WiFi para concesiones e inquilinos en centros comerciales: una arquitectura xPSK con una clave y VLAN por inquilino

Utilice un SSID xPSK para cada concesión y local de inquilino. Cada inquilino obtiene su propia clave, y la clave ubica sus cajas registradoras, tabletas y dispositivos de oficina en su propia VLAN. Los compradores se mantienen en la red abierta del Captive Portal y los sistemas del centro en una red 802.1X segura: tres SSID en total, con claves revocadas el día que finaliza un contrato de arrendamiento.

¿Qué hace realmente una red con clave y VLAN por inquilino?

Un centro comercial es propietario de los puntos de acceso, pero decenas de empresas independientes dependen de ellos. Cada concesión, quiosco y local de inquilino opera cajas registradoras, tabletas de inventario, PC de oficina y, a menudo, señalización digital. Esos dispositivos no deben verse entre sí, ni ver a los compradores ni a los sistemas del propio edificio del centro.

xPSK es el término general para las redes donde cada inquilino o dispositivo tiene su propia clave precompartida en un único SSID. Cada proveedor lo denomina de forma diferente:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Cuando un dispositivo se conecta, la clave que presenta identifica al inquilino. A continuación, RADIUS devuelve la VLAN de ese inquilino. RADIUS es el protocolo que utilizan sus puntos de acceso para preguntar a un servidor de autenticación quién se está conectando. Una VLAN (LAN virtual, definida en IEEE 802.1Q) es una red independiente de capa 2 que se ejecuta sobre los mismos conmutadores y cableado.

El resultado es un nombre de red en el aire y muchas redes aisladas en el cable. La identidad establece la VLAN, no el SSID.

Por qué un SSID por inquilino no es escalable

Cada SSID transmite sus propios tramas de baliza (beacons) en cada radio. El intervalo de baliza predeterminado de IEEE 802.11 es de 100 unidades de tiempo, o 102,4 ms, por lo que cada SSID emite balizas casi 10 veces por segundo. Las balizas se envían a la velocidad de datos básica más baja, lo que las hace costosas en tiempo de aire.

Por lo tanto, cada SSID adicional consume tiempo de aire que el tráfico de inquilinos y compradores podría utilizar. Con 20 SSID de inquilinos, cada punto de acceso al alcance envía 20 juegos de balizas. Los proveedores también limitan la cantidad de SSID que un solo radio puede emitir. Un centro con 60 locales alcanza ese límite mucho antes de firmar su último contrato de arrendamiento.

El coste operativo también aumenta. Cada SSID tiene su propia frase de contraseña para rotar, y cada rotación desconecta todos los dispositivos de ese inquilino a la vez.

¿Cuántos SSID necesita un centro comercial?

Tres es el número adecuado para la mayoría de los centros:

1. Red abierta de invitados para compradores. Esta red utiliza un Captive Portal: la página de inicio de sesión que ve un dispositivo antes de acceder a internet. Consulte Captive portals para ver las opciones de diseño. El marketing de invitados en esta red corresponde al plan Purple Engage, y el filtrado DNS se realiza con Purple Shield.
2. Red xPSK para arrendatarios. Cada concesión, quiosco y local de arrendatario se conecta aquí. Los dispositivos propios del centro sin interfaz de usuario, como CCTV, controladores de gestión de edificios y reproductores de señalización digital, también se unen a ella, cada uno con su propia clave y VLAN.
3. Red segura para el personal del centro. Esta red utiliza 802.1X, el estándar IEEE para autenticación de redes basada en puertos. Combínelo con EAP-TLS, que autentica cada dispositivo con un certificado. Las identidades proceden de Microsoft Entra ID, Okta o Google Workspace. EAP TLS vs PEAP: Security, Certs and Fit y Okta WiFi Authentication: Setup Steps, Options and Fixes analizan esa parte.

Enfoque	SSIDs para 60 arrendatarios	Aislamiento de arrendatarios	Eliminar un arrendatario	Sobrecarga de beacons	A quién se adapta
SSID por arrendatario	60 SSIDs de arrendatarios, por encima de los límites por radio	Una VLAN por SSID	Eliminar ese SSID y reconfigurar los radios	Aumenta con cada SSID	Centros con menos de cinco arrendatarios
Una clave compartida para todos los arrendatarios	1	Ninguno: una clave, una VLAN	Cambiar la clave para todos los arrendatarios	Un SSID	Ningún centro donde los arrendatarios utilicen cajas registradoras
xPSK: una clave y VLAN por arrendatario	1	Una VLAN por clave	Revocar una clave; las demás no se ven afectadas	Un SSID	Concesiones, quioscos y locales con dispositivos sin interfaz de usuario
802.1X por dispositivo	1	Una VLAN por identidad	Revocar el certificado o la cuenta	Un SSID	Arrendatarios con dispositivos gestionados que ejecutan un suplicante 802.1X

802.1X es el modelo más sólido cuando los dispositivos del arrendatario lo admiten. La mayoría de las concesiones combinan cajas registradoras, terminales de pago, tabletas y reproductores de señalización digital. Muchos de estos dispositivos no pueden ejecutar un suplicante 802.1X, por lo que xPSK se encarga de ellos.

