EnGenius Cloud Access Points Integration with Purple WiFi

Esta referencia técnica detalla la integración paso a paso de los EnGenius Cloud Access Points y los switches ECS con la plataforma de WiFi para invitados de Purple. Cubre la redirección de Captive Portal de invitados a través de una página de bienvenida externa, la configuración de Walled Garden, WiFi seguro para el personal mediante IEEE 802.1X y el aislamiento de red multi-tenant utilizando EnGenius MyPSK con asignación dinámica de VLAN. Los instaladores de TI y arquitectos de red encontrarán secuencias de configuración prácticas, casos de estudio del mundo real y un marco de solución de problemas para implementar Purple en infraestructuras de hardware EnGenius.

📖 9 min de lectura📝 2,239 palabras🔧 2 ejemplos resueltos❓ 3 preguntas de práctica📚 10 definiciones clave

Escucha esta guía

Ver transcripción del podcast

GUION DE PODCAST: Integración de Access Points de EnGenius Cloud con Purple WiFi
Plataforma de Inteligencia Purple WiFi - Serie de Sesiones Informativas Técnicas
Duración: Aproximadamente 10 minutos
Voz: Inglés británico, tono de consultor senior: seguro, conversacional, con autoridad

[INTRODUCCIÓN - 1 MINUTO]

Le damos la bienvenida a la Serie de Sesiones Informativas Técnicas de Purple. Hoy abordaremos algo que surge con regularidad en las implementaciones empresariales: la integración de los access points de EnGenius Cloud con la plataforma de guest WiFi de Purple.

Si usted administra un entorno EnGenius, ya sean access points de la serie ECW en un hotel, una cadena de tiendas de retail o un edificio de oficinas multiinquilino, y desea agregar un Captive Portal con su marca, recopilar datos de visitantes de primera fuente y aplicar una segmentación de red adecuada, esta sesión es para usted.

En los próximos diez minutos, quiero guiarle a través de las cuatro áreas principales de configuración: redirección del Captive Portal para invitados, configuración del walled garden, WiFi seguro para el personal mediante 802.1X y aislamiento multiinquilino utilizando EnGenius MyPSK con asignación dinámica de VLAN. Al finalizar, tendrá una imagen clara de qué configurar exactamente, en qué orden y cuáles son los errores comunes.

Comencemos.

[ANÁLISIS TÉCNICO DETALLADO - 5 MINUTOS]

Empecemos con el Captive Portal para invitados, el punto de partida más común para cualquier operador de establecimientos.

EnGenius Cloud es compatible de forma nativa con páginas de inicio externas. Esto significa que en lugar de alojar una página de inicio de sesión básica en el propio access point, usted redirige a los invitados no autenticados al portal alojado en la nube de Purple. Aquí es donde residen la imagen de marca, la captura de datos, la gestión del consentimiento y las herramientas de analítica.

Este es el orden de configuración en EnGenius Cloud. Inicie sesión en su panel de EnGenius Cloud y vaya a Configure, luego a SSID. Seleccione su SSID de invitados. En la pestaña Wireless, establezca el tipo de seguridad en Open o WPA2 PSK, según su preferencia. Open es el estándar para la mayoría de las implementaciones de guest WiFi. Luego, cambie a la pestaña Captive Portal. Active el Captive Portal y configure el Authentication Type en Custom RADIUS. Esta es la configuración clave. Le indica al access point que reenvíe las solicitudes de autenticación a un servidor RADIUS externo, que en este caso es el nodo de RADIUS en la nube de Purple.

Ahora, ingrese los datos de RADIUS de Purple. La dirección IP del servidor RADIUS primario se proporciona en su panel de Purple bajo la sección Hardware Configuration. El puerto de autenticación es UDP 1812. El puerto de contabilidad (accounting) es UDP 1813. Ingrese el shared secret. Purple genera esto para usted, y debe tener al menos 22 caracteres combinando mayúsculas, minúsculas, números y símbolos. Configure el NAS identifier para que coincida con el nombre de su establecimiento o con un identificador único que haya definido en Purple.

A continuación, ve a la pestaña de Splash Page. Selecciona External Splash Page URL e ingresa la URL de portal de Purple. Esta es la URL que Purple proporciona para tu recinto específico. Cuando un invitado se conecta al SSID y abre un navegador, el punto de acceso intercepta la solicitud y lo redirige a esta URL, transmitiendo parámetros que incluyen la dirección MAC del cliente, la dirección MAC del AP y la URL original a la que el invitado intentaba acceder.

Ahora, el walled garden. Esta es la lista de dominios y direcciones IP a las que los invitados pueden acceder antes de autenticarse. Sin esto, el propio portal de Purple no podrá cargarse, porque el navegador del invitado no podrá comunicarse con los servidores de Purple. En EnGenius Cloud, el walled garden se encuentra en Captive Portal, luego en Advanced Settings y después en Walled Garden. Debes agregar el dominio del portal de Purple, los endpoints de CDN de Purple y los endpoints de prueba de Captive Portal del sistema operativo. Para dispositivos Apple, es captive.apple.com. Para Android, connectivitycheck.gstatic.com. Para Windows, msftconnecttest.com. Si omites alguno de estos, los invitados de esas plataformas no verán el portal en absoluto.

Si ofreces inicio de sesión con redes sociales a través de Google o Facebook, también debes incluir en la lista blanca los endpoints de OAuth para esos proveedores. Google requiere como mínimo accounts.google.com, oauth2.googleapis.com y apis.google.com. Facebook requiere www.facebook.com, graph.facebook.com y connect.facebook.net. La documentación de soporte de Purple proporciona una lista de walled garden actualizada para cada método de autenticación. Utiliza eso como referencia, ya que estos dominios suelen cambiar.

