Saltar al contenido principal
Español (México)

Guía paso a paso: Configuración de controladores inalámbricos Ruijie para Captive Portals de WiFi de invitados

Esta guía proporciona un recorrido técnico completo para configurar controladores inalámbricos y gateways Ruijie para implementar Captive Portals de WiFi de invitados de nivel empresarial. Cubre la segmentación de VLAN, la autenticación RADIUS externa a través del protocolo WISPr, la configuración de walled garden y la integración fluida con la plataforma de redes basadas en identidad de Purple para capturar datos de primera mano e impulsar un valor comercial medible en entornos de hotelería, retail y sector público.

📖 8 min de lectura📝 1,834 palabras🔧 2 ejemplos resueltos❓ 4 preguntas de práctica📚 9 definiciones clave

Escucha esta guía

Ver transcripción del podcast
Bienvenido a la serie de sesiones informativas técnicas de Purple. Hoy cubriremos uno de los temas más buscados en redes inalámbricas empresariales: cómo configurar los controladores inalámbricos Ruijie para un Captive Portal seguro de WiFi para invitados. Soy su anfitrión, y esta es una sesión informativa de diez minutos diseñada para gerentes de TI, arquitectos de redes y directores de operaciones de recintos que necesitan hacer esto bien a la primera. Comencemos con el contexto. Si administra la TI de un hotel, una cadena de retail, un centro de conferencias o un gran recinto público, el WiFi para invitados ya no es solo una cortesía. Es un requisito operativo fundamental. Los invitados lo esperan. Los reguladores exigen que maneje sus datos de manera responsable. Y su equipo de marketing quiere los datos de primera mano que este genera. El desafío es implementarlo de forma segura en un patrimonio distribuido, a escala, sin generar un dolor de cabeza de cumplimiento. Ruijie Networks es uno de los proveedores de redes empresariales más grandes del mundo, con una base instalada significativa en entornos de hospitalidad, retail y sector público. Sus controladores inalámbricos de la serie RG-WS y los gateways de la serie RG-EG son plataformas capaces para WiFi de invitados empresarial, pero la configuración del Captive Portal requiere una ejecución precisa. Si lo hace mal, terminará con una brecha de seguridad o con un portal que simplemente no funciona. Ahora entremos en la arquitectura técnica. La base absoluta de cualquier red de invitados segura es el aislamiento del tráfico. No puede tener dispositivos de invitados en el mismo segmento de red que sus terminales de pago, las laptops del personal o sus servidores de back-office. El mecanismo para esto es la segmentación de VLAN. En un entorno Ruijie, usted crea una VLAN de invitados dedicada en su switch principal, le asigna una subred IP independiente y la conecta a través de un trunk a sus puntos de acceso. Una implementación típica podría usar la VLAN diez para el entorno corporativo, la VLAN veinte para voz, la VLAN treinta para invitados y la VLAN noventa y nueve para administración. Esto no es negociable. Si se salta este paso, tendrá un WiFi conveniente, no un WiFi seguro. Una vez que la red está correctamente segmentada, pasamos a la autenticación. Una clave precompartida común no es seguridad empresarial. No ofrece rendición de cuentas, ni seguimiento de sesiones individuales, ni forma de revocar el acceso a un solo usuario sin cambiar la contraseña para todos. En su lugar, utilizamos un Captive Portal externo con autenticación RADIUS. Así es como funciona el flujo. Un invitado se conecta al SSID abierto transmitido por el punto de acceso Ruijie. El gateway Ruijie intercepta su tráfico HTTP y emite un redireccionamiento a una página de inicio externa, en este caso alojada por Purple. El invitado ve una página de inicio de sesión personalizada con la marca. Se autentica, tal vez mediante registro por correo electrónico, inicio de sesión social o aceptación con un solo clic. Los servidores de Purple procesan esa autenticación y envían un mensaje RADIUS Accept de vuelta al controlador Ruijie. El controlador luego otorga acceso a Internet al dispositivo. Todo este flujo utiliza el protocolo WISPr, que es el marco estándar para la autenticación de Captive Portal externos en redes inalámbricas empresariales. El valor comercial aquí es significativo. Cada evento de autenticación captura un registro de consentimiento. La plataforma de Purple almacena esos datos de manera que cumple con el GDPR y la CCPA, crea una base de datos de marketing de origen directo (first-party) y envía analíticas de vuelta a su equipo. Harrods utilizó este enfoque para promover su programa de lealtad y logró un retorno de inversión de cincuenta y siete veces. c2c Rail logró un ciento veintiuno por ciento de retorno de inversión y ahorró setenta y seis mil libras en costos operativos. Ese es el caso comercial para hacer esto correctamente. Ahora repasemos los pasos de configuración específicos en la interfaz de Ruijie Cloud o del controlador local. Paso uno: cree el SSID de invitados. Inicie sesión en Ruijie Cloud o en su controlador local. Vaya a Device Config, seleccione Wi-Fi en Wireless y cree un nuevo SSID. Asígnele un nombre claro, como Free Guest WiFi. Establezca el modo de seguridad en Open y asígnelo a su VLAN de invitados. Paso dos: defina la política del Captive Portal. Vaya a Auth