Saltar al contenido principal
Español (México)

Directorio de PPSK: comparación de funciones y modelos de despliegue

Esta guía detalla la arquitectura del directorio PPSK (Private Pre-Shared Key) para redes multi-inquilino, comparándola con 802.1X y PSK estándar. Proporciona a arquitectos de red y gerentes de TI modelos de despliegue independientes del proveedor para entornos Build to Rent, alojamiento para estudiantes y MDU, abarcando el controlador en la nube, el backend RADIUS y los patrones de autenticación híbrida.

📖 8 min de lectura📝 1,990 palabras🔧 2 ejemplos resueltos❓ 3 preguntas de práctica📚 8 definiciones clave

Escucha esta guía

Ver transcripción del podcast
[00:00:00] Bienvenido al Resumen Técnico de Purple. Hoy cubriremos la gestión de directorios PPSK. Es decir, la gestión de directorios de Clave Privada Pre-compartida (Private Pre-Shared Key). Qué es, cómo se compara con sus alternativas y cómo implementarla correctamente en entornos multi-inquilino. [00:00:20] Comencemos con el problema que resuelve. Usted administra una propiedad de 200 unidades de Build to Rent (construcción para alquiler). Si utiliza una red WPA2-Personal estándar, cada residente comparte una sola contraseña. Cuando el departamento 12 se muda, usted tiene dos opciones. Cambia la contraseña, lo que interrumpe el WiFi para todos los demás residentes. O deja al antiguo residente con acceso. Ninguna opción es aceptable. [00:00:45] PPSK resuelve esto. Usted transmite un solo nombre de red - un SSID. Pero la red emite una contraseña única para cada departamento. Cuando un residente se conecta, el punto de acceso consulta el directorio PPSK, valida la clave y coloca a ese residente en su propia VLAN aislada. Su teléfono ve su smart TV. Su Chromecast funciona. No pueden ver la TV del departamento de al lado. [00:01:10] Ahora, ¿por qué no usar simplemente 802.1X? 802.1X es excelente para entornos corporativos. Utiliza RADIUS y proveedores de identidad como Microsoft Entra ID o Okta. Pero requiere un suplicante en el dispositivo. Un suplicante es el componente de software que maneja el intercambio de autenticación. La bocina inteligente de su residente no tiene un suplicante 802.1X. Tampoco su termostato inteligente, su impresora inalámbrica o su consola de videojuegos. PPSK le ofrece un aislamiento de nivel empresarial con compatibilidad para dispositivos de consumo. Esa es la propuesta de valor principal. [00:02:00] Veamos la terminología, porque varía según el proveedor y eso causa una confusión real. Aruba lo llama PPSK - Private Pre-Shared Key. Cisco Meraki lo llama iPSK - Identity PSK. Juniper Mist utiliza ePSK. Extreme Networks, que originalmente desarrolló el concepto bajo la marca Aerohive, lo llama Private PSK. Ubiquiti UniFi simplemente lo llama PPSK. El mecanismo subyacente es idéntico en todos ellos. Un SSID, múltiples claves únicas, cada clave vinculada a una VLAN o a un grupo de políticas. [00:02:40] Técnicamente, esto es lo que sucede en la capa de asociación. Cuando un dispositivo se conecta, presenta su clave pre-compartida durante el saludo de cuatro vías de WPA2. El punto de acceso consulta el directorio PPSK - ya sea alojado en el controlador en la nube o en un backend RADIUS - para validar la clave y recuperar la VLAN asignada. El dispositivo percibe una red doméstica estándar. No tiene idea de que ha sido colocado en un segmento aislado. Todo se comporta exactamente como lo haría en una conexión de banda ancha residencial. [00:03:20] Veamos los modelos de implementación. Existen tres patrones principales en producción hoy en día. El primero es el modelo de controlador en la nube. Este es el más común para implementaciones nuevas. Sus puntos de acceso se conectan a una plataforma de gestión en la nube. El almacén de claves PPSK reside en el controlador en la nube. Cuando da de alta a un nuevo residente, crea una clave en el portal, la asigna a una VLAN y el controlador envía la política a cada punto de acceso del edificio. El residente recibe su clave por correo electrónico, SMS o un código QR en un paquete de bienvenida. Lo escanean, todos sus dispositivos se conectan, y su Chromecast, altavoz inteligente y consola funcionan de inmediato. Cuando se mudan, usted elimina la clave. Sus dispositivos dejan de conectarse. Nadie más se ve afectado. [00:04:30] El segundo modelo es PPSK con un backend RADIUS local. Algunas implementaciones empresariales utilizan un servidor RADIUS para almacenar y validar las credenciales PPSK. Esto le proporciona un registro centralizado, pistas de auditoría e integración con su plataforma de gestión de identidad. Añade costos de infraestructura pero le ofrece la responsabilidad de 802.1X con la compatibilidad de