Configuración de la redirección de Captive Portal en controladores de red empresariales

Le damos la bienvenida a la Sesión Técnica de Purple. Soy su anfitrión y, en los próximos diez minutos, entraremos de lleno en uno de los temas más buscados y menos documentados en el sector de WiFi empresarial: la configuración de la redirección de Captive Portal en controladores de red. Si alguna vez ha buscado "configurar controlador portal cautivo" y no ha encontrado nada, esta es la sesión que necesitaba. Abordaremos el panorama completo: la arquitectura técnica, los pasos de configuración controlador por controlador, los requisitos de cumplimiento y los errores comunes del mundo real que dificultan el trabajo incluso de los equipos de red más experimentados. Comencemos. Un Captive Portal es el mecanismo que intercepta la primera solicitud HTTP o HTTPS de un dispositivo de invitado después de conectarse a su red WiFi, y lo redirige a una página de inicio (splash page) de la marca antes de otorgar acceso a Internet. Esa página de inicio puede solicitar un inicio de sesión social, el envío de un formulario, una simple aceptación de términos con un clic o una verificación de credenciales respaldada por RADIUS. La redirección en sí se gestiona a nivel de controlador, no en el punto de acceso ni en el firewall. El controlador intercepta el tráfico del cliente no autenticado, aplica una lista de control de acceso de preautenticación (lo que llamamos un walled garden) y dirige el navegador del cliente a la URL de su portal. ¿Por qué es esto importante a nivel comercial? Por tres razones. En primer lugar, por cumplimiento de normativas. Bajo el GDPR, tiene la obligación de obtener un consentimiento explícito e informado antes de recopilar datos personales de los visitantes. Un Captive Portal correctamente configurado es su mecanismo de consentimiento. Sin él, estará recopilando datos sin una base legal, lo que representa un riesgo de incumplimiento normativo. En segundo lugar, por seguridad. Un SSID abierto y sin autenticación es una vulnerabilidad. La redirección de Captive Portal, combinada con la segmentación de VLAN y un servidor RADIUS, le brinda control y trazabilidad por sesión. Sabrá quién se conectó, cuándo y desde qué dispositivo. En tercer lugar, por inteligencia de negocios. Cada sesión autenticada es un punto de datos propios (first-party data). Purple procesa 440 millones de inicios de sesión al año en 80,000 establecimientos. Esos datos (tiempo de permanencia, frecuencia de visitas y señales demográficas) solo están disponibles si su Captive Portal está correctamente configurado para capturarlos y transmitirlos. Ahora, permítame guiarle por el flujo de redirección, paso a paso. Paso uno: un dispositivo de invitado se asocia a su SSID de invitados. El controlador le asigna una dirección IP mediante DHCP, pero lo coloca en un estado restringido de preautenticación. Se bloquea todo el tráfico, excepto el DNS y los dominios del walled garden que haya permitido explícitamente. Paso dos: el invitado abre un navegador. Su solicitud HTTP llega al controlador. El controlador la intercepta y emite una redirección 302 a la URL de su portal. Este es el mecanismo de redirección principal. Paso tres: el navegador del invitado carga su página de inicio, alojada en el propio controlador o, de manera más común en implementaciones empresariales, en una plataforma en la nube externa como Purple. Paso cuatro: el usuario se autentica, ya sea a través de inicio de sesión de redes sociales, formulario o credenciales. El portal envía una señal de autorización de vuelta al controlador, normalmente a través de un mensaje RADIUS Access-Accept o una omisión de autorización MAC. Paso cinco: el controlador pasa al cliente de la VLAN de preautenticación a la VLAN de postautenticación, elimina la regla de redirección y concede acceso a internet. Este flujo de cinco pasos es constante en todas las principales plataformas de controladores. Lo que varía es cómo se configura cada paso en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, entre otros. Repasemos las principales plataformas. Cisco Meraki. Meraki utiliza una página de inicio (splash page) personalizada que se configura por completo a través del panel de Meraki (Meraki Dashboard); no hay CLI. Diríjase a Wireless, luego a Access Control, seleccione su SSID de invitados, configure la splash page como "Sign-on with my RADIUS server" o "Click-through", y luego introduzca la URL de su portal externo en el campo Custom Splash URL. El walled garden se configura en la sección Advanced Splash Settings; aquí se agregan las direcciones IP del servidor de su portal para que el invitado pueda acceder a la splash page antes de la autenticación. Los detalles del servidor RADIUS se ingresan en la sección RADIUS: autenticación en el puerto 1812, contabilidad en el puerto 1813. HPE Aruba. En