Control de acceso a WiFi explicado: métodos y políticas
Published
Si con una contraseña larga de WiFi basta, ¿por qué una sola frase filtrada puede seguir dando acceso a todas las cajas registradoras, cámaras y portátiles de invitados de las instalaciones? Los equipos suelen considerar el cifrado como todo el trabajo. El cifrado oculta el tráfico en el aire; no decide quién puede conectarse, a qué puede acceder ni cómo se revoca ese permiso. El control de acceso WiFi es esa segunda tarea, y la contraseña compartida suele ser el eslabón más débil de la misma.
Índice de contenidos
- Lo que el control de acceso a WiFi realmente decide
- Comparativa rápida de métodos de control de acceso a WiFi
- Cómo WPA2 y WPA3 establecen la base de cifrado
- Cómo 802.1X y EAP-TLS vinculan el acceso a la identidad
- Comparativa entre Captive Portals, claves por dispositivo y Passpoint
- VLAN basadas en identidad para directivas y segmentación
- Cómo medir si la segmentación funciona realmente
- Cómo elegir su configuración de control de acceso a WiFi
Lo que realmente decide el control de acceso WiFi
Cuando alguien se conecta a su WiFi, ¿qué se está comprobando y quién lo hace? Mucha gente se imagina una casilla para introducir la contraseña. Un edificio representa una imagen mucho más clara.
El cifrado es el pasillo cerrado con llave: mantiene las conversaciones en privado frente a cualquiera que esté en el pasillo. El control de acceso es la política de la puerta: decide quién recibe una llave, a qué plantas puede acceder y cuándo deja de funcionar esa llave. Un gimnasio aplica esta misma distinción con opciones de acceso al gimnasio mediante QR y PIN: la cerradura no es la regla que determina qué socio puede entrar ni durante cuánto tiempo.
Toda red toma tres decisiones.
La Autenticación determina quién o qué se puede conectar. Una persona, un portátil, un terminal de pago o una cámara deben demostrar que pertenecen a la red.
La Autorización determina a qué puede acceder esa conexión. Las aplicaciones del personal, el acceso exclusivo a internet y una subred para cámaras son puertas diferentes.
La Revocación determina cuánto tiempo dura el permiso. Los límites de sesión, los inicios de sesión caducados y una clave que se puede anular para un solo dispositivo se gestionan aquí.
Una frase de contraseña compartida solo responde a la primera pregunta, y lo hace para todo el mundo a la vez.
Los invitados, el personal, los terminales de pago, las cámaras, los dispositivos de las habitaciones y los contratistas de un mismo edificio requieren respuestas distintas. Cualquiera que conozca la frase clave está "autorizado". No se puede trasladar la caja registradora a otra planta, ni se puede dar de baja a un contratista sin cambiar la contraseña de todas las instalaciones. Los métodos que se describen a continuación parten de la identidad, no de una acumulación de nombres de red.
Comparativa rápida de métodos de control de acceso WiFi
WPA3-Personal para instalaciones pequeñas, 802.1X con certificados para empresas, claves por dispositivo para IoT e instalaciones multiinquilino, Captive Portals para acceso de invitados y Passpoint para usuarios en itinerancia.
