Diseño de una arquitectura WiFi multi-tenant para MDU

Diseño de una arquitectura WiFi multi-inquilino para MDU — Un informe técnico de Purple. Bienvenido a la serie de informes técnicos de Purple. Hoy nos adentraremos en la arquitectura que sustenta algunas de las implementaciones de WiFi más complejas que encontrará en entornos empresariales: WiFi multi-inquilino para edificios de viviendas múltiples (MDU) y de uso mixto. Ya sea que sea responsable de un hotel de 300 habitaciones donde los huéspedes, el personal y los sistemas de gestión del edificio comparten la misma infraestructura física, un complejo mixto de oficinas y comercios, o un bloque de alojamiento estudiantil con cientos de inquilinos independientes, el desafío es fundamentalmente el mismo: ¿cómo ofrecer conectividad confiable, segura y aislada a múltiples partes independientes a través de una única red física compartida? Este no es un ejercicio teórico. Las decisiones que tome en la etapa de arquitectura determinarán directamente su postura de seguridad, su exposición al cumplimiento bajo GDPR y PCI DSS y, francamente, si su mesa de soporte se inundará de quejas seis meses después de la puesta en marcha. Así que entremos en materia. La base de cualquier arquitectura WiFi multi-inquilino es la segmentación de red, y el mecanismo principal para lograr esa segmentación es el etiquetado VLAN, definido bajo IEEE 802.1Q. El concepto es sencillo: se asigna cada inquilino, o cada clase de tráfico, a una LAN virtual distinta. El tráfico en la VLAN 10 no puede llegar al tráfico en la VLAN 20 a menos que lo permita explícitamente a través de una política de enrutamiento o firewall. Ese aislamiento lógico es su primera línea de defensa. Pero aquí es donde los arquitectos suelen cometer su primer error: combinan la segmentación de VLAN con la seguridad. Las VLAN proporcionan aislamiento, no seguridad. Aún necesita políticas de firewall entre las VLAN, aún necesita listas de control de acceso y aún necesita pensar detenidamente qué enrutamiento inter-VLAN permite. Un puerto troncal mal configurado puede colapsar todo su modelo de segmentación en segundos. Ahora, hablemos de la capa física. En un entorno MDU, normalmente se tiene una infraestructura física compartida (cableado, estructura de switches y puntos de acceso) que da servicio a múltiples inquilinos. Los propios puntos de acceso transmiten múltiples SSID, cada uno asignado a una VLAN diferente. De este modo, el Inquilino A se conecta a su SSID, su tráfico se etiqueta con la VLAN 10 en el AP, atraviesa la estructura de switches compartida en un puerto troncal y llega a la capa de distribución donde se enruta a la subred aislada del Inquilino A. El tráfico del Inquilino B sigue la misma ruta física pero está completamente aislado en la capa 2. Aquí es donde la elección de la plataforma de puntos de acceso importa enormemente. Necesita APs que admitan múltiples asignaciones de SSID a VLAN, que puedan manejar la gestión de radiofrecuencia en potencialmente docenas de unidades en proximidad cercana y que se integren con un controlador centralizado o una plataforma de gestión en la nube. El controlador es fundamental: es lo que le brinda la capacidad de aplicar cambios de políticas, monitorear el rendimiento por inquilino y responder a incidentes sin tener que tocar los APs individuales. En el lado de la autenticación, el estándar actual para implementaciones multi-tenant de nivel empresarial es IEEE 802.1X con autenticación RADIUS. Cada tenant se autentica contra su propio servidor RADIUS, o contra una infraestructura RADIUS compartida con aplicación de políticas por tenant. WPA3-Enterprise es ahora el estándar de cifrado recomendado: proporciona un modo de seguridad de 192 bits para entornos de alta sensibilidad y elimina las vulnerabilidades asociadas con el saludo de cuatro vías de WPA2. Para los segmentos de WiFi de invitados —y en un contexto de MDU, casi siempre tendrás al menos uno— normalmente se busca un modelo de Captive Portal. El