Integración de Cambium Networks cnPilot y cnMaestro con Purple WiFi

Integración de Cambium Networks cnPilot y cnMaestro con Purple WiFi. Una sesión informativa para consultores. Bienvenido. Si opera un entorno de Cambium Networks y se le ha solicitado ofrecer una experiencia de WiFi para huéspedes que capture datos, impulse el marketing y cumpla con las normativas, esta sesión informativa es exactamente lo que necesita. Le guiaré a través de cómo se integran los puntos de acceso Cambium cnPilot, el controlador en la nube cnMaestro y Purple WiFi. Cubriremos la arquitectura, el flujo de autenticación RADIUS, la configuración del walled garden, el WiFi seguro para el personal mediante 802.1X y la segmentación multi-inquilino utilizando la función ePSK de Cambium con asignación dinámica de VLAN. Ya sea que gestione un complejo hotelero, un portafolio de retail, un centro de conferencias o un campus del sector público, los principios son los mismos. Comencemos. Primero, una rápida orientación sobre las dos plataformas. Cambium Networks produce la gama cnPilot de puntos de acceso WiFi empresariales: el e410, e425H, e430H y e505 para implementaciones en interiores y exteriores. Estos APs se gestionan de forma centralizada a través de cnMaestro, la plataforma de gestión en la nube de Cambium. cnMaestro le brinda visibilidad centralizada, gestión de configuración y actualizaciones de firmware en todo su inventario de APs, ya sea un puñado de dispositivos en un solo establecimiento o miles de APs en todo un territorio nacional. Purple WiFi es una plataforma de inteligencia de WiFi para huéspedes empresarial. Se encarga del Captive Portal (la página de inicio personalizada con su marca que ven sus huéspedes al conectarse) y también actúa como un servidor de autenticación RADIUS, un motor de captura de datos y una plataforma de automatización de marketing. Purple opera en más de 80,000 establecimientos activos y ha procesado 440 millones de inicios de sesión solo en 2024. La combinación de Cambium cnMaestro y Purple le ofrece una pila de WiFi para huéspedes de nivel de producción que es tanto técnicamente sólida como comercialmente valiosa. Ahora, hablemos de la arquitectura de integración. El mecanismo principal es una redirección de Captive Portal combinada con autenticación RADIUS. Así es como funciona el flujo en la práctica. Un dispositivo de huésped se asocia con su SSID de huéspedes. Ese SSID está configurado en cnMaestro como una red abierta, sin clave precompartida para los huéspedes. El AP de Cambium intercepta la primera solicitud HTTP del dispositivo y la redirecciona a la URL del Captive Portal de Purple. Esta redirección se configura en cnMaestro bajo la configuración de Guest Access de la WLAN, donde establece la URL de la página externa (External Page URL) al endpoint del portal de su establecimiento en Purple. El huésped luego interactúa con el portal de Purple. Puede autenticarse mediante inicio de sesión social, correo electrónico, verificación por SMS o un formulario personalizado. Una vez que completa el flujo de autenticación, el backend de Purple envía un mensaje RADIUS Access-Accept de vuelta al AP de Cambium en el puerto UDP 1812. El AP luego cambia el dispositivo del estado de preautenticación al acceso completo a la red. Permítame guiarle a través de los pasos de configuración exactos en cnMaestro. Navegue a Configuration, luego a WiFi Profiles y después a WLANs. Cree una nueva WLAN para su red de huéspedes. Establezca el nombre del SSID (algo como "Hotel Guest WiFi") y configure la seguridad en Open. En Guest Access, habilite la opción External Hotspot. Esta es la configuración clave que le indica a cnMaestro que redireccione a los clientes no autenticados a un portal externo. Establezca la URL de la página externa (External Page URL) con la URL del portal de su establecimiento en Purple. Habilite la autenticación RADIUS e ingrese la dirección IP del servidor RADIUS de Purple, el secreto compartido, y configure el puerto de autenticación en UDP 1812. Habilite la contabilidad (accounting) de RADIUS en el puerto UDP 1813; esto es fundamental para que las analíticas de Purple funcionen correctamente. Sin los registros de contabilidad, Purple no puede generar datos de sesión, métricas de tiempo de permanencia ni analíticas de frecuencia de visitas. Ahora, el walled garden. Esta es la lista de dominios y direcciones IP a los que los dispositivos de los huéspedes pueden acceder antes de autenticarse. Debe incluir en la lista blanca el dominio del portal de Purple y cualquier endpoint de CDN utilizado para servir los recursos del portal. También debe incluir en la lista blanca los dominios