WiFi administrado para oficinas equipadas y coworking: aislamiento de usuarios y facturación

Los operadores de oficinas con servicios y espacios de coworking aíslan a los inquilinos asignando a cada empresa miembro su propia identidad de red. Esa identidad es una clave de WiFi privada o un inicio de sesión 802.1X en una red compartida, vinculada a su propia VLAN. Los visitantes, los pases de un día y las salas de reuniones utilizan un Captive Portal independiente. Los niveles de ancho de banda se asocian a cada identidad y se facturan a través de su sistema de gestión de espacios de trabajo.

¿Qué modelo de aislamiento de inquilinos debe elegir su oficina con servicios?

Para la mayoría de los operadores, la respuesta correcta es un diseño estructurado en capas con tres partes:

• Proporcione a cada empresa miembro una clave privada en una red de miembros compartida.
• Migre a los inquilinos corporativos con laptops gestionadas a 802.1X.
• Asigne a cada visitante, pase de un día y reserva de sala de reuniones a una red de Captive Portal independiente.

Ese diseño resuelve el problema principal de WiFi para oficinas con servicios. Decenas de empresas comparten los mismos puntos de acceso, pero cada una espera una red que funcione como la de su propia oficina. Los miembros quieren ver su propia impresora y servidor de archivos, y los de nadie más. Usted necesita administrar un solo entorno, no una red por inquilino.

Por qué falla el modelo de un SSID por empresa

Un SSID (identificador de conjunto de servicios) es el nombre de red que ve un dispositivo. La solución más obvia es un SSID por empresa, pero falla a gran escala. Cada SSID transmite sus propios tramas beacon, de forma predeterminada cada 102.4 milisegundos según el estándar IEEE 802.11. Los beacons se envían a la tasa de datos básica más baja, por lo que consumen mucho tiempo de aire. Diez inquilinos significan diez juegos de beacons en cada radio. Ese tiempo de aire se descuenta de la capacidad por la que están pagando sus miembros.

Una contraseña compartida con aislamiento de clientes es el otro atajo común. El aislamiento de clientes bloquea la comunicación entre dispositivos, incluidas las laptops y la impresora de una misma empresa. Cuando un miembro se va, hay que cambiar la contraseña y todas las demás empresas deben volver a configurar cada dispositivo.

El modelo que escala: identidad en una red compartida

El patrón escalable separa el nombre de la red de la identidad de la red. Cada empresa miembro se conecta al mismo SSID. La credencial que presenta determina a dónde se dirige.

Dos métodos transmiten esa identidad:

• Identity pre-shared key (iPSK). Cada empresa, o cada dispositivo, obtiene su propia contraseña en un solo SSID. Los fabricantes utilizan nombres diferentes. Cisco Meraki lo llama iPSK, HPE Aruba lo llama MPSK y Ruckus lo llama DPSK. El término genérico es PPSK (private pre-shared key).
• IEEE 802.1X. Cada persona o dispositivo se autentica de forma individual. PEAP (Protected Extensible Authentication Protocol) utiliza un usuario y contraseña. EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) utiliza un certificado digital.

Ambos métodos realizan la transferencia a un servidor RADIUS (Remote Authentication Dial-In User Service). RADIUS verifica la credencial e indica al punto de acceso qué VLAN utilizar. Una VLAN (red de área local virtual) es un segmento de red lógicamente separado. El RFC 3580 define los atributos RADIUS estándar para esa asignación de VLAN. El tráfico en la VLAN de una empresa no puede llegar a la de otra sin pasar por su firewall.

Purple Multi-Tenant WiFi ejecuta este modelo como una superposición en la nube sobre los puntos de acceso que ya posee. Cada empresa miembro obtiene una Red de Área Privada, una burbuja de red privada en una infraestructura compartida. El Cloud RADIUS de Purple verifica la identidad y devuelve la VLAN, por lo que no necesita alojar ningún servidor RADIUS en el sitio.

Dónde difieren realmente el PSK por empresa, el acceso 802.1X y el captive portal

La tabla compara los cuatro modelos que consideran los operadores, en los ejes que deciden una implementación multinquilino.

