EnGenius Cloud Access Points Integration with Purple WiFi

GUION DE PODCAST: Integración de Access Points de EnGenius Cloud con Purple WiFi Plataforma de Inteligencia Purple WiFi - Serie de Sesiones Informativas Técnicas Duración: Aproximadamente 10 minutos Voz: Inglés británico, tono de consultor senior: seguro, conversacional, con autoridad [INTRODUCCIÓN - 1 MINUTO] Le damos la bienvenida a la Serie de Sesiones Informativas Técnicas de Purple. Hoy abordaremos algo que surge con regularidad en las implementaciones empresariales: la integración de los access points de EnGenius Cloud con la plataforma de guest WiFi de Purple. Si usted administra un entorno EnGenius, ya sean access points de la serie ECW en un hotel, una cadena de tiendas de retail o un edificio de oficinas multiinquilino, y desea agregar un Captive Portal con su marca, recopilar datos de visitantes de primera fuente y aplicar una segmentación de red adecuada, esta sesión es para usted. En los próximos diez minutos, quiero guiarle a través de las cuatro áreas principales de configuración: redirección del Captive Portal para invitados, configuración del walled garden, WiFi seguro para el personal mediante 802.1X y aislamiento multiinquilino utilizando EnGenius MyPSK con asignación dinámica de VLAN. Al finalizar, tendrá una imagen clara de qué configurar exactamente, en qué orden y cuáles son los errores comunes. Comencemos. [ANÁLISIS TÉCNICO DETALLADO - 5 MINUTOS] Empecemos con el Captive Portal para invitados, el punto de partida más común para cualquier operador de establecimientos. EnGenius Cloud es compatible de forma nativa con páginas de inicio externas. Esto significa que en lugar de alojar una página de inicio de sesión básica en el propio access point, usted redirige a los invitados no autenticados al portal alojado en la nube de Purple. Aquí es donde residen la imagen de marca, la captura de datos, la gestión del consentimiento y las herramientas de analítica. Este es el orden de configuración en EnGenius Cloud. Inicie sesión en su panel de EnGenius Cloud y vaya a Configure, luego a SSID. Seleccione su SSID de invitados. En la pestaña Wireless, establezca el tipo de seguridad en Open o WPA2 PSK, según su preferencia. Open es el estándar para la mayoría de las implementaciones de guest WiFi. Luego, cambie a la pestaña Captive Portal. Active el Captive Portal y configure el Authentication Type en Custom RADIUS. Esta es la configuración clave. Le indica al access point que reenvíe las solicitudes de autenticación a un servidor RADIUS externo, que en este caso es el nodo de RADIUS en la nube de Purple. Ahora, ingrese los datos de RADIUS de Purple. La dirección IP del servidor RADIUS primario se proporciona en su panel de Purple bajo la sección Hardware Configuration. El puerto de autenticación es UDP 1812. El puerto de contabilidad (accounting) es UDP 1813. Ingrese el shared secret. Purple genera esto para usted, y debe tener al menos 22 caracteres combinando mayúsculas, minúsculas, números y símbolos. Configure el NAS identifier para que coincida con el nombre de su establecimiento o con un identificador único que haya definido en Purple. A continuación, ve a la pestaña de Splash Page. Selecciona External Splash Page URL e ingresa la URL de portal de Purple. Esta es la URL que Purple proporciona para tu recinto específico. Cuando un invitado se conecta al SSID y abre un navegador, el punto de acceso intercepta la solicitud y lo redirige a esta URL, transmitiendo parámetros que incluyen la dirección MAC del cliente, la dirección MAC del AP y la URL original a la que el invitado intentaba acceder. Ahora, el walled garden. Esta es la lista de dominios y direcciones IP a las que los invitados pueden acceder antes de autenticarse. Sin esto, el propio portal de Purple no podrá cargarse, porque el navegador del invitado no podrá comunicarse con los servidores de Purple. En EnGenius Cloud, el walled garden se encuentra en Captive Portal, luego en Advanced Settings y después en Walled Garden. Debes agregar el dominio del portal de Purple, los endpoints de CDN de Purple y los endpoints de prueba de Captive Portal del sistema operativo. Para dispositivos Apple, es captive.apple.com. Para Android, connectivitycheck.gstatic.com. Para Windows, msftconnecttest.com. Si omites alguno de estos, los invitados de esas plataformas no verán el portal en absoluto. Si ofreces inicio de sesión con redes sociales a través de Google o Facebook, también debes incluir en la lista blanca los endpoints de OAuth para esos proveedores. Google