Tres SSIDs para gobernarlos a todos: guía de configuración de WiFi para invitados, Passpoint e IoT

Bienvenido a la serie de sesiones informativas técnicas de Purple. Hoy cubriremos el diseño de WiFi de tres SSID: una arquitectura de red que consolida el acceso de invitados, la incorporación automatizada segura y la gestión de dispositivos IoT bajo tres redes inalámbricas diseñadas a la medida. Si opera WiFi en un hotel, un complejo comercial, un estadio o un centro de convenciones, este es el diseño que debería implementar en 2025 y el futuro. [medium pause] Permítame poner el contexto primero. La mayoría de los establecimientos que encontramos todavía operan con dos SSIDs en el mejor de los casos: una red de invitados y algo vagamente llamado red de personal. El problema es que esas dos redes terminan transportando de todo. Las terminales de tarjetas se encuentran en el mismo segmento que los teléfonos inteligentes de los invitados. Los contratistas se conectan al mismo SSID que su señalización digital. Los sensores de IoT comparten el ancho de banda con los visitantes que transmiten video. Eso no es una postura de seguridad. Es una vulnerabilidad. El diseño de tres SSID resuelve esto al darle a cada clase de dispositivo y usuario su propia red dedicada, su propia VLAN y su propio método de autenticación. Tres SSIDs. Tres VLANs. Una arquitectura de seguridad coherente. [medium pause] Repasemos cada una. El SSID número uno es su WiFi de invitados abierto. Esta es la red tradicional con Captive Portal: la que sus visitantes ven cuando abren su teléfono y se conectan. Es abierta, lo que significa que no requiere clave precompartida, porque lo que se busca es cero fricción en el punto de conexión. La autenticación ocurre a nivel de portal. El visitante se conecta, es redirigido a una página de inicio, acepta sus términos de servicio y, opcionalmente, proporciona una dirección de correo electrónico o número de teléfono. Esa es su opción de consentimiento expreso para el cumplimiento de GDPR. La plataforma de Purple maneja esto de forma nativa: el portal captura datos de origen (first-party data), registra la marca de tiempo del consentimiento y mapea la sesión a la VLAN 10, que es su segmento de invitados. La VLAN 10 solo obtiene acceso a internet. No puede acceder a sus sistemas POS, sus servidores de back-office ni a ningún otro recurso interno. Las reglas de firewall imponen esto en el perímetro. Desde el punto de vista del cumplimiento, este SSID hace el trabajo pesado. El GDPR exige que registre el consentimiento, la base jurídica para el tratamiento y la marca de tiempo. Purple registra todo eso de forma automática. Si se encuentra en un establecimiento sujeto a PCI DSS (un hotel con terminales de pago en las habitaciones, por ejemplo), el SSID de invitados debe estar completamente aislado de cualquier entorno de datos de titulares de tarjetas. La segmentación de VLAN con una política de firewall inter-VLAN lo consigue. [medium pause] El SSID número dos es su red Passpoint, también conocida como Hotspot 2.0. Aquí es donde el diseño se vuelve verdaderamente interesante. Passpoint es un estándar IEEE 802.11u que permite a un dispositivo descubrir, autenticar y conectarse automáticamente a una red WiFi sin ninguna interacción del usuario. Sin portal. Sin solicitudes de contraseña. El dispositivo negocia la autenticación en segundo plano mediante EAP (Protocolo de Autenticación Extensible) y se conecta de forma cifrada desde el primer paquete. ¿Cómo sabe un dispositivo que debe conectarse? Tiene instalado un perfil de Passpoint. Con Purple, ese perfil se entrega a través de la aplicación de Purple o mediante un SDK que usted inserta en su propia aplicación de marca. Cuando un visitante que regresa entra a su establecimiento, su dispositivo detecta que su SSID de Passpoint está emitiendo una respuesta ANQP, la compara con el perfil instalado y se conecta de forma automática. Todo el proceso toma menos de dos segundos. El usuario nunca toca su teléfono. El flujo de autenticación utiliza EAP-TLS o EAP-TTLS con PEAP, según su configuración. El dispositivo presenta una credencial a su servidor RADIUS (Purple actúa como