	Contraseña compartida	iPSK por empresa	802.1X (PEAP o EAP-TLS)	Captive portal
Cómo se conecta un dispositivo	Una contraseña para cada inquilino	Una contraseña por empresa o por dispositivo	Inicio de sesión personal o certificado de dispositivo	Página de registro web después de unirse
Qué separa a los inquilinos	Solo aislamiento de clientes	VLAN asignada por RADIUS por empresa	VLAN asignada por RADIUS por empresa o rol	Aislamiento de clientes en una VLAN de invitados
Impresoras, pantallas e IoT	Compatible	Compatible	Limitado en dispositivos sin pantalla	No adecuado
Incorporación de una nueva empresa	Compartir la contraseña existente	Crear una clave	Crear cuentas o emitir certificados	Ninguno, los visitantes se autoservicio
Cuando una empresa se va	Volver a cambiar la clave de todo el edificio	Eliminar una clave	Desactivar cuentas en el directorio	La sesión expira con un temporizador
Estándar de seguridad	WPA2 o WPA3-Personal	WPA2-Personal, WPA3-Personal donde el proveedor lo admita	WPA2 o WPA3-Enterprise	Abierta u OWE, más portal
Mejor opción	No recomendado para uso multinquilino	Empresas miembros pequeñas y medianas	Inquilinos empresariales con dispositivos administrados	Visitantes, pases de un día, salas de reuniones, eventos

OWE (Opportunistic Wireless Encryption, RFC 8110) cifra una red abierta sin contraseña. Protege a los visitantes en el SSID de invitados contra la escucha pasiva.

Lo que el diseño de VLAN necesita detrás de los puntos de acceso

Purple controla la identidad y la asignación de VLAN. Sus switches y firewall siguen aplicando la separación, por lo que el diseño cableado importa tanto como el inalámbrico.

• Una VLAN por empresa miembro, cada una con su propio alcance DHCP (Dynamic Host Configuration Protocol) para direcciones IP.
• Denegación predeterminada entre VLANs en el firewall. Permita el acceso a Internet, más cualquier servicio compartido que decida exponer, como una impresora del edificio.
• Puertos cableados coincidentes. Los puertos en la oficina privada de una empresa terminan en la misma VLAN que su WiFi. El dock del escritorio y la computadora portátil ven entonces la misma red.
• Aislamiento de clientes en la VLAN de invitados, para que los visitantes no puedan alcanzar los dispositivos de los demás.

Planifique para direcciones de dispositivos aleatorizadas

Los dispositivos Apple desde iOS 14 y los dispositivos Android desde Android 10 usan una dirección MAC aleatoria por red de forma predeterminada. Cualquier diseño que reconozca a los miembros por la dirección de hardware fallará, ya sea para pases por día o para facturación. Vincule el acceso y la facturación a la clave o al inicio de sesión, nunca a la dirección MAC.

Cuándo el iPSK por empresa es la opción correcta

El iPSK se adapta a la mayoría de los miembros de coworking. Funciona en cualquier dispositivo que admita WPA2-Personal, incluidas impresoras, Smart TVs y barras para salas de conferencias. Los miembros no necesitan un departamento de TI ni ninguna configuración más allá de escribir una contraseña. Usted gestiona un registro por empresa.

Decida tempranamente entre claves por empresa y por dispositivo. Una clave por empresa es más sencilla de emitir. Las claves por dispositivo o por persona le permiten revocar un teléfono perdido sin cambiar la contraseña de todos. Muchos operadores los combinan: una clave de empresa para el hardware compartido y claves personales para el personal.

Verifique un detalle antes de comprar. WPA3-Personal reemplaza el intercambio de contraseñas PSK con SAE (Autenticación Simultánea de Iguales). Confirme si sus puntos de acceso admiten múltiples claves por SSID bajo WPA3-Personal, no solo WPA2-Personal.

Los siguientes escenarios son diseños probados, con resultados medidos en la propia red.

Escenario probado: un hotel con un piso de oficinas de servicio

Situación. Un hotel urbano de 180 habitaciones convirtió su primer piso en 12 oficinas de servicio. Los 12 inquilinos compartían una sola contraseña, independiente de la red de invitados. Cuando un inquilino se mudaba, el hotel cambiaba la contraseña y otras 11 empresas reconfiguraban cada dispositivo. La impresora de red de un inquilino era visible para todo el piso.