Ahora pasemos a la WiFi segura para el personal mediante 802.1X.

Este es un SSID independiente. El tipo de seguridad aquí es WPA2 Enterprise o WPA3 Enterprise. En EnGenius Cloud, en la pestaña de SSID Wireless, selecciona WPA2 Enterprise y luego elige Custom RADIUS. Ingresa los mismos detalles del servidor RADIUS: el endpoint de RADIUS de Purple, el puerto 1812 y el secreto compartido. La diferencia con la configuración de invitados es que aquí no hay un Captive Portal. Los dispositivos del personal se autentican de forma silenciosa utilizando el protocolo IEEE 802.1X. El dispositivo presenta un certificado o un usuario y contraseña al servidor RADIUS, el cual lo valida y devuelve un mensaje de Access-Accept junto con los atributos de asignación de VLAN.

Los atributos RADIUS que impulsan la asignación dinámica de VLAN son Tunnel-Type establecido en VLAN, Tunnel-Medium-Type establecido en 802 y Tunnel-Private-Group-ID establecido en el número de VLAN. De modo que, si la VLAN de tu personal es la VLAN 20, el servidor RADIUS devuelve Tunnel-Private-Group-ID con un valor de 20. El punto de acceso EnGenius lee este atributo y coloca automáticamente el dispositivo autenticado en la VLAN 20. Esto significa que puedes tener un solo SSID para múltiples roles de personal (finanzas, operaciones, TI, contratistas), y cada uno terminará en una VLAN diferente según su membresía de grupo de directorio, todo sin necesidad de configurar manualmente la VLAN por dispositivo.

Para el método EAP, PEAP-MSCHAPv2 es la opción más común para entornos que utilizan Active Directory o Microsoft Entra ID. Requiere un certificado del lado del servidor en el servidor RADIUS y credenciales de usuario y contraseña en el cliente. EAP-TLS es más seguro, ya que utiliza certificados en ambos lados, pero requiere una infraestructura PKI y un despliegue de MDM para insertar los certificados en los dispositivos. Para la mayoría de los operadores de recintos, PEAP-MSCHAPv2 con validación estricta de certificados aplicada mediante políticas de grupo o MDM es la opción más práctica.

Ahora pasemos a la parte técnicamente más interesante: EnGenius MyPSK y el aislamiento multi-inquilino (multi-tenant).

MyPSK, también conocido como PPSK o clave privada precompartida, resuelve un problema específico en entornos multi-inquilino. En un desarrollo de construcción para alquiler (build-to-rent), una oficina de servicios o un bloque de alojamiento para estudiantes, se busca que cada inquilino o residente tenga su propia contraseña de WiFi única. Sin embargo, no se desea crear un SSID independiente para cada inquilino, ya que esto genera congestión de radiofrecuencia y una gran sobrecarga de gestión.

MyPSK le permite crear hasta 500 claves precompartidas únicas por SSID. Cada clave está vinculada a una VLAN específica. Cuando un residente se conecta utilizando su clave única, el punto de acceso lo coloca automáticamente en su VLAN designada. El tráfico del Inquilino A nunca toca el segmento de red del Inquilino B. El cifrado también es por usuario; cada clave genera una Clave Maestra Pareada (Pairwise Master Key) única, por lo que un inquilino no puede descifrar el tráfico de transmisión inalámbrica de otro inquilino, aunque compartan el mismo SSID.

En EnGenius Cloud, MyPSK se configura en los ajustes de seguridad del SSID. Seleccione WPA2 PSK o WPA3 Personal y, a continuación, habilite MyPSK. Después, puede crear PSK de forma individual o generar automáticamente lotes de hasta 50 a la vez. Para cada PSK, se asigna un ID de VLAN y, opcionalmente, se establece una fecha de vencimiento. Cuando finaliza un contrato de alquiler o un estudiante se gradúa, simplemente se expira o elimina su PSK. El acceso se revoca de inmediato sin afectar a ningún otro inquilino.

Para la integración de Purple en un entorno MyPSK, los inquilinos que interactúan como invitados aún pueden ser dirigidos a través de un Captive Portal en su VLAN, mientras que el personal y los inquilinos operativos omiten el portal por completo. La segmentación de VLAN garantiza que los datos analíticos de Purple se atribuyan correctamente por segmento de red.

[RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 MINUTOS]

Permítame sugerirle la secuencia de implementación que recomiendo para un despliegue inicial limpio.

Comience con su arquitectura de VLAN antes de tocar la configuración de WiFi. Defina la VLAN 10 para invitados, la VLAN 20 para el personal, la VLAN 30 para los inquilinos o cualquier numeración que se adapte a su esquema existente. Configure primero estas VLAN en sus switches ECS, con las asignaciones de puertos de enlace troncal (trunk) y de acceso correspondientes. Los puntos de acceso deben recibir tráfico etiquetado (tagged) en el puerto de enlace ascendente (uplink) para cada VLAN que planee utilizar.

Luego, configure los SSIDs en EnGenius Cloud en este orden: primero el SSID de invitados, ya que es el más sencillo. Valide la redirección del Captive Portal a Purple antes de continuar. Después, configure el SSID del personal con 802.1X. Realice pruebas con un dispositivo conocido antes de implementarlo en toda la infraestructura. Por último, configure MyPSK si requiere aislamiento multi-tenant.

