Integración de Sophos Firewall y Access Points con Purple WiFi

Bienvenido al Purple Architecture Briefing. Hoy nos sumergiremos en una integración crítica para redes empresariales: el despliegue de Purple WiFi junto con la infraestructura de Sophos, específicamente los puntos de acceso Sophos AP6 y APX y los firewalls Sophos XG y XGS. Si usted es un gerente de TI, un arquitecto de redes o un CTO que gestiona un recinto, ya sea una cadena de retail, un estadio o un hospital, esta sesión está diseñada para brindarle el plan de acción para hacer que estas dos potentes plataformas funcionen juntas a la perfección. Pongamos las cosas en contexto. Sophos es reconocido por su sólida postura de seguridad. Los dispositivos Sophos Firewall proporcionan inspección profunda de paquetes y seguridad sincronizada. Sin embargo, cuando se trata de Guest WiFi, usted no solo busca seguridad. Busca valor empresarial. Quiere capturar datos demográficos, comprender el comportamiento de los visitantes e impulsar el retorno de inversión en marketing. Ahí es donde entra Purple. Al integrar Purple como un Captive Portal externo, usted delega la pesada carga de la gestión de identidad de invitados, el consentimiento de GDPR y los inicios de sesión con redes sociales al RADIUS en la nube de Purple, mientras permite que el Sophos Firewall haga lo que mejor sabe hacer: asegurar el perímetro. Entonces, ¿cómo funciona esto realmente bajo el capó? Entremos en el análisis técnico profundo. La arquitectura se basa en protocolos RADIUS estándar y redirección HTTP. Cuando el usuario de un recinto se asocia con su SSID de Guest WiFi abierto transmitido por el AP de Sophos, el Sophos Firewall intercepta esa solicitud web inicial. En lugar de servir una página de portal básica almacenada localmente, el firewall redirige al cliente a la página de inicio alojada en la nube de Purple. Ahora, aquí está el concepto crítico: el Walled Garden. Durante esta fase de preautenticación, el usuario no tiene acceso a internet. Pero necesita cargar los gráficos del portal y podría necesitar acceder a Facebook o Google para iniciar sesión. El Walled Garden es una lista de permitidos estricta configurada en el Sophos Firewall que permite el tráfico a estos dominios específicos. Una vez que el usuario se autentica, la plataforma de Purple envía un mensaje RADIUS Access-Accept de vuelta al Sophos Firewall. El firewall entonces activa el interruptor, cambiando el estado de la sesión a autenticado, y coloca al usuario en su política de firewall posterior a la autenticación. Hablemos de la configuración de RADIUS con más detalle, porque aquí es donde la precisión importa. Purple le proporciona dos conjuntos de credenciales RADIUS: uno para la autenticación en el puerto 1812 y otro para la contabilidad en el puerto 1813. Ambos deben estar configurados. El servidor de contabilidad no es opcional. Es el mecanismo mediante el cual el Sophos Firewall reporta los datos de la sesión de vuelta a Purple, incluyendo la duración, el ancho de banda consumido y los eventos de finalización de la sesión. Sin datos de contabilidad precisos, su panel de analíticas de Purple mostrará métricas de visitantes incompletas o inexactas. Establezca su intervalo intermedio de contabilidad en 120 segundos. Esto proporciona un buen equilibrio entre la visibilidad en tiempo real y la sobrecarga de la red. Ahora hablemos de un escenario que surge constantemente en los despliegues empresariales: el WiFi multi-inquilino. Piense en un espacio de coworking, un bloque residencial de alquiler para construir o una residencia de estudiantes. Tiene múltiples grupos distintos de usuarios que necesitan acceso a WiFi, pero deben estar completamente aislados entre sí a nivel de red. Transmitir un SSID independiente para cada inquilino no es viable. Crea congestión de radiofrecuencia y es una pesadilla operativa de gestionar. La respuesta son las Sophos Private Pre-Shared Keys, o PPSK, combinadas con la asignación dinámica de VLAN. Así es como funciona. Configura un único SSID en sus puntos de acceso Sophos AP6. Luego, emite una frase de contraseña única para cada inquilino o grupo de usuarios. Cuando un dispositivo se conecta y presenta su clave única, el AP de Sophos autentica esa clave a través de RADIUS. El servidor RADIUS devuelve un atributo de ID de VLAN específico en el mensaje Access-Accept. El AP etiqueta dinámicamente el tráfico del usuario con ese ID de VLAN, colocándolo en su