Cómo segmentar de forma segura las redes WiFi del personal y de invitados: mejores prácticas para LAN empresariales

Hable en un tono de inglés británico seguro y conversacional, como un consultor senior que informa a un cliente. Un ritmo medido, autoritario pero accesible. Sin palabras de relleno. --- INTRODUCCIÓN Y CONTEXTO (aproximadamente 1 minuto) --- Muy bien, entremos en materia. Si usted es el responsable de la red de un recinto, ya sea un hotel, una cadena de tiendas de retail, un estadio o un edificio de gobierno local, hay una pregunta que surge más que casi cualquier otra: ¿cómo ofrecer a los huéspedes un WiFi decente sin poner en riesgo su red corporativa? La respuesta corta es la segmentación. Pero la respuesta más larga, la que realmente le lleva a una red segura, compatible y administrable, implica la autenticación 802.1X, el aislamiento de VLAN, RADIUS en la nube y un ciclo de vida de credenciales que no dependa de que alguien recuerde cambiar una contraseña compartida cuando un miembro del personal deja la empresa. En los próximos diez minutos, le guiaré exactamente a través de cómo diseñar e implementar una red correctamente segmentada. Cubriremos los fundamentos técnicos, los pasos de configuración específicos de cada proveedor para Cisco Meraki y Juniper Mist, dos escenarios de implementación del mundo real y los errores comunes que atrapan a la mayoría de los equipos. Comencemos. --- ANÁLISIS TÉCNICO DETALLADO (aproximadamente 5 minutos) --- Empecemos con lo fundamental. La segmentación de red significa mantener el tráfico del personal y el tráfico de los huéspedes en redes física o lógicamente separadas, de modo que un dispositivo de huésped, o un dispositivo de huésped comprometido, no pueda llegar a sus sistemas de punto de venta, su ERP, su infraestructura de CCTV o cualquier otra cosa en su LAN corporativa. La forma estándar de hacer esto en la Capa 2 es con VLAN, Redes de Área Local Virtuales. Usted asigna su SSID de personal a una VLAN, por ejemplo la VLAN 10, y su SSID de invitados a otra, por ejemplo la VLAN 20. Sus switches administrados y puntos de acceso aplican esa separación a nivel de hardware. Un huésped en la VLAN 20 es enrutado a internet y a nada más. Un miembro del personal en la VLAN 10 es enrutado a la LAN corporativa y a internet, basándose en las reglas de firewall que haya definido. Ese es el modelo básico. Pero aquí es donde la mayoría de los recintos fallan: utilizan una contraseña compartida, una PSK, para la red del personal. Todo el mundo la conoce. Se escribe en una nota adhesiva. Nunca cambia. Cuando alguien se va, la credencial sigue activa. Eso no es segmentación. Eso es una falsa sensación de seguridad. El enfoque correcto para el personal es 802.1X, pronunciado "ocho cero dos punto uno equis", que es el estándar IEEE para el control de acceso a la red basado en puertos. En lugar de una contraseña compartida, cada miembro del personal se autentica con su propia credencial de identidad, normalmente su cuenta de directorio corporativo de Microsoft Entra ID, Okta o Google Workspace. El punto de acceso envía esa solicitud de autenticación a un servidor RADIUS, que la valida contra su proveedor de identidad y otorga o deniega el acceso. Sin secreto compartido. Sin credencial que sobreviva a un despido o renuncia.El método de autenticación que mejor funciona en la mayoría de las implementaciones empresariales es EAP-TTLS - Protocolo de Autenticación Extensible con Seguridad de la Capa de Transporte Tunelizada. Crea un túnel cifrado entre el dispositivo y el servidor RADIUS, y luego realiza la autenticación dentro de ese túnel mediante PAP. Esto significa que las credenciales nunca se exponen en el aire. Ahora bien, el servidor RADIUS en sí es un componente crítico. Tradicionalmente, usted operaría su propio servidor RADIUS local - un Cisco ISE, un equipo FreeRADIUS o algo similar. Sin embargo, cada vez más organizaciones migran a un RADIUS nativo de la nube, lo que elimina la dependencia de la infraestructura local, mejora la resiliencia y simplifica la gestión. El producto SecurePass de Purple hace exactamente esto - proporciona un servicio RADIUS en la nube contra el cual se autentican sus puntos de acceso a través de RadSec, que es RADIUS sobre TLS en el puerto 2083. Esto le brinda tráfico de RADIUS cifrado, a diferencia del RADIUS tradicional basado en UDP que envía atributos en texto claro. Para el lado de los invitados, el