requiere como mínimo accounts.google.com, oauth2.googleapis.com y apis.google.com. Facebook requiere www.facebook.com, graph.facebook.com y connect.facebook.net. La documentación de soporte de Purple proporciona una lista de walled garden actualizada para cada método de autenticación. Utiliza eso como referencia, ya que estos dominios suelen cambiar. Ahora pasemos a la WiFi segura para el personal mediante 802.1X. Este es un SSID independiente. El tipo de seguridad aquí es WPA2 Enterprise o WPA3 Enterprise. En EnGenius Cloud, en la pestaña de SSID Wireless, selecciona WPA2 Enterprise y luego elige Custom RADIUS. Ingresa los mismos detalles del servidor RADIUS: el endpoint de RADIUS de Purple, el puerto 1812 y el secreto compartido. La diferencia con la configuración de invitados es que aquí no hay un Captive Portal. Los dispositivos del personal se autentican de forma silenciosa utilizando el protocolo IEEE 802.1X. El dispositivo presenta un certificado o un usuario y contraseña al servidor RADIUS, el cual lo valida y devuelve un mensaje de Access-Accept junto con los atributos de asignación de VLAN. Los atributos RADIUS que impulsan la asignación dinámica de VLAN son Tunnel-Type establecido en VLAN, Tunnel-Medium-Type establecido en 802 y Tunnel-Private-Group-ID establecido en el número de VLAN. De modo que, si la VLAN de tu personal es la VLAN 20, el servidor RADIUS devuelve Tunnel-Private-Group-ID con un valor de 20. El punto de acceso EnGenius lee este atributo y coloca automáticamente el dispositivo autenticado en la VLAN 20. Esto significa que puedes tener un solo SSID para múltiples roles de personal (finanzas, operaciones, TI, contratistas), y cada uno terminará en una VLAN diferente según su membresía de grupo de directorio, todo sin necesidad de configurar manualmente la VLAN por dispositivo. Para el método EAP, PEAP-MSCHAPv2 es la opción más común para entornos que utilizan Active Directory o Microsoft Entra ID. Requiere un certificado del lado del servidor en el servidor RADIUS y credenciales de usuario y contraseña en el cliente. EAP-TLS es más seguro, ya que utiliza certificados en ambos lados, pero requiere una infraestructura PKI y un despliegue de MDM para insertar los certificados en los dispositivos. Para la mayoría de los operadores de recintos, PEAP-MSCHAPv2 con validación estricta de certificados aplicada mediante políticas de grupo o MDM es la opción más práctica. Ahora pasemos a la parte técnicamente más interesante: EnGenius MyPSK y el aislamiento multi-inquilino (multi-tenant). MyPSK, también conocido como PPSK o clave privada precompartida, resuelve un problema específico en entornos multi-inquilino. En un desarrollo de construcción para alquiler (build-to-rent), una oficina de servicios o un bloque de alojamiento para estudiantes, se busca que cada inquilino o residente tenga su propia contraseña de WiFi única. Sin embargo, no se desea crear un SSID independiente para cada inquilino, ya que esto genera congestión de radiofrecuencia y una gran sobrecarga de gestión. MyPSK le permite crear hasta 500 claves precompartidas únicas por SSID. Cada clave está vinculada a una VLAN específica. Cuando un residente se conecta utilizando su clave única, el punto de acceso lo coloca automáticamente en su VLAN designada. El tráfico del Inquilino A nunca toca el segmento de red del Inquilino B. El cifrado también es por usuario; cada clave genera una Clave Maestra Pareada (Pairwise Master Key) única, por lo que un inquilino no puede descifrar el tráfico de transmisión inalámbrica de otro inquilino, aunque compartan el mismo SSID. En EnGenius Cloud, MyPSK se configura en los ajustes de seguridad del SSID. Seleccione WPA2 PSK o WPA3 Personal y, a continuación, habilite MyPSK. Después, puede crear PSK de forma individual o generar automáticamente lotes de hasta 50 a la vez. Para cada PSK, se asigna un ID de VLAN y, opcionalmente, se establece una fecha de vencimiento. Cuando finaliza un contrato de alquiler o un estudiante se gradúa, simplemente se expira o elimina su PSK. El acceso se revoca de inmediato sin afectar a ningún otro inquilino. Para la integración de Purple en un entorno MyPSK, los inquilinos que interactúan como invitados aún pueden ser dirigidos a través de un Captive Portal en su VLAN, mientras que el personal y los inquilinos operativos omiten el portal por completo. La segmentación de VLAN garantiza que los datos analíticos de Purple se atribuyan correctamente por segmento de red. [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 MINUTOS] Permítame sugerirle