Integración de Cisco WLC y Catalyst con Purple WiFi: Guía de acceso de invitados paso a paso

Bienvenido a la serie de informes técnicos de Purple. Hoy cubriremos algo que llega al escritorio de casi todos los arquitectos de redes empresariales que trabajan en hotelería, comercio minorista o instalaciones a gran escala: la integración de los controladores de LAN inalámbricos de Cisco y la infraestructura inalámbrica Catalyst con la plataforma Guest WiFi de Purple. Si opera controladores de la serie Cisco Catalyst 9800 o la plataforma heredada AireOS, y necesita ofrecer una red de invitados que cumpla con las normativas, esté segmentada y se base en análisis, este informe es para usted. [medium pause] Comencemos con el contexto. Purple opera en más de 80,000 ubicaciones activas en todo el mundo, y Cisco es el proveedor de infraestructura inalámbrica dominante en entornos empresariales. Lograr que estas dos plataformas funcionen juntas de manera limpia no es complicado, pero requiere que tome las decisiones de arquitectura correctas desde el principio. Si se equivoca, pasará semanas solucionando bucles de redirección, desajustes de VLAN y tiempos de espera de RADIUS. Si lo hace bien, tendrá una red que segmenta automáticamente a los invitados, al personal y a los dispositivos IoT, recopila datos de origen de manera conforme a las normas y se escala en cientos de sitios sin intervención manual. [medium pause] Así que entremos en la arquitectura. [short pause] Cuando un invitado se conecta a su red WiFi en una implementación de Cisco, hay tres cosas que deben suceder antes de que acceda a Internet. Primero, el WLC Cisco Catalyst 9800 debe interceptar esa solicitud HTTP inicial y redirigir al cliente al Captive Portal de Purple. Segundo, el portal de Purple debe autenticar al usuario, ya sea a través de inicio de sesión social, correo electrónico, SMS o una simple aceptación de términos y condiciones. Tercero, el servidor RADIUS de Purple debe enviar una señal de retorno al WLC de que el usuario está autorizado y, opcionalmente, asignarlo a una VLAN específica. [medium pause] El mecanismo que maneja el paso uno se llama External Web Authentication o EWA. En el Catalyst 9800, usted configura un mapa de parámetros de autenticación web que apunta a la URL de la página de bienvenida de Purple. El WLC intercepta todo el tráfico HTTP de los clientes no autenticados y emite una redirección 302 a esa URL. También deberá configurar una ACL de preautenticación, o utilizar la función de filtro de URL del 9800, para permitir en la lista blanca las direcciones IP del portal de Purple para que los clientes puedan llegar a la página de bienvenida antes de estar autenticados. Purple proporciona dos direcciones IP para su portal, y deberá permitir ambas en su ACL de preautenticación. [medium pause] Aquí está la secuencia de configuración para el Catalyst 9800. Primero, cree el mapa de parámetros. Luego, configure su filtro de URL para permitir el dominio de Purple antes de la autenticación. Aplique esto a su perfil de política de WLAN, configure la seguridad de Capa 2 en Ninguna, habilite la Política Web en la Capa 3 y apúntela a su mapa de parámetros. [medium pause] Ahora, RADIUS. Purple actúa como el servidor RADIUS en esta arquitectura. Configure el WLC para que apunte al endpoint RADIUS de Purple, el cual encontrará en el panel de Purple bajo la configuración de red de su establecimiento. La clave compartida se genera por establecimiento. En el Catalyst 9800, navegue a Configuration, Security, AAA, Servers, y agregue el servidor RADIUS de Purple con la IP correcta y la clave compartida. Luego, cree un grupo de servidores, una lista de métodos de autenticación y aplíquela a su WLAN. [medium pause] Algo que suele causar confusión: en el 9800, también debe configurar la dirección IP virtual en el mapa de parámetros de autenticación web global. Utilice 192.0.2.1 como la dirección IPv4 virtual. Si omite este paso, los clientes a veces serán redirigidos al portal interno en lugar de al portal de Purple, y pasará una tarde frustrante preguntándose por qué. [medium pause] Pasemos a Staff WiFi con 802.1X. [short pause] Para las redes del personal, se recomienda la autenticación basada en certificados mediante EAP-TLS, o como mínimo PEAP con MSCHAPv2 para entornos donde la implementación de certificados no sea viable. En el Catalyst 9800, cree una WLAN independiente para el personal, establezca la seguridad de Capa 2 en WPA2 Enterprise y apunte la autenticación a su servidor RADIUS. Si utiliza Microsoft Entra ID u Okta como su proveedor de identidad, el complemento SecurePass de Purple actúa como el proxy RADIUS, traduciendo las solicitudes de autenticación 802.1X en consultas al proveedor de identidad. Esto significa que no necesita un servidor RADIUS local independiente para la autenticación