Uu PPSK: comparando características y modelos de implementación

UU PPSK: Comparación de Características y Modelos de Implementación Un Podcast de Resumen Técnico de Purple Tiempo de reproducción aproximado: 14 minutos Bienvenido al Resumen Técnico de Purple. Te guiaré a través de una de las decisiones más importantes que tomarás al diseñar la red WiFi para una propiedad residencial o comercial multi-inquilino: qué modelo de clave precompartida implementar. Y específicamente, nos centraremos en UU PPSK, que significa Clave Precompartida Única por Usuario, y por qué se ha convertido en la arquitectura de elección para operadores de Build to Rent, proveedores de alojamiento para estudiantes y propietarios de MDU en todo el Reino Unido. Comencemos con el problema. Si eres un desarrollador inmobiliario o arrendador, administras un edificio donde decenas o cientos de hogares independientes comparten la misma infraestructura de red física. Necesitas que cada residente tenga una experiencia WiFi privada, similar a la de su hogar. Su Chromecast necesita encontrar su teléfono. Su bocina inteligente necesita comunicarse con sus focos. Y lo más importante, nada de eso debe ser visible para el residente del departamento de al lado. La respuesta tradicional a esto era una contraseña compartida, lo cual es un desastre de seguridad a gran escala, o una implementación empresarial completa de 802.1X, que requiere una Infraestructura de Clave Pública, gestión de certificados y un servidor RADIUS que la mayoría de los operadores de propiedades simplemente no tienen los recursos de TI para administrar. Ninguna de esas opciones es adecuada para un bloque de BTR de 200 unidades. Ahí es donde entra en juego PPSK. PPSK significa Clave Precompartida Privada. El concepto es sencillo: en lugar de una contraseña de WiFi compartida para todo el edificio, cada residente recibe su propia frase de contraseña única. Se conectan al mismo SSID, al mismo nombre de red, pero su clave es solo suya. Si se mudan, revocas su clave. Esto no afecta en absoluto a ningún otro residente. Ahora bien, en realidad existen tres modelos distintos aquí, y comprender la diferencia entre ellos es fundamental para tomar la decisión arquitectónica correcta. El primer modelo es un PSK compartido estándar. Una contraseña, todos en la misma red. Esto es lo que la mayoría de los edificios siguen utilizando hoy en día. Es fácil de implementar, pero es un punto único de falla. Si un residente comparte la contraseña en un foro, pierdes el control de tu red. ¿Quieres eliminar el acceso de un contratista? Tienes que cambiar la contraseña para todos. A gran escala, esto simplemente no es manejable. El segundo modelo es Group PPSK. Aquí, asignas una clave única a cada grupo de usuarios, tal vez una clave por piso o una clave por tipo de contrato de arrendamiento. Es mejor que una contraseña compartida, pero aún tiene un problema de radio de impacto. Si una clave de un grupo se ve comprometida, todo el grupo se ve afectado. Y aún no puedes aislar a los residentes individuales entre sí en la capa de red. El tercer modelo, y en el que nos enfocamos hoy, es UU PPSK, Clave Precompartida Única por Usuario (Unique per-User Pre-Shared Key), también llamada iPSK por Cisco, DPSK por Ruckus y MPSK por HPE Aruba. La terminología varía según el proveedor, pero el concepto es idéntico. Cada habitante, cada grupo de dispositivos, obtiene su propia clave criptográficamente única. Y esa clave se mapea a su propia VLAN, su propio segmento de red, completamente aislado de cualquier otro habitante en el edificio. Esta es la arquitectura que ofrece lo que yo llamo la burbuja de WiFi. Los dispositivos del Habitante A pueden verse entre sí, pueden transmitir pantalla, vincularse, compartir archivos, exactamente como lo harían en una red doméstica. Pero el Habitante A no puede ver un solo dispositivo que pertenezca al Habitante B, aunque ambos estén conectados al mismo punto de acceso, en el mismo SSID, utilizando la misma infraestructura de cable física. Permítame guiarlo a través del flujo de autenticación técnica, porque aquí es donde ocurre la magia. Cuando el dispositivo de un habitante se conecta al SSID, el controlador de LAN inalámbrica intercepta el intento de conexión y reenvía la dirección MAC del dispositivo a un servidor RADIUS. El servidor RADIUS, que puede estar alojado en la nube, como el de Purple, busca esa dirección MAC en su almacén de identidad. Devuelve una respuesta Access-Accept que contiene la clave precompartida única asignada a ese habitante. El controlador valida la clave que presentó el dispositivo frente a la clave devuelta. Si coinciden, el dispositivo se autentica y se coloca en la VLAN dedicada del habitante. De manera fundamental, esa respuesta de RADIUS también lleva la asignación de la VLAN. Por lo tanto, el dispositivo no solo se autentica. Se coloca automáticamente en el segmento de red correcto, con la política de ancho de banda correcta, las reglas de firewall correctas, todo desde un único SSID. Sin proliferación de SSID. Sin