Los errores comunes. Primero, el walled garden (jardín vallado). Esta es la causa número uno de fallas en las implementaciones de Captive Portal. Si los invitados no pueden acceder al portal, verifique primero el walled garden. Segundo, la discrepancia en el secreto compartido de RADIUS. El secreto compartido debe ser idéntico tanto en la configuración de EnGenius Cloud como en la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter hará que cada autenticación falle de forma silenciosa. Tercero, la configuración de trunk VLAN en el switch. Si el puerto del switch ECS que se conecta al punto de acceso no está configurado como trunk para transportar todas las VLANs requeridas, la asignación dinámica de VLAN fallará. Cuarto, la validación de certificados en clientes 802.1X. Si los dispositivos del personal no están configurados para validar el certificado del servidor RADIUS, quedan vulnerables al robo de credenciales mediante puntos de acceso no autorizados. Obligue a que esto se cumpla mediante directivas de grupo para Windows y perfiles de MDM para todo lo demás.

[PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 MINUTO]

Algunas preguntas que escucho frecuentemente sobre las implementaciones de EnGenius y Purple.

¿Puedo usar EnGenius Cloud RADIUS en lugar del RADIUS de Purple? Sí, para la autenticación interna. Pero para el WiFi de invitados con las analíticas y el portal de Purple, debe apuntar al endpoint RADIUS de Purple. Ambos pueden coexistir en diferentes SSIDs.

¿MyPSK funciona con WPA3? Sí. EnGenius es compatible con WPA3 y con el modo mixto WPA2/WPA3 con MyPSK, por lo que los dispositivos compatibles con WPA3 obtienen autenticación SAE mientras que los dispositivos más antiguos recurren a WPA2 PSK, todo utilizando la misma clave por usuario.

¿Purple es compatible con el registro de contabilidad RADIUS (accounting) para los datos de sesión? Sí. Habilite el servidor de contabilidad en la configuración de RADIUS de EnGenius Cloud, apuntando al endpoint de contabilidad de Purple en el puerto UDP 1813. Esto alimenta la duración de la sesión y el volumen de datos en las analíticas de Purple.

[RESUMEN Y SIGUIENTES PASOS - 1 MINUTO]

En resumen. Los puntos de acceso de EnGenius Cloud se integran perfectamente con la plataforma de WiFi de invitados de Purple a través de cuatro capas de configuración. La redirección al Captive Portal de invitados utiliza un RADIUS personalizado y una URL de splash page externa que apunta a Purple. La lista de permitidos del walled garden garantiza que el portal se cargue antes de la autenticación. El WiFi del personal utiliza WPA2 Enterprise con 802.1X y asignación dinámica de VLAN a través de atributos RADIUS. Y el aislamiento multi-tenant utiliza EnGenius MyPSK para asignar claves únicas por usuario vinculadas a VLANs específicas, con fechas de vencimiento opcionales para accesos por tiempo limitado.

Purple opera en 80,000 establecimientos y ha procesado 440 millones de inicios de sesión tan solo en 2024. La plataforma cuenta con certificación ISO 27001, cumple con el GDPR y es agnóstica respecto al hardware, que es precisamente la razón por la que funciona de manera impecable con EnGenius, junto con Cisco Meraki, HPE Aruba, Ruckus y el resto del ecosistema de hardware empresarial.
Si está listo para realizar la implementación, comience con la guía de configuración de walled garden en la documentación de soporte de Purple, luego continúe con la configuración del SSID en EnGenius Cloud. La guía detallada paso a paso está disponible en purple.ai. Gracias por escuchar.

Puntos clave

✓EnGenius Cloud se integra con Purple a través de RADIUS personalizado (UDP 1812/1813) y una URL externa de splash page configurada en los ajustes del Captive Portal del SSID.
✓Un Walled Garden correctamente configurado es el elemento más crítico para las implementaciones de Captive Portal: debe incluir los endpoints de prueba del sistema operativo, los dominios CDN de Purple y todos los dominios OAuth de inicio de sesión social.
✓IEEE 802.1X con WPA2/WPA3 Enterprise proporciona una autenticación segura y sin contraseñas para el personal, con asignación dinámica de VLAN impulsada por los atributos RADIUS Tunnel-Private-Group-ID.
✓EnGenius MyPSK ofrece aislamiento multi-tenant en un solo SSID al asignar PSKs y VLANs únicas a usuarios individuales, admitiendo hasta 500 claves por SSID con fechas de expiración opcionales.
✓Configura los puertos troncales (trunk) del switch ECS antes de configurar los SSIDs: la asignación dinámica de VLAN falla silenciosamente si el switch no puede transportar la VLAN asignada.
✓PEAP-MSCHAPv2 solo es seguro con una validación estricta del certificado del servidor aplicada mediante directivas de grupo o MDM; impleméntala antes de cualquier despliegue de 802.1X.
✓Purple procesa 440 millones de inicios de sesión anualmente en más de 80,000 establecimientos y cuenta con certificación ISO 27001, cumple con el GDPR y es agnóstico del hardware en equipos de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.

Resumen ejecutivo

Depender de una clave compartida única para el WiFi empresarial expone a los establecimientos a riesgos de seguridad significativos y evita la recopilación de valiosos datos de primera fuente. Esta guía detalla la integración de los Access Points de EnGenius Cloud con la plataforma de Guest WiFi de Purple para ofrecer redes inalámbricas seguras, segmentadas y medibles en entornos de hospitalidad , retail y multifamiliares. Al implementar la autenticación IEEE 802.1X para el personal, la asignación dinámica de VLAN mediante EnGenius MyPSK para residentes e inquilinos, y un Captive Portal alojado en la nube para invitados, los equipos de TI pueden aplicar controles de acceso estrictos mientras transforman la infraestructura inalámbrica en un activo de inteligencia de negocios.