dispositivos de PPSK. Es el modelo adecuado para entornos mixtos - por ejemplo, un espacio de coworking donde tiene tanto dispositivos corporativos gestionados como equipos IoT propiedad de los miembros. [00:05:15] El tercer modelo es la autenticación híbrida. Los residentes utilizan PPSK para sus laptops y dispositivos IoT. El personal del edificio utiliza 802.1X para los dispositivos corporativos. Ambos grupos se conectan a la misma infraestructura física pero se asignan a diferentes segmentos lógicos. Purple recomienda esta arquitectura para implementaciones completas de Build to Rent y unidades multifamiliares. Tres modelos de autenticación distintos, tres VLANs distintas, una infraestructura física. [00:06:00] Ahora hablemos de los errores de implementación. Estos son los modos de falla que veo repetidamente en las implementaciones de producción. Primer error: la proliferación de SSID. Cada SSID que transmite consume tiempo de aire para las tramas de balizamiento (beacon frames). En un edificio residencial denso, si transmite seis u ocho SSIDs por punto de acceso, está degradando el rendimiento para todos. Manténgalo en un máximo de cuatro SSIDs por radio. Utilice PPSK para dar servicio a múltiples segmentos de residentes desde un solo SSID en lugar de crear un SSID independiente por departamento o por piso. [00:06:45] Segundo error: configuración insuficiente de los puertos troncales. Diseña un esquema de VLAN limpio, implementa los puntos de acceso y luego el tráfico se pierde silenciosamente porque alguien olvidó permitir las VLANs correspondientes en un enlace troncal entre el switch de distribución y la capa de acceso. Valide cada puerto troncal durante la puesta en marcha. Documéntelo. Pruébelo con un dispositivo en cada VLAN antes de que los residentes se muden. [00:07:20] Tercer error: distribución de claves. Generar claves es fácil. Entregarlas a los residentes de una manera segura y operativamente manejable es más difícil. Un código QR en el paquete de bienvenida funciona bien para el día de la mudanza. Un portal de residentes donde puedan recuperar su clave y agregar nuevos dispositivos es mejor para las operaciones continuas. Diseñe el flujo de trabajo de distribución de claves antes de realizar la implementación, no después. Cuarto error común: compatibilidad con WPA3. La mayoría de las plataformas empresariales son compatibles con PPSK en WPA3, lo que protege contra ataques de diccionario fuera de línea. Pero Ubiquiti UniFi actualmente limita PPSK a WPA2. Si necesitas la banda de 6 gigahercios, necesitas WPA3. Planifica tu hardware en consecuencia. [00:08:00] Veamos dos escenarios de implementación del mundo real. Escenario uno: un desarrollo de 180 unidades de Build to Rent en el centro de la ciudad. El operador quería que el WiFi estuviera incluido en la renta como un servicio, con activación el mismo día de la mudanza y compatibilidad total con el hogar inteligente. Implementaron puntos de acceso de HPE Aruba administrados a través de Aruba Central. Cada departamento obtiene una clave PPSK única generada al firmar el contrato de arrendamiento. La clave se envía por correo electrónico al residente con un código QR. El operador informó de una reducción del 30% en los tickets de soporte relacionados con WiFi en comparación con su implementación anterior de contraseña compartida. [00:08:45] Escenario dos: un bloque de alojamiento para estudiantes construido especialmente con 400 camas. El desafío aquí es la semana de mudanza de la cohorte, con cientos de estudiantes llegando simultáneamente. El operador utilizó puntos de acceso Ruckus con SmartZone, implementando PPSK con una clave por habitación. Las claves se generaron previamente y se incluyeron en el paquete de bienvenida enviado antes de la llegada. Los estudiantes escanearon el código QR al llegar y se conectaron en cuestión de segundos. [00:09:20] Preguntas rápidas. ¿Cuántas claves PPSK puede manejar un solo punto de acceso? Cisco Meraki admite hasta 5,000 entradas iPSK por red. Aruba escala de manera similar. UniFi admite hasta 1,000. ¿Puedo integrar PPSK con mi sistema de administración de propiedades? Sí, a través de la API REST del proveedor. ¿Funciona PPSK con WPA3? Sí, en la mayoría de las plataformas empresariales. La excepción es UniFi, que actualmente solo es compatible con WPA2. [00:09:50] En resumen. La administración del directorio PPSK es la arquitectura correcta para el WiFi multiinquilino. Diseña tus VLANs con cuidado antes de tocar el hardware. Protege tus enlaces troncales. Automatiza la distribución de tus claves. Y verifica la compatibilidad con WPA3 de tu proveedor si estás implementando WiFi 6E. Gracias por escuchar el Purple Technical Briefing.