and Account, luego seleccione Captive Portal en Authentication. Cree una nueva política. Establezca el Policy Mode en External. Establezca el Authentication Device en su gateway o punto de acceso Ruijie. Seleccione el SSID de invitados. En el campo Portal Server URL, ingrese la URL de su splash page de Purple. Ingrese las direcciones IP del servidor RADIUS de Purple. Paso tres: configure el Walled Garden, que Ruijie llama Allowlist. Este es el elemento que se configura incorrectamente con más frecuencia en cualquier implementación de Captive Portal. El Walled Garden define qué tráfico puede pasar antes de que el usuario se autentique. Si no permite explícitamente los dominios de Purple, la splash page no se cargará. Si ofrece inicio de sesión con Facebook o Google pero no permite sus dominios de OAuth, la autenticación se detendrá en el botón de inicio de sesión social. Agregue todos los dominios de infraestructura de Purple requeridos y todos los dominios de proveedores sociales que planee admitir. Paso cuatro: configure RADIUS. Agregue las direcciones IP del servidor RADIUS de Purple principal y secundario. Ingrese el secreto compartido desde su panel de control de Purple. Asegúrese de que la contabilidad RADIUS esté habilitada en el puerto 1813. Esto permite a Purple realizar un seguimiento preciso de la duración de la sesión y el uso de datos, lo que alimenta directamente sus informes analíticos. Paso cinco: aplique políticas de QoS. El acceso de invitados sin restricciones puede saturar su enlace de internet. Establezca límites estrictos de ancho de banda por usuario en el gateway de Ruijie; por lo general, de cinco a diez megabits de bajada y de dos a cinco de subida para una implementación estándar de hospitalidad. Esto protege la experiencia de todos los invitados y evita que un solo dispositivo degrade la red. Ahora cubramos los errores críticos de implementación. El primero es el Walled Garden. No puedo enfatizar lo suficiente la frecuencia con la que esto es la causa raíz de una implementación fallida. Pruebe su portal desde un dispositivo limpio sin credenciales almacenadas en caché. Si la página no se carga, verifique primero su allowlist. El segundo error común es la configuración de Portal Escape. Esta función de Ruijie libera automáticamente el tráfico de los usuarios si el punto de acceso y el servidor del portal dejan de estar accesibles. Suena útil, pero significa que los usuarios no autenticados obtienen acceso a internet durante una interrupción. En un entorno empresarial donde la captura de consentimiento es un requisito legal, es mejor tener esto desactivado para imponer una autenticación estricta en todo momento. El tercer error común son las versiones de firmware. Algunas funciones de Captive Portal, en particular las relacionadas con los controles de ancho de banda y la asignación dinámica de VLAN, requieren versiones de firmware específicas en la puerta de enlace Ruijie. Revise las notas de lanzamiento de Ruijie antes de realizar la implementación y asegúrese de que sus dispositivos ejecuten una versión de firmware compatible. Ahora, pasemos a las preguntas rápidas. ¿Debo gestionar el Captive Portal en el punto de acceso o en la puerta de enlace? En una implementación empresarial de Ruijie, gestiónelo en la puerta de enlace. Las puertas de enlace de la serie RG-EG están diseñadas para administrar la intercepción del portal externo y aplicar políticas de QoS. Los puntos de acceso se enfocan en el rendimiento de RF y la transmisión de SSID. ¿Puedo ejecutar múltiples Captive Portals en diferentes SSIDs? Sí. Ruijie admite múltiples políticas de Captive Portal asignadas a diferentes SSIDs. Puede tener un portal de invitados estándar en un SSID y un portal premium de pago en otro, cada uno con diferentes límites de ancho de banda y métodos de autenticación. ¿Cómo gestiono una implementación multisitio? Utilice Ruijie Cloud para administrar la configuración de forma centralizada. Puede implementar políticas de portal en todos los sitios de manera simultánea, lo que garantiza la coherencia y elimina las variaciones de configuración por sitio. Para resumir los puntos clave: segmente su tráfico con VLANs antes de hacer cualquier otra cosa. Utilice la autenticación RADIUS externa para capturar datos de primera mano que cumplan con las normativas. Configure su Walled Garden meticulosamente y pruébelo desde un dispositivo limpio. Tome una decisión deliberada sobre Portal Escape en función de sus requisitos de cumplimiento. Aplique QoS para proteger la experiencia del usuario. E integre su infraestructura Ruijie con las redes basadas en identidad de Purple para convertir una conexión básica en un activo seguro, impulsado por datos y generador de ingresos. Purple opera en más de ochenta mil establecimientos activos, ha procesado cuatrocientos cuarenta millones de inicios de sesión en 2024 y cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials. Somos independientes del hardware, lo que significa que su inversión en Ruijie es totalmente compatible con nuestra plataforma de superposición en la nube. Gracias por escuchar. Si desea explorar cómo se integra Purple con su infraestructura Ruijie, visite purple punto ai diagonal guest guion wifi. Realice su implementación de forma segura y nos vemos en la próxima sesión informativa.