Purple procesa 440 millones de inicios de sesión anualmente en más de 80,000 establecimientos activos (datos internos de Purple, 2024). La plataforma cuenta con certificación ISO 27001, cumple con las normativas GDPR y CCPA, y es agnóstica respecto al hardware, razón por la cual se integra de manera limpia con EnGenius, además de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi. Esta guía cubre las cuatro capas de configuración requeridas para implementar Purple en el hardware de EnGenius Cloud: redirección del Captive Portal de invitados, configuración de Walled Garden, WiFi seguro para el personal y aislamiento multi-tenant mediante EnGenius MyPSK.

Análisis técnico profundo

Descripción general de la arquitectura

La integración entre EnGenius Cloud y Purple se basa en protocolos RADIUS estándar y redirección HTTP. Cuando un invitado se conecta a un access point EnGenius ECW en un SSID habilitado con Captive Portal, el AP intercepta la primera solicitud HTTP y redirecciona el navegador a la splash page de Purple alojada en la nube. Esta redirección pasa varios parámetros al portal, incluyendo client_mac, ap_mac y userurl, que Purple utiliza para rastrear la sesión y devolver una decisión de autenticación.

Para el personal y los dispositivos operativos, la arquitectura cambia de la redirección de Captive Portal al control de acceso a la red basado en puertos IEEE 802.1X. El access point de EnGenius actúa como el autenticador, reenviando mensajes de Protocolo de Autenticación Extensible (EAP) al servidor RADIUS de Purple a través del puerto UDP 1812. Tras una autenticación exitosa, el servidor RADIUS devuelve un mensaje Access-Accept que contiene atributos de asignación de VLAN, indicando al AP que coloque al dispositivo en el segmento de red correcto.

Capa	Tipo de SSID	Método de autenticación	Asignación de VLAN
Guest WiFi	Abierto o WPA2 PSK	Captive Portal de Purple mediante RADIUS personalizado	Estática (ej., VLAN 10)
WiFi para el personal	WPA2/WPA3 Enterprise	802.1X (PEAP o EAP-TLS)	Dinámica mediante atributos RADIUS

Plataforma EnGenius Cloud

EnGenius Cloud es una plataforma de gestión de red en la nube compatible con los puntos de acceso de la serie ECW (incluidos los modelos WiFi 7 ECW220, ECW230 y ECW520) y los switches gestionados de la serie ECS. La plataforma ofrece un panel centralizado para la gestión de SSID, configuración de RADIUS, etiquetado de VLAN y ajustes de Captive Portal en todos los dispositivos de una organización. EnGenius Cloud admite tres tipos de autenticación de Captive Portal basados en RADIUS: EnGenius Authentication (que utiliza el Cloud RADIUS integrado), Custom RADIUS (que apunta a un servidor externo como Purple) y Voucher Service.

Para implementaciones empresariales, Custom RADIUS es el tipo de autenticación correcto al integrarse con Purple. Este modo indica al punto de acceso que envíe las solicitudes de autenticación mediante proxy al endpoint RADIUS de Purple, lo que permite habilitar el portal, las herramientas de analítica y las capacidades de captura de datos de Purple.

EnGenius MyPSK y aislamiento multi-tenant

En entornos como propiedades de alquiler residencial para construir, residencias de estudiantes, oficinas de servicios o espacios de coworking, transmitir un SSID independiente para cada inquilino degrada el rendimiento de la radiofrecuencia. Cada SSID adicional genera tramas de baliza (beacon frames) que consumen tiempo de transmisión aérea y reducen la capacidad disponible para el tráfico de datos. EnGenius MyPSK (también conocido como PPSK o Private Pre-Shared Key) resuelve esto al permitir hasta 500 PSK únicas en un solo SSID.

Cada clave está vinculada a una VLAN específica. Cuando un residente se conecta utilizando su clave única, el punto de acceso lo coloca automáticamente en el segmento de red asignado. El cifrado es por usuario: cada clave genera una Clave Maestra Pareada (PMK) única, por lo que un inquilino no puede descifrar el tráfico de transmisión aérea de otro, aunque compartan el mismo SSID. Esta es una ventaja de seguridad fundamental en comparación con una sola PSK compartida, donde cualquier usuario que conozca la contraseña puede descifrar todo el tráfico de la red.

Las claves MyPSK admiten fechas de vencimiento, lo que las hace muy adecuadas para escenarios de acceso por tiempo limitado: la clave de un estudiante vence al final del año académico, la de un contratista vence cuando finaliza su contrato y la de un asistente a una conferencia vence a la medianoche del último día del evento.

Guía de implementación

Paso 1: Definir su arquitectura de VLAN

Antes de configurar cualquier SSID, defina la estructura de VLAN en sus switches ECS. Una implementación típica utiliza tres VLAN:

ID de VLAN	Propósito	Política de acceso
VLAN 10	Guest WiFi	Solo Internet, aislada de la LAN corporativa
VLAN 20	Staff WiFi	Acceso completo a la LAN corporativa
VLAN 30	Tenant/Resident WiFi	Segmentos aislados por inquilino
Configure el puerto del switch ECS que se conecta a cada punto de acceso ECW como un puerto troncal, permitiendo las tres VLAN. La VLAN nativa en el tronco debe ser la VLAN de gestión. Si el tronco no se configura correctamente, la asignación dinámica de VLAN fallará de forma silenciosa.

Paso 2: Configurar el portal cautivo para invitados (Configuración del portal cautivo de EnGenius)

Esta es la configuración principal para implementar la splash page de EnGenius con Purple.