Lo que se hizo. El hotel creó un SSID de miembro con 12 iPSKs, cada uno asignado a su propia VLAN. Los puertos cableados de cada oficina se movieron a la VLAN correspondiente. El hotel mantuvo WiFi de invitados en su propio SSID de portal cautivo para los huéspedes en las habitaciones y el lobby.

Resultado. Las empresas afectadas por una salida disminuyeron de 12 a una. El hotel operó dos SSIDs en lugar de los 13 que requeriría un diseño de una red por inquilino. Cada impresora pasó a ser visible únicamente dentro de la VLAN de su propia empresa. El mismo patrón se aplica a cualquiera de los Hoteles que agreguen espacio de trabajo a su oferta.

Cuándo 802.1X con identidad de miembro es la opción correcta

Pase a un inquilino a 802.1X cuando tenga su propio equipo de TI y laptops administradas. Haga lo mismo cuando su política de seguridad exija un acceso basado en certificados, como es común para los miembros del sector financiero y de la salud.

EAP-TLS elimina por completo las contraseñas compartidas. Cada laptop administrada conserva un certificado, y al revocarlo se elimina el acceso de ese dispositivo. PEAP utiliza en su lugar las credenciales del directorio del inquilino. Eso es más fácil de implementar, pero hereda el vencimiento de contraseñas y las llamadas a la mesa de ayuda que esto conlleva.

Purple Identity-Based Networks vinculan el acceso a la red con la identidad en lugar de usar una clave compartida. Purple se conecta con Microsoft Entra ID, Okta y Google Workspace. Las altas, cambios y bajas de personal se gestionan directamente en la capa de identidad. Un empleado dado de baja en el directorio del usuario pierde el acceso a la WiFi en su siguiente autenticación, sin necesidad de que su equipo intervenga.

La seguridad personal y la empresarial no pueden compartir el mismo SSID porque utilizan métodos de autenticación distintos. Por lo tanto, los usuarios empresariales necesitan un segundo SSID para miembros. Manténgalo limitado a uno solo, compartido por cada usuario 802.1X, con VLANs asignadas por empresa.

Para los operadores con múltiples centros, se recomienda considerar Passpoint (Hotspot 2.0). Permite que un dispositivo se conecte a una red de forma automática y segura mediante un perfil almacenado. OpenRoaming es la federación de la Wireless Broadband Alliance basada en Passpoint, y Purple la admite. Con cualquiera de las dos opciones, los miembros pueden desplazarse entre sus instalaciones sin tener que iniciar sesión de nuevo.

Caso práctico: un centro empresarial del ayuntamiento

Situación. Un centro empresarial gestionado por el ayuntamiento alberga a 40 startups y a un equipo de desarrollo económico municipal de 25 personas. El departamento de TI del ayuntamiento requiere 802.1X para sus laptops corporativas. El equipo del ayuntamiento había instalado sus propios puntos de acceso junto a los del centro, duplicando el hardware en dos pisos.

Lo que se hizo. El centro consolidó todo en una sola infraestructura de puntos de acceso con tres SSIDs. El primero es un SSID para miembros con 40 iPSKs vinculadas a 40 VLANs. El segundo es un SSID 802.1X que utiliza EAP-TLS conectado al directorio del ayuntamiento, vinculado a la VLAN del ayuntamiento. El tercero es un SSID para invitados con un Captive Portal.

Resultado. Se retiró la segunda infraestructura de puntos de acceso en los dos pisos. El centro opera con tres SSIDs, en comparación con los 41 que se necesitarían si se asignara uno por usuario. Las bajas del ayuntamiento pierden el acceso a la WiFi cuando TI las deshabilita en el directorio, sin necesidad de ajustes por parte del personal del centro.

¿Cómo encajan los visitantes, los pases por día y las salas de reuniones?

Los visitantes nunca acceden a la red de miembros. Un Captive Portal es la página web que ve un dispositivo antes de obtener acceso a internet. Se ubica en su propio SSID de invitados y VLAN con aislamiento de clientes.