header_image.png

Resumen ejecutivo

Las redes WPA2-Personal tradicionales comparten una única contraseña para todos los dispositivos. En un desarrollo de vivienda en renta (BTR) de 200 unidades, esto significa una contraseña para cada residente, cada Smart TV, cada termostato y cada consola de videojuegos del edificio. Cuando un residente se muda, o bien se cambia la contraseña para todos - interrumpiendo la conectividad de los otros 199 departamentos - o se le deja acceso al antiguo residente. Ninguna opción es aceptable.

La integración de directorios Private Pre-Shared Key (PPSK) resuelve esto. PPSK asigna una contraseña de WiFi única a cada residente o unidad, vinculando esa clave a una Virtual Local Area Network (VLAN) específica. Los dispositivos se conectan al mismo SSID, pero la red los aísla en segmentos privados. Los dispositivos de cada residente se descubren entre sí. Ningún residente puede ver los dispositivos de otro. Cuando termina un contrato de arrendamiento, se revoca una sola clave sin afectar la conexión de nadie más.

Esta guía compara el despliegue de directorios PPSK frente a PSK estándar e IEEE 802.1X, detalla las tres arquitecturas principales de despliegue y proporciona orientación práctica de implementación para desarrolladores inmobiliarios, operadores de BTR y los equipos de TI que les brindan soporte. Purple opera en más de 80,000 establecimientos activos y se integra como una capa en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.

Análisis técnico profundo: PPSK vs 802.1X vs PSK estándar

Para comprender por qué PPSK domina los despliegues multi-inquilino, debe compararlo con las alternativas en la capa de asociación.

PSK estándar: el modelo de red doméstica

En una configuración WPA2-Personal estándar, el punto de acceso (AP) transmite un SSID y requiere una única clave precompartida. Todos los dispositivos utilizan esta clave. El AP coloca todos los dispositivos en la misma VLAN. Los dispositivos pueden descubrirse entre sí - lo cual es ideal para un solo hogar, pero inaceptable para un desarrollo de BTR de 200 unidades. PSK estándar carece de cualquier mecanismo de revocación por usuario. Revocar el acceso de un usuario requiere cambiar la clave para todos.

802.1X: el estándar empresarial

IEEE 802.1X (WPA-Enterprise) requiere un servidor RADIUS, un proveedor de identidad como Microsoft Entra ID, Okta o Google Workspace, y un suplicante en cada dispositivo. El suplicante gestiona el intercambio de Extensible Authentication Protocol (EAP). Esto proporciona una seguridad robusta y respaldada por la identidad con responsabilidad por usuario. Sin embargo, 802.1X falla en entornos residenciales porque los dispositivos IoT - televisiones inteligentes, consolas de videojuegos, bocinas inalámbricas y sensores para el hogar inteligente - carecen de suplicantes 802.1X. Implementar 802.1X en un edificio BTR significa dejar a cada dispositivo IoT sin autenticar o en una red independiente no administrada.

Directorio PPSK: la solución multi-inquilino

PPSK (llamado iPSK por Cisco Meraki, Personal Private Network por Cisco, y ePSK por Juniper Mist y Cambium) cierra esta brecha. El AP transmite un único SSID. Cuando un dispositivo se conecta, presenta su clave única durante el saludo de cuatro vías de WPA2. El AP consulta el directorio PPSK - alojado en el controlador en la nube o en un backend RADIUS - para validar la clave y recuperar la VLAN asignada. El dispositivo percibe una red doméstica estándar. El operador logra un aislamiento completo por unidad.

comparison_chart.png

La siguiente tabla resume las diferencias clave de capacidad entre los tres modelos de autenticación.