invitado se conecta a un SSID abierto o WPA2-Personal, es redirigido a una página de bienvenida para autenticación o aceptación de términos, y luego se le concede acceso exclusivo a Internet en una VLAN aislada. Fundamentalmente, esa VLAN de invitados no debe tener ruta hacia ninguna VLAN de tenant. Cero. Eso no es negociable tanto desde la perspectiva de seguridad como de GDPR. Hablemos por un momento del entorno de radiofrecuencia, porque aquí es donde las implementaciones de MDU se vuelven verdaderamente complejas. Cuando tienes múltiples tenants en unidades adyacentes —piensa en el pasillo de un hotel con habitaciones a ambos lados, o en un centro comercial con tiendas que comparten paredes— tienes un entorno de RF de alta densidad. La interferencia de cocanal es tu enemiga. Necesitas un ejercicio de planificación de RF adecuado antes de la implementación: un estudio de sitio que mapee la propagación de la señal, identifique las fuentes de interferencia e informe tu estrategia de asignación de canales. La banda de 2.4 GHz te ofrece tres canales que no se superponen en la mayoría de los dominios regulatorios: los canales 1, 6 y 11. La banda de 5 GHz te ofrece significativamente más, razón por la cual las implementaciones modernas empujan a los clientes a 5 GHz siempre que sea posible. Wi-Fi 6 y Wi-Fi 6E extienden esto aún más hacia la banda de 6 GHz, brindándote un espectro limpio y prácticamente libre de interferencias de dispositivos heredados. Para nuevas implementaciones de MDU en 2025 y más allá, especificar APs con capacidad Wi-Fi 6E es la decisión correcta: el margen de espectro adicional rinde frutos en entornos densos. Un patrón de arquitectura que está ganando un terreno significativo en grandes implementaciones de MDU es el uso de una superposición de redes definidas por software, específicamente enfoques SD-WAN o SD-LAN donde las políticas de los tenants se definen de forma centralizada y se envían al borde. Esto desacopla la capa de políticas de la infraestructura física, lo que significa que puedes incorporar a un nuevo tenant, modificar su asignación de ancho de banda o revocar su acceso sin tocar una sola línea de comandos del switch. Para los operadores de recintos que gestionan decenas o cientos de tenants, esa eficiencia operativa es transformadora. IoT es la otra dimensión que no se puede ignorar. En una MDU moderna —ya sea un hotel, un complejo comercial o un bloque residencial— se tienen sistemas de gestión de edificios, controladores de HVAC, iluminación inteligente, control de acceso, CCTV y una gama cada vez mayor de otros dispositivos conectados. Estos deben estar en su propia VLAN aislada, completamente separados tanto del tráfico de inquilinos como del tráfico de invitados. Los dispositivos IoT son notoriamente difíciles de parchar y representan una superficie de ataque significativa. Segméntelos, monitoréelos y aplique un filtrado de salida estricto para que solo puedan comunicarse con sus plataformas de gestión designadas. Bien, pasemos a la práctica. Así es como abordaría un despliegue de MDU desde cero. Comience con su diseño lógico antes de tocar una sola pieza de hardware. Planifique su número de inquilinos, sus clases de tráfico —gestión, corporativo, invitados, IoT, pagos— y asigne las VLAN en consecuencia. Documente su esquema de direccionamiento IP. Defina su política de enrutamiento inter-VLAN: qué puede comunicarse con qué y qué está absolutamente prohibido. Luego, realice su planificación de RF. Encargue un estudio de cobertura del sitio adecuado. No confíe en los mapas de cobertura de los proveedores; en el mejor de los casos, son optimistas. Necesita mediciones de señal reales en el espacio físico, que tengan en cuenta los materiales de las paredes, la construcción de los pisos y el entorno de RF de los edificios vecinos. Al especificar el hardware, priorice las plataformas que admitan la gestión centralizada en la nube. Los costos operativos de gestionar un parque de AP distribuidos sin un controlador son