Tres tipos de visitantes requieren reglas diferentes:

• Visitantes de miembros. Los clientes y entrevistados que llegan para una empresa miembro reciben acceso de invitados por tiempo limitado desde la recepción o el portal. No reciben la clave de la empresa.
• Titulares de pases por día. Se emite una credencial en el registro que expira a la hora de cierre. Si el titular de un pase por día se convierte en miembro con escritorio flexible, pasa a utilizar una clave personal en el SSID de miembros.
• Reservaciones de salas de reuniones. Los usuarios externos que reservan reciben un código válido únicamente durante el tiempo de la reservación. Los miembros que reservan una sala ya cuentan con su propia red y no necesitan nada adicional.

Los inicios de sesión de visitantes constituyen datos personales según el GDPR, por lo que solo debe recopilar lo estrictamente necesario. Solicite la autorización de marketing mediante opciones de aceptación consciente en lugar de casillas premarcadas. Establezca los periodos de retención para los registros de inicio de sesión y los registros de red antes de la puesta en marcha. La guía sobre retención de datos GDPR para operadores de WiFi compartida: cuánto tiempo puede conservar los datos de inicio de sesión de invitados y los registros de red explica los límites detalladamente.

Los visitantes de pases diarios y salas de juntas son sus futuros miembros. Los datos de visitantes con suscripción aceptada le otorgan a su equipo de ventas información de primera mano sobre quiénes lo visitan, con qué frecuencia y qué espacios reservan. WiFi Analytics muestra la frecuencia de las visitas y el tiempo de permanencia en salones y salas de juntas, lo que ayuda a definir precios y distribución de espacios.

Escenario práctico: un espacio para eventos dentro del espacio de trabajo

Situación. Un espacio de trabajo flexible con un salón de eventos para 300 personas realiza eventos nocturnos semanales. El personal de recepción entregaba a los asistentes la contraseña de miembros porque la red de invitados no tenía un modo especial para eventos.

Lo que se hizo. Cada evento recibió su propio código de acceso en el SSID de invitados, válido de 17:00 a 23:00. Un límite por dispositivo de 10 Mbps protegió el tráfico de los miembros en los enlaces ascendentes compartidos. El portal ofreció a los asistentes la opción transparente de dar su consentimiento para recibir seguimiento por parte del organizador.

Resultado. Ningún asistente volvió a recibir la contraseña de miembros a partir de ese momento. El acceso finalizó a las 23:00 sin necesidad de realizar cambios manuales. Cada consentimiento otorgado se convirtió en datos de primera mano que el equipo de eventos pudo utilizar para su próxima reserva.

Lo que cuesta operar cada modelo y cómo funciona la facturación

Costos operativos por modelo

Más allá de las tarifas de licencia, el costo real de cada modelo es el tiempo del personal y la infraestructura de soporte.

• iPSK tiene el costo de administración más bajo por arrendatario: una clave por empresa y una eliminación por cada persona que baja de la organización. Cloud RADIUS elimina el servidor que, de lo contrario, tendría que alojar y actualizar.
• 802.1X con PEAP depende del directorio del arrendatario. Anticipe llamadas a la mesa de ayuda cuando las contraseñas expiren y los dispositivos se desconecten de la red.
• 802.1X con EAP-TLS requiere PKI (infraestructura de clave pública) para emitir certificados, además de gestión de dispositivos para instalarlos. El costo de configuración es el más alto, mientras que el riesgo continuo es el más bajo.
• Captive portal casi no requiere administración por visitante. Su costo principal se centra en las tareas de cumplimiento de GDPR sobre retención y consentimiento.

El hardware raras veces representa el factor determinante del costo. Una superposición en la nube se ejecuta sobre los puntos de acceso existentes, tal como se expone en Por qué su próxima actualización de WiFi no necesita hardware nuevo.

Modelos de facturación que la red puede aplicar

La facturación solo es justificable cuando la red aplica estrictamente lo que estipula la factura. Cada modelo a continuación vincula un cargo con un control y los datos que lo respaldan.