de los proveedores de autenticación; si utiliza el inicio de sesión social a través de Google o Facebook, sus dominios de OAuth deben estar en el walled garden. Un walled garden mal configurado es la causa más común de fallas en el Captive Portal. El dispositivo del huésped necesita resolver el DNS y acceder al portal de Purple a través de HTTPS antes de poder autenticarse. En cnMaestro, el walled garden se configura bajo los ajustes de External Hotspot. Agregue entradas para el dominio del portal de Purple, los dominios de los proveedores de inicio de sesión social y los dominios de las pasarelas de pago si ofrece planes de WiFi de pago. Ahora hablemos sobre el WiFi seguro para el personal utilizando IEEE 802.1X. Para las redes del personal, no se desea un Captive Portal. Se requiere una autenticación basada en certificados o credenciales que ocurra de forma silenciosa a nivel de dispositivo. En cnMaestro, cree una WLAN separada para el personal. Establezca la seguridad en WPA2-Enterprise. Configure los detalles del servidor RADIUS; nuevamente, la IP del servidor RADIUS de Purple en el puerto UDP 1812. Los dispositivos del personal se autentican utilizando EAP-PEAP con credenciales de usuario y contraseña, o EAP-TLS con certificados de dispositivo para obtener el nivel de seguridad más alto. Purple se integra con Microsoft Entra ID, Okta y Google Workspace como proveedores de identidad. Esto significa que su personal puede autenticarse en el WiFi utilizando sus credenciales corporativas existentes, sin necesidad de gestionar una contraseña de WiFi separada. Purple valida las credenciales contra su proveedor de identidad y devuelve un Access-Accept al AP de Cambium. La asignación dinámica de VLAN coloca entonces el dispositivo del personal autenticado en la VLAN de personal correcta, aislándolo del tráfico de huéspedes. Ahora, la segmentación multi-inquilino utilizando Cambium ePSK. ePSK (Enhanced Pre-Shared Key) es la implementación de Cambium de lo que la industria llama PPSK o iPSK. El concepto es sencillo: en lugar de una contraseña compartida para todo un SSID, cada usuario o inquilino obtiene su propia contraseña única. Todos se conectan al mismo SSID, pero cada clave única se mapea a una VLAN específica, lo que le brinda aislamiento de red sin la complejidad de ejecutar múltiples SSIDs. cnMaestro admite hasta 2,000 entradas ePSK por WLAN. A cada ePSK se le puede asignar un ID de VLAN específico, un límite de velocidad y una fecha de vencimiento. Esto lo hace ideal para entornos multi-inquilino; piense en un centro de conferencias donde cada expositor obtiene su propio segmento de red aislado, o un edificio residencial de alquiler donde cada residente obtiene su propia red de área privada. Para configurar ePSK en cnMaestro, navegue a Configuration, WiFi Profiles, WLANs. Cree una nueva WLAN. Establezca la seguridad en WPA2 Pre-Shared Key. Habilite la opción ePSK. Luego puede agregar entradas ePSK individuales manualmente o utilizar la API de cnMaestro para aprovisionarlas mediante programación, que es el enfoque recomendado para implementaciones a gran escala. Para cada entrada ePSK, establezca la contraseña, el ID de VLAN asignado y, opcionalmente, el límite de velocidad y el vencimiento. Cuando un dispositivo se conecta utilizando esa contraseña, el AP de Cambium lo coloca automáticamente en la VLAN asignada. No se requiere RADIUS para el flujo de ePSK en sí; la asignación de VLAN se maneja localmente por el AP en función de la contraseña utilizada. Purple se integra con este modelo gestionando el ciclo de vida de ePSK a través de la API de cnMaestro. Purple puede aprovisionar nuevas entradas ePSK cuando se incorpora un nuevo inquilino, actualizar la asignación de VLAN, establecer fechas de vencimiento y revocar el acceso cuando un inquilino se marcha. Esto elimina la carga de trabajo manual de gestionar cientos o miles de claves individuales. Bien, hablemos de lo que puede salir mal y cómo evitarlo. El error más común es el walled garden. Si las entradas de su walled garden están incompletas, la redirección del Captive Portal nunca se completa. Los huéspedes ven un tiempo de espera de conexión agotado, no una página de inicio de sesión. Pruebe siempre con un dispositivo nuevo, no con uno que se haya conectado previamente, y verifique que el portal de Purple se cargue antes de la autenticación. Compruebe que la resolución de DNS funcione para el dominio del portal de Purple desde el estado de preautenticación. Segundo: discrepancias en el secreto compartido de RADIUS. En implementaciones grandes con múltiples sitios, es fácil tener un secreto compartido configurado de manera diferente