Integración de firmware personalizado OpenWrt con Purple WiFi

Resumen ejecutivo

OpenWrt es el firmware de elección para los equipos de TI que necesitan independencia de hardware sin sacrificar el control de nivel empresarial. Implementado en entornos de hospitalidad, retail y del sector público, proporciona una pila de red basada en Linux totalmente configurable. Sin embargo, de forma predeterminada, OpenWrt es un lienzo en blanco. Sin una capa de identidad estructurada, las redes de huéspedes se vuelven inmanejables, las redes del personal siguen siendo inseguras y los entornos multiinquilino colapsan en una sola red plana.

Esta guía proporciona el manual de integración definitivo para conectar OpenWrt a la plataforma de RADIUS en la nube y Captive Portal de Purple. Cubrimos cuatro escenarios de implementación distintos: redirección del Captive Portal de huéspedes mediante CoovaChilli, configuración del walled garden con iptables, WiFi seguro para el personal mediante hostapd con IEEE 802.1X y segmentación multiinquilino mediante claves privadas precompartidas (PPSK) con asignación dinámica de VLAN. Al finalizar, dispondrá de los parámetros de configuración exactos, los modos de falla comunes y los marcos de decisión necesarios para implementar una red basada en la identidad, lista para producción y que cumpla con el GDPR en cualquier hardware compatible con OpenWrt.

Purple opera en más de 80,000 establecimientos activos y procesó 440 millones de inicios de sesión en 2024 (datos internos de Purple, 2024). La arquitectura descrita aquí es la misma que se implementa a gran escala en cadenas hoteleras, tiendas de retail y centros de transporte.

Análisis técnico detallado

La arquitectura del Captive Portal CoovaChilli

Al implementar WiFi de huéspedes en OpenWrt, CoovaChilli es el controlador de acceso estándar de la industria. Funciona como un demonio de Captive Portal que intercepta el tráfico de clientes no autenticados, asigna direcciones IP a través de su servidor DHCP interno en la interfaz virtual tun0 y aplica políticas de walled garden utilizando reglas de iptables que gestiona directamente.

El flujo de autenticación funciona de la siguiente manera. Un dispositivo de huésped se asocia con el SSID abierto. CoovaChilli asigna al dispositivo una dirección IP de su grupo interno (normalmente 10.1.0.0/24). Cuando el dispositivo envía su primera solicitud HTTP, CoovaChilli la intercepta y emite una redirección HTTP 302 a la URL de la página de inicio de Purple. Durante esta fase de preautenticación, el dispositivo está aislado: solo puede acceder a los dominios enumerados explícitamente en el walled garden.

Una vez que el huésped se autentica en el portal de Purple, el servidor RADIUS en la nube de Purple envía un mensaje Access-Accept a CoovaChilli en el puerto UDP 1812. CoovaChilli luego actualiza sus reglas de iptables para permitir el acceso a internet para esa dirección MAC específica y comienza a transmitir datos de contabilidad (duración de la sesión, bytes transferidos) al servidor de contabilidad RADIUS de Purple en el puerto UDP 1813. La contabilidad no es opcional: es el mecanismo mediante el cual Purple alimenta su panel de WiFi Analytics con datos de sesión.

Walled garden: iptables y listas de dominios permitidos

El walled garden es el elemento de configuración más crítico desde el punto de vista operativo en cualquier implementación de Captive Portal. CoovaChilli gestiona el walled garden a través de dos mecanismos: el parámetro uamallowed para direcciones IP individuales y el parámetro uamdomains para listas de permitidos basadas en dominios con inspección de DNS.

Para una integración con Purple, las entradas mínimas requeridas en el walled garden son:

Nota sobre la gestión del CNA de Apple: Si incluye captive.apple.com en el walled garden, los dispositivos iOS detectarán la conectividad a internet antes de la autenticación y suprimirán la ventana emergente del Captive Network Assistant. La mayoría de las implementaciones en el sector de hospitalidad excluyen deliberadamente este dominio para forzar el aviso automático del portal. La elección correcta depende del diseño de la experiencia del huésped.

WiFi seguro para el personal: hostapd e IEEE 802.1X

Las redes de huéspedes exigen una incorporación sin fricciones. Las redes del personal exigen seguridad absoluta. Para los usuarios internos, OpenWrt utiliza hostapd para facilitar la autenticación IEEE 802.1X. En esta arquitectura, el punto de acceso OpenWrt actúa como el Autenticador, reenviando mensajes del Protocolo de Autenticación Extensible (EAP) entre el dispositivo cliente (Suplicante) y el servidor RADIUS de Purple.

Para los dispositivos corporativos, EAP-TLS es el estándar obligatorio. Se basa en la autenticación mutua de certificados (tanto el servidor como el dispositivo cliente presentan certificados digitales), lo que elimina por completo las contraseñas y los riesgos asociados de robo de credenciales o phishing. Para entornos que aún no están listos para una infraestructura de clave pública (PKI) completa, PEAP-MSCHAPv2 proporciona una opción provisional razonable, utilizando un túnel cifrado para proteger las credenciales de usuario y contraseña.