Capacidad PSK estándar Directorio PPSK 802.1X / WPA-Enterprise
Compatibilidad de dispositivos Universal Amplia (todos los dispositivos WPA2) Limitada (requiere suplicante)
Integración de directorio Ninguna Nativa (nube o RADIUS) Nativa (RADIUS + IdP)
Revocación por usuario No es posible Instantánea Instantánea
Soporte para dispositivos IoT Sí Sí No (sin suplicante)
Asignación dinámica de VLAN No Sí Sí
Complejidad de implementación Muy baja Moderada Alta
Soporte para WPA3 Sí Sí (la mayoría de los proveedores) Sí

Guía de implementación: arquitectura y modelos de despliegue

La implementación de un directorio PPSK requiere un enfoque estructurado del diseño lógico antes de comenzar cualquier configuración de hardware.

Paso 1: diseño lógico de la red

Planifique su número de residentes y categorías de dispositivos IoT antes de tocar el hardware. Una implementación BTR estándar aísla el tráfico de la siguiente manera. Las VLAN de residentes van desde la VLAN 10 hasta lo que requiera su número de unidades - una VLAN por departamento es el enfoque estándar. Una VLAN IoT dedicada (normalmente VLAN 99) sirve para los sistemas de gestión del edificio, CCTV y sensores inteligentes. Una VLAN de gestión (VLAN 100) transporta el tráfico de los dispositivos del personal, autenticado mediante 802.1X. Una VLAN de invitados (VLAN 200) atiende a los visitantes temporales en las áreas comunes a través de un Captive Portal.

Calcule sus requisitos de direccionamiento IP cuidadosamente. Las investigaciones de la British Property Federation indican de 15 a 25 dispositivos por hogar. Un edificio de 200 unidades alberga hasta 5,000 dispositivos simultáneamente. Utilice el direccionamiento privado RFC 1918 con una subred /24 (254 direcciones utilizables) por VLAN de residente para garantizar la capacidad suficiente. Una subred /23 (510 direcciones) proporciona margen de maniobra para unidades de alta densidad.

Paso 2: elección del modelo de implementación

Tres arquitecturas principales de PPSK se encuentran en producción hoy en día.

Modelo de controlador en la nube. El directorio PPSK reside en la plataforma en la nube del proveedor: Aruba Central, Meraki Dashboard, Ruckus Cloud o Juniper Mist. El controlador envía las políticas a los AP. Cuando un residente se muda, usted genera una clave en el portal. Cuando se va, usted la elimina. Este es el modelo más común para nuevas implementaciones debido a su simplicidad operativa y a la ausencia de requisitos de infraestructura local.

Modelo de backend RADIUS. Los AP reenvían las solicitudes de autenticación a un servidor RADIUS central como Cisco ISE o FreeRADIUS, que consulta un almacén de identidades. El servidor RADIUS devuelve la asignación de VLAN a través de un atributo Cisco-AVPair. Este modelo se adapta a entornos que requieren pistas de auditoría profundas e integración con directorios empresariales existentes. Añade sobrecarga de infraestructura pero proporciona la responsabilidad de 802.1X con la compatibilidad de dispositivos de PPSK.

Modelo de autenticación híbrido. Los residentes utilizan PPSK para sus laptops y dispositivos IoT. El personal del edificio utiliza 802.1X para los dispositivos corporativos frente a Microsoft Entra ID u Okta. Ambos grupos se conectan a la misma infraestructura física pero se asignan a diferentes segmentos lógicos. Purple recomienda esta arquitectura para implementaciones completas de BTR y unidades multifamiliares (MDU). Los residentes obtienen PPSK. Los sistemas de gestión del edificio obtienen una VLAN de IoT dedicada con PPSK. Los dispositivos del equipo de administración de la propiedad utilizan 802.1X. Tres modelos de autenticación distintos, tres VLAN distintas, una infraestructura física.

architecture_overview.png

Paso 3: integración de hardware

PPSK es compatible con todas las principales plataformas de AP empresariales, aunque los detalles de implementación varían según el proveedor.

Proveedor Término PPSK Plataforma de gestión Soporte WPA3 Límite de claves
Cisco Meraki iPSK Meraki Dashboard Sí 5,000 por red
HPE Aruba PPSK Aruba Central / ArubaOS Sí Miles
Ruckus PPSK SmartZone / Ruckus Cloud Sí Miles
Juniper Mist ePSK Mist AI Sí Miles
Ubiquiti UniFi PPSK UniFi Network No (WPA2 solamente) 1,000 por red
Cambium ePSK cnMaestro Sí Miles
Extreme Private PSK ExtremeCloud IQ Sí Miles
Fortinet PPSK FortiWLM / FortiGate Sí Miles
Ten en cuenta la restricción específica con Ubiquiti UniFi: su implementación actual de PPSK está limitada a WPA2. Si despliegas puntos de acceso WiFi 6E y requieres la banda de 6GHz, debes usar una plataforma que sea compatible con WPA3-SAE con PPSK. Aruba, Ruckus y Meraki son compatibles con PPSK en configuraciones de WPA3.

