Administración del ancho de banda para WiFi de personal: modelado, QoS y reducción de tráfico

Gestión del ancho de banda para WiFi de empleados: modelado de tráfico, QoS y reducción del tráfico. Un informe técnico de Purple. Bienvenido. Si está escuchando esto, es probable que se esté enfrentando a una de las quejas más comunes en el área de TI empresarial: los empleados que dicen que el WiFi es lento. Tal vez sea el equipo operativo de un hotel que tiene dificultades para procesar los registros de entrada. Tal vez sea una cadena de tiendas de retail donde las terminales de punto de venta (POS) están agotando el tiempo de espera. O tal vez sea un centro de convenciones donde el equipo de producción audiovisual no puede conseguir una conexión estable durante un evento en vivo. Independientemente del contexto, la causa principal casi siempre es la misma: tiene más tráfico del que su red está diseñada para manejar y el tráfico incorrecto está recibiendo prioridad. En este informe técnico, cubriremos tres aspectos: cómo funcionan realmente el modelado de tráfico y QoS en un entorno de WiFi de empleados, cómo se ve una implementación práctica en diferentes tipos de establecimientos y cómo la implementación de Purple Shield para el bloqueo de anuncios puede reducir la carga general de su red en una cantidad significativa, sin modificar su velocidad de línea ni gastar en actualizaciones de infraestructura. Comencemos. Sección uno: Comprensión del problema. La mayoría de los establecimientos empresariales operan con una conexión de internet compartida. El WiFi de empleados, el WiFi de invitados, los sistemas internos, las cámaras de videovigilancia y los sistemas de gestión del edificio comparten el mismo canal de subida. Cuando ese canal se congestiona, todo se degrada. Pero no todo el tráfico es igual. Que una llamada de VoIP se corte a mitad de una frase es catastrófico. Que una actualización de software tarde dos minutos más es irrelevante. El problema es que sin una gestión activa, su red no nota la diferencia. El modelado de tráfico es el mecanismo que utiliza para indicarle a la red qué tráfico es el importante. Quality of Service, o QoS, es el marco de trabajo que define las reglas. Juntos, le permiten garantizar el ancho de banda a las aplicaciones críticas y limitar todo lo demás. El estándar IEEE 802.11e introdujo QoS en las redes inalámbricas a través de un mecanismo llamado WMM (Wireless Multimedia). WMM define cuatro categorías de acceso: voz, video, mejor esfuerzo (best effort) y segundo plano (background). Todos los puntos de acceso modernos de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi son compatibles con WMM. La pregunta es si lo está utilizando correctamente. En el lado cableado, QoS se implementa mediante marcado DSCP (Differentiated Services Code Point) en el encabezado IP. El DSCP EF, que significa Expedited Forwarding, se utiliza para el tráfico de voz. El DSCP AF41 se utiliza para videoconferencias. El DSCP CS1 es la clase de segundo plano: actualizaciones de software, transferencias de archivos pesados y cualquier transacción que pueda esperar. Cuando asigna el tráfico de su aplicación al marcado DSCP correcto y configura sus switches y puntos de acceso para que los respeten, obtiene un rendimiento predecible para las aplicaciones importantes. Sección dos: Arquitectura y segmentación. Antes de configurar QoS, es necesario segmentar la red correctamente. El WiFi para el personal debe estar en su propia VLAN (red de área local virtual), completamente aislada del WiFi para invitados y de los dispositivos IoT. Esto no es solo un requisito de seguridad bajo PCI-DSS y GDPR; es un prerrequisito para un QoS efectivo, ya que permite aplicar diferentes políticas a distintas VLAN. Una arquitectura típica de un sitio empresarial se ve así: se tiene un switch central conectado a la puerta de enlace de internet. A partir de ese switch, se configuran múltiples VLAN: una para dispositivos del personal, otra para el acceso de invitados, una para los sistemas de punto de venta y pago, y otra para la gestión del edificio. Cada VLAN tiene su propia política de QoS. La VLAN del personal recibe la mayor asignación de ancho de banda garantizada. La VLAN de invitados obtiene un límite de velocidad por usuario (normalmente de dos a cinco megabits por segundo de bajada) para que ningún visitante sature la conexión. En la propia VLAN del personal, se aplica QoS sensible a las aplicaciones. Las transacciones de punto de venta y el tráfico de autenticación RADIUS reciben DSCP EF (la prioridad más alta). El sistema ERP y las herramientas de videoconferencia reciben DSCP AF41. La