Cuando un miembro del personal se autentica con éxito, el servidor RADIUS devuelve atributos de autorización. El atributo clave para la segmentación de red es Tunnel-Private-Group-ID, que indica a OpenWrt que asigne dinámicamente al usuario a la VLAN correcta. Este es el mecanismo detrás de las redes basadas en la identidad: la identidad del usuario, no su ubicación física, determina su acceso a la red.

Segmentación multiinquilino: OpenWrt PPSK configuración

En entornos multi-inquilino (espacios de coworking, propiedades de construcción para alquiler (BTR), centros comerciales con múltiples proveedores o estadios con zonas de patrocinadores independientes), transmitir múltiples SSIDs es costoso a nivel operativo y poco eficiente en términos de RF. Cada SSID adicional añade sobrecarga de tramas de gestión, lo que reduce el tiempo de transmisión disponible para el tráfico de datos.

Las claves privadas precompartidas (PPSK), a veces llamadas PSK dinámicas, resuelven esto. Se transmite un solo SSID. Cuando un dispositivo intenta conectarse, hostapd envía la dirección MAC del dispositivo al servidor RADIUS a través de un Access-Request estándar. El servidor RADIUS valida la dirección MAC en su base de datos y devuelve un Access-Accept que contiene dos atributos críticos: el atributo Tunnel-Password (la frase de contraseña única para ese dispositivo) y el atributo Tunnel-Private-Group-ID (la asignación de VLAN). El dispositivo se conecta utilizando su frase de contraseña única y se coloca directamente en su VLAN asignada.

Esto significa que el gerente de una tienda y el asistente a un evento pueden conectarse al mismo SSID pero ser redirigidos a redes completamente separadas y aisladas según su identidad única.

Guía de implementación

Paso 1: Recuperar las credenciales de RADIUS de Purple

Antes de modificar la configuración de OpenWrt, recupere lo siguiente desde la consola de administración del portal de Purple:

• Dirección IP del servidor RADIUS primario
• Dirección IP del servidor RADIUS secundario (para redundancia)
• Secreto compartido de RADIUS
• URL de la página de inicio (Splash Page) del Captive Portal
• URL de redirección posterior a la autenticación

Paso 2: Instalar y configurar CoovaChilli para WiFi de invitados

Instale el paquete coova-chilli a través de opkg:

opkg update && opkg install coova-chilli

El archivo de configuración principal es /etc/chilli/defaults. Defina los parámetros de red principales:

# Interfaces de red
HS_WANIF=eth0           # Interfaz de internet ascendente
HS_LANIF=wlan0          # La interfaz WiFi de invitados (o una subinterfaz VLAN)

# Subred de invitados
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # IP de CoovaChilli en la red de invitados
HS_UAMPORT=3990

# Integración con RADIUS de Purple
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Página de inicio de Purple
HS_UAMSERVER=

# Walled garden: lista de permitidos basada en dominios
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

Habilite e inicie el servicio:

/etc/init.d/chilli enable
/etc/init.d/chilli start

Paso 3: Configurar la interfaz inalámbrica de OpenWrt para el SSID de invitados

En /etc/config/wireless, defina el SSID de invitados como una red abierta vinculada a la interfaz que gestionará CoovaChilli:

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

El aislamiento de clientes (isolate '1') evita que los dispositivos de los invitados se comuniquen entre sí, un control de seguridad obligatorio para cualquier red compartida.

Paso 4: Configurar hostapd para WiFi de personal 802.1X

Para el SSID del personal, configure WPA2-Enterprise en /etc/config/wireless:

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

Establecer dynamic_vlan '2' indica a hostapd que aplique la asignación de VLAN devuelta por el servidor RADIUS y que rechace la autenticación si no se devuelve ninguna VLAN.

Requisito del paquete: El paquete estándar wpad-mini no es compatible con WPA2-Enterprise. Debe instalar wpad o wpad-openssl:

opkg remove wpad-mini && opkg install wpad-openssl

Paso 5: Configurar PPSK para la segmentación multi-inquilino

PPSK requiere que hostapd realice la autenticación de la dirección MAC contra el servidor RADIUS, el cual devuelve la frase de contraseña por dispositivo. En /etc/config/wireless:

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

El parámetro wpa_psk_radius '2' indica a hostapd que requiera el atributo Tunnel-Password de la respuesta de RADIUS. Si el servidor RADIUS no devuelve una frase de contraseña, se rechaza la autenticación.

Por el lado de RADIUS de Purple, la sección authorize de su configuración de FreeRADIUS (o equivalente) asocia las direcciones MAC con las frases de contraseña y los IDs de VLAN:

# Ejemplo de entrada de autorización RADIUS para PPSK
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

Paso 6: Configurar la asignación dinámica de VLAN

Para que funcione la asignación dinámica de VLAN, su switch OpenWrt debe estar configurado para transportar las VLAN correspondientes como tráfico etiquetado en el puerto troncal que se conecta a su switch principal. En /etc/config/network:

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

Asegúrese de que el puerto de su switch principal esté configurado como troncal, permitiendo el paso de las VLAN 10, 20 y 30 etiquetadas.