la secuencia de implementación que recomiendo para un despliegue inicial limpio. Comience con su arquitectura de VLAN antes de tocar la configuración de WiFi. Defina la VLAN 10 para invitados, la VLAN 20 para el personal, la VLAN 30 para los inquilinos o cualquier numeración que se adapte a su esquema existente. Configure primero estas VLAN en sus switches ECS, con las asignaciones de puertos de enlace troncal (trunk) y de acceso correspondientes. Los puntos de acceso deben recibir tráfico etiquetado (tagged) en el puerto de enlace ascendente (uplink) para cada VLAN que planee utilizar. Luego, configure los SSIDs en EnGenius Cloud en este orden: primero el SSID de invitados, ya que es el más sencillo. Valide la redirección del Captive Portal a Purple antes de continuar. Después, configure el SSID del personal con 802.1X. Realice pruebas con un dispositivo conocido antes de implementarlo en toda la infraestructura. Por último, configure MyPSK si requiere aislamiento multi-tenant. Los errores comunes. Primero, el walled garden (jardín vallado). Esta es la causa número uno de fallas en las implementaciones de Captive Portal. Si los invitados no pueden acceder al portal, verifique primero el walled garden. Segundo, la discrepancia en el secreto compartido de RADIUS. El secreto compartido debe ser idéntico tanto en la configuración de EnGenius Cloud como en la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter hará que cada autenticación falle de forma silenciosa. Tercero, la configuración de trunk VLAN en el switch. Si el puerto del switch ECS que se conecta al punto de acceso no está configurado como trunk para transportar todas las VLANs requeridas, la asignación dinámica de VLAN fallará. Cuarto, la validación de certificados en clientes 802.1X. Si los dispositivos del personal no están configurados para validar el certificado del servidor RADIUS, quedan vulnerables al robo de credenciales mediante puntos de acceso no autorizados. Obligue a que esto se cumpla mediante directivas de grupo para Windows y perfiles de MDM para todo lo demás. [PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 MINUTO] Algunas preguntas que escucho frecuentemente sobre las implementaciones de EnGenius y Purple. ¿Puedo usar EnGenius Cloud RADIUS en lugar del RADIUS de Purple? Sí, para la autenticación interna. Pero para el WiFi de invitados con las analíticas y el portal de Purple, debe apuntar al endpoint RADIUS de Purple. Ambos pueden coexistir en diferentes SSIDs. ¿MyPSK funciona con WPA3? Sí. EnGenius es compatible con WPA3 y con el modo mixto WPA2/WPA3 con MyPSK, por lo que los dispositivos compatibles con WPA3 obtienen autenticación SAE mientras que los dispositivos más antiguos recurren a WPA2 PSK, todo utilizando la misma clave por usuario. ¿Purple es compatible con el registro de contabilidad RADIUS (accounting) para los datos de sesión? Sí. Habilite el servidor de contabilidad en la configuración de RADIUS de EnGenius Cloud, apuntando al endpoint de contabilidad de Purple en el puerto UDP 1813. Esto alimenta la duración de la sesión y el volumen de datos en las analíticas de Purple. [RESUMEN Y SIGUIENTES PASOS - 1 MINUTO] En resumen. Los puntos de acceso de EnGenius Cloud se integran perfectamente con la plataforma de WiFi de invitados de Purple a través de cuatro capas de configuración. La redirección al Captive Portal de invitados utiliza un RADIUS personalizado y una URL de splash page externa que apunta a Purple. La lista de permitidos del walled garden garantiza que el portal se cargue antes de la autenticación. El WiFi del personal utiliza WPA2 Enterprise con 802.1X y asignación dinámica de VLAN a través de atributos RADIUS. Y el aislamiento multi-tenant utiliza EnGenius MyPSK para asignar claves únicas por usuario vinculadas a VLANs específicas, con fechas de vencimiento opcionales para accesos por tiempo limitado. Purple opera en 80,000 establecimientos y ha procesado 440 millones de inicios de sesión tan solo en 2024. La plataforma cuenta con certificación ISO 27001, cumple con el GDPR y es agnóstica respecto al hardware, que es precisamente la razón por la que funciona de manera impecable con EnGenius, junto con Cisco Meraki, HPE Aruba, Ruckus y el resto del ecosistema de hardware empresarial. Si está listo para realizar la implementación, comience con la guía de configuración de walled garden en la documentación de soporte de Purple, luego continúe con la configuración del SSID en EnGenius Cloud. La guía detallada paso a paso está disponible en purple.ai. Gracias por escuchar.