Cómo mejorar la velocidad de WiFi sin comprar nuevos puntos de acceso

Cómo mejorar la velocidad de WiFi sin comprar nuevos puntos de acceso Una sesión informativa técnica de Purple - Aproximadamente 10 minutos --- INTRODUCCIÓN Y CONTEXTO (aprox. 1 minuto) --- Le damos la bienvenida a la serie de sesiones informativas técnicas de Purple. Soy su anfitrión, y hoy abordaremos una de las conversaciones más comunes que tengo con directores de TI y CTO en recintos empresariales: el problema de la capacidad de WiFi. Imagine que tiene un hotel, una cadena de tiendas, un centro de conferencias o un estadio. Sus invitados y el personal se quejan de que el WiFi es lento. Su primer instinto - y, francamente, el instinto con el que cuenta su proveedor de infraestructura para hacer negocio - es comprar más puntos de acceso. Hardware nuevo, una implementación más grande, una factura más elevada. Pero aquí está el detalle. En la mayoría de los casos que he analizado, el problema no son los puntos de acceso en absoluto. El problema es lo que se transmite a través de ellos. Y ese es un problema de software, lo que significa que la solución está en el software. Hoy voy a explicarle exactamente cómo el filtrado de DNS y la optimización de la capa de software pueden recuperar el treinta por ciento o más de su ancho de banda actual, sin tocar una sola pieza de hardware. Analizaremos la arquitectura técnica, los escenarios de implementación en el mundo real y el caso de negocio que puede presentarle a su CFO. Comencemos. --- ANÁLISIS TÉCNICO DETALLADO (aprox. 5 minutos) --- Primero, establezcamos el problema principal. Cuando analiza qué es lo que realmente consume el ancho de banda en una red WiFi de invitados empresarial típica, el desglose resulta realmente sorprendente para la mayoría de las personas. Las redes publicitarias y los rastreadores de terceros (la telemetría en segundo plano que cada aplicación en cada dispositivo envía constantemente) representan entre el veinticinco y el cuarenta por ciento del volumen de consultas DNS en una red de invitados típica. Estas no son solicitudes que sus invitados realicen conscientemente. Son automáticas. Cada vez que alguien abre una aplicación de noticias, una plataforma de redes sociales o una aplicación de compras en su teléfono, esa aplicación inicia docenas de búsquedas de DNS hacia servidores de publicidad, plataformas de análisis y píxeles de seguimiento. Ninguno de esos datos aporta valor a sus invitados. Y todos consumen su capacidad de enlace de subida. Además de eso, tiene el tráfico de malware y botnets. Los dispositivos comprometidos (y en una gran red de invitados, siempre habrá dispositivos comprometidos) intentan constantemente comunicarse con servidores de comando y control. Ese tráfico no solo desperdicia ancho de banda, sino que representa una responsabilidad de cumplimiento y seguridad. Así que, antes de que un solo byte de tráfico legítimo (una videollamada, una página web o una transacción de pago) llegue a su enlace de subida, ya habrá consumido de un tercio a la mitad de su capacidad disponible en mero ruido. Ahora bien, el filtrado de DNS opera en la capa de resolución. Cada solicitud de internet comienza con una consulta DNS, una búsqueda que traduce un nombre de dominio en una dirección IP. El filtrado de DNS intercepta esa consulta antes de que llegue a su enlace de subida. Si el dominio se resuelve en una red publicitaria, un host de malware conocido o una categoría restringida por políticas, la consulta se bloquea en la capa DNS. El dispositivo obtiene una respuesta nula. No se transfieren datos. No se consume ancho de banda. Esto es fundamentalmente diferente de un firewall o un proxy. Un firewall inspecciona los paquetes después de que ya han llegado. Un proxy intercepta el tráfico a mitad del flujo. El filtrado de DNS detiene la solicitud antes de que comience, razón por la cual la recuperación de ancho de banda es tan significativa. No está limpiando el tráfico que ya llegó; está evitando que se solicite en primer lugar. Desde el punto de vista de la arquitectura, la implementación es sencilla. Configura su servidor DHCP para que apunte los dispositivos de los clientes a su solucionador de filtrado de DNS en lugar del DNS predeterminado de su ISP. Eso suele ser un cambio de dos líneas en su configuración de DHCP. Las reglas de filtrado se administran de forma centralizada - ya sea en la nube o de manera local, según sus requisitos de cumplimiento - y se aplican de manera uniforme en todos los dispositivos conectados, independientemente del punto de acceso con el que estén asociados. Este es un punto crítico para los operadores de múltiples sitios. Una cadena minorista con doscientas tiendas, o un grupo hotelero con cincuenta propiedades, puede implementar una política de filtrado de DNS consistente en todo el patrimonio desde una sola consola de administración. Sin visitas de ingeniería en el sitio. Sin configuración por sitio. Los cambios de política se propagan en minutos. Ahora, hay una consideración técnica importante aquí que quiero señalar para los arquitectos presentes