modelo es diferente. Los invitados no tienen cuentas en el directorio corporativo. Se conectan a un SSID independiente - que generalmente se protege con un Captive Portal que recopila un inicio de sesión basado en el consentimiento, o a través de Passpoint, que es el estándar Hotspot 2.0 de la Wi-Fi Alliance que permite una autenticación automática y fluida sin necesidad de una página de bienvenida. La plataforma de Purple es compatible con ambos. El SSID de invitados se ubica en su propia VLAN, se enruta únicamente a internet y está completamente aislado de la red del personal y de la LAN corporativa. Permítame hablar de Passpoint por un momento, porque es cada vez más importante. Passpoint - también conocido como Hotspot 2.0 u OpenRoaming - permite que un dispositivo se conecte automáticamente a una red de confianza utilizando una credencial que ya posee, como la de un operador de telefonía móvil o una identidad de la aplicación Purple. El dispositivo y la red negocian la autenticación mediante EAP-TTLS o EAP-TLS sin que el usuario tenga que interactuar con una página de bienvenida. Para los recintos con gran afluencia de público - aeropuertos, estadios, centros comerciales - esto mejora drásticamente la experiencia de conexión al tiempo que mantiene la seguridad. Ahora hablemos de dos plataformas de hardware específicas: Cisco Meraki y Juniper Mist, ya que son las dos plataformas empresariales más comunes que vemos en los recintos. En Cisco Meraki, usted configura el SSID de su personal en Wireless, Access Control. Establece la seguridad en Enterprise con mi servidor RADIUS, únicamente WPA2, sin página de bienvenida. Luego agrega sus servidores RADIUS - en el caso de Purple, rad1-secure.purple.ai y rad2-secure.purple.ai, ambos en el puerto 2083, con RadSec habilitado. También configura Hotspot 2.0 en Wireless, Hotspot 2.0 - habilitándolo, configurando el nombre del operador, la lista de dominios y el reino NAI con EAP-TTLS como método. Los detalles completos paso a paso se encuentran en la documentación de soporte de Purple, a la cual haré referencia al final. En Juniper Mist, debe ir a Network, WLANs, agregar una nueva WLAN, configurar el tipo de seguridad como WPA2 Enterprise 802.1X, habilitar Passpoint y configurar sus servidores de autenticación como RadSec apuntando a la infraestructura de Purple. También debe instalar el certificado RadSec en Organisation Settings. Nuevamente, los valores y pasos de configuración exactos se encuentran en el artículo de soporte de Purple; siempre recomiendo seguir la documentación en vivo en lugar de codificar de forma fija los valores de un podcast. La parte del ciclo de vida de las credenciales es donde las Redes Basadas en Identidad realmente demuestran su valor. Cuando un miembro del personal se incorpora, se aprovisiona su cuenta en Microsoft Entra ID u Okta y obtiene acceso a la WiFi de forma automática. Cuando cambia de función, su perfil de acceso se actualiza. Cuando se va - y esto es lo fundamental - su cuenta se desaprovisiona y Purple revoca su acceso a la WiFi en tiempo real. Sin contraseñas compartidas que cambiar. Sin procesos manuales. Sin ventanas de exposición. Eso es lo que Purple llama el flujo de trabajo de incorporaciones, cambios y bajas, o JML, y es la diferencia entre una red que es genuinamente segura y una que solo lo parece. --- RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES (aproximadamente 2 minutos) --- Bien, hablemos de lo que sale mal en la práctica, porque hay algunos modos de falla que veo repetidamente. El primero es la configuración incorrecta de la VLAN. Configura los SSIDs correctamente, pero los puertos troncales de sus switches no transportan ambas VLANs, o sus reglas de enrutamiento inter-VLAN son demasiado permisivas. Un invitado en la VLAN 20 termina pudiendo hacer ping a dispositivos en la VLAN 10. Pruebe siempre con un dispositivo de invitado después de la implementación e intente conectarse a una dirección IP interna. Si puede hacerlo, es necesario ajustar las reglas del firewall. El segundo es la conmutación por error de RADIUS. Si solo configura un servidor RADIUS y este deja de estar disponible, el personal no podrá autenticarse. Configure siempre tanto rad1-secure como rad2-secure como primario y secundario. La infraestructura RADIUS-as-a-Service en la nube de Purple está diseñada para una alta disponibilidad, pero su punto de acceso necesita conocer ambos endpoints. El tercero - y