segmento de red dedicado. Redes basadas en la identidad en acción. Un SSID, múltiples redes aisladas, cero sobrecarga de radiofrecuencia por transmisiones adicionales. Esta arquitectura también tiene un beneficio de cumplimiento significativo. Bajo los requisitos de PCI DSS, las redes de WiFi para invitados deben estar completamente aisladas de cualquier segmento de red que maneje datos de titulares de tarjetas. Al colocar el SSID de invitados en una VLAN dedicada y aplicar políticas de firewall estrictas en el Sophos Firewall para bloquear todos los destinos de espacio de IP privada RFC 1918, cumple con este requisito de manera limpia. Purple, que opera en 80,000 sedes en vivo y ha procesado 440 millones de inicios de sesión en 2024, cuenta con la certificación ISO 27001, cumple con el GDPR y cuenta con la certificación Cyber Essentials, por lo que la historia de cumplimiento también se extiende a la capa de identidad. Ahora pasemos a las recomendaciones de implementación. Cuando esté configurando esto, tiene que tomar una decisión crucial con respecto a la asignación de IP: modo NAT frente a modo Bridge. Si está implementando una sucursal minorista pequeña con quizás cincuenta a cien conexiones de invitados concurrentes, el modo NAT es perfectamente adecuado. El AP de Sophos entrega direcciones DHCP a los invitados desde una subred interna dedicada y las traduce a medida que sale el tráfico. Es simple y requiere una infraestructura adicional mínima. Pero si está implementando un entorno de alta densidad, por ejemplo, un hotel de quinientas habitaciones, un centro de conferencias con múltiples eventos concurrentes o un estadio, debe usar el modo Bridge. En el modo Bridge, el AP de Sophos deja caer el tráfico de invitados directamente en una VLAN dedicada, lo que permite que sus servidores DHCP empresariales principales manejen la carga. Esto evita que el punto de acceso o el firewall se conviertan en un cuello de botella de DHCP durante los eventos de conexión pico. El modo Bridge también garantiza que la plataforma Purple vea la dirección IP real del cliente, lo que es vital para análisis precisos y resolución de problemas. Hablemos de la secuencia de configuración paso a paso, porque el orden importa aquí. Comience en el portal de Purple. Recupere sus credenciales del servidor RADIUS: las direcciones IP del servidor, los secretos compartidos, la URL del Captive Portal y la URL de redireccionamiento. Estos son los cuatro elementos de información críticos que necesita antes de modificar la configuración de Sophos. Luego, diríjase a Sophos Central o a la interfaz de administración de su firewall local. Defina primero sus servidores RADIUS, la autenticación en el puerto 1812 y la contabilidad en el 1813. Después, configure su Walled Garden en la configuración de Hotspot. A continuación, cree su SSID de invitados, establezca el cifrado en Abierto (Open), habilite el Captive Portal e introduzca la URL del portal de Purple. Y finalmente, defina sus reglas de firewall posteriores a la autenticación. Específicamente para el Walled Garden, debe permitir como mínimo los siguientes dominios: el dominio del portal de Purple, que normalmente es region1.purpleportal.net; venuewifi.com; y cualquier dominio de inicio de sesión social que utilicen sus invitados, como facebook.com, accounts.google.com y sus dominios CDN asociados. Si utiliza Microsoft Entra ID o Okta para la federación de identidades, esos dominios también deben incluirse. ¿Qué hay de los errores comunes? ¿En qué suelen fallar las implementaciones? El problema número uno, sin duda, es un Walled Garden incompleto. Si un invitado se conecta y obtiene una pantalla en blanco o un tiempo de espera de conexión agotado, casi siempre significa que el firewall de Sophos está bloqueando el acceso a los archivos CSS de Purple, a los recursos de JavaScript o a las API de inicio de sesión social antes de la autenticación. Debe asegurarse de que cada dominio requerido esté explícitamente permitido en esa política de preautenticación. Purple proporciona una lista completa de los dominios requeridos. Utilícela en su totalidad. Además, no olvide el DNS. Se debe permitir que los clientes no autenticados resuelvan consultas de DNS, o de lo contrario la redirección simplemente no funcionará. El dispositivo necesita resolver el nombre de host del portal de Purple antes de que pueda intentar cargar la página. El segundo error más común son los errores de