ArubaOS, se configura un perfil de Captive Portal en la sección AAA, especificando la URL de inicio de sesión, el grupo de servidores que apunta a su servidor RADIUS y la URL de redirección. Luego, se aplica ese perfil a su SSID mediante el perfil de AP virtual. El rol de preautenticación (lo que Aruba denomina el rol "logon") contiene la ACL que permite DNS, DHCP y el acceso al rango de IP del servidor de su portal. Tras la autenticación, el controlador asigna el rol "authenticated", que permite el acceso total a internet. Ruckus SmartZone utiliza un tipo de WLAN Hotspot para implementaciones de Captive Portal. En la configuración de WLAN, establezca el tipo de WLAN en Hotspot, luego configure la URL del portal, el servidor RADIUS para autenticación y contabilidad, y las entradas del walled garden. La interfaz Northbound Portal Interface gestiona el flujo de autorización MAC entre el portal y el controlador. Juniper Mist utiliza un enfoque nativo de la nube. En Network, luego en WLANs, cree una WLAN de invitados y configure el tipo de portal como "External Captive Portal". Introduzca la URL de su portal y configure los detalles del servidor RADIUS. Mist envía la dirección MAC del cliente, la MAC del AP y el nombre del SSID como parámetros de URL al portal. Ubiquiti UniFi. En el UniFi Network Controller, vaya a Settings, luego a WiFi, seleccione su red de invitados y, en Advanced Options, configure la Guest Policy para habilitar el portal de hotspot. Establezca el tipo de portal en "External" e introduzca la URL de su portal. Configure el servidor RADIUS en Profiles, luego en RADIUS. El walled garden es el elemento que más comúnmente se configura de forma incorrecta en las implementaciones de Captive Portal. Si comete un error aquí, sus invitados verán un error de navegador en lugar de su splash page. El walled garden debe permitir, como mínimo: las direcciones IP o el dominio del servidor de su portal, las direcciones IP de su servidor RADIUS, la resolución DNS en el puerto 53 y DHCP en los puertos 67 y 68. Si su portal carga recursos desde una CDN (fuentes, imágenes, JavaScript), esos dominios de CDN también deben estar en el walled garden. Para las implementaciones de Purple, proporcionamos los rangos de IP y dominios específicos para incluir en la lista de permitidos durante la incorporación. El modo de falla más común es un portal que carga el marco HTML pero no renderiza las imágenes ni ejecuta JavaScript porque faltan los dominios de la CDN en el walled garden. Aquí dominan dos estándares de cumplimiento: GDPR y PCI DSS. Bajo la regulación GDPR, su Captive Portal debe presentar un mecanismo de consentimiento claro y específico antes de recopilar datos personales. Esto significa casillas de verificación independientes y sin marcar para el acceso a WiFi y el consentimiento de marketing. No puede agruparlos. El registro de consentimiento debe almacenarse y ser recuperable para fines de auditoría. La plataforma de Purple maneja esto de forma automática, almacenando los registros de consentimiento para cada sesión autenticada. Bajo PCI DSS, si su establecimiento procesa pagos con tarjeta, su red WiFi de invitados debe estar aislada de su entorno de tarjetas de pago. Esto significa una VLAN de invitados dedicada con reglas de firewall que impidan cualquier enrutamiento entre el segmento de invitados y su red POS. La versión 4.0 de PCI DSS, que se volvió obligatoria en marzo de 2024, requiere pruebas de segmentación de red al menos cada seis meses. Permítame presentarle dos escenarios concretos. Escenario uno: un hotel de 350 habitaciones que opera con Cisco Meraki. El hotel desea reemplazar un portal de acceso directo básico con una experiencia de invitado personalizada que capture direcciones de correo electrónico para su programa de lealtad. La configuración: crear un SSID de invitados dedicado en una VLAN independiente con acceso exclusivo a internet. Configurar la splash page de Meraki para que apunte a la URL del portal de Purple. Configurar la autenticación RADIUS utilizando los detalles del servidor RADIUS de Purple. Configurar el walled garden con los rangos de IP de Purple. En el panel de Purple, crear una splash page personalizada con un formulario que capture el nombre, correo electrónico y número de habitación, con casillas de verificación de consentimiento explícito de GDPR. Conectar el conector de CRM de Purple a la plataforma de marketing del hotel. Premier Inn implementó este modelo en todas sus propiedades y vio aumentos medibles en las tasas de reserva directa de los huéspedes adquiridos a través de WiFi. Escenario dos: una cadena minorista regional con 40 tiendas que utilizan HPE Aruba. El minorista necesita una experiencia de WiFi para invitados que sea consistente en todos los sitios, con analíticas de afluencia para comparar el rendimiento de las tiendas. Despliegue Aruba Central