Modelo de facturación	Cómo cobra	Qué lo aplica	Datos que necesita
Incluido	WiFi incluido en la cuota de membresía	Clave de la empresa o inicio de sesión activo mientras la membresía esté vigente	Estado activo o revocado por empresa
Niveles de ancho de banda	Complemento mensual, por ejemplo 100 Mbps, 500 Mbps o 1 Gbps	Límite de velocidad vinculado a la identidad de la empresa	Rendimiento de tráfico por VLAN de la empresa
Enlace ascendente dedicado	Reenvío de una línea dedicada más un margen	El enrutamiento de directivas envía la VLAN de la empresa a su propio enlace ascendente	Uso del enlace ascendente por mes
Pase diario	Por día, en recepción o en línea	Credencial que expira a la hora de cierre	Registro de emisión y expiración por credencial
Sala de juntas	Incluido en el precio de reservación de la sala	Código válido durante el horario de la reservación	Referencia de reservación vinculada a cada código

Los límites de velocidad se asignan por identidad a través de atributos específicos del proveedor RADIUS o por política de grupo en los puntos de acceso. El mecanismo varía según el proveedor, así que pruebe cada nivel en su propio hardware antes de fijar los precios.

Incorporación a través de su sistema de gestión del espacio de trabajo

Su plataforma de gestión del espacio de trabajo ya conserva el registro de membresía. El objetivo es que cada evento de membresía active el evento de red correspondiente:

1. Un contrato firmado crea la llave de la empresa o la VLAN empresarial.
2. Un aumento de nivel cambia el límite de velocidad para esa identidad.
3. Una fecha de salida revoca la llave al final del plazo.

Con esta configuración, un usuario que se da de baja pierde el acceso el día en que finaliza el contrato, no el día en que alguien lo recuerde. Solicite a cualquier proveedor, incluido Purple, que le muestre esta secuencia de trabajo integrada con su plataforma antes de firmar. Para obtener un contexto más amplio sobre el funcionamiento de redes de nivel empresarial, consulte WiFi en las empresas.

Cómo decidir para su espacio de trabajo: lista de verificación de diseño y compra

Matriz de decisión

Su situación	Recomendación
Hasta 50 empresas miembros pequeñas con dispositivos mixtos	Un SSID iPSK para miembros más un SSID de portal de invitados
Inquilinos empresariales con su propio departamento de TI y laptops administradas	Agregue un SSID 802.1X con EAP-TLS, VLAN por inquilino
Varios centros con miembros que se desplazan de una sede a otra	SSID idénticos en cada sitio, más Passpoint o OpenRoaming
Gran volumen de eventos y alquiler de salas de juntas	Códigos con límite de tiempo en el SSID de invitados con límites por dispositivo
Inquilinos que aceptan pagos con tarjeta	VLAN dedicada y reglas de firewall documentadas para limitar el alcance de PCI DSS

La guía de PCI DSS reconoce la segmentación de red como una forma de reducir el alcance de una evaluación. Documente las reglas del firewall que aíslan la VLAN de un inquilino que acepta pagos, ya que su evaluador las solicitará.

Lista de verificación de diseño

1. Limite la infraestructura a tres SSID: iPSK de miembro, 802.1X de miembro e invitados.
2. Cree una VLAN y un segmento DHCP por empresa miembro.
3. Establezca la denegación predeterminada entre VLAN, con reglas de autorización explícitas para servicios compartidos.
4. Asigne los puertos cableados de las oficinas privadas a la VLAN de cada empresa.
5. Habilite el aislamiento de clientes y OWE en el SSID de invitados.
6. Defina niveles de ancho de banda y pruebe cada límite de velocidad en sus puntos de acceso.
7. Vincule los pases diarios y la facturación a las credenciales, nunca a las direcciones MAC.
8. Establezca periodos de retención para los datos de visitantes y registros de red antes del lanzamiento.

Lista de verificación de compra

1. Soporte de hardware. ¿La plataforma funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet? Purple es independiente del hardware en los ocho fabricantes.
2. Una sola plataforma para cada modelo. ¿Puede administrar iPSK, 802.1X y el acceso por Captive Portal desde un solo panel de control?
3. VLAN dinámicas. ¿Su RADIUS devuelve una VLAN por identidad utilizando atributos estándar RFC 3580?
4. Límites de velocidad por identidad. ¿Se pueden asignar los niveles de ancho de banda a una empresa en lugar de a un SSID?
5. Automatización del ciclo de vida. ¿Pueden los eventos de membresía crear, cambiar y revocar el acceso a la red sin pasos manuales?
6. Cumplimiento. Busque certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials. Purple cuenta con las cuatro y es una empresa certificada B Corp.
7. Disponibilidad. ¿A qué tiempo de actividad se compromete el proveedor? La plataforma de Purple funciona con un 99.999% de tiempo de actividad.
8. Control multisitio. ¿Puede aplicar una sola política en cada centro con marca local? Consulte WiFi de invitados multisitio para franquicias: control central con marca local.