del personal. Purple gestiona la terminación EAP y reenvía la verificación de identidad a su proveedor de identidad. [medium pause] Específicamente para EAP-TLS, necesitará implementar certificados de cliente en los dispositivos del personal, ya sea a través de Microsoft Intune, Jamf o una plataforma MDM similar. La cadena de certificados debe ser de confianza para el servidor RADIUS de Purple, lo que significa subir su certificado de CA raíz al panel de Purple. Una vez configurado, los dispositivos del personal se autentican de forma silenciosa, sin solicitudes de contraseña ni páginas de inicio. El usuario se conecta, el certificado se valida y están en la VLAN del personal en cuestión de segundos. [medium pause] Ahora, la parte que a la mayoría de los arquitectos les resulta verdaderamente interesante: Cisco Identity PSK, o iPSK. [short pause] iPSK resuelve un problema específico que surge constantemente en entornos multi-inquilino. Imagine un hotel con 300 habitaciones, una cadena de tiendas con 50 sucursales o un desarrollo de viviendas en renta con 200 departamentos. Desea un único SSID, pero necesita que cada inquilino, habitación o grupo de dispositivos esté aislado en su propia VLAN. La solución tradicional era crear un SSID independiente por inquilino, lo cual no es escalable y genera congestión de radiofrecuencia. iPSK le ofrece un único SSID donde cada cliente o grupo de clientes tiene una clave precompartida única, y el servidor RADIUS mapea esa clave a una VLAN específica. [medium pause] Así es como funciona técnicamente. Cuando un cliente se asocia al SSID, el Catalyst 9800 WLC envía una solicitud RADIUS Access-Request al servidor RADIUS de Purple, incluyendo la dirección MAC del cliente. El servidor RADIUS de Purple busca esa dirección MAC en su base de datos iPSK, encuentra la PSK asociada y la asignación de VLAN, y devuelve una respuesta RADIUS Access-Accept que contiene el par Cisco AV con la PSK y los atributos de túnel IETF para la asignación de VLAN. El WLC utiliza la PSK devuelta para completar el saludo de cuatro vías de WPA2 y luego coloca al cliente en la VLAN asignada. [medium pause] Los tres atributos RADIUS que necesita para la asignación dinámica de VLAN son: el atributo IETF 64, Tunnel-Type, configurado en VLAN con un valor de 13. El atributo IETF 65, Tunnel-Medium-Type, configurado en 802 con un valor de 6. Y el atributo IETF 81, Tunnel-Private-Group-ID, configurado con el ID de la VLAN como una cadena. Estos tres atributos, enviados juntos en el RADIUS Access-Accept, le indican al WLC exactamente qué VLAN asignar. La VLAN ya debe existir en el WLC como una interfaz dinámica, y el puerto de enlace ascendente del switch debe estar configurado como un enlace troncal (trunk) que transporte todas las VLANs relevantes. [medium pause] En el lado del WLC, habilite el filtrado MAC en la WLAN iPSK, habilite AAA Override y configure la seguridad de Capa 2 en WPA2-PSK. La PSK global que configure en la WLAN actúa únicamente como respaldo. La PSK devuelta por RADIUS tiene prioridad para cualquier cliente cuya dirección MAC esté registrada en la base de datos iPSK de Purple. Para los dispositivos no registrados, puede denegar el acceso o recurrir a la PSK global, según su política. [medium pause] Permítame presentarle dos escenarios del mundo real para concretar esto. [short pause] Primer escenario: un hotel de 200 habitaciones. El hotel quiere que los huéspedes estén en la VLAN 10 únicamente con acceso a internet, el personal en la VLAN 20 con acceso al sistema de gestión de la propiedad, y los dispositivos IoT (cerraduras de puertas, termostatos, CCTV) en la VLAN 30 sin acceso a internet. Tienen controladores Cisco Catalyst 9800 con puntos de acceso de la serie Cisco 9100. [medium pause] La arquitectura: tres perfiles de políticas en el WLC, uno por VLAN. Un único SSID para huéspedes que utiliza External Web Authentication que apunta a Purple. Un SSID independiente para el personal que utiliza WPA2 Enterprise con EAP-TLS, autenticado a través de Purple SecurePass contra Microsoft Entra ID. E iPSK para los dispositivos IoT, con la dirección MAC de cada dispositivo registrada en el portal de Purple y asignada a la VLAN 30. El sistema de gestión de la propiedad del hotel aprovisiona los nuevos dispositivos IoT a través de la API de Purple, por lo que cuando se instala una nueva cerradura, su dirección MAC se registra automáticamente y se asigna a la VLAN correcta. No se requiere configuración manual de RADIUS. [medium pause] Segundo escenario: una cadena minorista con 80 tiendas. Cada tienda tiene una red WiFi para huéspedes, una red para el personal y una red para terminales de pago. El cumplimiento de PCI-DSS exige que la red de terminales de pago esté completamente aislada de la red de huéspedes. El minorista utiliza controladores Cisco