Integración de Access Points Allied Telesis con Purple WiFi

You are a senior network consultant speaking to a client's IT director in a private briefing. Speak in British English with a confident, authoritative, conversational tone. Measured pace, clear diction. No filler words. Occasional natural pauses for emphasis: Bienvenido a esta sesión técnica sobre la integración de los puntos de acceso Allied Telesis TQ-Series con Purple WiFi. Le guiaré a través de todo el panorama de implementación, desde la redirección del Captive Portal de invitados hasta el aislamiento de PPSK multi-inquilino. Al finalizar, tendrá una hoja de ruta de implementación clara. [medium pause] Comencemos con el contexto. Allied Telesis produce la serie TQ-Series, que incluye los puntos de acceso Wi-Fi 6 TQ5403 y TQ6702 GEN2. Estos son AP de nivel empresarial que ejecutan el firmware AlliedWare Plus y se implementan ampliamente en entornos de hotelería, comercio minorista y sector público. Purple es una plataforma superpuesta en la nube e independiente del hardware que opera en 80,000 establecimientos y gestionó 440 millones de inicios de sesión en 2024. La integración entre estas dos plataformas es limpia, basada en estándares y lista para producción. [medium pause] Ahora, lo primero que la mayoría de los equipos de TI necesitan configurar es la redirección del Captive Portal de invitados. El AP de Allied Telesis admite tres modos de Captive Portal: de un solo clic, autenticación RADIUS y redirección a página externa. Para la integración con Purple, utilizará el modo de redirección a página externa. Así es como funciona en la práctica. Inicie sesión en la GUI del dispositivo AP, navegue a Wireless, seleccione el VAP correspondiente, vaya a Advanced Settings y luego a la pestaña Security. Establezca el Captive Portal en External Page Redirect. En el campo External Page URL, ingrese la URL de la página de inicio de Purple proporcionada en su panel de Purple. Esa es la URL a la que llegarán sus invitados cuando se conecten por primera vez. [short pause] Ahora, el AP intercepta el primer paquete HTTP o HTTPS de cada nuevo cliente y redirecciona ese tráfico a su página de inicio de Purple. El invitado se autentica a través de Purple y el servidor RADIUS de Purple envía un Access-Accept de vuelta al AP. El AP entonces otorga acceso a la red. [medium pause] Para la configuración de RADIUS, Purple le proporciona una dirección IP del servidor RADIUS, un secreto compartido y el puerto de autenticación, que es UDP 1812. El registro de actividad (accounting) se ejecuta en el puerto UDP 1813. Configure estos parámetros en Network Services, luego RADIUS en la GUI del AP. El identificador NAS debe establecerse en la IP de administración del AP o en un nombre de host descriptivo. El servicio RADIUS as a Service de Purple se encarga del backend de autenticación, por lo que no necesita ejecutar su propia infraestructura RADIUS. [short pause] Un aspecto clave a configurar correctamente es el Walled Garden. Antes de que un invitado se autentique, el AP bloquea todo el tráfico excepto hacia los destinos permitidos en la lista blanca. Debe agregar los dominios de la plataforma de Purple al walled garden para que la página de inicio se cargue correctamente. Como mínimo, agregue a la lista blanca el dominio de la página de inicio de Purple, cualquier endpoint de CDN que Purple utilice para recursos y cualquier proveedor de inicio de sesión social que haya habilitado, como Google o Facebook. Esto se configura en el mismo panel de VAP Advanced Settings, bajo Walled Garden. [medium pause] Pasemos al WiFi para el personal mediante 802.1X. Aquí es donde se configura WPA Enterprise en un VAP independiente. En la GUI del AP, seleccione WPA Enterprise en el menú desplegable de Security, luego apunte el RADIUS Authentication Group a su servidor RADIUS externo, que en este caso es el servicio SecurePass de Purple o su propio RADIUS respaldado por Microsoft Entra ID o Okta. Los dispositivos del personal se autentican mediante EAP-PEAP con MSCHAPv2, o EAP-TLS con certificados para entornos de mayor seguridad. El AP actúa como el autenticador 802.1X, reenviando las credenciales al servidor RADIUS y aplicando la respuesta. [short pause] Para la asignación dinámica de VLAN en la red del personal, habilite Dynamic VLAN en la configuración de Advanced Security del VAP. Cuando el servidor RADIUS devuelve un Access-Accept, incluye tres atributos estándar: Tunnel-Type establecido en VLAN, Tunnel-Medium-Type establecido en IEEE 802 y Tunnel-Private-Group-Id establecido en el ID de la VLAN. El AP lee estos atributos y coloca automáticamente el dispositivo autenticado en la VLAN correcta. Este es el mecanismo definido en RFC 3580 y funciona de manera consistente en todo el hardware de Allied Telesis. [medium pause] Ahora hablemos de la capacidad más interesante para implementaciones multi-inquilino: Allied Telesis PPSK, o Private Pre-Shared Key. Esto a veces se denomina iPSK en otras plataformas. El concepto es sencillo. Tiene un único SSID, pero cada inquilino o grupo de usuarios obtiene una contraseña única. Cuando un dispositivo se conecta, el AP envía esa contraseña al servidor RADIUS como el campo de contraseña en un RADIUS Access-Request. El servidor RADIUS asocia la contraseña con un registro de usuario y devuelve un Access-Accept con un atributo Tunnel-Private-Group-Id que especifica la VLAN para ese inquilino. [short pause] De este modo, en un edificio de uso mixto, el Inquilino A en el local comercial se conecta con su contraseña y accede a la VLAN 100. El restaurante de la planta baja utiliza una contraseña diferente y accede a la VLAN 300. El WiFi de invitados del edificio utiliza una tercera contraseña y accede a la VLAN 