Mejores prácticas

Segregación absoluta de la red. Nunca puentee ginterfaces de invitados con redes internas. El tráfico de invitados debe estar aislado en una VLAN dedicada y enrutarse directamente al firewall de internet. Este es un requisito no negociable para el cumplimiento de PCI DSS 4.0, el cual exige que las redes WiFi de invitados estén completamente aisladas de cualquier segmento de red que maneje datos de titulares de tarjetas.

Precisión del walled garden. Un walled garden incompleto es la causa principal de las fallas del Captive Portal. Utilice las herramientas de desarrollo de su navegador en un dispositivo de prueba conectado al SSID de invitados para identificar qué solicitudes se bloquean antes de la autenticación. Cada dominio bloqueado es una falla potencial del portal.

Intervalos de contabilidad (accounting) de RADIUS. Configure el intervalo intermedio de contabilidad de CoovaChilli a 120 segundos. Esto proporciona datos de sesión casi en tiempo real en el panel de analíticas de Purple sin generar tráfico RADIUS excesivo.

Servidor RADIUS secundario. Configure siempre HS_RADIUS2 en su configuración de CoovaChilli. Si el servidor RADIUS principal de Purple no está accesible, CoovaChilli no podrá autenticar nuevas sesiones. El servidor secundario proporciona conmutación por error (failover) automática sin necesidad de cambiar la configuración en el punto de acceso.

Selección de paquetes. El paquete wpad-mini incluido en muchas compilaciones de OpenWrt no es compatible con WPA2-Enterprise ni con la asignación dinámica de VLAN. Instale siempre wpad-openssl para cualquier implementación que requiera 802.1X o PPSK.

Para obtener más orientación sobre la arquitectura de seguridad WiFi empresarial, consulte nuestra guía Seguridad WiFi empresarial: Una guía completa para 2026 .

Resolución de problemas y mitigación de riesgos

Nota de cumplimiento de GDPR: CoovaChilli por sí mismo no captura ni almacena datos personales. Todos los mecanismos de captura de consentimiento, procesamiento de datos y cumplimiento de GDPR son gestionados por la plataforma Purple en la capa del portal. Asegúrese de que su portal de Purple esté configurado con los términos y condiciones de su establecimiento y el aviso de procesamiento de datos antes del lanzamiento.

Para conocer patrones de integración de hardware relacionados, consulte nuestras guías sobre Integración de puntos de acceso EnGenius Cloud con Purple WiFi e Integración de routers y puntos de acceso DrayTek Vigor con Purple WiFi .

ROI e impacto comercial

La transición de redes PSK básicas a una arquitectura OpenWrt gestionada por Purple ofrece un impacto medible en tres dimensiones.

Captura de datos y marketing. Al exigir la autenticación mediante Captive Portal, los establecimientos capturan datos demográficos de primera mano que cumplen con las normativas (nombres, direcciones de correo electrónico, perfiles de redes sociales) en el punto de conexión WiFi. Estos datos se envían directamente a las plataformas de CRM y marketing por correo electrónico, lo que impulsa los registros en programas de lealtad y permite realizar campañas dirigidas. Purple procesó 440 millones de inicios de sesión en 2024 (datos internos de Purple), lo que demuestra la escala de captura de datos de primera mano que es posible realizar en el borde de la red.

Eficiencia operativa. La implementación de PPSK reduce la sobrecarga de SSID, lo que mejora el rendimiento de WiFi en entornos densos. Para una cadena minorista con 200 ubicaciones, la gestión centralizada de la identidad a través del RADIUS en la nube de Purple (en lugar de actualizar las configuraciones locales de los routers en cada sitio) ahorra cientos de horas de ingeniería al año. Un solo cambio en la política de RADIUS se propaga a las 200 ubicaciones de forma instantánea.

Seguridad y cumplimiento. La asignación dinámica de VLAN aplica el acceso con el menor privilegio en el borde de la red. El personal está aislado de los invitados. Los dispositivos IoT están aislados del personal. Las terminales de punto de venta (POS) están aisladas de todo el demás tráfico. Esta segmentación cumple con los requisitos de aislamiento de red de PCI DSS 4.0 y proporciona una topología de red clara y auditable para las revisiones de cumplimiento de GDPR.

Para conocer patrones de implementación específicos de cada sector, consulte nuestras guías para entornos de Comercio minorista , Hospitalidad , Atención médica y Transporte . También puede resultarle útil nuestra guía sobre Qué es la pantalla inalámbrica: Protocolos y mejores prácticas para 2026 para comprender las tecnologías inalámbricas complementarias en implementaciones en establecimientos.