sobrecarga de balizas (beacons). Un nombre de red, cientos de redes privadas aisladas debajo de este. Ahora, unas palabras sobre la aleatorización de direcciones MAC, porque este es el obstáculo en el que caen la mayoría de las implementaciones. Desde iOS 14, Android 10 y Windows 11, los dispositivos utilizan direcciones MAC aleatorias de forma predeterminada por razones de privacidad. Si su servidor RADIUS realiza una búsqueda de MAC y el dispositivo presenta una dirección aleatoria, la búsqueda falla y el dispositivo no puede conectarse. La solución consiste en configurar su SSID para solicitar que los clientes utilicen su dirección MAC de hardware permanente, o implementar un flujo de trabajo de preregistro donde los habitantes registren su dispositivo antes de conectarse. La plataforma de Purple maneja esto automáticamente como parte del flujo de incorporación del habitante. Hablemos de los modelos de implementación, porque UU PPSK se puede implementar de tres maneras distintas, y la elección correcta depende del tamaño de su edificio, sus recursos de TI y su presupuesto. El primero es el PPSK local en el controlador. Aquí, las claves únicas se almacenan directamente en el controlador inalámbrico, sin necesidad de un servidor RADIUS externo. Esto funciona bien para implementaciones más pequeñas, de hasta unas 200 unidades, y es el más sencillo de operar. Ubiquiti UniFi es compatible con esto de forma nativa. La limitación es la escalabilidad. La mayoría de los controladores tienen un límite de unos pocos cientos de entradas PPSK locales, y se pierde la gestión centralizada del ciclo de vida que hace que la operación de UU PPSK sea viable a escala. El segundo modelo es el PPSK respaldado por RADIUS. Aquí, las claves se almacenan en un servidor RADIUS externo y el controlador consulta al servidor RADIUS para cada nueva conexión. Esto se escala a miles de unidades. TP-Link Omada admite hasta 4,000 PPSK con un servidor RADIUS externo. Ruckus SmartZone, HPE Aruba ClearPass y Cisco ISE admiten este modelo. La sobrecarga operativa es mayor, pero la escalabilidad y las capacidades de gestión del ciclo de vida son significativamente mejores. El tercer modelo, y el que Purple recomienda para los operadores de BTR y MDU, es el servicio en la nube de RADIUS-as-a-Service. Aquí, la infraestructura RADIUS es alojada y gestionada por Purple, y usted conecta sus puntos de acceso a ella a través de una superposición en la nube. Esto le brinda la escalabilidad de PPSK respaldado por RADIUS sin la sobrecarga operativa de ejecutar su propio servidor RADIUS. La plataforma de Purple se coloca sobre su hardware existente, ya sea Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks o Fortinet, y proporciona la capa de orquestación para el aprovisionamiento de claves, la gestión del ciclo de vida y la incorporación de residentes. El ciclo de vida de las claves está totalmente automatizado. Un residente se muda, su clave se aprovisiona a través de la integración con el sistema de gestión de propiedades. Se muda, su clave se revoca instantáneamente, sin ningún impacto en ningún otro residente. Sin intervención manual, sin brechas de seguridad y sin complicaciones con la rotación de contraseñas. Permítame presentarle dos escenarios de implementación concretos para ilustrar esto. El primero es un desarrollo Build to Rent de 250 unidades. El desarrollador había especificado puntos de acceso Cisco Meraki en todo el edificio. Necesitaban que cada residente tuviera una experiencia de WiFi privada con soporte completo para IoT, disponibilidad para mudarse el mismo día y la capacidad de soportar de 15 a 25 dispositivos por hogar. El hogar promedio de BTR ahora conecta 18 dispositivos a WiFi, desde teléfonos y laptops hasta bocinas inteligentes, dispositivos de streaming y electrodomésticos conectados. La arquitectura implementada fue un único SSID en todo el edificio, con UU PPSK a través del servicio cloud RADIUS de Purple. Cada residente recibió una clave única al mudarse, entregada a través de la aplicación para residentes. La clave se asoció a una VLAN dedicada con una subred privada, lo que otorgó a cada hogar un segmento de red completamente aislado. La reflexión mDNS se habilitó dentro de cada VLAN, por lo que Chromecast, Apple TV y Sonos funcionaron como se esperaba. El edificio comenzó a operar con 250 VLAN de residentes activas desde el primer día, sin necesidad de configuración manual de RADIUS por parte del equipo en el sitio.El segundo escenario es un bloque de alojamiento para estudiantes construido a medida con 400 camas. El desafío aquí es la rotación anual del grupo. Cada agosto, 400 estudiantes se mudan y 400 estudiantes nuevos ingresan, a menudo dentro de la misma semana. Con un modelo de PSK compartido, eso significa una rotación de contraseña en todo el edificio que afecta a cada residente que regresa. Con UU PPSK, significa revocar 400 claves y aprovisionar 400 nuevas, todo automatizado a través de la integración del sistema de gestión de estudiantes. La implementación utilizó Ruckus SmartZone