ese servidor RADIUS en la nube) y el servidor devuelve un RADIUS Access-Accept con un atributo de asignación de VLAN. Ese atributo le indica al punto de acceso en qué VLAN debe colocar esa sesión. Por lo tanto, el usuario de una aplicación de lealtad podría ingresar en la VLAN 20, que tiene acceso a su plataforma de lealtad y a contenido más completo. Un miembro del personal que use el mismo SSID de Passpoint con una credencial diferente ingresará en la VLAN 30, que tiene acceso a los sistemas internos. Un solo SSID. Asignación dinámica de VLAN. Política aplicada por identidad. [medium pause] El SSID número tres es su red xPSK. xPSK es un término general que abarca iPSK, PPSK, DPSK y MPSK: todas variaciones del mismo concepto de claves precompartidas por dispositivo o por grupo. La idea es sencilla: en lugar de tener una sola contraseña compartida para sus dispositivos IoT y contratistas, cada dispositivo o grupo recibe su propia clave única. Esa clave se asocia a una VLAN específica. Cuando una terminal de tarjeta se conecta con su clave, ingresa en la VLAN 40, que es su red de pago bajo el alcance de PCI. Cuando un reproductor de señalización digital se conecta con su clave, ingresa en la VLAN 50, que tiene acceso a su servidor de gestión de contenidos y a nada más. Cuando un contratista se conecta con una clave temporal, ingresa en la VLAN 60, que tiene acceso a internet y a nada interno. Cuando usted revoca la clave de ese contratista, este queda fuera de la red de inmediato. Sin necesidad de cambiar la contraseña en cada dispositivo. El mecanismo detrás de xPSK varía según el fabricante. En Cisco Meraki se llama iPSK (Identity PSK) y funciona a través de RADIUS. En HPE Aruba, el equivalente es MPSK, también gestionado por RADIUS. Ruckus lo llama DPSK (Dynamic PSK). Juniper Mist utiliza PPSK con asignación dinámica de VLAN a través del panel en la nube de Mist. Ubiquiti UniFi admite el Control de Acceso a la Red con asignación de VLAN por cliente en versiones recientes de firmware. Purple se integra con estas cinco plataformas como proveedor de RADIUS en la nube. [medium pause] Ahora hablemos de la secuencia de implementación. El orden importa. Comience con el diseño de su VLAN antes de tocar la configuración inalámbrica. Defina primero sus VLANs en la capa del switch. Configure su política de enrutamiento inter-VLAN y asegúrela en el firewall antes de que se conecte cualquier dispositivo. Este es el error más común que vemos: los equipos configuran primero la red inalámbrica y luego intentan adaptar la segmentación de VLAN. Hágalo al revés. Segundo, configura tu servidor RADIUS. En la plataforma de Purple, navega a la sección de configuración de RADIUS, genera tus credenciales de servidor y toma nota de las direcciones IP primaria y secundaria, el puerto de autenticación (normalmente 1812) y el secreto compartido. Tercero, crea tus SSIDs. Para el SSID de invitados, establece la seguridad como abierta, habilita la redirección al Captive Portal y apunta la URL de redirección a tu portal de Purple. Para el SSID de Passpoint, habilita 802.11u y configura tus elementos ANQP: tu NAI Realm, tu Roaming Consortium OI si participas en OpenRoaming, y la información de tu establecimiento. Establece WPA2-Enterprise o WPA3-Enterprise como tipo de seguridad. Para el SSID de xPSK, configura los ajustes de MPSK o DPSK específicos del proveedor y apunta la autenticación a tu endpoint de RADIUS de Purple. Cuarto, configura tu walled garden para el SSID de invitados. Incluye los dominios del portal de Purple, tu proveedor de DNS y los endpoints de detección de captive portal que utilizan iOS y Android: captivedetect.apple.com de Apple y connectivitycheck.gstatic.com de Google. [medium pause] Dos ejemplos del mundo real. Un hotel de 350 habitaciones en el centro de Londres implementó esta arquitectura en 28 puntos de acceso con hardware HPE Aruba. Antes de la implementación, las terminales de tarjetas compartían un segmento de red con los dispositivos de los invitados, lo que representaba un fallo de cumplimiento con PCI. El rediseño de tres SSIDs trasladó las terminales de tarjetas a una VLAN dedicada con reglas de firewall