Diseño de redes WiFi para edificios de oficinas multiinquilino

INFORME TÉCNICO DE PURPLE Diseño de redes WiFi para edificios de oficinas multiinquilino Transcripción completa [SECCIÓN 1: INTRODUCCIÓN Y CONTEXTO - 1 MINUTO] Bienvenido al Informe Técnico de Purple. Soy Arquitecto de Soluciones Senior en Purple, y hoy nos adentraremos en uno de los escenarios de implementación técnicamente más exigentes en redes empresariales: el diseño de redes WiFi para edificios de oficinas multiinquilino. Ya sea que sea responsable de una torre comercial de clase A con quince inquilinos independientes, un desarrollo de uso mixto que combina comercio y oficinas, o un campus de coworking flexible, el desafío es fundamentalmente el mismo. Debe ofrecer conectividad confiable, segura y aislada a múltiples organizaciones independientes sobre una única red física compartida. Y debe hacerlo de una manera que cumpla con los requisitos de cumplimiento, mantenga tranquilo a su equipo de soporte y no requiera un ingeniero de tiempo completo para su mantenimiento. Entremos en la arquitectura técnica. [SECCIÓN 2: INMERSIÓN TÉCNICA - 5 MINUTOS] La base de cualquier diseño de WiFi multiinquilino es la segmentación de red. El mecanismo principal para lograrlo es el etiquetado de VLAN, estandarizado bajo IEEE 802.1Q. El concepto es sencillo: se asigna cada inquilino, o cada clase de tráfico, a una VLAN distinta. El tráfico en la VLAN 10 no puede llegar al tráfico en la VLAN 20 a menos que lo permita explícitamente a través de una política de firewall. Ese aislamiento lógico es su primera línea de defensa. Ahora, aquí es donde los arquitectos suelen cometer su primer error. Confunden la segmentación de VLAN con la seguridad. Las VLAN proporcionan aislamiento, no seguridad. Aún necesita políticas de firewall entre las VLAN. Aún necesita listas de control de acceso. Y aún debe pensar detenidamente qué enrutamiento inter-VLAN permite. Un puerto troncal mal configurado puede colapsar todo su modelo de segmentación en segundos. En un edificio de oficinas multiinquilino, normalmente se tiene una infraestructura física compartida: cableado, switches y puntos de acceso que dan servicio a múltiples inquilinos. Los puntos de acceso transmiten múltiples SSIDs, cada uno asignado a una VLAN diferente. El inquilino A se conecta a su SSID, su tráfico se etiqueta con la VLAN 10 en el punto de acceso, atraviesa la infraestructura de switches compartida en un puerto troncal y llega a la capa de distribución donde se enruta a la subred aislada del inquilino A. El tráfico del inquilino B sigue la misma ruta física pero está completamente aislado en la Capa 2. Ahora, históricamente, los ingenieros de redes segmentaban los entornos creando un SSID único para cada inquilino. Pero la proliferación de SSIDs es un asesino del rendimiento. Cada SSID que transmite debe enviar tramas de gestión, llamadas balizas (beacons), a la tasa de datos obligatoria básica más baja. Si transmite seis o siete SSIDs en un punto de acceso, puede consumir fácilmente entre el veinte y el treinta por ciento de su tiempo de aire inalámbrico disponible solo en la sobrecarga de gestión. Eso es antes de que se transmita un solo byte de datos de usuario reales. El estándar empresarial moderno es la asignación dinámica de VLAN. En lugar de múltiples SSIDs, se transmite un único SSID seguro mediante autenticación IEEE 802.1X. Cuando un usuario se conecta, su dispositivo intercambia credenciales con un servidor RADIUS. El servidor RADIUS autentica al usuario y envía un mensaje Access-Accept de vuelta al punto de acceso. Fundamentalmente, este mensaje incluye atributos específicos del estándar IETF: Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID, que contiene el ID de VLAN específico para la organización de ese usuario. El punto de acceso recibe estos atributos y coloca dinámicamente el tráfico de ese usuario directamente en su VLAN dedicada. Un ejecutivo corporativo y un dispositivo IoT pueden conectarse exactamente al mismo SSID, pero su tráfico está completamente aislado en la Capa 2. Para la autenticación, WPA3-Enterprise es ahora el estándar de cifrado recomendado. Proporciona un modo de seguridad de 192 bits y elimina las vulnerabilidades asociadas con el saludo de cuatro vías de WPA2. Los proveedores de identidad como Microsoft Entra ID, Okta o Google Workspace se integran con su infraestructura RADIUS para gestionar las credenciales de forma centralizada. Ahora hablemos de la planificación de RF, porque aquí es donde las implementaciones de oficinas multiinquilino se vuelven realmente complejas. Cuando se tienen múltiples inquilinos en espacios adyacentes, se tiene un entorno de RF de alta densidad. La interferencia de cocanal es su enemigo. Necesita un ejercicio de planificación de RF adecuado antes de la implementación: un estudio de sitio activo que mapee la propagación de la señal, identifique las fuentes de interferencia e informe su estrategia de asignación de canales. La banda de 2.4 GHz