insostenibles a escala. Busque plataformas que le ofrezcan políticas de ancho de banda por SSID, informes por inquilino e integración con su infraestructura RADIUS. Sobre los errores comunes: el fallo más habitual que veo es una configuración insuficiente de los puertos troncales. Los arquitectos diseñan un esquema de VLAN hermoso y luego olvidan permitir explícitamente las VLAN correspondientes en cada enlace troncal de la ruta. El tráfico se cae silenciosamente, los inquilinos se quejan y el equipo de soporte pasa días rastreando el problema. Documente sus configuraciones de troncales meticulosamente y valídelas durante la puesta en marcha. El segundo error común es la proliferación de SSID. Cada SSID que transmite consume tiempo de aire para las tramas de baliza (beacons). En un entorno denso, transmitir ocho o diez SSIDs por AP degrada el rendimiento para todos. Mantenga su número de SSID al mínimo necesario; normalmente no más de cuatro por radio. Utilice la asignación dinámica de VLAN a través de atributos RADIUS en lugar de SSIDs separados para dar servicio a múltiples inquilinos desde un solo SSID. El tercer error común es descuidar el plano de gestión. Su VLAN de gestión —aquella en la que se comunican sus AP, switches y controladores— debe estar completamente aislada de todas las VLAN de inquilinos e invitados. Si un inquilino puede acceder a su plano de gestión, tiene una vulnerabilidad de seguridad crítica. Utilice la gestión fuera de banda (out-of-band) siempre que sea posible y aplique ACL estrictas al tráfico de gestión. Ahora permítame repasar algunas preguntas que surgen constantemente en estos despliegues. ¿Cuántos inquilinos puede soportar un solo AP? En términos prácticos, la mayoría de los AP empresariales pueden manejar de 20 a 30 clientes activos concurrentes por radio antes de que el rendimiento disminuya. En un MDU denso, planifique para un AP por cada 15 a 20 dispositivos activos, no por unidad física. ¿Necesito un AP independiente por inquilino? No, ese es precisamente el propósito de la multi-tenancy basada en VLAN. Varios inquilinos comparten el mismo AP, y el aislamiento del tráfico se aplica en la capa de red. ¿Cuál es la asignación de ancho de banda adecuada por inquilino? No hay una respuesta universal, pero un punto de partida común es de 10 a 25 megabits por segundo garantizados con capacidad de ráfaga hasta la capacidad de enlace ascendente disponible. Utilice políticas de QoS para aplicar esto y evitar que un solo inquilino sature el enlace ascendente compartido. ¿Cómo manejo a un inquilino que necesita su propio firewall? Proporcióneles una VLAN dedicada y un punto de entrega enrutado. Ellos conectan su propio CPE o firewall a ese punto de entrega, y todo lo que esté detrás de este es su responsabilidad. Para resumir: una arquitectura de WiFi multi-inquilino bien diseñada para un MDU se basa en cuatro pilares. Primero, una segmentación rigurosa de VLAN con políticas de firewall aplicadas entre segmentos. Segundo, una gestión centralizada basada en controlador que le brinda visibilidad operativa y control de políticas a escala. Tercero, un ejercicio adecuado de planificación de RF que tenga en cuenta el entorno físico y la densidad del despliegue. Y cuarto, un modelo de seguridad que aborde la autenticación, el cifrado, el aislamiento de IoT y los requisitos de cumplimiento normativo desde el primer día. Las organizaciones que hacen esto bien ven resultados medibles: menor sobrecarga de soporte, incorporación de inquilinos más rápida, una postura de cumplimiento demostrable para las auditorías y la capacidad de monetizar la conectividad como un servicio en lugar de tratarla como un centro de costos. Si está planeando un despliegue de MDU y desea explorar cómo la plataforma de Purple puede proporcionar la capa de analítica, gestión de WiFi de invitados y reportes a nivel de inquilino sobre su infraestructura de red, los recursos vinculados en la guía son un buen punto de partida. Gracias por escuchar. Hasta la próxima.