Purple se integra como una capa de nube independiente del hardware en todas las plataformas de esta lista, lo que proporciona un directorio de PPSK unificado y una interfaz de administración de residentes independientemente del proveedor de hardware subyacente. Consulta nuestra guía sobre Tres SSIDs para dominarlos a todos: guest, Passpoint, e IoT WiFi para obtener un contexto más amplio de la arquitectura de SSID.

Mejores prácticas para WiFi multi-tenant

Controlar la proliferación de SSIDs

Limita la transmisión a un máximo de cuatro SSIDs por radio. Cada SSID adicional consume tiempo de transmisión para las tramas de baliza (beacon frames). En un edificio residencial denso con 30 APs, transmitir ocho SSIDs por AP genera 240 transmisiones de baliza que compiten por el tiempo de transmisión. Utiliza PPSK para segmentar lógicamente a los usuarios detrás de un solo SSID en lugar de crear un SSID independiente por departamento o por piso. Consulta Tres SSIDs para dominarlos a todos para conocer la arquitectura de SSID recomendada.

Automatizar la distribución de claves

No dependas de hojas de contraseñas manuales. Integra tu directorio de PPSK con tu sistema de gestión de propiedades a través de la API REST del proveedor. Genera la clave única automáticamente al registrar al inquilino y envíala a través de un código QR en el correo electrónico de bienvenida. Diseña el flujo de trabajo de distribución de claves antes del despliegue, no después. Los operadores que automatizan la entrega de claves reportan un 30% menos de solicitudes de soporte técnico relacionadas con WiFi en comparación con los métodos de distribución manual (datos internos de Purple, 2024).

Validar enlaces troncales antes del lanzamiento

El fallo de puesta en marcha más común es la falta de etiquetas VLAN en los enlaces troncales entre los switches de distribución y la red central. Diseña tu esquema de VLAN y luego verifica que cada VLAN de residente esté permitida en cada enlace troncal relevante. Realiza pruebas con un dispositivo en cada VLAN antes de que los residentes se muden.

Aplicar filtrado de salida a la VLAN de IoT

Los dispositivos de infraestructura del edificio - controladores de HVAC, cámaras de CCTV, paneles de control de acceso - deben estar en una VLAN de IoT dedicada con un filtrado de salida estricto en el firewall. Esto evita que un dispositivo de IoT comprometido acceda a las VLANs de los residentes o a la red de administración.

Para obtener más información sobre la arquitectura de Guest WiFi y la integración de WiFi Analytics , consulta la documentación de nuestro producto. Los operadores en la industria de Hospitality también deben revisar nuestra guía sobre cómo causar una excelente primera impresión con tu guest WiFi .

Resolución de problemas y mitigación de riesgos

Consolas de videojuegos y tipo de NAT

Los residentes esperan que su PlayStation o Xbox reporte un tipo de NAT "Tipo 2" o "Abierto" para el multijugador en línea. Una implementación excesivamente agresiva de NAT de grado de operador (CGNAT) produce una NAT "Estricta", lo que genera un alto volumen de tickets de soporte. Configure su firewall para manejar UPnP correctamente por segmento de residente. No aplique una restricción general a todas las VLAN de los residentes.

Vinculación de dispositivos domésticos inteligentes

Chromecast, Apple TV, Amazon Echo y Sonos requieren el descubrimiento de dispositivos en la misma red lógica. Con PPSK, todos los dispositivos en la misma clave de residente comparten una VLAN y pueden descubrirse entre sí. Los dispositivos con claves diferentes no pueden hacerlo. Este es el comportamiento correcto. Si los residentes informan de fallas en la vinculación de dispositivos domésticos inteligentes, verifique que todos sus dispositivos estén usando la misma clave PPSK.

Agotamiento de claves en UniFi

Ubiquiti UniFi admite hasta 1,000 entradas PPSK por red. Para un desarrollo con más de 1,000 unidades, o uno con un alto número de dispositivos IoT, este límite requiere una planificación cuidadosa. Considere segmentar la red en múltiples sitios de UniFi, o migrar a una plataforma con límites de claves más altos como HPE Aruba o Cisco Meraki.