header_image.png

Resumen ejecutivo

Implementar WiFi para invitados en una empresa distribuida requiere más que un SSID abierto. Para los administradores de TI y arquitectos de red, el desafío consiste en equilibrar un acceso fluido con una seguridad estricta, el cumplimiento de GDPR y los requisitos de captura de datos. Esta guía detalla los pasos exactos de configuración para implementar un Captive Portal seguro y escalable utilizando controladores inalámbricos y gateways Ruijie, y muestra cómo la integración de esa infraestructura con la plataforma de Guest WiFi de Purple transforma una conexión inalámbrica básica en un activo compatible con las normativas y generador de ingresos.

Cubrimos los prerrequisitos técnicos, las estrategias de segmentación de VLAN, la autenticación RADIUS externa a través del protocolo WISPr, la configuración de walled garden y los ajustes específicos de QoS requeridos para una implementación de nivel de producción. Ya sea que administre un hotel de 200 habitaciones, una cadena minorista de 50 sucursales o un estadio con 40,000 asistentes, esta guía proporciona el plano definitivo para una configuración segura de Captive Portal de Ruijie. Purple opera en más de 80,000 sedes activas y procesó 440 millones de inicios de sesión en 2024 (datos internos de Purple), por lo que los patrones de integración descritos aquí están probados a escala.

architecture_overview.png

Arquitectura técnica y prerrequisitos

Antes de modificar su controlador Ruijie, establezca la arquitectura de red correcta. Una red de invitados segura exige un aislamiento completo del tráfico corporativo en la Capa 2 (a nivel de switch).

Segmentación de red

La base de un WiFi para invitados seguro es el aislamiento de VLAN. Debe crear una VLAN de invitados dedicada en su gateway o switch principal Ruijie. Esto garantiza que el tráfico de invitados nunca se cruce con los sistemas internos, terminales de pago o dispositivos del personal. Un esquema de VLAN empresarial estándar para una implementación de Ruijie se ve así:

VLAN ID Propósito Notas
10 Corporativo Dispositivos del personal, servidores internos
20 Voz Teléfonos VoIP
30 Invitados Captive Portal, solo internet
40 IoT Impresoras, smart TVs, sensores
99 Administración Controlador, administración de switches

Para obtener más información sobre por qué los enfoques de nivel de consumo fallan en este aspecto, lea Why Consumer WiFi Gear Doesn't Belong on Your Guest Network .

Componentes requeridos

Para completar esta implementación, necesita:

  • Una cuenta de Ruijie Cloud o un controlador inalámbrico local Ruijie de la serie RG-WS (por ejemplo, RG-WS6008 o RG-WS7110).
  • Un gateway Ruijie de la serie RG-EG, requerido para la autenticación de portal externo a través de WISPr.
  • Puntos de acceso Ruijie de la serie RG-AP (por ejemplo, RG-AP820-I, RG-AP850-AR).
  • Una licencia de Purple Connect, Capture o Engage.
  • Acceso UDP de salida en los puertos 1812 (autenticación RADIUS) y 1813 (contabilidad RADIUS) desde el gateway hacia los servidores de Purple.

Descripción general del protocolo de autenticación

Ruijie es compatible con varios métodos de autenticación. Las implementaciones empresariales deben utilizar la autenticación RADIUS externa. Este enfoque utiliza el protocolo WISPr (Wireless Internet Service Provider roaming) para redirigir de forma segura a los usuarios no autenticados a la splash page de Purple, procesar sus credenciales y devolver un mensaje RADIUS Accept o Reject al controlador Ruijie.

comparison_chart.png

La tabla anterior resume los cinco métodos de autenticación disponibles en las plataformas Ruijie. El registro por correo electrónico y el inicio de sesión con redes sociales son las opciones más comunes para entornos de hotelería y retail porque capturan datos de primera mano estructurados y que cumplen con el GDPR. Los códigos de cupón se adaptan a salas de conferencias y niveles de acceso de pago. RADIUS con 802.1X se reserva para redes de personal donde se requiere una identidad respaldada por un directorio.

Guía de implementación paso a paso

Siga estos pasos dentro de la interfaz de Ruijie Cloud o del controlador local. Las rutas de la interfaz de usuario que se muestran a continuación se aplican a la nueva interfaz de Ruijie Cloud (posterior a 2024) y a la plataforma Ruijie JaCS.