Catalyst 9800-L en cada sitio, administrados de forma centralizada a través de Cisco Catalyst Centre. [medium pause] Purple se despliega como un overlay en la nube. El WLC de cada tienda se configura con los detalles del servidor RADIUS de Purple. La autenticación de invitados utiliza una página de inicio de sesión de marca propia con captura de correo electrónico, la cual envía datos de primera fuente a la plataforma de analítica de Purple. La autenticación del personal utiliza PEAP contra Active Directory a través de Purple SecurePass. Las terminales de pago utilizan iPSK con una VLAN dedicada, y la ACL de preautenticación bloquea explícitamente cualquier tráfico entre la VLAN de pago y la VLAN de invitados, cumpliendo con el requisito 1.3 de PCI-DSS para la segmentación de red. [medium pause] Ahora hablemos de los posibles inconvenientes. [short pause] El modo de falla más común es el bucle de redirección. Esto sucede cuando la ACL de preautenticación no incluye correctamente en la lista de permitidos las direcciones IP del portal de Purple, por lo que el WLC redirecciona al cliente al portal de Purple, pero el cliente no puede acceder al portal porque la ACL lo bloquea, de modo que el WLC vuelve a redireccionar indefinidamente. Solución: verifique que su filtro de URL o ACL de preautenticación incluya ambas direcciones IP del portal de Purple y confirme que la resolución de DNS esté permitida antes de la autenticación. [medium pause] El segundo problema común es la discrepancia de VLAN. El servidor RADIUS devuelve un ID de VLAN que no existe como interfaz dinámica en el WLC. El WLC coloca entonces al cliente en la VLAN nativa, que suele ser la VLAN de administración. Esto representa un riesgo de seguridad. Solución: antes de implementar, audite sus interfaces dinámicas de WLC frente a los ID de VLAN configurados en las políticas RADIUS de Purple. Deben coincidir exactamente. [medium pause] Tercer inconveniente: fallas de confianza en los certificados en despliegues EAP-TLS. Si la cadena de certificados del cliente no es confiable para el servidor RADIUS de Purple, la autenticación falla de forma silenciosa desde la perspectiva del usuario. Simplemente no pueden conectarse. Solución: cargue su CA raíz y cualquier certificado de CA intermedia en la configuración de Purple SecurePass antes de desplegar los certificados de cliente. Realice pruebas con un solo dispositivo antes de distribuirlos a toda la flota. [medium pause] Preguntas rápidas. [short pause] ¿Puedo utilizar Purple con Cisco Meraki en lugar de WLC? Sí. Cisco Meraki tiene su propio mecanismo de integración de portal cautivo y Purple lo admite de forma nativa. La configuración de RADIUS es similar, pero utiliza el panel de Meraki en lugar de la línea de comandos de WLC. [short pause] ¿Admite Purple WPA3 en Cisco? Sí. WPA3-SAE es compatible con Cisco Catalyst 9800 con IOS-XE 17.3 y versiones posteriores. La integración de RADIUS de Purple funciona de manera idéntica con WPA3. [short pause] ¿Cuál es la recomendación para el tiempo de espera de RADIUS? Establezca el tiempo de espera de su servidor RADIUS primario en tres segundos con dos intentos. Configure un servidor RADIUS secundario para la tolerancia a fallas. Purple proporciona endpoints de RADIUS redundantes para clientes empresariales. [short pause] ¿Puedo utilizar Cisco ISE junto con Purple? Sí. Algunas organizaciones utilizan ISE para la evaluación del estado de seguridad y el perfilado de dispositivos, mientras que utilizan Purple para el portal de invitados y la analítica. Los dos servidores RADIUS se configuran en WLAN independientes. [medium pause] En resumen. [short pause] La infraestructura inalámbrica Cisco WLC y Catalyst se integra a la perfección con Purple mediante External Web Authentication para la redirección del Captive Portal de invitados, 802.1X EAP-TLS o PEAP para la autenticación del personal a través de Purple SecurePass, y Cisco iPSK con asignación dinámica de VLAN para la segmentación multi-tenant y de IoT. Los tres atributos de VLAN de RADIUS, Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID, son el mecanismo que impulsa la segmentación dinámica. Configure correctamente sus ACLs de preautenticación, asegúrese de que sus IDs de VLAN coincidan entre RADIUS y WLC, y pruebe las cadenas de confianza de los certificados antes del despliegue en la flota. [medium pause] Purple opera en más de 80,000 establecimientos y ha procesado 440 millones de inicios de sesión en 2024. La integración con Cisco es una de nuestras configuraciones más implementadas a nivel global. Si desea comenzar, el panel de Purple lo guiará paso a paso a través de la configuración de RADIUS por establecimiento, y nuestro equipo de integración está disponible para despliegues empresariales. [medium pause] Eso es todo por este reporte. Gracias por escuchar.