Reglas de firewall para redes WiFi de invitados

# Podcast Script: Mastering Firewall Rules for Guest WiFi **Presentador:** Un arquitecto de soluciones sénior de Purple. **(Música de introducción: alegre, profesional, se desvanece después de 5 segundos)** **Presentador:** Hola y bienvenidos al Purple Technical Briefing. Soy un arquitecto de soluciones sénior aquí en Purple, y hoy abordaremos un tema que es absolutamente fundamental para implementar un WiFi de invitados seguro y de alto rendimiento: las reglas del firewall. Esto es para los gerentes de TI, los arquitectos de redes y los directores de operaciones que necesitan equilibrar un acceso de invitados sin interrupciones con una seguridad de red corporativa inquebrantable. Cometer un error aquí es uno de los mayores riesgos en cualquier establecimiento, lo que puede provocar brechas de seguridad y cuellos de botella en el rendimiento. En este informe, proporcionaremos orientación directa y práctica para ayudarle a configurar sus firewalls correctamente, específicamente para una implementación de Purple. **(Música de transición: corta, sutil)** **Presentador:** Entremos de lleno en los detalles técnicos. El principio más importante que debe cumplir es el **aislamiento**. Su red de invitados debe tratarse como un entorno completamente inseguro. Esto significa crear una LAN virtual dedicada, o VLAN, para el tráfico de sus invitados, completamente segmentada de su LAN corporativa donde residen sus sistemas comerciales críticos. No debe haber absolutamente ninguna posibilidad de movimiento lateral desde la VLAN de invitados hacia la VLAN corporativa. Su firewall es el guardián que aplica esta separación. Entonces, ¿qué tráfico debería permitir explícitamente salir de esta red de invitados aislada? Operamos bajo el principio de 'denegación por defecto'. Nada pasa a menos que cree una regla específica de 'permitir'. Aquí está lo esencial. Primero, el **puerto 53 para DNS**. Sus invitados necesitan poder resolver nombres de dominio como 'purple.ai' en direcciones IP. Debe configurar su red de invitados para utilizar resolutores DNS públicos y confiables, como el 8.8.8.8 de Google o el 1.1.1.1 de Cloudflare. Esto evita que los usuarios utilicen potencialmente servidores DNS personalizados para eludir sus políticas o realizar túneles DNS. A continuación, y de manera más obvia, los **puertos 80 y 443, para HTTP y HTTPS**. Esta es la columna vertebral de toda la navegación web. Cuando un invitado se conecta por primera vez, su solicitud web inicial es lo que intercepta el controlador de red y lo redirige a su Captive Portal de Purple. Sin acceso a estos puertos, todo el recorrido del invitado falla antes de comenzar. Para una implementación exitosa de Purple, también debe asegurarse de que la red de invitados pueda comunicarse con los servicios en la nube de Purple y, potencialmente, con su controlador WiFi local. Esto generalmente implica permitir el tráfico de salida en los **puertos 8080 y 8443** para la gestión y estadísticas del controlador. Finalmente, hay un par de servicios de red fundamentales. Los **puertos 67 y 68 para DHCP**, que es cómo se asigna automáticamente una dirección IP a los dispositivos de los invitados. Y el **puerto 123 para NTP**, o Protocolo de Tiempo de Red, que es crucial para mantener precisas las marcas de tiempo de los dispositivos y de los registros, algo que es invaluable durante cualquier investigación de seguridad. ¿Qué pasa con las reglas de entrada? Para la red de invitados, esto es simple: no se permite ninguna. No existe ninguna razón comercial legítima para que un dispositivo en el Internet público inicie una conexión *hacia* su red de invitados. La única excepción es si aloja su controlador WiFi o Captive Portal de forma local. En ese escenario específico, crearía una regla de redireccionamiento de puertos altamente restringida, también conocida como regla de Destination NAT, para guiar el tráfico externo a la dirección IP interna específica del portal. Para configuraciones más avanzadas que utilizan autenticación de nivel empresarial, también podría necesitar reglas de entrada para **RADIUS en los puertos UDP 1812 y 1813**. Recuerde, la regla por defecto en la parte inferior de su política de firewall debe ser: **Denegar todo**. Si el tráfico no coincide con una de estas reglas específicas de 