| Método | Qué comprueba | Nivel de seguridad típico | Mejor ajuste | Cómo se revoca el acceso |
|---|---|---|---|---|
| WPA2-Personal | Frase de paso compartida | Moderado | Hogares y pequeñas oficinas | Cambiar la frase de paso para todos |
| WPA3-Personal | Frase de paso mediante intercambio SAE | Fuerte contra adivinación de contraseñas | Hogares modernos y pequeñas oficinas | Cambiar la frase de paso para todos |
| WPA2/WPA3-Enterprise con 802.1X | Certificado o credenciales de usuario o dispositivo mediante RADIUS | Alto | Empresas y campus | Revocar una identidad o certificado |
| xPSK o claves por dispositivo | Clave única por dispositivo, usuario o inquilino | Alto para IoT y sitios compartidos | Hoteles, residencial, concesiones y flotas de IoT | Revocar una clave sin afectar a las demás |
| Captive portal | Inicio de sesión mediante SSO, red social o código de un solo uso por SMS, con consentimiento | Moderado; identifica usuarios pero no asegura cada enlace | Invitados e incorporación de BYOD | Expirar la sesión o el inicio de sesión |
| Passpoint y OpenRoaming | Credenciales de identidad en roaming | Alto, sin necesidad de portal | Recintos y usuarios en roaming | Revocar la credencial en el proveedor de identidad |
Interprete las valoraciones como típicas, no como garantizadas
Estos niveles describen un despliegue riguroso, no todos los casos particulares. Una configuración empresarial descuidada, con métodos EAP débiles activados y sin proceso de revocación, puede ser más vulnerable que un sistema bien gestionado de claves por dispositivo en la planta de un hotel. El cifrado en el aire no es el control que le salvará a las 2 a.m.
La velocidad de revocación suele determinar la elección más que el tipo de cifrado. Si perder un teléfono implica volver a imprimir una contraseña para toda una oficina, el método no es adecuado para un edificio compartido. Adapte la fila a la situación al seleccionar un diseño al final.
Cómo WPA2 y WPA3 establecen la base de cifrado
Una contraseña de WiFi puede proteger el enlace de radio y, aun así, ser una forma débil de controlar quién accede. WEP data de 1997. Las debilidades en su diseño dieron lugar a WPA en 2003, seguido de WPA2 en 2004, alineado con IEEE 802.11i y utilizando AES en lugar del enfoque más débil de WEP, tal y como consta en la referencia tecnológica del Departamento de Asuntos de los Veteranos.
WPA2 y WPA3 establecen la base de cifrado, pero la contraseña sigue siendo importante. WPA3-Personal utiliza SAE, que resiste los intentos de adivinación de contraseñas fuera de línea. WPA3 Enterprise también ofrece una opción de seguridad más sólida para entornos sensibles.
El modo de transición permite que los dispositivos WPA2 y WPA3 utilicen la misma red. Esa pasarela resulta útil cuando una ubicación tiene un parque de dispositivos mixto, pero hace que los dispositivos WPA2 sigan utilizando la opción menos segura. La etiqueta más reciente de una red no protege a un cliente antiguo que continúa conectándose con WPA2.
Compruebe cada ubicación antes de cambiar de modo:
- Modo de seguridad: confirme si cada SSID utiliza WPA2 o WPA3, y si es de tipo personal o enterprise.
- Redes heredadas: compruebe que WEP y las redes abiertas sin portal ya no estén en uso.
- Preparación de los clientes: confirme que los teléfonos, cajas registradoras y cámaras admiten WPA3 antes de exigirlo.
El cifrado protege el tráfico a través del aire. El control de acceso decide qué persona o dispositivo tiene permitido conectarse. Una contraseña compartida desdibuja esa distinción: cambiarla puede afectar a todas las personas que la conocen, mientras que un cifrado más fuerte por sí solo no puede identificar a cada usuario.
Cómo 802.1X y EAP-TLS vinculan el acceso a la identidad
Piense en la tarjeta de identificación de una oficina. El punto de acceso es la puerta. El servidor RADIUS es la recepción de seguridad. El directorio, o la autoridad de certificación, es la lista del personal.
Los cuatro pasos en la puerta
- El dispositivo se asocia y ofrece una identidad, normalmente un certificado o un nombre de usuario.
- El punto de acceso no decide. Reenvía la solicitud a RADIUS.
- El servidor comprueba esa credencial en el directorio o en la autoridad de certificación.
- RADIUS devuelve Accept o Reject, además de los atributos que definen la sesión, como una VLAN o un rol.