Paso 1: Configurar el SSID de invitados

Establezca la red de transmisión inalámbrica.

  1. Inicie sesión en Ruijie Cloud o en la interfaz web del controlador local.
  2. Vaya a Device Config y seleccione Wi-Fi en la sección Wireless.
  3. Haga clic en + para crear un nuevo SSID, o edite uno existente.
  4. Establezca el SSID Name (por ejemplo, "Free Guest WiFi").
  5. Establezca el Security Mode en Open (sin clave precompartida).
  6. Asigne el SSID a su VLAN de invitados dedicada (por ejemplo, VLAN 30).
  7. Guarde la configuración del SSID.

Paso 2: Definir la política del Captive Portal

Indique al controlador que intercepte el tráfico de invitados y lo redirija a Purple.

  1. Vaya a Auth & Account y seleccione Captive Portal en Authentication.
  2. Cree una nueva política. Establezca un Policy Name descriptivo (por ejemplo, "Purple-Guest-Portal").
  3. Establezca el Policy Mode en External.
  4. Establezca el Authentication Device en su gateway Ruijie (serie RG-EG) o punto de acceso.
  5. Seleccione el SSID de invitados creado en el Paso 1.
  6. En el campo Portal Server URL, ingrese la URL específica de su splash page de Purple (disponible en su panel de Purple en Hardware Configuration).
  7. Ingrese las direcciones IP del servidor RADIUS de Purple en los campos designados.
  8. Establezca la duración de Seamless Online para que coincida con su política de tiempo de espera de sesión (por ejemplo, 24 horas para hotelería, una hora para retail).
  9. Decida el comportamiento de Portal Escape (consulte la sección de Mejores prácticas a continuación).

Paso 3: Configurar el walled garden (lista de permitidos)

Un Captive Portal intercepta todo el tráfico hasta que el usuario se autentica. Cierto tráfico debe pasar a través de la preautenticación para permitir que la página de inicio de sesión se cargue y procese los inicios de sesión con redes sociales. Este es el elemento que se configura incorrectamente con más frecuencia en cualquier implementación de Captive Portal.

  1. Diríjase a Auth & Account y seleccione Allowlist.
  2. Agregue todos los dominios de infraestructura de Purple requeridos. Su panel de Purple proporciona la lista exacta para su región.
  3. Si ofrece inicio de sesión con redes sociales, agregue los dominios de OAuth para cada proveedor:
    • Para Microsoft Entra ID: *.microsoft.com, *.microsoftonline.com, login.live.com
    • Para Google Workspace: *.google.com, accounts.google.com
    • Para Okta: el dominio específico de su tenant de Okta
  4. Agregue los dominios de los procesadores de pago si ofrece planes de WiFi de pago.
  5. Guarde y aplique la lista de permitidos (allowlist).

Paso 4: Configurar la autenticación RADIUS

Configure el canal de comunicación seguro entre Ruijie y Purple.

  1. Diríjase a la configuración del servidor RADIUS en su controlador o gateway Ruijie.
  2. Agregue la dirección IP del servidor RADIUS primario de Purple y el puerto 1812 para la autenticación.
  3. Agregue la dirección IP del servidor RADIUS secundario de Purple como respaldo (failover).
  4. Ingrese el Shared Secret de su panel de Purple. Este debe coincidir exactamente.
  5. Agregue el servidor de contabilidad (accounting) en el puerto 1813 y habilite la contabilidad RADIUS. Esto rastrea la duración de la sesión y el uso de datos, alimentando directamente los informes de WiFi Analytics de Purple.
  6. Establezca el NAS Identifier con una cadena de texto significativa (por ejemplo, el nombre de su establecimiento) para distinguir el tráfico en las analíticas de Purple.

Paso 5: Aplicar políticas de QoS

El acceso de invitados sin restricciones puede saturar su enlace de internet durante los períodos de mayor actividad.

  1. Diríjase a la sección de QoS o gestión de ancho de banda de su gateway Ruijie.
  2. Establezca límites de descarga por usuario (por ejemplo, 10 Mbps para huéspedes de hotel, 5 Mbps para compradores de tiendas).
  3. Establezca límites de carga por usuario (por ejemplo, 2-5 Mbps).
  4. Deshabilite Client Escape para garantizar que los usuarios no autenticados no puedan acceder a la red si el servidor del portal no está disponible temporalmente.
  5. Guarde y envíe la configuración a todos los dispositivos correspondientes.

Paso 6: Probar la implementación

Realice siempre las pruebas desde un dispositivo limpio sin credenciales almacenadas en caché.