Inicie sesión en su panel de EnGenius Cloud en cloud.engenius.ai .
Diríjase a Configure > SSID y seleccione su red de invitados (por ejemplo, "VenueGuest").
En la pestaña Wireless, configure el Security Type como Open. Esto es el estándar para WiFi de invitados; los invitados se identifican y autentican en la capa del portal, no en la capa de asociación.
Cambie a la pestaña Captive Portal y habilite el portal.
Configure el Authentication Type como Custom RADIUS.
Ingrese los detalles del servidor RADIUS de Purple:

Campo	Valor
IP del Servidor RADIUS	Proporcionada en el panel de Purple bajo Configuración de Hardware
Puerto de Autenticación	UDP 1812
Puerto de Contabilidad (Accounting)	UDP 1813
Secreto Compartido (Shared Secret)	Cadena de más de 22 caracteres generada por Purple
Identificador NAS	El nombre de su establecimiento o el ID de establecimiento de Purple

Cambie a la pestaña Splash Page.
Seleccione External Splash Page URL.
Ingrese la URL del portal de Purple para su establecimiento (formato: https://portal.purple.ai/[venue-id]).
Haga clic en Apply.

Paso 3: Configurar el Walled Garden

El Walled Garden (lista blanca de WiFi de invitados de EnGenius) debe configurarse para permitir el acceso de preautenticación a los dominios requeridos para que se cargue el portal. Diríjase a Captive Portal > Advanced Settings > Walled Garden y agregue las siguientes entradas:

Infraestructura de Purple:

*.purple.ai
*.purpleportal.net

Pruebas de portal cautivo del OS (obligatorio):

captive.apple.com (iOS y macOS)
connectivitycheck.gstatic.com (Android)
msftconnecttest.com (Windows)

Inicio de sesión social (si está habilitado):

Google: accounts.google.com, oauth2.googleapis.com, apis.google.com, *.gstatic.com
Facebook: www.facebook.com, graph.facebook.com, connect.facebook.net, *.fbcdn.net
Microsoft Entra ID: login.microsoftonline.com, login.live.com

Utilice siempre nombres de dominio en lugar de direcciones IP estáticas. Los proveedores de inicio de sesión social utilizan rangos de IP dinámicos y enrutamiento anycast; una lista blanca de IP estáticas se degradará con el tiempo a medida que cambien las direcciones de la CDN.

Paso 4: Configurar WiFi seguro para el personal (802.1X)

La configuración RADIUS de EnGenius para el WiFi del personal utiliza WPA2 Enterprise para proporcionar autenticación sin contraseña y respaldada por certificados.

Cree un nuevo SSID (por ejemplo, "VenueStaff").
En la pestaña Wireless, configure el Security Type como WPA2 Enterprise.
Seleccione Custom RADIUS e ingrese la IP del servidor RADIUS, el puerto 1812 y el secreto compartido.
No se requiere ningún portal cautivo. Los dispositivos del personal se autentican silenciosamente a través de 802.1X.
Configure su servidor RADIUS para devolver los siguientes atributos en Access-Accept:

RADIUS Attribute	Value
Tunnel-Type	13 (VLAN)
Tunnel-Medium-Type	6 (802)
Tunnel-Private-Group-ID	20 (or your staff VLAN ID)

For EAP method selection: PEAP-MSCHAPv2 is the practical choice for environments using Microsoft Entra ID or Active Directory. EAP-TLS provides stronger security by eliminating passwords entirely, but requires a Public Key Infrastructure and MDM solution to deploy client certificates. Enforce strict server certificate validation on all client devices via Group Policy (Windows) or MDM profiles (macOS, iOS, Android) to prevent credential theft from rogue access points.

Step 5: Configure EnGenius MyPSK for multi-tenant isolation

EnGenius MyPSK setup for a multi-tenant environment:

Create a new SSID (e.g., "VenueResident").
Under the Wireless tab, set Security Type to WPA2 PSK or WPA3 Personal.
Enable MyPSK (Private PSK).
Click Add PSK to create individual keys, or use Auto-Generate to create batches of up to 50 at a time.
For each PSK, assign a VLAN ID and optionally set a Start Date and Expiration Date.
Distribute each unique PSK to the corresponding tenant or resident.

When a tenant's lease ends, delete or expire their PSK. Access is revoked immediately without affecting any other tenant on the network.

Best practices

Enforce strict certificate validation on 802.1X clients. PEAP-MSCHAPv2 is only secure when clients are configured to validate the RADIUS server's certificate against a trusted CA. Without this, a rogue access point can present a fraudulent certificate and harvest credentials. Deploy validation settings via Group Policy Objects for Windows and MDM configuration profiles for all other platforms. This is non-negotiable for any deployment in a regulated environment.

Use dynamic DNS resolution in the Walled Garden. Google, Apple, and Meta use dynamic IP ranges for their OAuth and CDN endpoints. Configure Walled Garden entries as domain names and ensure your EnGenius Cloud controller resolves them dynamically. A static IP whitelist will cause authentication failures as CDN IPs rotate.

Segment IoT devices with MAC Authentication Bypass. Headless devices such as printers, displays, and IoT sensors cannot authenticate via 802.1X. Use MAC Authentication Bypass (MAB) to identify them and place them on a restricted VLAN with firewall rules preventing lateral movement. MAB is not a security control - it is a device identification mechanism. Treat MAB-authenticated devices as untrusted.

Implement RADIUS accounting. Enable the accounting server in EnGenius Cloud's RADIUS configuration, pointing to Purple's accounting endpoint on UDP 1813. This feeds session duration, data volume, and device information into Purple's WiFi Analytics platform, providing the venue utilisation data that justifies the infrastructure investment.