EAP-TLS es el método que dificulta la copia de la credencial. La guía EAP de NIST trata TLS como el túnel de protección para EAP basado en túneles y establece que la autenticación mutua EAP-TLS requiere certificados de par. El cliente demuestra que posee un certificado válido y también comprueba el servidor de autenticación. Un método de contraseña solo pide al usuario que conozca un secreto. Su MDM puede emitir un certificado, asignarle una duración corta, renovarlo y revocarlo para un único portátil extraviado. Vincule ese certificado a un grupo de directorio para que RADIUS pueda devolver la política correspondiente. Todos los demás permanecerán conectados.
Siempre que los clientes lo permitan, desactive PEAP-MSCHAPv2, CHAP y PAP. Las directrices actuales para WLAN empresariales orientan hacia EAP-TLS con AES-256-GCM y curvas elípticas modernas o parámetros RSA lo suficientemente grandes. Vale la pena leer una comparativa entre EAP-TLS y PEAP antes de mantener activo el método más antiguo "por si acaso".
La trampa que bloquea a toda la oficina
El fallo más común es una cadena de confianza que nunca llegó a los dispositivos. Todos los inicios de sesión fallan a la vez y el centro de soporte recibe avisos de "el WiFi no funciona" en lugar de "no se confía en el certificado". Despliegue la cadena con el mismo MDM que emite los certificados y pruebe con un ordenador portátil nuevo antes de retirar las contraseñas.
Determine la ruta en caso de interrupción antes del despliegue. Si no se puede acceder a RADIUS o a la autoridad de certificación, ¿se mantienen activas las sesiones existentes, se asignan los nuevos dispositivos a una red de incorporación limitada y cuánto tiempo siguen siendo válidas las credenciales almacenadas en caché? Pruebe cada ruta. Un sistema de credenciales que falle bloqueando el acceso sin un plan alternativo vaciará el edificio al primer fallo de red.
Un breve recorrido por el proceso de intercambio permite concretar la metáfora de la recepción y la puerta:
Comparativa de Captive Portals, claves por dispositivo y Passpoint
Un visitante en un hotel o una cafetería no va a instalar un certificado. Un Captive Portal le permite iniciar sesión mediante inicio de sesión social, SSO o un código de un solo uso por SMS, y puede registrar el consentimiento para normativas de privacidad como GDPR y CCPA. Saber quién se ha conectado no implica proporcionar a ese teléfono una clave sólida por enlace. La red abierta sigue necesitando una sesión corta y una VLAN que no pueda ver las cajas registradoras ni las cámaras. Cuando la visita termine, expire el inicio de sesión.
Una clave, un dispositivo
Las claves por dispositivo (xPSK, y los nombres de proveedor iPSK, DPSK, MPSK o PPSK) asignan a cada dispositivo, usuario o inquilino su propio secreto. Las televisiones de las habitaciones, los termostatos, las cajas registradoras, los routers de los inquilinos y las cámaras se adaptan a este patrón porque nadie va a introducir una contraseña en ellos cada semana. Al revocar una clave, las demás siguen funcionando. En los puntos de acceso compatibles, el RADIUS Change of Authorization también puede finalizar la sesión activa en lugar de esperar a que el dispositivo realice roaming. Esa es la diferencia entre "cambiaremos el WiFi esta noche" y "esa cámara ya está fuera de la red".
Passpoint y OpenRoaming omiten el portal para las personas que ya disponen de una identidad de roaming. El teléfono se autentica con las credenciales de un proveedor de identidades, lo que resulta idóneo para aeropuertos, campus y recintos donde la misma persona aparece en múltiples ubicaciones. El modo de fallo es la confianza: si el proveedor de identidades o la relación de roaming no están disponibles, no hay una contraseña local a la que recurrir. Defina y publique ese comportamiento ante interrupciones antes de retirar el portal. Hotspot 2.0 es el nombre en el lado del cliente que verá en la configuración del dispositivo.
Por qué la dirección MAC no salvará la directiva
Las direcciones MAC aleatorias hacen que las listas de hardware no sean fiables. La cobertura de Help Net Security sobre las conclusiones de la Wireless Broadband Alliance señala que las direcciones MAC aleatorias complican la gestión de la red y la detección de amenazas, mientras que los equipos siguen necesitando diferenciar entre invitados, puntos finales gestionados y dispositivos operativos. La dirección puede cambiar entre sesiones, por lo que una lista de permitidos basada en la MAC de ayer no detectará el teléfono de hoy. Una identidad duradera debe basarse en un certificado, una credencial federada, la postura de gestión del dispositivo o una clave por dispositivo.