navegación web general recibe el mejor esfuerzo posible. Las actualizaciones de software y las descargas de parches de sistema operativo reciben DSCP CS1: se ejecutan en segundo plano y no compiten con el tráfico operativo. Para la autenticación, los dispositivos del personal deben autenticarse mediante 802.1X con EAP-TLS (basado en certificados) o PEAP con MSCHAPv2 contra su servidor RADIUS. Si utiliza Microsoft Entra ID, Okta o Google Workspace, Purple se integra directamente con los tres a través de SAML y SCIM, de modo que su proveedor de identidad se convierte en la fuente de verdad para el acceso a la red. Cuando un miembro del personal se va, se revoca su acceso en Entra ID y el acceso a la red desaparece automáticamente. Sección tres: El consumo oculto de ancho de banda, y cómo Shield lo soluciona. Esto es algo en lo que la mayoría de los equipos de TI no piensan. Una parte significativa del tráfico en el WiFi de su personal no tiene nada que ver con su negocio. Cada página web que visita un miembro del personal carga docenas de redes publicitarias de terceros, píxeles de seguimiento, scripts de análisis y endpoints de telemetría. Las investigaciones de Ghostery y análisis similares de bloqueo de publicidad muestran de manera consistente que las solicitudes de anuncios y rastreadores representan entre el 25% y el 40% del total de solicitudes HTTP en una sesión de navegación típica. Ese tráfico consume ancho de banda real. Consume capacidad de consultas DNS. Añade latencia a cada carga de página. E introduce riesgos de seguridad: la publicidad maliciosa, las descargas silenciosas y la filtración de datos a través de píxeles de seguimiento son vectores de ataque reales. Purple Shield aborda esto a nivel de red. En lugar de depender de extensiones de navegador que el personal puede o no tener instaladas, Shield funciona como un filtro a nivel de DNS. Cada consulta DNS de la VLAN del personal pasa por la lista de bloqueo de Shield antes de resolverse. Los dominios de redes publicitarias, los endpoints de rastreadores conocidos y los dominios maliciosos se bloquean antes de que se descargue un solo byte de contenido. El dispositivo nunca realiza la conexión. El ancho de banda nunca se consume.En la práctica, los establecimientos que implementan Shield en su WiFi para el personal reportan una reducción en el volumen total de consultas DNS de alrededor del 30%. Eso es ancho de banda que antes se desperdiciaba en anuncios y rastreadores, y que ahora está disponible para su sistema ERP, sus videollamadas y sus terminales de punto de venta. Obtiene el equivalente a una actualización del 30% en el ancho de banda sin tener que pagar por una línea más rápida. Shield también reduce su exposición de seguridad. Al bloquear dominios maliciosos conocidos en la capa DNS, elimina una categoría de amenaza que el antivirus de endpoint suele pasar por alto, en particular para los dispositivos IoT y las terminales compartidas que no ejecutan software de seguridad tradicional. Sección cuatro: Implementación en el mundo real. Permítame guiarlo a través de dos escenarios. Primero: un hotel de 200 habitaciones. El equipo de administración interna opera un software de gestión hotelera, un sistema de telefonía VoIP y una plataforma de videovigilancia a través de la misma red. El WiFi para huéspedes está en una VLAN independiente con un límite de cinco megabits por usuario, pero la VLAN del personal no tiene una política de QoS. Durante los períodos de mayor afluencia de check-in, el sistema de gestión hotelera se ralentiza considerablemente porque el personal está transmitiendo música y el sistema de vigilancia está cargando grabaciones. La solución: aplicar DSCP EF al tráfico del sistema de gestión hotelera y al sistema VoIP. Aplicar DSCP AF41 al tráfico de carga de la videovigilancia - es importante pero no sensible a la latencia. Aplicar DSCP CS1 a todo lo demás. Implementar Shield en la VLAN del personal para eliminar el tráfico de anuncios y rastreadores. Resultado: los tiempos de respuesta del sistema de gestión hotelera disminuyen en más de un 40% durante los períodos de mayor actividad. La calidad de las llamadas VoIP mejora notablemente en la escala del Mean Opinion Score que se utiliza para calificar la calidad de voz. Segundo: una cadena de retail con 50 tiendas. Cada tienda tiene una única conexión de banda ancha de 100 megabits compartida entre el WiFi del personal, el WiFi para huéspedes y las terminales de punto de venta. Durante los períodos comerciales de mayor actividad, la navegación del personal en sus dispositivos personales satura la conexión y las transacciones de punto de venta