que solo permitían HTTPS de salida hacia el procesador de pagos. La auditoría PCI se aprobó en el siguiente ciclo. La captura de datos de invitados aumentó un 34% en los primeros tres meses porque la experiencia del portal fue más rápida y el flujo de consentimiento (opt-in) fue más sencillo. Una cadena de tiendas de retail con 80 sucursales en todo el Reino Unido redujo su número de SSIDs por tienda de un promedio de 4.2 a tres. Las terminales EPOS y la señalización se trasladaron al SSID de xPSK con claves por dispositivo gestionadas de forma centralizada a través de Purple. El personal se trasladó a un SSID de Passpoint utilizando sus credenciales de Microsoft Entra ID a través de EAP-TTLS. El equipo de TI reportó una reducción del 60% en los tickets de soporte relacionados con WiFi en el primer trimestre posterior al lanzamiento. [medium pause] Algunos errores de implementación comunes que debes evitar. Configuración del tiempo de espera (timeout) de RADIUS: si tus puntos de acceso no pueden comunicarse con el servidor RADIUS de Purple dentro del tiempo de espera configurado, rechazarán la conexión. Configura siempre las direcciones de servidor RADIUS tanto primaria como secundaria. Etiquetado de VLAN en puertos troncales (trunk): cada puerto de enlace ascendente (uplink) del punto de acceso debe configurarse como un troncal que transporte todas las VLAN que utilizan tus SSIDs. Un error común es configurar la VLAN en el controlador pero olvidar agregarla al troncal en el puerto del switch. Configuración de Passpoint ANQP: la lista de NAI Realm debe coincidir exactamente con la que se encuentra en el perfil de Passpoint instalado en el dispositivo. Una discrepancia hará que los dispositivos omitan tu red durante la detección. Realiza pruebas con un dispositivo de confianza antes de realizar el lanzamiento a producción. Rotación de claves xPSK: las claves de contratistas deben tener una fecha de expiración configurada al momento del aprovisionamiento. El panel de Purple le permite revocar claves individuales sin afectar a ningún otro dispositivo en la red. [medium pause] Preguntas rápidas. ¿Puedo ejecutar los tres SSIDs en el mismo punto de acceso? Sí. Mantenga el conteo total de SSID por punto de acceso en seis o menos para minimizar la sobrecarga de beacons. ¿Requiere Passpoint una aplicación específica? Con Purple, requiere la aplicación de Purple o un SDK integrado en su propia aplicación de marca. El SDK gestiona el aprovisionamiento de perfiles de forma silenciosa en segundo plano. ¿Cumple xPSK con PCI para terminales de tarjeta? Sí, siempre que la VLAN que transporta el tráfico de los dispositivos de pago esté correctamente segmentada y las reglas del firewall restrinjan el tráfico únicamente a lo que requiere el procesador de pagos. ¿Qué sucede si el portal de un SSID de invitados se cae? Configure una redirección de respaldo o una página de inicio local en el controlador del punto de acceso. La plataforma de Purple funciona con un 99.999% de tiempo de actividad, pero una configuración de doble seguridad siempre es una buena práctica. [medium pause] En resumen. El diseño de tres SSIDs le ofrece una red de invitados con un Captive Portal en cumplimiento para la captura de datos, una red Passpoint para un inicio de sesión seguro y automatizado a través de la aplicación de Purple o un SDK con asignación dinámica de VLAN, y una red xPSK que consolida dispositivos IoT, terminales de tarjetas, señalización digital, contratistas y BYOD bajo claves por dispositivo asignadas a VLAN específicas. El resultado es una postura de seguridad más limpia, una mejor experiencia para el visitante y una red que es genuinamente manejable a escala. Comience con su diseño de VLAN, configure RADIUS, cree sus SSIDs y configure su walled garden. El equipo de incorporación de Purple puede guiarlo a través de la configuración para su plataforma de hardware específica. La guía escrita completa está disponible en purple.ai. Busque "three SSIDs to rule them all" para obtener la referencia de configuración paso a paso con detalles específicos del proveedor para Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Gracias por escuchar.