400, donde el Captive Portal de Purple está activo. Todo esto se ejecuta en un solo SSID. Sin proliferación de SSID. Limpio, escalable y fácil de administrar. [medium pause] Por el lado de Purple, usted configura los registros de usuario PPSK en el panel de Purple o a través de la interfaz de RADIUS as a Service. Cada inquilino obtiene una contraseña única asignada a un ID de VLAN. El servidor RADIUS de Purple se encarga de la asociación y devuelve el Tunnel-Private-Group-Id correcto. Cuando necesite revocar el acceso de un inquilino, simplemente elimine o deshabilite su registro PPSK en Purple. El AP aplicará el cambio en el siguiente intento de autenticación. [medium pause] Permítame presentarle dos escenarios del mundo real donde esto es fundamental. Primero, un hotel de conferencias de 250 habitaciones. El hotel opera tres redes: WiFi de invitados con página de inicio de Purple e inicio de sesión social, WiFi para el personal en 802.1X vinculado a Active Directory a través de Microsoft Entra ID, y una red para delegados de conferencias para eventos. Los AP Allied Telesis TQ6702 GEN2 gestionan las tres redes en VAP independientes con VLANs separadas. Purple administra la Captive Portal de invitados, recopila datos de origen para el CRM del hotel y proporciona análisis sobre los periodos de mayor uso. El equipo de TI del hotel administra la red del personal a través de SecurePass de Purple sin necesidad de mantener un servidor RADIUS independiente en el sitio. [short pause] Segundo escenario: un parque comercial con 12 inquilinos independientes. El propietario desea ofrecer WiFi como servicio a cada inquilino sin darles acceso al tráfico de los demás. Implementan APs de Allied Telesis en todo el sitio con un único SSID. Cada inquilino recibe una PPSK única. El servidor RADIUS de Purple asigna cada PPSK a una VLAN dedicada. El propietario puede incorporar a un nuevo inquilino en menos de diez minutos creando un nuevo registro PPSK en Purple y entregando la frase de contraseña al inquilino. No se requiere reconfiguración de AP. [medium pause] Ahora, algunos errores comunes que se deben evitar. El problema más común que vemos son los walled gardens mal configurados. Si olvida incluir en la lista blanca un endpoint de la CDN de Purple, la Captive Portal se cargará parcialmente o fallará en ciertos dispositivos. Realice pruebas con un dispositivo nuevo que no tenga DNS en caché antes de entrar en producción. Segundo, discrepancias en el secreto compartido de RADIUS. El secreto configurado en el AP debe coincidir exactamente con el secreto en la configuración del servidor RADIUS de Purple. Una diferencia de un solo carácter provoca fallas de autenticación silenciosas. Utilice un administrador de contraseñas para generar y almacenar el secreto. Tercero, la VLAN dinámica no se activa. En los APs de Allied Telesis, la VLAN dinámica está desactivada de forma predeterminada, incluso cuando WPA Enterprise está activo. Debe activarla explícitamente en la configuración de Seguridad Avanzada de VAP. Vemos que esto se pasa por alto con regularidad. Cuarto, conflicto de autenticación entre PPSK y MAC. Si tiene la autenticación MAC activada en el mismo VAP que PPSK, el orden de autenticación importa. Consulte la documentación del AP para su versión de firmware para confirmar qué método tiene prioridad. [medium pause] Preguntas rápidas que recibo de los equipos de TI. ¿Puedo usar el servidor RADIUS de Purple tanto para la Captive Portal de invitados como para el 802.1X del personal en la misma implementación? Sí. RADIUS como servicio de Purple admite ambos flujos de autenticación. Configura grupos o políticas de RADIUS independientes en Purple para cada caso de uso. ¿Los APs de Allied Telesis admiten WPA3 con Captive Portal? El TQ6702 GEN2 con firmware 5.5.4-2.3 o posterior admite el cifrado WPA3 CCMP. Sin embargo, la Captive Portal con redirección externa normalmente se ejecuta en un SSID abierto o WPA2 Personal. El 802.1X del personal puede usar WPA3 Enterprise. ¿Qué sucede si el servidor RADIUS de Purple no está disponible? El AP denegará los nuevos intentos de autenticación. Las sesiones existentes continúan hasta que expiren. Debe configurar un servidor RADIUS secundario en el grupo RADIUS del AP para redundancia. La plataforma de Purple mantiene un tiempo de actividad del 99.999%, pero la defensa en profundidad es una buena práctica. [medium pause] En resumen. Los APs de la serie TQ de Allied Telesis se integran con Purple a través de tres mecanismos principales: redirección externa a la Captive Portal para WiFi de invitados, WPA Enterprise con RADIUS para 802.1X del personal y PPSK con VLAN dinámica para el aislamiento de múltiples inquilinos. Los atributos RADIUS que necesita son Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802 y Tunnel-Private-Group-Id que transporta el ID de VLAN. Purple proporciona el backend de RADIUS como servicio, la plataforma de la Captive Portal y la capa de análisis. [short pause] Sus siguientes pasos: obtenga las credenciales de RADIUS de Purple desde su panel de control, configure la redirección de página externa en su VAP de invitados, agregue las entradas del walled garden, active la VLAN dinámica en su VAP de personal y realice una prueba de autenticación para cada segmento de red antes de entrar en producción. Si está implementando PPSK para múltiples inquilinos, planifique su esquema de numeración de VLAN antes de comenzar, ya que cambiar los IDs de VLAN después de que los inquilinos estén activos requiere coordinación. [medium pause] Ese es el informe. Para obtener la referencia de configuración paso a paso completa, el diagrama de arquitectura de Mermaid y la tabla de atributos RADIUS, consulte la guía escrita. Gracias por su tiempo.