLAN, el registro del cliente RADIUS o los troncales de los switches. Registre el tiempo desde la revocación hasta la nueva asociación fallida. Esa medición le dice a la administración del sitio lo que el proceso de altas, bajas y cambios realmente puede prometer.

¿Qué puede salir mal y cómo se soluciona?

¿Dónde encaja iPSK en el diseño de WiFi multiinquilino?

iPSK es un patrón de control de acceso, no un modelo operativo de WiFi completo. Encaja en el WiFi multiinquilino donde los residentes, los sistemas del edificio y los dispositivos del personal requieren diferentes decisiones de acceso. Combine esto con Guest WiFi para visitantes. Para decisiones de contratos de construcción, consulte Bulk internet agreement vs managed WiFi: which model fits your building.

Este patrón se aplica en Hospitality, Retail, Transport y Healthcare. Purple puede ofrecer su overlay de nube agnóstico de hardware en infraestructura Cisco Meraki, HPE Aruba, Ruckus o Ubiquiti UniFi. Consulte Guest WiFi Management: Smart Authentication & Segmentation y Cloud Wifi Management: Secure Enterprise Connectivity 2026 para obtener un contexto más amplio.

Ejemplo detallado: Dispositivos de hotel en la habitación y operaciones del edificio

Un hotel de 200 habitaciones requiere un SSID operativo para los dispositivos de las habitaciones y un segmento operativo de edificio independiente, sin necesidad de crear un SSID distinto para cada categoría de dispositivo. Los arquitectos de red seleccionan Cisco Meraki iPSK con RADIUS en modo puente (bridge mode). El diseño RADIUS contiene un registro de clave y la decisión de VLAN deseada para cada categoría de dispositivo. El SSID tiene una VLAN predeterminada y solo las respuestas RADIUS definidas pueden anularla. 1

El conjunto de aceptación medible es discreto. Un dispositivo de prueba de habitación debe conectarse con su clave emitida y recibir el segmento de dispositivo de habitación. Un dispositivo de operaciones de edificio debe recibir el segmento de operaciones. Una clave eliminada del almacén RADIUS debe fallar en una nueva asociación. Otra clave válida aún debe poder conectarse. Esto demuestra que los procesos de acceso, segmentación y revocación funcionan de manera conjunta y no como demostraciones aisladas.

Ejemplo detallado: Operaciones de estadios y dispositivos para eventos temporales

Un estadio utiliza Ruckus SmartZone para equipos de eventos temporales que requieren acceso controlado durante la configuración. Los ingenieros generan DPSK no vinculadas para entregas de un solo dispositivo y DPSK grupales controladas de forma independiente para equipos compartidos. SmartZone contiene opciones claras de rol o VLAN para cada clave. 3

El resultado medible es la matriz de unión. Una clave que se vincula después del primer uso no debe otorgar acceso a un segundo dispositivo no planificado. Una clave grupal debe dirigir a cada dispositivo autorizado a su VLAN correspondiente. Una vez que concluye el evento, la eliminación de la clave debe evitar una nueva asociación por parte del dispositivo de prueba original. Esto proporciona a las operaciones del recinto un control de emisión y revocación repetible sin la saturación de SSID.

Preguntas frecuentes

¿Puedo implementar iPSK en los puntos de acceso Cisco Meraki existentes?

Sí, Cisco Meraki documenta iPSK con RADIUS en su configuración de control de acceso inalámbrico, sujeto a los límites de funciones establecidos. Usted configura el SSID, los servidores RADIUS y las anulaciones de VLAN en modo puente donde sea necesario en el Dashboard. Asegúrese de que el SSID no esté tunelizado a un MX Concentrator y no planifique WPA3 con el flujo de trabajo documentado de iPSK con RADIUS. 1

¿Se requiere ClearPass para HPE Aruba Central MPSK?

Sí, el flujo de trabajo de HPE Aruba Central MPSK indicado selecciona ClearPass Policy Manager como el servidor principal. ClearPass proporciona contraseñas específicas de dispositivo o de grupo y devuelve información de autorización Access-Accept documentada. Verifique las combinaciones excluidas por Aruba antes de la implementación, específicamente la autenticación MAC manual, la lista de denegación y los servidores RADIUS internos. 2

¿Puede Ruckus DPSK colocar un dispositivo en una VLAN separada?

Sí, Ruckus SmartZone le permite seleccionar un ID de VLAN al generar una DPSK y le permite asignar un rol de usuario cuyas autorizaciones incluyen una VLAN. Aún debe asegurarse de que la WLAN, los enlaces ascendentes de los AP, los switches y los gateways admitan ese segmento. Cree y pruebe una clave para cada resultado de política deseado antes de emitir claves a escala en el sitio. 3

¿Son lo mismo el PSK privado de Ubiquiti UniFi y las VLAN asignadas por RADIUS?

No, UniFi describe PPSK y las VLAN asignadas por RADIUS como opciones independientes. PPSK asocia contraseñas de un SSID compartido a una VLAN. Las VLAN asignadas por RADIUS utilizan perfiles únicos y requieren WPA2 Enterprise o WPA3 Enterprise. UniFi PPSK es solo WPA2 y no funciona en la banda de 6 GHz. 4

¿Cuánto esfuerzo se requiere para una implementación de iPSK?

Un piloto requiere un SSID definido, VLAN de destino, una fuente de control de acceso, conectividad de AP a RADIUS en las ubicaciones relevantes y una prueba de revocación. El esfuerzo escala con el número de propietarios de claves y los resultados de las políticas, no con el número de SSIDs. Comience con dos políticas y unos pocos dispositivos, luego documente los pasos de emisión, soporte y baja antes de una implementación más amplia.

¿Puede iPSK ayudar con el cumplimiento de GDPR o PCI-DSS?

iPSK puede respaldar el diseño de segmentación y control de acceso, pero no certifica el cumplimiento. El Artículo 32 de GDPR exige medidas de seguridad técnicas y organizativas adecuadas. PCI-DSS proporciona requisitos técnicos y operativos para proteger los datos de las cuentas. Evalúe sus flujos de datos reales, registro, retención, derechos de acceso y entorno de pago con su responsable de cumplimiento correspondiente. 7 8

¿Qué debo probar antes de emitir claves a residentes o personal?

Pruebe una conexión permitida, la VLAN o el resultado de política esperado, una conexión denegada con una clave eliminada y una clave no afectada en el mismo SSID. Capture la evidencia del controlador y de RADIUS o ClearPass para cada prueba. Las implementaciones de Aruba también deben considerar la caché MPSK documentada, ya que una contraseña almacenada en caché puede alterar lo que se demuestra en un reintento inmediato. 1 2 3

Referencias