Revise el Walled Garden trimestralmente. Los proveedores de OAuth y las CDN cambian sus estructuras de dominio. Apple actualizó sus dominios de Sign In dos veces en 2023. Integre una revisión trimestral del Walled Garden en su calendario operativo. Para obtener más orientación sobre las prácticas de seguridad de WiFi empresarial, consulte nuestra Guía de seguridad de WiFi empresarial .

Solución de problemas y mitigación de riesgos

Síntoma: El Captive Portal no se carga en dispositivos iOS. Causa: captive.apple.com no está en el Walled Garden. iOS utiliza este endpoint para detectar la presencia de un Captive Portal y activar el Captive Network Assistant. Sin él, el dispositivo reporta "Sin conexión a Internet" y nunca abre el navegador del portal. Solución: Agregue captive.apple.com al Walled Garden en EnGenius Cloud en Captive Portal > Configuración avanzada.

Síntoma: La autenticación falla de forma silenciosa; RADIUS no devuelve respuesta. Causa: Discrepancia en el secreto compartido entre EnGenius Cloud y la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter hace que se descarte cada solicitud de autenticación. Solución: Vuelva a introducir el secreto compartido en ambos sistemas. Copie y pegue desde una fuente de texto sin formato para evitar la sustitución de caracteres invisibles.

Síntoma: El cliente 802.1X se autentica pero no recibe dirección IP. Causa: El puerto de enlace ascendente del switch ECS no está configurado como trunk, o la VLAN devuelta por el servidor RADIUS no está permitida en el trunk. Solución: Verifique la configuración del puerto del switch. El puerto debe ser un trunk que transporte todas las VLAN a las que se hace referencia en las respuestas de RADIUS.

Síntoma: El cliente MyPSK se conecta pero puede acceder a los dispositivos de otros inquilinos. Causa: El aislamiento de clientes no está habilitado en el SSID, o la configuración de VLAN en el switch no está aislando correctamente los segmentos. Solución: Habilite el aislamiento de clientes en el SSID en EnGenius Cloud. Verifique que cada VLAN esté configurada con las reglas de enrutamiento inter-VLAN adecuadas en el router o firewall ascendente.

Síntoma: El botón de inicio de sesión social se carga pero la autenticación falla. Causa: Faltan uno o más subdominios del proveedor de OAuth en el Walled Garden. Google y Meta utilizan múltiples subdominios para sus flujos de autenticación. Solución: Capture la salida de la consola del navegador de un dispositivo no autenticado para identificar qué dominio está bloqueado. Agregue el dominio faltante al Walled Garden. Consulte la documentación de la lista blanca de dominios de Walled Garden de Purple para obtener la lista actualizada.

ROI e impacto empresarial

Implementar Purple con EnGenius Cloud transforma la infraestructura inalámbrica de un centro de costos a un activo de datos. Los operadores de los establecimientos capturan datos demográficos de origen totalmente compatibles con el GDPR de los invitados a través de opciones de inclusión voluntaria por elección consciente, lo que permite campañas de marketing dirigidas y una interacción medible. Para los equipos de TI, el cambio a 802.1X y MyPSK elimina la carga operativa de gestionar contraseñas compartidas, reduce los tickets de soporte relacionados con problemas de acceso y proporciona visibilidad detallada sobre la utilización de la red.

Para los operadores de hotelería , Premier Inn (un cliente destacado de Purple) utiliza los datos de WiFi de invitados para impulsar la participación en su programa de lealtad y personalizar las comunicaciones posteriores a la visita. Para los entornos de retail , la combinación de análisis de afluencia de la plataforma WiFi Analytics de Purple y los datos de tiempo de permanencia proporciona información de merchandising que justifica la inversión en infraestructura de forma independiente de los beneficios de seguridad.

En entornos de inquilinos múltiples, MyPSK elimina la necesidad de contar con una infraestructura de red física independiente para cada inquilino. Un solo punto de acceso EnGenius ECW puede dar servicio a 500 inquilinos aislados en un solo SSID, lo que reduce los costos de hardware y simplifica la gestión continua. Cuando un inquilino se muda, su PSK se elimina en segundos: sin necesidad de cambiar la contraseña y sin impacto en los demás residentes.

La plataforma de Purple es agnóstica al hardware, lo que significa que la misma configuración, analíticos y capa de captura de datos de Purple funciona en hardware Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Si su propiedad incluye una combinación de EnGenius y otros proveedores, Purple proporciona un único panel de control para la gestión de WiFi de invitados en todos ellos. Para obtener una guía de implementación relacionada, consulte nuestra guía de integración de DrayTek Vigor .

Definiciones clave

Captive Portal

Una página web que intercepta la primera solicitud HTTP de un usuario después de conectarse a una red WiFi y le requiere autenticarse o aceptar los términos antes de otorgarle acceso a internet.

El mecanismo principal para la incorporación de invitados, la captura de datos y la gestión de consentimiento en cumplimiento con el GDPR en implementaciones de Purple. EnGenius Cloud es compatible con páginas de Captive Portal tanto internas como externas.

Walled Garden

La lista blanca explícita de dominios y direcciones IP con los que un dispositivo cliente puede comunicarse antes de autenticarse con éxito a través del Captive Portal.

Requerido para permitir que los dispositivos accedan a los servidores del portal de Purple, a los puntos de conexión de prueba del sistema operativo y a proveedores de identidad de terceros como Google o Microsoft Entra ID antes de que se complete la autenticación.

EnGenius MyPSK

Una función que permite a los administradores de red crear múltiples claves precompartidas (Pre-Shared Keys) únicas en un solo SSID, cada una vinculada a una VLAN específica para el aislamiento de la red.