  1. Conecte un dispositivo móvil al SSID de invitados.
  2. Abra un navegador y diríjase a una URL que no sea HTTPS (por ejemplo, http://example.com). El portal debería redirigirlo.
  3. Verifique que la página de bienvenida de Purple se cargue correctamente.
  4. Complete el flujo de autenticación.
  5. Confirme que se otorgue acceso a internet después de la autenticación.
  6. Revise el panel de Purple para confirmar que la sesión aparezca en sus analíticas.

Mejores prácticas para la implementación empresarial

Seguridad y cumplimiento

Nunca dependa de una PSK compartida para el acceso de invitados. Las contraseñas compartidas no ofrecen rendición de cuentas y son imposibles de revocar para un solo usuario. Al utilizar el Captive Portal de Purple con autenticación individual, usted impone el consentimiento explícito para el procesamiento de datos, cumpliendo con los requisitos del Artículo 7 del GDPR. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, lo que garantiza que el propio mecanismo de captura de datos sea auditable.

Para un análisis más profundo de la arquitectura de seguridad, lea nuestro Enterprise WiFi Security: A Complete Guide for 2026 y What Is Secure WiFi: Essential Guide for Business 2026 .

Portal Escape: una decisión deliberada

La función Portal Escape de Ruijie libera automáticamente el tráfico de los usuarios si el AP y el servidor del portal dejan de estar accesibles. En un entorno de hospitalidad, puede optar por habilitarla: un invitado que se queda sin WiFi durante una interrupción del servidor genera quejas. En un entorno minorista o de atención médica, puede optar por deshabilitarla: el acceso no autenticado representa un riesgo de cumplimiento y seguridad. Documente su decisión y el fundamento en su manual de procedimientos de red.

Consistencia multisitio

Utilice Ruijie Cloud para administrar la configuración de forma centralizada en todos los sitios. Implemente políticas de portal simultáneamente para eliminar la desviación de configuración por sitio, la causa más común de experiencias de invitado inconsistentes en una propiedad distribuida. El overlay en la nube de Purple opera bajo el mismo principio: un solo panel, todos los establecimientos.

Gestión de firmware

Algunas funciones del Captive Portal de Ruijie, en particular los controles de ancho de banda y la asignación dinámica de VLAN, requieren versiones de firmware específicas en el gateway. Las notas de lanzamiento de Ruijie documentan estas dependencias. Asegúrese de que sus gateways RG-EG ejecuten el firmware RGOS11.9(6)B17T1 o superior para obtener soporte completo de QoS en implementaciones administradas desde la nube.

Resolución de problemas y mitigación de riesgos

La página del portal no se carga

Si el Captive Portal no aparece cuando un dispositivo se conecta, verifique primero la configuración de su walled garden. El dispositivo debe resolver el DNS y llegar a la URL del portal de Purple antes de la autenticación. Verifique que su lista de permitidos de Ruijie incluya todos los dominios necesarios y que su servidor DNS sea accesible desde la VLAN de invitados.

Tiempos de espera de autenticación agotados

Si los usuarios ven el portal pero no pueden iniciar sesión, el problema suele estar en la configuración de RADIUS. Verifique las direcciones IP del servidor RADIUS, los puertos (1812 para autenticación, 1813 para contabilidad) y el secreto compartido. Asegúrese de que su firewall permita el tráfico UDP saliente en estos puertos desde la IP de administración del gateway de Ruijie.

El inicio de sesión social se congela

Si los usuarios hacen clic en un botón de inicio de sesión social y no pasa nada, la redirección de OAuth está siendo bloqueada. Agregue los dominios del proveedor social requeridos a su lista de permitidos de Ruijie. Realice una prueba permitiendo temporalmente todo el tráfico antes de la autenticación para confirmar que el portal funciona, y luego restrinja la lista de permitidos de forma incremental.

Fallas en la asignación dinámica de VLAN

If you are using RADIUS to assign users to VLANs dynamically, ensure the RADIUS response includes the correct VLAN attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID). Ruijie's RG-EG310GH-E and similar gateways support dynamic VLAN assignment, but the feature requires explicit configuration on both the RADIUS server and the gateway.

ROI and business impact

Deploying a secure captive portal transforms guest WiFi from a cost centre into a strategic asset. Purple's WiFi Analytics platform, integrated with your Ruijie infrastructure, captures first-party data, builds high-intent contact lists, and delivers actionable insights into visitor behaviour across your estate.

Harrods used Purple's Guest WiFi to promote its loyalty programme, achieving a market-leading opt-in rate and a 57x ROI (Purple customer data). c2c Rail used Purple to encourage direct bookings, achieving a 121% return on investment and saving £76,000 in operational costs (Purple customer data). Pizza Express deployed Purple across 470+ restaurants to build richer customer profiles.

For hospitality operators, the data captured at login - email, demographic, visit frequency - feeds directly into CRM systems and loyalty programmes. For retail environments, repeat visit analytics identify your highest-value shoppers. For transport hubs, passenger flow data optimises staffing and commercial space planning.