comienzan a agotar el tiempo de espera. La cadena está considerando actualizar a líneas de 200 megabits con un costo de alrededor de 18,000 libras al año en todo el corporativo. La solución: segmentar las terminales de punto de venta en una VLAN dedicada con ancho de banda garantizado. Aplicar límites de velocidad por usuario en la VLAN de WiFi para el personal - 10 megabits por usuario de bajada y dos megabits de subida. Implementar Shield para eliminar el tráfico de anuncios. Esta combinación reduce la utilización máxima en un 35%, los tiempos de espera agotados en los puntos de venta disminuyen a cero y la actualización de la línea se pospone de forma indefinida. El ahorro anual únicamente en costos de línea es de 18,000 libras. La configuración de Shield y QoS cuesta solo una fracción de eso. Sección cinco: Errores comunes de implementación. Algunas cosas que debe tener en cuenta. Reclasificación de DSCP. Muchos ISP y algunos switches empresariales eliminan o vuelven a clasificar los valores de DSCP en el límite de la red. Verifique que sus marcas de QoS sobrevivan a toda la ruta desde el dispositivo hasta la aplicación. Utilice una captura de paquetes en la puerta de enlace para verificarlo. WMM y dispositivos heredados. Algunos dispositivos más antiguos - en particular las terminales compartidas y los sensores IoT - no son compatibles con WMM de manera adecuada. Pueden ignorar las marcas de QoS o generar tráfico con valores DSCP incorrectos. Audite su inventario de dispositivos antes de implementar políticas de QoS. Limitación de velocidad y ráfagas de tráfico. Un límite de velocidad estricto de 10 megabits por usuario suena razonable, pero si 20 miembros del personal inician actualizaciones de software simultáneamente, alcanzará el límite agregado. Utilice el modelado de tráfico de cubo de tokens (token bucket) con una asignación de ráfagas en lugar de un regulador estricto. Esto permite ráfagas cortas mientras restringe el uso continuo de banda ancha alta. Shield y DNS-over-HTTPS. Si los dispositivos del personal utilizan DNS-over-HTTPS para evadir su sistema de resolución de DNS, el filtrado de Shield no se aplicará. Debe bloquear DNS-over-HTTPS en el firewall o configurar sus dispositivos mediante MDM para que utilicen su sistema de resolución de DNS interno. Este es un paso de configuración de una sola vez, no una carga de gestión continua. Sección seis: Preguntas rápidas. ¿Necesito QoS si tengo suficiente ancho de banda? Sí. El ancho de banda no es lo mismo que el rendimiento. Una conexión de 1 gigabit sin QoS seguirá ofreciendo una calidad de VoIP deficiente si un solo dispositivo está realizando una transferencia de archivos de gran volumen. QoS garantiza que el tráfico sensible a la latencia obtenga la prioridad de cola que necesita, independientemente del rendimiento total. ¿Puedo implementar Shield sin cambiar mi hardware existente? Sí. Shield funciona como una superposición de DNS. Apunte su servidor DHCP a los sistemas de resolución de DNS de Purple y Shield se aplicará de inmediato. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet - sin necesidad de realizar cambios de hardware. ¿Cómo mido el impacto? Realice un seguimiento de tres métricas antes y después de la implementación: el porcentaje de utilización máxima en su enlace ascendente, el volumen de consultas DNS por hora y los tiempos de respuesta de las aplicaciones para sus sistemas críticos. El panel de Purple muestra los tres en tiempo real. Sección siete: Resumen y siguientes pasos. En resumen. Administrar el ancho de banda para el WiFi del personal no se trata de comprar más ancho de banda. Se trata de asegurarse de que el ancho de banda que tiene se dirija a los lugares correctos. El modelado de tráfico y QoS le brindan el control. Purple Shield le brinda la reducción. Juntos, ofrecen mejoras medibles en el rendimiento de las aplicaciones sin gastos de infraestructura. Sus siguientes pasos: audite su estructura de VLAN actual y confirme que el WiFi del personal esté aislado del tráfico de invitados y de IoT. Asocie sus aplicaciones críticas a clases DSCP. Implemente Shield en su VLAN del personal y mida la reducción de consultas DNS. Revise sus límites de velocidad por usuario trimestralmente a medida que cambie el número de dispositivos. Si desea profundizar en cualquiera de estos temas, la guía escrita completa está disponible en purple.ai. Cubre la arquitectura técnica en detalle, incluye ejemplos de configuración para las principales plataformas de hardware y describe el cálculo del ROI para la implementación de Shield. Gracias por escuchar. Esta ha sido una sesión informativa técnica de Purple.