Se utiliza en entornos multi-inquilino para proporcionar segmentos de red seguros y aislados sin necesidad de transmitir múltiples SSIDs. Soporta hasta 500 claves únicas por SSID con fechas de vencimiento opcionales.

Asignación dinámica de VLAN

El proceso mediante el cual un servidor RADIUS indica a un punto de acceso que coloque un dispositivo autenticado en una VLAN específica según su membresía de grupo de directorio, utilizando el atributo Tunnel-Private-Group-ID.

Permite que un solo SSID 802.1X segmente de forma segura y automática el tráfico para diferentes roles de personal, sin necesidad de configurar manualmente la VLAN por dispositivo.

IEEE 802.1X

Un estándar IEEE para el Control de Acceso a Redes basado en puertos que proporciona un mecanismo de autenticación para los dispositivos que desean conectarse a una LAN o WLAN, utilizando EAP para transmitir las credenciales a un servidor RADIUS.

La base de la seguridad WiFi empresarial para redes de personal, que reemplaza las vulnerables contraseñas compartidas con una validación de credenciales o certificados individualizada.

RADIUS

Servicio de usuario de marcado de autenticación remota (Remote Authentication Dial-In User Service); un protocolo de red que proporciona una gestión centralizada de Autenticación, Autorización y Contabilidad para el acceso a la red.

El protocolo utilizado por los puntos de acceso de EnGenius para comunicarse con los servidores de autenticación de Purple. La autenticación utiliza el puerto UDP 1812; la contabilidad utiliza el puerto UDP 1813.

PEAP-MSCHAPv2

Protocolo de autenticación extensible protegido con el protocolo de autenticación por desafío mutuo de Microsoft versión 2; un método 802.1X que crea un túnel TLS utilizando un certificado del lado del servidor, dentro del cual se intercambian las credenciales de usuario y contraseña.

El método de implementación 802.1X más común para entornos que utilizan Active Directory o Microsoft Entra ID. Requiere una validación estricta del certificado del servidor en los clientes para evitar el robo de credenciales.

EAP-TLS

Protocolo de autenticación extensible - Seguridad de la capa de transporte; un método de autenticación 802.1X que requiere certificados digitales tanto en el servidor RADIUS como en cada dispositivo cliente, eliminando las contraseñas por completo.

El método 802.1X más seguro, recomendado para entornos de alta seguridad. Requiere una infraestructura de clave pública (PKI) y una solución de gestión de dispositivos móviles (MDM) para implementar certificados de cliente.

Identificador NAS

Identificador del Servidor de Acceso a la Red (Network Access Server Identifier); un atributo de cadena de texto incluido en las solicitudes RADIUS para identificar el punto de acceso o controlador que origina la solicitud de autenticación.

Configurado en EnGenius Cloud para que coincida con el identificador del establecimiento en la plataforma Purple, garantizando que los análisis y los datos de sesión se atribuyan a la ubicación correcta.

PMK

Clave maestra por pares (Pairwise Master Key); la clave criptográfica derivada de una PSK y del nombre del SSID, que se utiliza para cifrar la sesión inalámbrica entre un cliente específico y un punto de acceso.

In las implementaciones de MyPSK, cada PSK única genera una PMK distinta, lo que evita que un inquilino descifre el tráfico de otro, incluso en el mismo SSID.

Ejemplos resueltos

Un hotel de 200 habitaciones necesita proporcionar acceso WiFi continuo a los huéspedes, acceso seguro al personal del hotel y redes aisladas para tres concesiones comerciales en el lobby, todo utilizando los mismos EnGenius ECW access points y switches ECS.

Implemente tres SSIDs en el mismo hardware. SSID 1 (VenueGuest): seguridad abierta con RADIUS personalizado apuntando al endpoint RADIUS de Purple. URL de página de bienvenida externa configurada hacia el portal de Purple. Walled Garden configurado con sondas de SO, dominios CDN de Purple y endpoints de Google OAuth. VLAN 10 asignada estáticamente. SSID 2 (VenueStaff): WPA2 Enterprise con RADIUS personalizado. Sin Captive Portal. El servidor RADIUS devuelve el Tunnel-Private-Group-ID 20 para todo el personal, con subgrupos (finanzas, operaciones, mantenimiento) mapeados a las VLANs 21, 22 y 23 respectivamente. SSID 3 (VenueRetail): WPA2 PSK con MyPSK habilitado. Se crean tres PSKs únicos, cada uno vinculado a las VLANs 31, 32 y 33. Fechas de expiración establecidas para coincidir con el plazo de arrendamiento de cada concesión. El puerto de enlace ascendente del switch ECS está configurado como un trunk que transporta las VLANs 10, 20-23 y 31-33.

Comentario del examinador: Este enfoque minimiza la sobrecarga de SSID a sólo tres transmisiones, reduciendo la interferencia de canales compartidos, al tiempo que aplica un estricto aislamiento de Capa 2 entre invitados, personal y arrendatarios externos. La asignación dinámica de VLAN para el personal elimina la reconfiguración manual cuando el personal cambia de función. Las fechas de vencimiento de MyPSK automatizan la revocación del acceso para las concesiones comerciales sin requerir la intervención de TI.

Un campus universitario que implementa EnGenius Cloud reporta que los estudiantes que intentan iniciar sesión en el portal de invitados de Purple utilizando sus cuentas de Google Workspace reciben un error del navegador después de hacer clic en el botón de inicio de sesión de Google. La página del portal en sí se carga correctamente.