con DPSK, respaldado por el servicio RADIUS de Purple. Cada estudiante recibió su clave única por correo electrónico durante el registro previo a la llegada. La clave era válida por la duración de su contrato de arrendamiento y vencía automáticamente en la fecha de finalización del contrato. El equipo de operaciones informó una reducción del 70% en los tickets de soporte relacionados con WiFi en el primer período, principalmente porque los problemas de emparejamiento de Chromecast y smart TV que habían afectado la implementación anterior de PSK compartido se eliminaron por completo. Ahora permítame cubrir el aspecto de cumplimiento, porque esto importa para los operadores de propiedades de formas que a veces no se valoran lo suficiente. El GDPR exige que pueda demostrar la responsabilidad del procesamiento de datos. En el contexto de WiFi, eso significa poder identificar qué residente generó qué tráfico de red, y poder responder a una solicitud de acceso del interesado o a una solicitud de las fuerzas del orden con datos precisos y específicos del residente. Con un PSK compartido, eso es imposible. Cada dispositivo en la red se ve idéntico desde la perspectiva del servidor RADIUS. Con UU PPSK, cada conexión está vinculada a una clave de residente específica, que a su vez está vinculada a un registro de arrendamiento específico. Su registro de auditoría está completo. Permítame darle tres reglas prácticas antes de pasar a las preguntas rápidas. Regla uno: si su edificio tiene más de 50 unidades, use UU PPSK respaldado por RADIUS, no PPSK local del controlador. El límite de escalabilidad de PPSK local del controlador le causará problemas dentro de los 12 meses posteriores a la puesta en marcha. Regla dos: planifique para la aleatorización de MAC desde el primer día. Incorpore un flujo de trabajo de preregistro en su proceso de integración de residentes. No asuma que los dispositivos presentarán su dirección MAC permanente de forma predeterminada. Regla tres: automatice el ciclo de vida de las claves. El valor operativo de UU PPSK sobre un PSK compartido depende completamente de que las claves se aprovisionen y revoquen automáticamente. La gestión manual de claves a escala no es viable. Intégrelo con su sistema de gestión de propiedades o sistema de gestión de estudiantes desde el principio. Bien, hagamos una ronda rápida sobre las preguntas que me hacen con más frecuencia. ¿UU PPSK funciona con WPA3? Sí, con salvedades. WPA3-SAE cambia el mecanismo de saludo. La mayoría de los controladores modernos admiten UU PPSK en modo de transición WPA2 y WPA3 para compatibilidad con versiones anteriores. Consulte la documentación específica de su proveedor antes de especificar una implementación de WPA3 pura. ¿Cuántas claves únicas puede admitir un solo SSID? Esto depende de la plataforma de su controlador. Con un servidor RADIUS externo, el límite práctico es la capacidad de su base de datos RADIUS. El servicio de cloud RADIUS de Purple se escala a decenas de miles de claves concurrentes. ¿Es UU PPSK un reemplazo para 802.1X? No. Para flotas de dispositivos corporativos totalmente gestionados con terminales registrados en MDM y con infraestructura de certificados ya implementada, WPA3-Enterprise con 802.1X es el esquema de seguridad más sólido. UU PPSK es la herramienta adecuada para entornos donde usted no controla los dispositivos que se conectan a su red, que es exactamente la situación en desarrollos BTR, alojamiento para estudiantes y despliegues MDU. ¿En qué hardware se ejecuta? El overlay de nube de Purple es compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. No es necesario reemplazar sus puntos de acceso existentes. Para resumir: UU PPSK es la arquitectura de autenticación que hace que la operación de WiFi multi-tenant sea viable a escala residencial. Ofrece aislamiento de red por residente, soporte completo para IoT, gestión automatizada del ciclo de vida de las claves y un registro de auditoría que cumple con GDPR, todo desde un único SSID en su hardware existente. Los tres modelos de despliegue - local en controlador, respaldado por RADIUS y cloud RADIUS-as-a-Service - se adaptan a diferentes tamaños de edificios y niveles de recursos de TI. Para cualquier instalación de más de 50 unidades, cloud RADIUS-as-a-Service es la opción correcta. Elimina los costos operativos de administrar su propia infraestructura RADIUS, al tiempo que le brinda la escalabilidad y las capacidades de gestión del ciclo de vida que necesita. La plataforma de WiFi Multi-Tenant de Purple ofrece exactamente esto. Fundada en 2012, operamos en 80,000 establecimientos activos y nuestra plataforma ha procesado 440 millones de inicios de sesión tan solo en 2024. Contamos con la certificación ISO 27001, cumplimos con GDPR y somos agnósticos respecto al hardware. Si está planeando un despliegue de BTR, alojamiento para estudiantes o MDU y desea comprender cómo se adapta UU PPSK a su arquitectura específica, las guías enlazadas en este informe son un buen punto de partida. Gracias por escuchar. Hasta la próxima.