para administrar los 40 sitios desde un único panel. Configure una plantilla WLAN de invitados con un Captive Portal externo que apunte a Purple. Aplique la plantilla en todos los sitios utilizando la función de políticas de grupo de Aruba Central. En Purple, configure una única plantilla de portal que se aplique a todos los puntos de encuentro, con paneles de analíticas específicos para cada lugar. El walled garden y la configuración RADIUS se definen una sola vez en la plantilla y se propagan automáticamente. Resultado: el equipo de TI administra 40 sitios desde una sola consola. El equipo de marketing obtiene datos de afluencia por tienda, análisis del tiempo de permanencia y tasas de visitas recurrentes, todo desde un único panel de Purple. Cuatro errores comunes que veo con frecuencia. Uno: fallas en la intercepción de HTTPS. Los navegadores y sistemas operativos móviles modernos utilizan pruebas HTTPS para detectar captive portals. Si su controlador no puede interceptar el tráfico HTTPS (lo que requiere un certificado válido para el dominio de redirección), la prueba falla de forma silenciosa y el invitado no ve ninguna redirección. La solución: configure la interfaz virtual de su controlador con un certificado de confianza o utilice pruebas de solo HTTP en su SSID de invitados. Dos: fuga de DNS. Si su ACL de preautenticación permite DNS sin restricciones, los invitados pueden utilizar túneles DNS para evadir el Captive Portal por completo. Restrinja el DNS únicamente a su resolver designado. Tres: discrepancias en el tiempo de espera de la sesión. Si el tiempo de espera de la sesión del controlador es menor que la validez del token de sesión de su portal, los invitados serán redireccionados de vuelta al portal a mitad de la sesión. Alinee estos valores (normalmente 24 horas para hotelería y ocho horas para comercio minorista). Cuatro: falta de contabilidad. La contabilidad RADIUS (los mensajes Accounting-Start y Accounting-Stop) es la forma en que su portal sabe que una sesión ha finalizado. Sin la contabilidad configurada, los registros de sesión de su portal no serán precisos y sus analíticas no serán confiables. Preguntas rápidas, respuestas rápidas. ¿Puedo utilizar un portal externo con cualquier controlador? Sí, siempre que el controlador admita la redirección a un Captive Portal externo, algo que hacen todas las plataformas que hemos analizado. ¿Necesito un servidor RADIUS para ejecutar un Captive Portal? No siempre. Los portales simples de un solo clic pueden utilizar la omisión de autorización por MAC sin necesidad de un servidor RADIUS completo. Sin embargo, para portales basados en credenciales o inicio de sesión con redes sociales, RADIUS es el mecanismo estándar. ¿Funciona el Captive Portal con WPA3? Sí. WPA3 gestiona la capa de cifrado inalámbrico. El Captive Portal gestiona la capa de autenticación. Operan de forma independiente y son totalmente compatibles. ¿Cómo se integra Purple con su controlador existente? Purple actúa como el servidor de portal externo. Debe apuntar la URL de la página de inicio de su controlador al endpoint del portal de Purple, configurar el walled garden con los rangos de IP de Purple y configurar RADIUS con los detalles del servidor de Purple. La integración es el mismo proceso independientemente de si utiliza Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi. En resumen. La redirección de Captive Portal se configura a nivel de controlador, no en el punto de acceso. Los componentes principales son: la URL de la página de inicio que apunta a su portal, el walled garden que permite el acceso al servidor de su portal, RADIUS para autenticación y contabilidad, y la segmentación de VLAN para el aislamiento de la red. Los pasos de configuración varían según el proveedor, pero la arquitectura es consistente. Para fines de cumplimiento, su portal debe implementar una captura de consentimiento que cumpla con el GDPR y una segmentación de red que cumpla con PCI DSS. WPA3 es el estándar actual para el cifrado inalámbrico y debería ser su especificación base en cualquier nueva implementación. Purple se integra de forma nativa con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Con presencia en 80,000 establecimientos y 440 millones de inicios de sesión en 2024, la plataforma es agnóstica al hardware por diseño: su elección de controlador no limita su capacidad para capturar datos de invitados de primera mano ni para realizar análisis. Su siguiente paso: revise la configuración actual de su controlador comparándola con la lista de verificación de walled garden y contabilidad RADIUS en esta guía. Si está implementando una nueva red WiFi de invitados, comience con los pasos de configuración específicos del proveedor para la plataforma de su controlador y conecte Purple como su portal externo. Gracias por su atención. Este ha sido el Informe Técnico de Purple.