La carga de la página del portal confirma que los dominios CDN de Purple están correctamente en la lista de permitidos. El fallo en el paso de inicio de sesión de Google indica que uno o más dominios de Google OAuth faltan en el Walled Garden. Vaya a EnGenius Cloud > Captive Portal > Advanced Settings > Walled Garden y agregue: accounts.google.com, oauth2.googleapis.com, apis.google.com y *.gstatic.com. El comodín gstatic.com es necesario porque Google sirve sus bibliotecas JavaScript del lado del cliente desde este CDN. Después de actualizar el Walled Garden, realice una prueba con un dispositivo no autenticado y capture la salida de la consola del navegador para confirmar que no haya más dominios bloqueados.

Comentario del examinador: Los fallos de OAuth en el paso del proveedor (en lugar de en el paso de carga del portal) son causados casi universalmente por configuraciones incompletas del Walled Garden. El Captive Portal intercepta la llamada HTTPS al proveedor de identidad a menos que el dominio se omita explícitamente. El uso de entradas con comodines (*.gstatic.com) es el enfoque más práctico para los proveedores que utilizan múltiples subdominios CDN, siempre que su versión de EnGenius Cloud sea compatible con entradas de Walled Garden con comodines.

Preguntas de práctica

Q1. Implementas un Captive Portal de Purple en puntos de acceso EnGenius ECW. Los usuarios invitados de Android reportan que sus dispositivos muestran 'Conectado, sin internet' y el portal nunca aparece. Los invitados de iOS en el mismo SSID ven el portal correctamente. ¿Cuál es el error de configuración más probable y cómo lo solucionas?

Sugerencia: Android e iOS utilizan diferentes endpoints de prueba para el Captive Portal.

Ver respuesta modelo

Android utiliza connectivitycheck.gstatic.com como su endpoint de prueba de Captive Portal. iOS utiliza captive.apple.com. Si los invitados de iOS ven el portal pero los de Android no, connectivitycheck.gstatic.com hace falta en el Walled Garden. Agrégalo en EnGenius Cloud bajo Captive Portal > Advanced Settings > Walled Garden. Agrega también connectivitycheck.android.com y www.google.com , ya que Android utiliza múltiples URL de prueba según la versión del dispositivo.

Q2. Un establecimiento configura 802.1X en un SSID de EnGenius. Los dispositivos del personal se autentican correctamente (los registros del servidor RADIUS muestran Access-Accept), pero los dispositivos reciben una dirección APIPA 169.x.x.x en lugar de una IP corporativa. ¿Cuál es la causa más probable?

Sugerencia: El servidor RADIUS está aceptando la autenticación, por lo que el problema está ocurriendo después de la autenticación.

Ver respuesta modelo

El servidor RADIUS está devolviendo un atributo Tunnel-Private-Group-ID que especifica un ID de VLAN. El punto de acceso EnGenius intenta etiquetar el tráfico del cliente con esa VLAN, pero el puerto de enlace ascendente (uplink) en el switch ECS no está configurado como un puerto troncal (trunk) que transporte esa VLAN. El dispositivo se coloca en una VLAN que no tiene un servidor DHCP accesible. Solución: configura el puerto de enlace ascendente del switch ECS como trunk, permitiendo explícitamente el ID de VLAN devuelto por el servidor RADIUS.

Q3. El administrador de una propiedad de renta residencial te pregunta por qué recomiendas EnGenius MyPSK en lugar de crear un SSID independiente para cada una de las 80 unidades residenciales. Proporciona una justificación técnica.

Sugerencia: Considera el impacto de los beacons de SSID en el rendimiento de la red WiFi.

Ver respuesta modelo

Cada SSID transmite tramas de beacon a intervalos regulares (generalmente cada 100 ms). En un entorno denso, 80 SSIDs generarían una sobrecarga constante de beacons que consumiría un tiempo de aire significativo, reduciendo la capacidad disponible para el tráfico de datos real y degradando el rendimiento para todos los usuarios. La mayoría de los puntos de acceso empresariales también imponen un límite práctico de 8 a 16 SSIDs por radio. MyPSK ofrece el mismo aislamiento (cada residente en una VLAN única con una clave de cifrado única) utilizando un único SSID, eliminando por completo la sobrecarga de beacons. La PMK por usuario también evita que los residentes descifren el tráfico de los demás, algo que un solo PSK compartido no puede lograr.

Continúe leyendo esta serie

Integración de CommScope Ruckus con Purple WiFi: Guía de instalación y configuración

Esta guía de referencia técnica proporciona un manual de configuración definitivo para integrar arquitecturas de CommScope Ruckus con Purple WiFi. Detalla implementaciones paso a paso para Captive Portals de Guest WiFi, WiFi seguro para el personal a través de 802.1X y aislamiento de red multi-inquilino mediante Dynamic PSK de Ruckus.

Integración de Access Points Allied Telesis con Purple WiFi

Esta guía proporciona un manual de configuración completo para integrar los access points de la serie TQ de Allied Telesis con Purple WiFi. Cubre la redirección de Captive Portal externo, la autenticación RADIUS 802.1X y el direccionamiento dinámico de VLAN mediante claves privadas precompartidas (PPSK) para despliegues multi-inquilino seguros.

Grandstream GWN Access Points Integration with Purple WiFi

Esta guía de referencia técnica autorizada detalla cómo integrar los puntos de acceso Grandstream GWN con la plataforma de análisis y Guest WiFi de Purple. Cubre la configuración del Captive Portal de Grandstream, los ajustes de RADIUS AAA, la configuración del walled garden, la autenticación segura para el personal mediante 802.1X con direccionamiento dinámico de VLAN y la segmentación PPSK multi-tenant, proporcionando una guía paso a paso y práctica para MSPs y equipos de TI que despliegan WiFi para invitados y personal a gran escala.