GDPR y datos de residentes

Los almacenes de claves PPSK contienen datos que identifican a los residentes. Asegúrese de que su plataforma de gestión de claves almacene los datos en una región que cumpla con las normativas. Purple almacena los datos de acuerdo con los requisitos de GDPR y CCPA, con residencia de datos seleccionable para implementaciones en la UE. Conserve los registros de WiFi que identifican a los residentes solo durante el tiempo necesario para la seguridad y las operaciones - seis meses es un límite común para entornos BTR.

ROI e impacto empresarial

El WiFi gestionado es un servicio central en BTR y en alojamientos para estudiantes diseñados para tal fin. Los operadores que implementan redes PPSK ven retornos medibles en tres dimensiones.

Prima de alquiler. Los operadores de BTR suelen cobrar una prima mensual de £15 a £30 por unidad por un servicio de WiFi de alta calidad y listo para usar, según una investigación del sector de la British Property Federation. En un desarrollo de 200 unidades, eso representa de £36,000 a £72,000 en ingresos anuales adicionales.

Eficiencia operativa. Las claves únicas eliminan las rotaciones de contraseñas en todo el edificio. Los operadores reportan una reducción del 30% en los tickets de soporte relacionados con WiFi después de migrar de PSK compartido a PPSK (datos internos de Purple, 2024). La conectividad desde el día de la mudanza también reduce los períodos de desocupación de cinco a diez días.

Implementación independiente del hardware. Al implementar la solución de WiFi multiinquilino de Purple como una capa de software sobre su hardware existente o seleccionado, usted conserva el control de la red y el aumento de los ingresos operativos netos (NOI). Evita ceder los ingresos a un proveedor de banda ancha externo que agrupa la conectividad en un contrato que captura la prima del servicio.

Purple ha operado en más de 80,000 sedes activas desde 2012, con un tiempo de actividad del 99.999% y certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials. Para las implementaciones de Retail y Healthcare que requieren una segmentación de red similar, se aplica la misma arquitectura de directorio PPSK con capas de cumplimiento específicas del sector. Para la variante iPSK de esta arquitectura, consulte nuestra guía relacionada: Logo guild iPSK: una guía completa para empresas .

Definiciones clave

PPSK (Private Pre-Shared Key)

Un método de autenticación que emite contraseñas de WiFi únicas a usuarios, dispositivos o unidades individuales en un solo SSID, asociando cada clave a una política de red o VLAN específica. También se denomina iPSK (Cisco Meraki), ePSK (Juniper Mist, Cambium) o Private PSK (Extreme Networks).

Esencial para entornos de múltiples inquilinos donde los residentes requieren aislamiento por unidad pero sus dispositivos IoT no son compatibles con 802.1X.

IEEE 802.1X

Un estándar de IEEE para el control de acceso a redes basado en puertos que proporciona acceso autenticado utilizando un servidor RADIUS y un proveedor de identidad. Requiere un suplicante de software en el dispositivo cliente.

Se utiliza para redes de personal y administración en despliegues de BTR. No se puede utilizar para dispositivos IoT que carecen de suplicantes.

VLAN (Virtual Local Area Network)

Una subred lógica que agrupa una colección de dispositivos, aislando su tráfico de difusión de otros dispositivos en la misma infraestructura física.

PPSK utiliza VLANs para crear burbujas de WiFi privadas para cada departamento. La clave de cada residente se asocia a una VLAN única.

RADIUS (Remote Authentication Dial-In User Service)

Un protocolo de red que proporciona una gestión centralizada de autenticación, autorización y contabilidad (AAA) para los usuarios que se conectan a un servicio de red.

Se utiliza en el modelo de despliegue de backend RADIUS para validar las credenciales PPSK frente a un almacén de identidades y devolver las asignaciones de VLAN a través de atributos Cisco-AVPair.

Supplicant

Un cliente de software en un dispositivo de usuario final que se comunica con un autenticador para obtener acceso a la red a través de 802.1X. Gestiona el intercambio de autenticación EAP.

La ausencia de supplicants en los dispositivos de IoT es la razón principal por la que se requiere PPSK en las redes residenciales. Las laptops y los teléfonos tienen supplicants; las bocinas inteligentes y los termostatos no.

WPA3-SAE (Simultaneous Authentication of Equals)

El último estándar de seguridad WiFi que utiliza un intercambio de claves Dragonfly para proteger contra ataques de diccionario fuera de línea, reemplazando el protocolo de enlace de cuatro vías de WPA2 para la autenticación PSK.