en la sala. La aparición de DNS sobre HTTPS - DoH - crea un desafío para el filtrado de DNS tradicional. Cuando un dispositivo utiliza DoH, cifra sus consultas DNS y las envía directamente a un solucionador específico - generalmente uno operado por un proveedor de navegador - omitiendo por completo su DNS a nivel de red. Esto significa que se evaden sus reglas de filtrado. La solución es aplicar la interceptación de DoH a nivel de red. Esto implica identificar el tráfico DoH - que se ejecuta en el puerto 443 hacia rangos de IP de solucionadores conocidos - y bloquearlo o redirigirlo a su propio solucionador de filtrado con capacidad DoH. Esta es una configuración más avanzada, pero es esencial para mantener la eficacia del filtrado en las redes modernas donde Chrome, Firefox e iOS utilizan de forma predeterminada, cada vez más, el DNS cifrado. Purple ha publicado una guía detallada sobre las implicaciones de DNS sobre HTTPS para el filtrado de WiFi público, la cual recomiendo leer junto con este informe. Más allá del filtrado de DNS, existen varias optimizaciones complementarias a nivel de software que vale la pena implementar en paralelo. La orientación de banda (band steering) es una de las funciones más determinantes. La mayoría de los puntos de acceso modernos admiten las bandas de 2.4 gigahertz y 5 gigahertz. La banda de 5 gigahertz ofrece un rendimiento significativamente mayor pero un menor alcance. Sin una orientación de banda activa, los dispositivos suelen asociarse a la banda de 2.4 gigahertz por defecto - especialmente los dispositivos más antiguos y el hardware IoT - lo que genera congestión en una banda que ya está saturada con tráfico heredado. Habilitar la orientación de banda en su controlador inalámbrico impulsa a los dispositivos compatibles a 5 gigahertz, liberando la de 2.4 gigahertz para los dispositivos que realmente la necesitan. La consolidación de SSID es otra mejora rápida. Cada SSID que transmite consume tiempo de aire a través de tramas de baliza (beacon frames), un tráfico de gestión que todos los dispositivos dentro del alcance tienen que procesar. Un establecimiento que opera ocho o diez SSID para diferentes departamentos, contratistas y niveles de invitados está perdiendo un porcentaje medible de tiempo de aire en gastos de gestión. Consolidar a tres o cuatro SSID - invitados, personal, IoT y administración - y utilizar el etiquetado de VLAN para la segmentación en lugar de SSID separados puede recuperar ese tiempo de aire de forma inmediata. La aplicación de políticas de QoS - Calidad de Servicio - es la tercera herramienta clave. Sin QoS, un solo invitado que transmita video en 4K puede saturar una celda de radio, degradando la experiencia de todos los demás dispositivos en ese punto de acceso. Implementar la limitación de ancho de banda por cliente y la priorización del tráfico - elevando el tráfico de transacciones de VoIP y terminales de punto de venta por encima de las transmisiones masivas - garantiza que el tráfico crítico para el negocio esté protegido incluso bajo una carga máxima. Por último, la planeación de canales y la optimización de la potencia de transmisión. Con frecuencia, estos parámetros se configuran una sola vez durante el despliegue inicial y nunca se vuelven a revisar. A medida que el entorno de radiofrecuencia cambia (nuevos edificios, nuevas fuentes de interferencia, cambios en la densidad de dispositivos), sus asignaciones de canales pueden estar generando interferencias de canal adyacente que degradan significativamente el rendimiento. Realizar un estudio pasivo de radiofrecuencia y volver a optimizar las asignaciones de canales es una intervención sin costo que puede generar mejoras sustanciales en el rendimiento. - RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES (aprox. 2 minutos) - Permítame ofrecerle una secuencia de despliegue práctica para un establecimiento de tamaño mediano, por ejemplo, un hotel de doscientas habitaciones o un centro de distribución minorista regional. Comience con una medición de referencia. Antes de cambiar cualquier cosa, configure su red para registrar el volumen de consultas DNS por categoría, el consumo de ancho de banda por cliente y la utilización del enlace de subida según la hora del día. Esto le dará el estado previo para el cálculo de su ROI. La mayoría de las plataformas empresariales de análisis de WiFi muestran estos datos de forma nativa; la plataforma de análisis de Purple, por ejemplo, proporciona visibilidad a nivel de dispositivo que facilita enormemente este ejercicio de referencia. Paso dos: implemente el filtrado DNS en modo de monitoreo. La mayoría de las soluciones de filtrado DNS empresariales admiten un modo pasivo donde las consultas se registran y categorizan pero no se bloquean. Ejecute esto de cuarenta y ocho a setenta y dos horas para comprender la composición de su tráfico antes de aplicar cualquier política. Esto evita que los falsos positivos interrumpan el tráfico legítimo el primer día. Paso tres: habilite el bloqueo por fases. Comience con las categorías de mayor confianza: dominios de malware conocidos, comando