Purple integrates with Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, and Fortinet - as well as Ruijie - making it the hardware-agnostic cloud overlay that works with your existing estate rather than replacing it.

Related guides: Grandstream GWN Access Points Integration with Purple WiFi

Definiciones clave

Captive Portal

Una página web que el usuario de una red de acceso público debe ver e interactuar con ella antes de que se le conceda acceso a internet. Intercepta todo el tráfico HTTP y redirige el navegador del usuario a la página del portal.

El mecanismo principal para exigir la autenticación en redes WiFi de invitados. Se utiliza en hoteles, tiendas minoristas, estadios y recintos del sector público para controlar el acceso y capturar el consentimiento.

Walled garden

Una lista de permitidos previa a la autenticación que autoriza a dominios y direcciones IP específicos a eludir la intercepción del Captive Portal. El tráfico hacia estos destinos se permite antes de que el usuario se autentique.

Esencial para permitir que los dispositivos carguen la página de inicio, accedan a los proveedores de inicio de sesión social y procesen los flujos de pago antes de que el usuario esté completamente autenticado. Una configuración incorrecta aquí es la causa principal de fallas en el Captive Portal.

RADIUS

Remote Authentication Dial-In User Service. Un protocolo de red que proporciona una gestión centralizada de autenticación, autorización y contabilidad para los usuarios que se conectan a un servicio de red.

El protocolo seguro que los controladores Ruijie utilizan para comunicarse con los servidores de Purple. Las solicitudes de autenticación van al puerto 1812 (UDP); los registros de contabilidad van al puerto 1813 (UDP).

WISPr

Wireless Internet Service Provider roaming. Una especificación de protocolo que define cómo un Captive Portal redirige a los usuarios no autenticados a una página de inicio de sesión y cómo el controlador de acceso recibe el resultado de la autenticación.

El marco de protocolo específico utilizado por Ruijie y Purple para manejar el flujo de autenticación y redirección externa del Captive Portal. Requerido para el modo de portal externo en las puertas de enlace Ruijie.

Aislamiento de VLAN

La práctica de separar el tráfico de red en distintas redes de área local virtuales a nivel de switch, evitando que los dispositivos en diferentes VLAN se comuniquen directamente.

No negociable para redes de invitados. Garantiza que los dispositivos de los invitados no puedan comunicarse con los servidores corporativos, las laptops del personal o las terminales de pago, incluso si están conectados a la misma infraestructura física.

Portal Escape

Una función de Ruijie que libera automáticamente el tráfico del usuario si el punto de acceso y el servidor del portal dejan de estar accesibles, permitiendo el acceso a internet sin autenticación durante una interrupción del servicio.

Un equilibrio deliberado entre disponibilidad y seguridad. Los operadores de hotelería pueden activarlo para evitar quejas de los huéspedes durante las interrupciones del servicio. Los operadores de salud y comercio minorista suelen desactivarlo para exigir una autenticación estricta en todo momento.

SSID

Service Set Identifier. El nombre público de una red inalámbrica que los dispositivos muestran en su lista de redes disponibles.

El nombre de red que los invitados seleccionan en sus dispositivos, el cual activa la redirección al Captive Portal. Cada SSID en una implementación de Ruijie se asigna a una VLAN y a una política de autenticación específicas.

QoS

Quality of Service. Un conjunto de tecnologías que gestionan el tráfico de datos para reducir la pérdida de paquetes, la latencia y el jitter, y para garantizar un rendimiento predecible para tipos de tráfico específicos.

Se utiliza en redes de invitados para limitar el ancho de banda por usuario, evitando que un solo dispositivo sature el enlace de internet y degrade la experiencia de todos los demás usuarios conectados.

802.1X

Un estándar IEEE para el control de acceso a redes basado en puertos, que proporciona un mecanismo de autenticación para los dispositivos que se conectan a una LAN o WLAN.

Se utiliza para redes de personal que requieren identidad respaldada por un directorio (por ejemplo, a través de Microsoft Entra ID o Okta). No se utiliza habitualmente para redes de invitados, donde el patrón adecuado es un Captive Portal con RADIUS.

Ejemplos resueltos

Un hotel de 250 habitaciones utiliza puntos de acceso Ruijie RG-AP820-I y un gateway RG-EG310GH-E. Requieren que los huéspedes se autentiquen por correo electrónico para crear una base de datos de marketing. A la administración le preocupa que los huéspedes eviten el portal y la saturación del ancho de banda en horas pico durante eventos de conferencias.