La escala es importante cuando se evalúa la madurez operativa de un proveedor. Purple se fundó en 2012 y opera en más de 80,000 ubicaciones en vivo en más de 90 países. Nuestros propios datos muestran 440 millones de inicios de sesión en 2024.

Preguntas frecuentes

¿Purple Multi-Tenant WiFi puede ejecutarse en los puntos de acceso que ya poseemos?

Sí. Purple es independiente del hardware y funciona como una superposición en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Usted conserva sus puntos de acceso, switches y firewall. Purple agrega Cloud RADIUS, identidad por empresa y asignación de VLAN en la parte superior, sin necesidad de reemplazar infraestructura existente. Confirme que su modelo admita múltiples claves precompartidas en un SSID antes de planificar una implementación de iPSK.

¿Los miembros pueden traer sus propios dispositivos de forma segura?

Sí, siempre que los dispositivos de cada empresa se ubiquen en su propia VLAN. Con iPSK, el teléfono, la laptop y la impresora de un miembro se conectan usando la clave de la empresa y ven únicamente la red de esa empresa. Con 802.1X, cada persona inicia sesión con una credencial o certificado personal. De cualquier manera, otro inquilino en el mismo punto de acceso no puede alcanzar esos dispositivos sin pasar por su firewall.

¿Cómo se factura el WiFi en los espacios de trabajo flexibles?

La mayoría de los operadores incluyen el WiFi estándar dentro de la tarifa de membresía y venden niveles de ancho de banda o enlaces dedicados como complementos. Los pases de un día se cobran por día y el WiFi de las salas de reuniones se incluye en el precio de la reserva. La facturación funciona correctamente solo cuando la red la hace cumplir, por lo que cada límite de velocidad debe asociarse a la identidad de la empresa. El rendimiento por VLAN de empresa respalda entonces la factura.

¿Necesitamos un SSID independiente para cada empresa miembro?

No. Un solo SSID para miembros con una clave por empresa se escala a docenas de inquilinos sin agregar sobrecarga de señalización. Agregue un segundo SSID solo para inquilinos empresariales con 802.1X, ya que la seguridad personal y empresarial no pueden compartir el mismo nombre de red. Agregue un SSID de invitados para visitantes. Tres SSIDs cubren la mayoría de las oficinas servidas, independientemente del número de empresas que albergue.

¿Cómo migramos de una sola contraseña compartida sin interrumpir a los miembros?

Ejecute el nuevo SSID de miembros junto con el antiguo y luego migre empresa por empresa. Asigne a cada empresa su clave, mueva los puertos de su oficina a la VLAN correspondiente y confirme que sus dispositivos funcionen antes de comenzar con la siguiente. Retire la contraseña compartida una vez que la última empresa se haya migrado. Enumere primero las impresoras y el equipo audiovisual por oficina, ya que los dispositivos sin pantalla generan la mayor parte de las interrupciones.

¿Los datos de inicio de sesión de los visitantes en una red de invitados de coworking cumplen con el GDPR?

Sí, siempre que la recopile sobre una base legal y la conserve solo durante el tiempo que la necesite. Purple cumple con GDPR y cuenta con la certificación ISO 27001, y su Captive Portal utiliza suscripciones de elección consciente para el consentimiento de marketing. Como operador, usted sigue estableciendo los periodos de retención para los datos de inicio de sesión y los registros de red. Acuerde esos periodos antes del lanzamiento y publíquelos en su aviso de privacidad.\n\n### ¿Deberíamos elegir iPSK u 802.1X para las empresas miembros?\n\nElija iPSK para la mayoría de las empresas miembros y 802.1X para los inquilinos corporativos con dispositivos gestionados. iPSK funciona en todos los dispositivos WPA2 - Personal, incluidas impresoras y pantallas, y requiere una clave por empresa. 802.1X con EAP-TLS otorga a cada dispositivo su propio certificado y vincula el acceso al directorio del inquilino, a cambio de la gestión de certificados. Muchas oficinas de servicios ejecutan ambos en los mismos puntos de acceso.