y control de botnets y redes de publicidad. Estos son bloqueos de bajo riesgo con un alto impacto en el ancho de banda. Revise los registros diariamente durante la primera semana para capturar cualquier bloqueo inesperado. Paso cuatro: agregue capas de QoS y band steering. Una vez que el filtrado DNS sea estable, implemente la limitación de velocidad por cliente y el band steering. Pruebe estos cambios durante las horas de menor actividad y valide que las terminales de punto de venta (POS), los teléfonos VoIP y otros dispositivos críticos para el negocio estén funcionando correctamente. Paso cinco: documente y mida. Después de treinta días, obtenga sus métricas de utilización de ancho de banda y compárelas con su línea base. En la mayoría de las implementaciones, verá una reducción del veinte al cuarenta por ciento en la utilización del enlace de subida. Esa es su cifra de ROI. Ahora, los errores comunes. El más común que veo es el bloqueo excesivo. Si habilita categorías agresivas de filtrado de contenido sin revisar primero los registros, bloqueará servicios legítimos. El almacenamiento en la nube, las aplicaciones SaaS empresariales e incluso algunos dominios de procesamiento de pagos pueden aparecer en bloqueos de categorías amplias. Comience siempre de forma conservadora y expándase. El segundo error común es ignorar la omisión de DoH. Si implementa el filtrado DNS sin abordar el DoH, verá que la eficacia de su filtrado disminuye con el tiempo a medida que más dispositivos se configuran de manera predeterminada para usar DNS cifrado. Aborde esto a nivel de política de red desde el primer día. El tercer error común es no segmentar el tráfico de IoT. Los dispositivos de IoT - como pantallas inteligentes, sistemas de gestión de edificios, señalización digital - a menudo generan un tráfico de DNS significativo hacia los servidores de telemetría del fabricante. Si no está segmentando el IoT en una VLAN separada con su propia política de filtrado, podría bloquear inadvertidamente la funcionalidad del dispositivo al endurecer sus reglas de filtrado. --- PREGUNTAS Y RESPUESTAS RÁPIDAS (aprox. 1 minuto) --- Permítame repasar las preguntas que recibo con más frecuencia. "¿Afectará el filtrado DNS la experiencia de los invitados?" En la práctica, los invitados nunca lo notan. Los dominios que se bloquean son telemetría en segundo plano, no contenido que estén solicitando activamente. En todo caso, su experiencia mejora porque hay más ancho de banda disponible para las cosas que realmente intentan hacer. "¿Requiere esto cambios en nuestros puntos de acceso?" No. El filtrado DNS se configura en la capa de DHCP y del resolutor de DNS. Sus puntos de acceso no se modifican. "¿Esto cumple con el GDPR?" El filtrado de DNS registra las consultas de dominio, no el contenido. No se está realizando una inspección profunda de paquetes. Siempre que cuente con políticas de retención de datos adecuadas y su aviso de privacidad cubra el monitoreo de red - lo cual debería hacer de todos modos - el filtrado de DNS es totalmente compatible con el GDPR. Para implementaciones en el sector público y de salud, a menudo es un requisito de cumplimiento más que una opción. "¿Qué pasa con PCI-DSS?" El filtrado de DNS de hecho fortalece su postura de PCI-DSS al evitar que los entornos de datos de titulares de tarjetas se comuniquen con dominios maliciosos conocidos. Es un control positivo, no un riesgo. --- RESUMEN Y PRÓXIMOS PASOS (aprox. 1 minuto) --- Para resumir: la mayoría de los problemas de rendimiento de WiFi empresarial no son problemas de hardware. Son problemas de software - específicamente, la ausencia de una gestión inteligente del tráfico en la capa de DNS. Al implementar el filtrado de DNS, puede recuperar el treinta por ciento o más de su ancho de banda existente, extender la vida útil operativa de su infraestructura de puntos de acceso actual de dos a cuatro años y, al mismo tiempo, mejorar su postura de seguridad y cumplimiento. El tiempo de implementación se mide en horas, no en meses. El gasto de capital es una fracción de lo que costaría una actualización de hardware. Los próximos pasos prácticos son sencillos. Realice una auditoría de tráfico de DNS en su red esta semana - la mayoría de las plataformas empresariales le proporcionarán estos datos sin necesidad de herramientas adicionales. Identifique sus categorías de dominio que más ancho de banda consumen. Luego, evalúe una solución de filtrado de DNS frente a esas categorías. Si opera una red WiFi para invitados a gran escala - hotelería, retail, eventos, sector público - la plataforma de Purple integra el filtrado de DNS con la gestión de WiFi para invitados y la analítica en una sola implementación. Eso significa que obtiene la recuperación de ancho de banda, los controles de cumplimiento y la información de los datos de los invitados desde una sola plataforma en lugar de tres. Gracias por escuchar el Informe Técnico de Purple. La guía de implementación completa, los diagramas de arquitectura y los ejemplos prácticos están disponibles en la guía escrita complementaria. Hasta la próxima.