certificado. Asegúrese de que su firewall de Sophos presente un certificado SSL válido y de confianza pública para la interfaz de redireccionamiento. Si utiliza el certificado autofirmado predeterminado, los iPhones modernos y los dispositivos Android mostrarán advertencias de seguridad importantes y sus invitados abandonarán la conexión por completo. Este es un problema particularmente grave en entornos de hotelería donde la experiencia del invitado es primordial. El tercer error común son los errores de tiempo de espera de RADIUS. Si el portal se carga pero la autenticación falla constantemente, verifique que los secretos compartidos coincidan exactamente entre su configuración de Sophos y el portal de Purple. Incluso una diferencia de un solo carácter hará que todos los intentos de autenticación fallen de forma silenciosa. También verifique que ningún firewall intermedio esté bloqueando los puertos UDP 1812 y 1813 entre su infraestructura de Sophos y los servidores RADIUS en la nube de Purple. Terminemos con una sesión de preguntas y respuestas rápidas basada en las dudas más comunes que escuchamos de los clientes. Pregunta uno: ¿el uso de Purple elude las políticas de seguridad de mi Sophos Firewall? Absolutamente no. Purple se encarga de la autenticación y la captura de identidad. Una vez autenticado, todo el tráfico de invitados fluye a través de la política de postautenticación de su Sophos Firewall. Aquí es precisamente donde se aplica el filtrado web, se bloquea el tráfico peer-to-peer y se perfila el ancho de banda. Piénselo de esta manera: la preautenticación es permisiva para permitir el inicio de sesión; la postautenticación es punitiva para proteger la red. Pregunta dos: ¿necesito implementar servidores RADIUS locales? No. Purple ofrece RADIUS-as-a-Service. Usted configura los AP de Sophos para que apunten directamente a las direcciones IP de RADIUS en la nube de Purple. No es necesario implementar ni mantener FreeRADIUS o Windows NPS para la red de invitados. Pregunta tres: ¿puedo usar Purple tanto con Sophos AP6 como con la serie APX anterior? Sí. El enfoque de integración es consistente en ambas generaciones de hardware. Sin embargo, tenga en cuenta que Sophos ha anunciado una fecha de fin de vida útil para la serie APX para el 31 de diciembre de 2027. Si está planeando una nueva implementación, invierta en la serie AP6, que es compatible con Wi-Fi 6 y Wi-Fi 6E. Pregunta cuatro: ¿qué pasa con el cumplimiento de GDPR? Purple captura el consentimiento explícito a nivel de portal, presentando sus términos y condiciones y avisos de procesamiento de datos antes de la autenticación. Estos datos de consentimiento se almacenan dentro de la plataforma Purple y son auditables. El rol de Sophos Firewall es puramente de aplicación de red. Para resumir los puntos clave de la sesión de hoy. Primero: segregue sus SSID de personal y de invitados por completo. El personal en 802.1X con WPA2-Enterprise. Los invitados en Purple con un Captive Portal externo. Segundo: configure meticulosamente su Walled Garden. Es el punto de falla más común y el elemento de configuración de preautenticación más importante. Tercero: use el modo Bridge para cualquier implementación de alta densidad para evitar cuellos de botella de DHCP y garantizar una visibilidad precisa de la IP del cliente. Cuarto: configure tanto los servidores de autenticación como los de contabilidad RADIUS. La contabilidad no es opcional si desea análisis significativos. Quinto: aproveche Sophos PPSK para entornos multiinquilino para habilitar redes basadas en identidad con asignación dinámica de VLAN. Un SSID, múltiples redes aisladas. Sexto: aplique las políticas de seguridad de Sophos estrictamente después de la autenticación. El filtrado web, el control de aplicaciones y el modelado de ancho de banda deben aplicarse en la política de firewall de postautenticación. Al ejecutar esta integración correctamente, transforma el WiFi de invitados de un centro de costos en un activo seguro, que cumple con las normas y genera ingresos. La combinación de la profundidad de seguridad de Sophos y la inteligencia de marketing de Purple es verdaderamente poderosa para cualquier operador de establecimiento que quiera tomarse en serio su estrategia de datos y experiencia de invitados. Gracias por escuchar el Purple Architecture Briefing. Si desea analizar sus requisitos de implementación específicos, visite purple.ai para hablar con el equipo de soluciones.