Requerido para el funcionamiento de la red de 6GHz en los puntos de acceso WiFi 6E. Los arquitectos deben verificar que el proveedor de AP que elijan admita PPSK sobre WPA3 antes de especificar el hardware.

CGNAT (Carrier-Grade NAT)

Un método para compartir una única dirección IP pública entre varias direcciones IP privadas, utilizado habitualmente por los ISP y los grandes operadores de red para conservar el espacio de direcciones IPv4.

La configuración incorrecta de CGNAT en las redes BTR restringe la conectividad multijugador de las consolas de videojuegos, produciendo un tipo de NAT "Estricto" en lugar del tipo "Abierto" o "Tipo 2" requerido.

SSID (Service Set Identifier)

El nombre de una red WiFi según lo transmite un punto de acceso. Los dispositivos buscan SSIDs para identificar las redes disponibles.

PPSK permite que varios segmentos residenciales compartan un único SSID, lo que evita la degradación del tiempo de aire causada por la transmisión de SSIDs separados por departamento.

Ejemplos resueltos

Un desarrollo de Build to Rent de 180 unidades requiere WiFi listo desde el día de la mudanza con soporte completo para hogares inteligentes. El operador desea eliminar la rotación de contraseñas cuando finalizan los contratos de arrendamiento y reducir los tickets de soporte de los residentes que no pueden conectar su Chromecast o bocina inteligente.

Despliegue puntos de acceso HPE Aruba administrados a través de Aruba Central. Configure un único SSID con PPSK habilitado. Asocie las VLANs 10 a 190 a departamentos individuales (una VLAN por unidad). Integre el sistema de gestión de propiedades a través de la API REST de Aruba Central para generar automáticamente una clave PPSK única al firmar el contrato de arrendamiento. Entregue la clave al residente mediante un código QR en su correo electrónico de bienvenida. Cuando finalice un contrato de arrendamiento, elimine la clave en el portal. Configure DHCP con subredes /24 por VLAN para alojar hasta 25 dispositivos por departamento. Establezca una VLAN de IoT dedicada (VLAN 99) para los sistemas de gestión del edificio con filtrado de salida.

Comentario del examinador: Este enfoque elimina las vulnerabilidades de las contraseñas compartidas. Revocar una clave al mudarse afecta únicamente a esa VLAN específica, dejando operativas las otras 179 unidades. La incorporación mediante código QR reduce los tickets de soporte del primer día. Se seleccionó HPE Aruba porque es compatible con PPSK en WPA3, lo que permite un futuro despliegue de WiFi 6E en la banda de 6GHz.

Un bloque de alojamiento para estudiantes construido con un propósito específico de 400 camas necesita gestionar la semana de mudanza de la cohorte, con cientos de estudiantes llegando simultáneamente y conectando múltiples dispositivos cada uno. El despliegue anterior utilizaba una contraseña compartida que se rotaba anualmente, lo que causaba caos al inicio de cada año académico.

Despliegue puntos de acceso Ruckus administrados a través de SmartZone. Configure PPSK con una clave única por habitación. Genere previamente todas las claves antes de que comience el año académico. Incluya el código QR de cada habitación en el paquete de bienvenida enviado a los estudiantes antes de su llegada. Configure VLANs por habitación con subredes /23 para alojar laptops, teléfonos, consolas y pantallas inteligentes. Habilite WPA3-SAE en el SSID de PPSK para mejorar la seguridad. Configure un portal de autoservicio para residentes donde los estudiantes puedan recuperar su clave y agregar nuevos dispositivos a mitad de año sin ponerse en contacto con TI.

Comentario del examinador: La generación previa y distribución de claves antes de la llegada elimina la sobrecarga de autenticación el día de la mudanza. El aislamiento de VLAN por habitación significa que el tráfico de cada estudiante es independiente, por lo que el uso de alto ancho de banda de un estudiante no degrada el de sus vecinos. El portal de autoservicio reduce la carga de trabajo de TI durante todo el año académico.

Preguntas de práctica

Q1. Está asesorando a un operador de BTR sobre la actualización de un complejo de 400 departamentos. Actualmente transmiten un SSID independiente para cada piso (ocho pisos, ocho SSIDs). Los residentes informan de un WiFi lento, especialmente por las noches. ¿Cuál es la causa probable y qué recomienda?

Sugerencia: Considere la relación entre el número de SSIDs, las tramas de baliza (beacon frames) y la utilización del tiempo de aire.