en cnMaestro en comparación con lo que Purple tiene registrado. Verifique siempre el secreto compartido en ambos lados antes de la puesta en marcha. Utilice un secreto fuerte generado aleatoriamente (de al menos 32 caracteres) y almacénelo en un gestor de secretos, no en una hoja de cálculo. Tercero: contabilidad (accounting) de RADIUS. No la omita. Los registros de contabilidad son lo que utiliza Purple para generar analíticas de sesión: tiempo de permanencia, frecuencia de visitas, tipo de dispositivo. Configure la contabilidad RADIUS en el puerto UDP 1813 en cnMaestro. Sin ella, perderá el valor analítico que proporciona Purple. Es un paso de configuración de cinco minutos. Cuarto: trunking de VLAN. Para que funcione la asignación dinámica de VLAN, las VLANs deben estar configuradas en modo trunk en los puertos del switch que se conectan a sus APs de Cambium. Si la VLAN 100 para huéspedes no está permitida en el trunk, los huéspedes autenticados no obtendrán una dirección IP y parecerá que no tienen acceso a Internet incluso después de una autenticación exitosa. Verifique la configuración del trunk de su switch antes de realizar las pruebas. Quinto: conflictos en el rango de VLAN de ePSK. Asegúrese de que su rango de VLAN de ePSK no entre en conflicto con las VLANs existentes en su red, especialmente las VLANs de administración o de infraestructura. Documente su asignación de VLAN antes de comenzar. Sexto: versión de firmware. Asegúrese de que sus APs cnPilot ejecuten la versión de firmware 6.0 o posterior para obtener soporte completo de hotspot externo y funcionalidad ePSK. Las versiones de firmware anteriores tienen problemas conocidos con el comportamiento de redirección del Captive Portal. Ahora, algunas preguntas rápidas. ¿Puedo usar Purple con Cambium sin RADIUS, solo con una redirección simple? Sí, pero perderá la asignación dinámica de VLAN y los datos de contabilidad de la sesión. Para cualquier cosa que vaya más allá de una página de inicio básica, se recomienda encarecidamente RADIUS. ¿Soporta Purple WPA3 en los APs de Cambium? Sí. La autenticación basada en portal de Purple es compatible con WPA3-SAE en el SSID. El flujo de RADIUS es independiente del protocolo de seguridad inalámbrica. ¿Puedo ejecutar Purple en múltiples sitios de Cambium desde una sola cuenta de Purple? Absolutamente. La arquitectura multi-establecimiento de Purple está diseñada exactamente para esto. Cada sitio se mapea a un establecimiento en Purple, y las políticas de red de cnMaestro se escalan limpiamente en todo un territorio nacional. ¿Cuántas entradas ePSK puede admitir cnMaestro? Hasta 2,000 por WLAN. Para implementaciones que requieran más, utilice un enfoque basado en RADIUS para la gestión de claves. En resumen: la integración de Cambium cnMaestro y Purple WiFi es una arquitectura bien probada que ofrece WiFi para huéspedes con captura de datos, autenticación RADIUS, segmentación dinámica de VLAN y analíticas completas, todo gestionado de forma centralizada a través de la consola en la nube de cnMaestro. Los pasos clave para poner esto en marcha: configure su WLAN de huéspedes en cnMaestro con External Hotspot habilitado y la URL del portal de Purple establecida, agregue los detalles del servidor RADIUS de Purple para autenticación y contabilidad, configure sus entradas de walled garden, verifique el trunking de VLAN en sus switches y realice pruebas con un dispositivo nuevo antes de la puesta en marcha. Para implementaciones multi-inquilino, configure ePSK en una WLAN dedicada, asigne IDs de VLAN por inquilino y utilice la API de cnMaestro para la gestión del ciclo de vida a escala. El caso de ROI es sencillo. La plataforma de analíticas de Purple convierte su WiFi para huéspedes de un centro de costos a un activo de datos de primera mano. Harrods logró un ROI de marketing de 57 veces con su implementación de WiFi para huéspedes de Purple. AGS Airports generó un ROI del 842%. Combinado con la infraestructura de nivel empresarial de Cambium, obtiene una solución que se escala desde un solo establecimiento hasta un territorio nacional sin cambios arquitectónicos. Para sus próximos pasos: obtenga los detalles del servidor RADIUS de Purple de su gerente de cuenta de Purple, abra la configuración de la WLAN de cnMaestro para su SSID de huéspedes y revise la lista de verificación de configuración. La mayoría de las implementaciones en un solo sitio se ponen en marcha en un día. Gracias por escuchar. Si desea profundizar en el diseño del Captive Portal, la estrategia de segmentación de VLAN o la gestión del ciclo de vida de ePSK, la documentación de Purple y el equipo de soporte son el siguiente paso ideal.