'permitir', se descarta. **(Música de transición: corta, sutil)** **Presentador:** Ahora, hablemos de la implementación y de los errores comunes. Estas recomendaciones son neutrales respecto al proveedor. Primero, utilice siempre un firewall de inspección de estado (stateful). Un firewall de inspección de estado realiza un seguimiento del estado de las conexiones y permite automáticamente el tráfico de retorno para las sesiones establecidas, lo que simplifica su conjunto de reglas. Segundo, habilite el 'aislamiento de clientes' en sus puntos de acceso inalámbricos. Esta es una función crítica que evita que los dispositivos en la misma red WiFi se comuniquen entre sí. Y tercero, programe auditorías periódicas de sus reglas de firewall. Las reglas no utilizadas o excesivamente permisivas son una deuda de seguridad que debe saldar. Vemos errores comunes todo el tiempo. El pecado capital es la regla de 'permitir cualquiera a cualquiera', que a menudo se implementa temporalmente para realizar pruebas y luego se olvida. Es una puerta abierta de par en par para los atacantes. Otro error es olvidarse de IPv6; asegúrese de que sus reglas de firewall se apliquen tanto al tráfico IPv4 como al IPv6. Y finalmente, no se limite a configurar sus reglas y retirarse. Los registros de su firewall son su sistema de alerta temprana. Monitórelos en busca de patrones inusuales o conexiones denegadas repetidas. Permítame darle un ejemplo rápido del mundo real. Trabajamos con una gran cadena hotelera que experimentaba quejas frecuentes de los huéspedes sobre WiFi lento. Sus reglas de firewall eran demasiado permisivas, lo que permitía que las tormentas de difusión de dispositivos de invitados mal configurados inundaran la red. Al implementar un aislamiento estricto de VLAN y las reglas de salida esenciales que acabamos de analizar, no solo protegieron su red corporativa, sino que también aumentaron el rendimiento del WiFi de invitados en más del 30% y redujeron drásticamente las llamadas de soporte relacionadas con la red. **(Música de transición: corta, sutil)** **Presentador:** Pasemos a una sección de preguntas y respuestas rápidas. Me preguntan esto todo el tiempo. *Primera pregunta: ¿Debería bloquear las VPN en la red de invitados?* Esta es una decisión de política. Bloquearlas le brinda más visibilidad del tráfico, pero puede frustrar a los viajeros de negocios que necesitan una VPN para trabajar. Un enfoque equilibrado es permitirlo, pero asegurarse de que sus otras reglas sean estrictas. *Segunda: ¿Qué pasa con los dispositivos IoT como televisiones inteligentes o bocinas en la red de invitados?* Trátelos como dispositivos de muy poca confianza. Lo ideal es colocarlos en una tercera VLAN, aún más restringida, con reglas de firewall que solo permitan la comunicación con sus servidores de gestión en la nube específicos y nada más. *Y tercera: ¿Cómo se relaciona esto con el cumplimiento de PCI DSS para nuestras ubicaciones de retail?* PCI DSS exige la separación completa y verificable del entorno de datos de tarjetahabientes. Una red de invitados configurada y aislada correctamente, protegida por un firewall de la VLAN que utilizan sus terminales de pago, es un control fundamental y no negociable para el cumplimiento. **(Música de transición: corta, sutil)** **Presentador:** En resumen, la seguridad de toda su red empresarial depende de cómo configure el límite alrededor de su WiFi de invitados. Los principios fundamentales son: **Aislar** el tráfico de sus invitados en su propia VLAN. **Aplicar** una política de 'denegación por defecto', permitiendo únicamente los puertos esenciales para la navegación web, DNS y los servicios de Purple. **Evitar** todo el tráfico de entrada y el movimiento lateral. Y finalmente, **auditar** sus reglas y monitorear sus registros continuamente. By following this guidance, you can provide a valuable amenity for your visitors while protecting your critical business assets, ensuring compliance, and delivering a superior user experience. For a detailed port reference guide and network diagrams, please visit the technical reference guide on our website that accompanies this briefing. **(Música de salida: alegre, profesional, se desvanece)** **Presentador:** Gracias por acompañarnos en este Purple Technical Briefing. Nos vemos la próxima vez. **(La música se desvanece)**