Ver respuesta modelo

La causa probable es la saturación del tiempo de aire debido a un exceso de tramas de baliza (beacons). Cada SSID transmite balizas varias veces por segundo. Ocho SSIDs en 30 puntos de acceso generan 240 transmisiones de baliza que compiten entre sí, consumiendo una proporción significativa del tiempo de aire disponible antes de que se transmita cualquier dato de los residentes. La recomendación es consolidar en un solo SSID e implementar PPSK para lograr el aislamiento requerido por piso o por departamento. Esto elimina la sobrecarga de balizas mientras mantiene la seguridad.

Q2. Un operador de BTR informa que las smart TVs, Chromecasts y bocinas inteligentes de los residentes suelen dejar de funcionar después de que otros residentes se mudan. El equipo de TI rota la contraseña del edificio en cada mudanza. ¿Cuál es la falla de arquitectura y cuál es la solución correcta?

Sugerencia: Analice el impacto de una PSK compartida en todos los dispositivos conectados cuando se rota la clave.

Ver respuesta modelo

La red utiliza una PSK compartida estándar para todos los residentes. Cuando la clave rota al mudarse alguien, todos los dispositivos del edificio pierden su conexión y deben reconectarse manualmente. La solución correcta es migrar a un directorio PPSK, emitiendo una clave única por departamento. Cuando un residente se muda, el operador elimina únicamente la clave de ese departamento. Los otros 399 departamentos no se ven afectados. Las smart TVs, Chromecasts y bocinas inteligentes se reconectan automáticamente porque sus credenciales no han cambiado.

Q3. Está especificando puntos de acceso WiFi 6E para un nuevo complejo BTR de 200 departamentos. El cliente requiere claves PPSK únicas por departamento y desea utilizar la banda de 6GHz para aplicaciones de gran ancho de banda. Está evaluando Ubiquiti UniFi frente a HPE Aruba. ¿Qué problema de compatibilidad debe identificar y cómo afecta a su recomendación de hardware?

Sugerencia: Verifique la relación entre la banda de 6GHz, los requisitos de WPA3 y las limitaciones de implementación de PPSK de los proveedores.

Ver respuesta modelo

La banda de 6GHz exige WPA3-SAE. Ubiquiti UniFi actualmente restringe PPSK solo a WPA2, lo que significa que los clientes PPSK no pueden usar la banda de 6GHz en el hardware de UniFi. HPE Aruba admite PPSK en WPA3-SAE, lo que permite la utilización completa de la banda de 6GHz para los clientes PPSK. La recomendación es HPE Aruba para este despliegue. Si el cliente tiene una inversión existente en UniFi, los clientes PPSK deben restringirse a las bandas de 2.4GHz y 5GHz hasta que Ubiquiti agregue soporte WPA3 para PPSK.

Continúe leyendo esta serie

Guía de PPSK en PDF: comparación de funciones y modelos de implementación

Esta guía de referencia técnica compara la arquitectura WiFi de clave precompartida privada (PPSK) con las implementaciones tradicionales de 802.1X y PSK estándar. Proporciona a los arquitectos de red y gerentes de TI estrategias de implementación independientes del proveedor para entornos residenciales multi-inquilino, de IoT y BTR.

Leer la guía →

Uu PPSK 2023: comparación de características y modelos de implementación

Esta guía de referencia técnica compara la arquitectura WiFi de clave privada precompartida única por usuario (UU PPSK) frente a las implementaciones tradicionales de PSK compartido y 802.1X, con un enfoque específico en el panorama de 2023 de las implementaciones de proveedores y las capacidades de la plataforma. Proporciona a los desarrolladores inmobiliarios, operadores de BTR y arrendadores de MDU estrategias de implementación prácticas, orientación sobre arquitectura VLAN y flujos de trabajo de gestión automatizada del ciclo de vida. La guía cubre tres modelos de implementación, casos de estudio del mundo real y las implicaciones de cumplimiento de cada enfoque de autenticación.

Leer la guía →

PPSK xaverius: comparación de funciones y modelos de implementación

Esta guía de referencia analiza la arquitectura PPSK xaverius para entornos de múltiples inquilinos como Build to Rent y residencias estudiantiles. Compara los modelos de implementación, detalla las estrategias de implementación y explica cómo el aislamiento de VLAN por unidad ofrece una experiencia de WiFi similar a la del hogar manteniendo la seguridad empresarial.

Leer la guía →