El equipo de TI crea una VLAN de invitados dedicada (VLAN 40) en el switch principal y la conecta mediante un enlace troncal al gateway y a los AP de Ruijie. En Ruijie Cloud, crean un SSID abierto asignado a la VLAN 40. Configuran una política de Captive Portal externo que apunta a la URL de la página de inicio de Purple, con la URL del servidor del portal y las credenciales RADIUS del panel de Purple. De manera crucial, configuran el Walled Garden para permitir el tráfico únicamente a los dominios de Purple y desactivan la función Portal Escape en el gateway Ruijie, lo que evita el acceso no autenticado durante cualquier caída del portal. Aplican una política de QoS que limita a cada cliente a 10 Mbps de bajada y 3 Mbps de subida. Para eventos de conferencias, crean un SSID independiente en la VLAN 50 con un portal basado en cupones y límites de ancho de banda más estrictos de 5 Mbps por dispositivo.

Comentario del examinador: Este enfoque aísla correctamente el tráfico de invitados en la Capa 2, aplica la autenticación RADIUS externa para la captura de datos de conformidad con el GDPR y aplica controles de ancho de banda proporcionales al caso de uso. Desactivar Portal Escape es una decisión de seguridad deliberada que evita el acceso no autenticado durante interrupciones de la red. El SSID de conferencia independiente con autenticación por cupón es un patrón práctico para lugares que albergan tanto a huéspedes transitorios como a asistentes a eventos con diferentes requisitos de acceso.

Una cadena de retail con 50 sucursales utiliza controladores Ruijie WS6008. Implementan el inicio de sesión social (Facebook y Google Workspace) para los compradores que acceden al WiFi, pero la página del portal se congela cuando los usuarios hacen clic en los botones de inicio de sesión social. El problema afecta a las 50 sucursales simultáneamente.

El gerente de TI identifica que en la configuración de la lista de permitidos (Walled Garden) en los controladores Ruijie faltan los dominios de OAuth requeridos por Facebook y Google. Aunque la URL del portal de Purple estaba permitida correctamente, la interceptación del Captive Portal bloqueaba los dominios del proveedor social necesarios para el protocolo de enlace OAuth. El equipo agrega los dominios comodín requeridos, específicamente *.facebook.com, *.fbcdn.net, accounts.google.com y *.googleapis.com, a la lista de permitidos de Ruijie. Envían la configuración actualizada a las 50 sucursales simultáneamente a través de Ruijie Cloud, resolviendo el problema en toda la propiedad en una sola operación.

Comentario del examinador: La configuración incorrecta del walled garden es la causa más común de fallas en el inicio de sesión social en implementaciones de Captive Portals. El Captive Portal debe permitir explícitamente el tráfico de preautenticación hacia los dominios OAuth de los proveedores de identidad; de lo contrario, el proceso de redirección no puede completarse. El uso de Ruijie Cloud para el envío centralizado de la configuración es el enfoque correcto para una propiedad de múltiples sucursales; la configuración manual por sucursal en 50 ubicaciones sería propensa a errores y consumiría mucho tiempo.

Preguntas de práctica

Q1. Has configurado un Captive Portal externo en un gateway Ruijie RG-EG. Los invitados se conectan al SSID, pero sus dispositivos reportan "Sin conexión a Internet" y la página del portal nunca carga. ¿Cuál es el error de configuración más probable y cómo lo resuelves?

Sugerencia: Considera qué operaciones de red deben tener éxito antes de que el usuario pueda ver la página de inicio de sesión.

Ver respuesta modelo

El walled garden (lista de permitidos) está mal configurado. El gateway Ruijie está bloqueando la resolución de DNS o el tráfico HTTP requerido para llegar a la URL externa de la página de bienvenida de Purple. Antes de la autenticación, el dispositivo debe poder resolver el dominio del portal y establecer una conexión HTTP con él. Agrega los dominios específicos de Purple a la lista de permitidos previa a la autenticación en la sección Auth & Account de Ruijie. También verifica que la VLAN de invitados tenga un servidor DNS válido asignado a través de DHCP.

Q2. El director de TI de un estadio quiere implementar APs Ruijie para el WiFi de los aficionados durante los eventos. Quieren recopilar datos de marketing, pero les preocupa que la autenticación RADIUS cause retrasos cuando 10,000 aficionados se conecten simultáneamente durante los primeros 30 minutos de la apertura de puertas. ¿Cómo deberían diseñar el flujo de autenticación para equilibrar la captura de datos con la experiencia del usuario?

Sugerencia: Considera el equilibrio entre la riqueza de los datos y la fricción de la autenticación a gran escala.

Ver respuesta modelo

Deberían usar el One-Click Login de Purple para los aficionados que regresan y que ya se han autenticado previamente, lo que evita el llenado de formularios y reduce la carga de RADIUS. Para los nuevos aficionados, es preferible un formulario mínimo de captura de correo electrónico en lugar del inicio de sesión con redes sociales, que requiere viajes de ida y vuelta de OAuth adicionales. El gateway Ruijie debe estar dimensionado para manejar solicitudes RADIUS concurrentes; para 10,000 conexiones simultáneas, se requiere un gateway de la serie RG-EG de alta capacidad. Habilitar Seamless Online con una duración de sesión de 30 días significa que los aficionados que regresan se conectan automáticamente en eventos posteriores. Los límites de QoS deben ser estrictos (5 Mbps por dispositivo) para evitar que los primeros en llegar saturen el enlace antes de que llegue la multitud principal.