Evalúe las tres opciones con las mismas cuatro pruebas: la rapidez con la que puede revocar, cuánto expone el método, si permite roaming y si el registro identifica a una persona o solo a una dirección de radio. La privacidad y el control coexisten cuando la política depende de una credencial. Colisionan cuando la política depende de la dirección MAC.
VLAN basadas en la identidad para directivas y segmentación
Una sola puerta de entrada, muchas pulseras. Una vez que el huésped realiza el registro, la pulsera abre la piscina pero no el cuarto de máquinas. Tras completarse la autenticación 802.1X u otra autenticación RADIUS, el punto de acceso puede asignar a ese cliente una VLAN especificada en el Access-Accept, anulando la VLAN predeterminada del SSID.
La documentación de Fortinet sobre VLAN para RADIUS describe los atributos estándar que configurará: Tunnel-Type establecido en VLAN, Tunnel-Medium-Type establecido en 802 y Tunnel-Private-Group-ID con el identificador de VLAN. Cuando se devuelven estos atributos, la VLAN asignada por RADIUS prevalece sobre la VLAN local de la WLAN. Si cambia el grupo de la persona, la siguiente autenticación la ubicará en otro lugar. Si revoca la identidad, el acceso se interrumpe. De este modo, mantiene un conjunto reducido de SSID mientras el personal, los invitados, los sistemas de pago, las cámaras, los residentes y los dispositivos IoT permanecen separados. Un análisis práctico del diseño de redes WiFi le resultará útil para determinar lo reducido que debe ser ese conjunto de SSID.
| Grupo de identidad | Fuente de identidad | VLAN de ejemplo | Política |
|---|---|---|---|
| Invitados | Inicio de sesión en el portal o consentimiento | 10 | Solo Internet, sin acceso interno |
| Personal | Certificado de dispositivo mediante MDM | 20 | Aplicaciones internas y recursos compartidos de archivos |
| Dispositivos de habitación o IoT | Clave por dispositivo | 40 | Subred propia, solo salida hacia servicios del proveedor |
| Terminales de pago | Certificado o clave por dispositivo | 30 | Segmento aislado dentro del alcance de PCI-DSS |
| Cámaras | Clave por dispositivo | 50 | Solo carga de vídeo, sin otro acceso este-oeste |
Tres comprobaciones antes de confiar en la pulsera
Valor predeterminado seguro. Si el atributo falta o no tiene sentido, el cliente debe ir a parar a una VLAN que casi no pueda alcanzar nada. No aplique un "fail open" hacia la red del personal solo porque un error haya omitido un campo.
La ruta, no solo el punto de acceso. Cada enlace troncal desde el punto de acceso hasta el conmutador tiene que transportar todas esas VLAN dinámicas. Una VLAN que existe en RADIUS pero no en el enlace troncal parece un inicio de sesión correcto seguido de silencio.
El registro. Registre cada Access-Accept con la identidad, la VLAN y la ubicación. Sin esa línea no podrá probar qué pulsera abrió qué puerta.
Por lo tanto, la directiva sigue a la persona o al registro del dispositivo, no al punto de acceso al que se haya conectado.
Cómo medir si la segmentación funciona realmente
Tener más SSID no significa tener un mejor aislamiento. Esa suposición es la razón por la que algunas instalaciones emiten una docena de nombres y aun así encuentran un portátil de invitado en la VLAN de las cajas registradoras.