este es el que causa el mayor dolor operativo - es no realizar la integración con su proveedor de identidad desde el primer día. Los equipos suelen comenzar con cuentas RADIUS locales, con la intención de migrar a Entra ID u Okta más adelante. Esa migración es dolorosa. Hágalo bien desde el principio. La automatización de JML por sí sola justifica el esfuerzo. El cuarto error común es tratar a la red de invitados como algo secundario. Su SSID de invitados necesita una recopilación de consentimiento que cumpla con el GDPR, gestión de ancho de banda para evitar que un solo invitado sature el enlace y aislamiento de clientes para que los invitados no puedan ver los dispositivos de los demás. La plataforma de Purple se encarga del consentimiento y del análisis de datos. Su punto de acceso se encarga del aislamiento de clientes; asegúrese de que esté habilitado.En el aspecto de cumplimiento: si procesa pagos con tarjeta en cualquier parte de la misma infraestructura de red física, el alcance de PCI-DSS es una preocupación real. Una segmentación adecuada de VLAN, combinada con un firewall que impida el tráfico entre redes VLAN para las redes de invitados y de pago, es el punto de partida básico. Su QSA querrá ver pruebas de esa segmentación. Documente sus asignaciones de VLAN, sus reglas de firewall y la configuración de sus puntos de acceso. --- PREGUNTAS Y RESPUESTAS RÁPIDAS (aproximadamente 1 minuto) --- Algunas preguntas que me hacen con frecuencia. ¿Puedo tener al personal y a los invitados en el mismo punto de acceso? Sí - los puntos de acceso empresariales modernos de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y otros admiten múltiples SSIDs con etiquetado VLAN en un solo radio. No necesita hardware independiente. ¿Necesito WPA3? WPA3 es preferible para nuevas implementaciones, en particular para la red de invitados, ya que proporciona confidencialidad directa perfecta y protege contra ataques de diccionario fuera de línea. Pero WPA2 Enterprise con 802.1X sigue siendo sólido para el personal, y la mayoría del hardware empresarial lo admite. Si su hardware es compatible con WPA3, actívelo. ¿Qué pasa con el BYOD - el personal que utiliza dispositivos personales? Aquí es donde la autenticación basada en certificados, o EAP-TLS, adquiere gran valor. Puede emitir certificados de dispositivo a través de su MDM para dispositivos gestionados y restringir el WiFi del personal únicamente a dispositivos autenticados por certificado. Los dispositivos personales no gestionados se redirigen a un SSID de BYOD independiente con un acceso más restringido. ¿Cómo funciona la plataforma de analíticas de Purple junto con la segmentación? Purple recopila datos de origen de los inicios de sesión de WiFi para invitados - con consentimiento - y los muestra a través de la plataforma de WiFi Analytics. El tráfico del personal es independiente y no está sujeto a la misma recopilación de analíticas. Las dos redes son arquitectónicamente distintas, que es exactamente como debe ser. --- RESUMEN Y PRÓXIMOS PASOS (aproximadamente 1 minuto) --- En resumen. La segmentación segura de WiFi para el personal y los invitados se reduce a cinco puntos. Uno: redes VLAN independientes para el tráfico del personal y de los invitados, aplicadas a nivel de switch y de punto de acceso. Dos: 802.1X con EAP-TTLS para la autenticación del personal - sin contraseñas compartidas. Tres: RADIUS en la nube con RadSec para una infraestructura de autenticación cifrada y resiliente. Cuatro: Passpoint o un Captive Portal para invitados, con recopilación de consentimiento que cumpla con el GDPR. Cinco: integración con proveedores de identidad para un ciclo JML automatizado - de modo que quienes dejen la empresa pierdan el acceso en el momento en que se desaprovisione su cuenta. Si está realizando la implementación en Cisco Meraki o Juniper Mist, la documentación de soporte de Purple contiene los pasos de configuración exactos. Si está evaluando la plataforma de manera más amplia - incluyendo SecurePass para la identidad del personal, WiFi Analytics para obtener información sobre los invitados y la aplicación Purple para una conectividad Passpoint fluida - el punto de partida es purple.ai. Eso es todo por hoy. Si esto le resultó útil, compártalo con su arquitecto de redes o con su director de operaciones del recinto. Y si tiene un escenario de implementación específico que le gustaría que abordemos, póngase en contacto con nosotros.