le ofrece tres canales que no se superponen en la mayoría de los dominios regulatorios: los canales 1, 6 y 11. La banda de 5 GHz le ofrece significativamente más capacidad. WiFi 6E extiende esto a la banda de 6 GHz, ofreciéndole un espectro limpio y prácticamente libre de interferencias de dispositivos heredados. Para nuevas implementaciones multiinquilino, especificar puntos de acceso compatibles con WiFi 6E de proveedores como Cisco Meraki, HPE Aruba, Ruckus o Juniper Mist es la decisión correcta. El margen de espectro adicional rinde frutos en entornos densos. IoT es la otra dimensión que no puede ignorar. In un edificio multiinquilino moderno, se tienen sistemas de gestión de edificios, controladores de HVAC, iluminación inteligente, control de acceso y CCTV. Estos deben estar en su propia VLAN aislada, completamente separados tanto del tráfico de los inquilinos como del tráfico de invitados. Los dispositivos IoT son notoriamente difíciles de parchear y representan una superficie de ataque significativa. Segméntelos, monitoréelos y aplique un filtrado de salida estricto. [SECCIÓN 3: RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 MINUTOS] Permítanme compartir los tres errores más comunes que veo en las implementaciones multiinquilino. El primero es una configuración insuficiente de los puertos troncales. Los arquitectos diseñan un esquema de VLAN hermoso y luego olvidan permitir explícitamente las VLAN correspondientes en cada enlace troncal de la ruta. El tráfico se cae silenciosamente, los inquilinos se quejan y el equipo de soporte pasa días rastreando el problema. Documente sus configuraciones de troncales meticulosamente y valídelas durante la puesta en marcha. El segundo error es la proliferación de SSIDs. Mantenga su número de SSIDs en no más de cuatro por radio. Utilice la asignación dinámica de VLAN a través de atributos RADIUS en lugar de SSIDs independientes para dar servicio a múltiples inquilinos. El tercer error es descuidar el plano de gestión. Su VLAN de gestión, aquella en la que se comunican sus puntos de acceso, switches y controladores, debe estar completamente aislada de todas las VLAN de inquilinos y de invitados. Si un inquilino puede alcanzar su plano de gestión, tiene una vulnerabilidad de seguridad crítica. También agregaría un cuarto: descuidar la gestión del tiempo de concesión (lease time) de DHCP en las VLAN de invitados. En entornos de alta rotación, los dispositivos retienen las concesiones después de desconectarse. Establezca los tiempos de concesión de la VLAN de invitados de una a dos horas para evitar el agotamiento de direcciones IP. [SECCIÓN 4: PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 MINUTO] Permítanme repasar algunas preguntas que surgen constantemente en estas implementaciones. ¿Se necesitan puntos de acceso físicos independientes por inquilino? No. Ese es todo el propósito de la multiinquilinidad basada en VLAN. Múltiples inquilinos comparten el mismo punto de acceso, con el aislamiento del tráfico aplicado en la capa de red. ¿Cómo se manejan los dispositivos IoT heredados que no son compatibles con 802.1X? Utilice el Bypass de autenticación MAC combinado con WPA3-SAE. El servidor RADIUS identifica el dispositivo por su dirección MAC y lo asigna a una VLAN de IoT aislada. Aplique reglas de firewall estrictas a este segmento. ¿La asignación dinámica de VLAN afecta el roaming? No si se configura correctamente. Habilite 802.11r para Fast BSS Transition y Opportunistic Key Caching. El estado de autenticación se almacena en caché en todos sus puntos de acceso y los usuarios realizan el roaming sin problemas y sin retrasos por reautenticación. [SECCIÓN 5: RESUMEN Y PRÓXIMOS PASOS - 1 MINUTO] Para resumir: una arquitectura de WiFi multiinquilino bien diseñada para un edificio de oficinas se basa en cuatro pilares. Primero, una segmentación rigurosa de VLAN con políticas de firewall aplicadas entre segmentos. Segundo, una gestión centralizada basada en controladores que le brinde visibilidad operativa y control de políticas a escala. Tercero, un ejercicio de planificación de RF adecuado que tenga en cuenta el entorno físico y la densidad de la implementación. Y cuarto, un modelo de seguridad que aborde la autenticación, el cifrado, el aislamiento de IoT y los requisitos de cumplimiento desde el primer día. Las organizaciones que hacen esto bien ven resultados medibles: reducción de la sobrecarga de soporte, incorporación más rápida de inquilinos, una postura de cumplimiento demostrable para las auditorías y la capacidad de monetizar la conectividad como un servicio en lugar de tratarla como un centro de costos. Si está planeando una implementación multiinquilino y desea explorar cómo la plataforma de Purple puede proporcionar la capa de analíticas, gestión de WiFi de invitados e informes a nivel de inquilino sobre su infraestructura de red, visite purple dot ai. Los recursos vinculados en la guía son un buen punto de partida. Gracias por escuchar. Hasta la próxima.