Q3. Durante una auditoría de seguridad, un pentester accede al servidor de archivos corporativo mientras está conectado al SSID "Guest WiFi" transmitido por un AP Ruijie. La red de invitados utiliza un Captive Portal correctamente configurado. ¿Cómo resuelves esta vulnerabilidad crítica?

Sugerencia: La autenticación y la segmentación de red son cuestiones distintas. Una no implica la otra.

Ver respuesta modelo

El Captive Portal está funcionando correctamente, pero falta la segmentación de VLAN o está mal configurada. El SSID de invitados está enviando a los usuarios autenticados a la VLAN corporativa o VLAN nativa, que tiene acceso de enrutamiento a los servidores internos. Debes: (1) crear una VLAN de invitados dedicada (por ejemplo, VLAN 50) en el switch principal; (2) asignar el SSID de invitados a la VLAN 50 en el controlador Ruijie; (3) configurar los puertos del switch que conectan los APs como enlaces troncales 802.1Q que permitan la VLAN 50; (4) configurar el gateway Ruijie para bloquear el enrutamiento entre la VLAN 50 y todas las subredes corporativas, permitiendo únicamente el tráfico con destino a internet desde la VLAN de invitados. La autenticación y la segmentación de red son controles independientes; ambos deben estar configurados correctamente.

Q4. Tu implementación de Ruijie tiene Portal Escape habilitado. Durante una ventana de mantenimiento planificada en los servidores RADIUS de Purple, notas que los invitados acceden a internet sin autenticarse. ¿Es este el comportamiento esperado y cuáles son las implicaciones de cumplimiento?

Sugerencia: Considera el propósito de Portal Escape y tus obligaciones con el GDPR.

Ver respuesta modelo

Sí, este es el comportamiento esperado de Portal Escape. Cuando el servidor del portal no está disponible, Ruijie libera automáticamente el tráfico para mantener la conectividad. Sin embargo, esto crea una brecha de cumplimiento: los usuarios acceden a internet sin otorgar su consentimiento para el procesamiento de datos, lo que puede violar los requisitos del GDPR si tus términos de servicio o la captura de datos están vinculados al evento de autenticación. Para los establecimientos donde la captura de consentimiento es un requisito legal o comercial, Portal Escape debe desactivarse. Programa el mantenimiento del servidor RADIUS durante períodos de mínima actividad de invitados y comunica la ventana de mantenimiento a la administración del establecimiento. Considera implementar un servidor RADIUS secundario de Purple como respaldo para eliminar por completo este escenario.

Continúe leyendo esta serie

Cómo configurar un Captive Portal en Starlink: Una guía para ubicaciones remotas y marítimas

Esta guía detalla cómo omitir el hardware nativo de Starlink e integrar un Captive Portal administrado en la nube utilizando equipos de enrutamiento empresariales. Aprenderá cómo superar la limitación de CGNAT, aplicar la segmentación de VLAN, administrar las restricciones de ancho de banda satelital y garantizar el cumplimiento normativo.

Leer la guía →

Mejores prácticas de Captive Portal: Diseñando para una alta conversión y cumplimiento

Esta guía técnica ofrece a los gerentes de TI, arquitectos de red y directores de operaciones de establecimientos un plan completo para implementar captive portals que equilibren la seguridad de la red con una alta conversión de usuarios. Cubre toda la arquitectura, desde la segmentación de VLAN y la autenticación RADIUS hasta el diseño de consentimiento conforme a GDPR y la selección del método de autenticación. Basada en la experiencia operativa de Purple en más de 80,000 establecimientos y 440 millones de inicios de sesión en 2024, cada recomendación se fundamenta en datos reales de implementación.

Leer la guía →

Cómo optimizar los captive portals para una máxima seguridad de red y conversión de usuarios

Esta guía proporciona un plan técnico completo para optimizar los captive portals en entornos empresariales, abarcando la arquitectura de segmentación de red, la selección del método de autenticación, el diseño de consentimiento conforme a GDPR y la optimización de la conversión. Está dirigida a gerentes de TI, arquitectos de red y CTOs en hoteles, cadenas de retail, estadios y organizaciones del sector público que necesitan equilibrar la seguridad de la red con la captura de datos de primera mano. Purple opera la infraestructura de captive portal en más de 80,000 establecimientos con 440 millones de inicios de sesión en 2024, y los marcos de trabajo aquí presentados reflejan esa experiencia operativa.

Leer la guía →