Cada SSID adicional añade una sobrecarga de señalización (beacons) y tiempo de aire, más configuración, más comportamientos de roaming que probar y más probabilidades de que un centro se desvíe del estándar. El informe Cisco State of Wireless Report sitúa la segmentación de red y la verificación dinámica de identidad entre las medidas fundamentales para reducir la exposición inalámbrica, y destaca los clientes de generaciones mixtas, las grandes poblaciones de IoT y las necesidades de visibilidad más estrictas entre radios y bandas. Una separación insuficiente provoca el fallo opuesto: un dispositivo de invitado infectado puede desplazarse lateralmente hacia TPVs, cámaras, residentes o recursos compartidos del personal.
Un ciclo de vida que puede operar
- Defina segmentos por identidad y riesgo, no por cuántos nombres quepan en la lista de WiFi de un teléfono.
- Asigne políticas de forma dinámica a partir del resultado de la autenticación, para que un cambio de grupo no requiera un nuevo SSID.
- Documente cada excepción con un propietario y una fecha de caducidad. Una excepción sin fecha de finalización se convierte en la nueva red.
- Mida las autenticaciones fallidas, el tráfico este-oeste no autorizado y el tiempo de revocación, y pruebe un protocolo de emergencia cada trimestre.
Evalúe el diseño en función de cuatro resultados: contención, tiempo de revocación, evidencias de auditoría y carga de trabajo operativa. El número de SSID no figura en esa lista. Wi-Fi 7 y el IoT denso hacen que estas medidas sean aún más urgentes, ya que se mezclan distintas generaciones de clientes y el número de dispositivos aumenta, por lo que la visibilidad debe mantenerse de forma constante en todas las bandas.
Desconecte una identidad, confirme que la siguiente autenticación sea denegada y confirme que el registro muestre dicha denegación. Si no puede hacer eso para una sola cámara, la segmentación aún no es real.
Elección de su configuración de control de acceso WiFi
Elija en función de la situación, no del cifrado más reciente.
- Cafetería o domicilio con invitados: WPA3-Personal en la parte privada, más un Captive Portal para visitantes.
- Oficina de unos 200 puestos con portátiles gestionados: 802.1X con certificados del MDM y un portal de invitados independiente.
- Hotel, complejo residencial o zona de concesiones: claves por dispositivo, con VLAN guiadas por identidad para habitaciones, inquilinos y dispositivos fijos.
- Campus o recinto donde los usuarios se desplazan: Passpoint o OpenRoaming junto a certificados para los dispositivos del personal.
Reducimos esa dispersión a tres SSIDs: Open para invitados y dispositivos BYOD, Secure para el personal y usuarios de confianza, y xPSK para dispositivos IoT, inquilinos y comunidades. Un planificador le permite marcar qué se conecta hoy y ver dónde se ubica cada grupo dentro de esas tres opciones.
Los puntos de acceso que ya están instalados en el techo a menudo determinan cuál de esos métodos se puede activar. Compruebe el certificado, la clave por dispositivo y la compatibilidad con CoA antes de prometer un diseño que el hardware no pueda completar.
- Enumere cada grupo de dispositivos, incluidos los más complejos: contratistas, portátiles de préstamo, televisores de habitaciones.
- Asigne a cada grupo una fuente de identidad y una VLAN, utilizando la misma asignación que usa para invitados, personal, IoT, pagos y cámaras.
- Ejecute la prueba de desconexión y verificación en un dispositivo de cada grupo.
- Revise los registros tras una semana. Busque accesos aceptados que no pueda explicar y rechazos que bloqueen el trabajo real.
- Repase el plan con un ingeniero de redes antes del despliegue, especialmente la ruta de fallo cuando RADIUS no esté accesible.
El control basado en la identidad con revocación por dispositivo es el diseño que se escala. Una frase de paso no puede hacerlo.
Purple Access otorga a invitados, personal y dispositivos su propia identidad o clave en los puntos de acceso que ya utiliza, para que el control de acceso WiFi no sea una contraseña compartida con un nombre diferente. Puede ver dónde se ubica cada grupo, revocar un solo dispositivo sin afectar al resto y mantener la política en RADIUS en lugar de en una lista de SSID más larga. Visite Purple Access para mapear sus instalaciones y revisar la configuración con un ingeniero de redes.