¿Qué necesita antes de empezar?

Puntos de acceso y una consola compatibles con PSK multiclave

No necesita hardware nuevo. Purple es una solución superpuesta en la nube independiente del hardware con RADIUS en la nube, y se integra sobre los puntos de acceso que ya posee. Antes de comenzar, confirme que su modelo y firmware admiten PSK multiclave con una VLAN asignada por RADIUS.

Proveedor	Nombre de la función	Consola
Cisco Meraki	Identity PSK (iPSK) with RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone o RUCKUS One
Juniper Mist	Multi PSK	Panel en la nube de Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Aplicación UniFi Network

Compruebe un punto más en la documentación de su proveedor: la compatibilidad con WPA3. Muchas implementaciones de xPSK funcionan sobre WPA2-PSK con AES. La compatibilidad de WPA3-SAE para varias claves en un solo SSID varía según el proveedor y el firmware. Para conocer los detalles de configuración en Meraki y Mist, consulte PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Un plan de VLAN e IP

IEEE 802.1Q utiliza un ID de VLAN de 12 bits, lo que proporciona 4.094 VLANs utilizables. Eso cubre cualquier centro sin problemas. Planifique lo siguiente antes de emitir la primera clave:

• Un bloque de VLAN reservado para los arrendatarios. Manténgalo separado de las VLAN de gestión, CCTV y visitantes del centro.
• Una subred y un rango DHCP por VLAN de arrendatario. Ajuste el tamaño de cada uno según los dispositivos declarados por el arrendatario, más un margen para incorporaciones estacionales.
• Trunks hacia cada puerto de switch de punto de acceso. Cada VLAN de arrendatario debe llegar a todos los puertos donde se pueda conectar un dispositivo de arrendatario. En la práctica, esto significa cada puerto del centro.
• Reglas de firewall en la pasarela. Deniegue el tráfico entre arrendatarios, deniegue el tráfico entre arrendatario y centro, y permita el acceso a Internet. Permita el procesador de pagos del arrendatario y la VPN de la sede central cuando los necesiten.

Una decisión sobre quién tiene las claves

El equipo de TI del centro debe emitir cada clave, y cada arrendatario debe nombrar a un único contacto para recibirla. Registre ese contacto junto a la clave. Sin ese registro, no podrá saber quién conocía una clave cuando un arrendatario comunique que se ha visto comprometida.

A continuación, decida entre una clave por arrendatario o una clave por dispositivo. Una clave por arrendatario es más rápida de administrar. Una clave por dispositivo para cajas registradoras y terminales de pago ofrece mayor seguridad. Si se pierde una tablet de inventario, revoca su clave y las cajas registradoras siguen en línea.

El requisito 2.3.2 de PCI-DSS v4.0 exige que las claves inalámbricas conectadas al entorno de datos de tarjetahabientes se cambien cuando alguien que conoce la clave abandona la empresa. Las claves por arrendatario y por dispositivo reducen ese cambio al grupo más pequeño posible.

¿Cómo se configura una clave y una VLAN por arrendatario?

Cree el SSID xPSK una sola vez

Cree el SSID de arrendatario en la consola de su fabricante con autenticación RADIUS apuntando a Purple. Utilice WPA2-PSK con AES como base, y WPA3 donde su fabricante lo admita para PSK de múltiples claves. Difunda el SSID: ocultar el nombre de una red no aporta seguridad y hace que los dispositivos la busquen constantemente.

La documentación de configuración de Purple para su fabricante proporciona los ajustes exactos. Sígala en lugar de copiar valores de otro sitio.

Asigne cada clave de arrendatario a su VLAN

En Purple, cada registro de arrendatario contiene una o más claves y un ID de VLAN. Cuando un dispositivo se autentica, Purple devuelve la VLAN utilizando los atributos estándar de túnel RADIUS descritos en RFC 3580. Estos son Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID. El punto de acceso ubica entonces el dispositivo en esa VLAN.

Establezca límites de ancho de banda por arrendatario

Purple asigna la VLAN. El límite de ancho de banda se vincula a la directiva que su consola aplica a esa VLAN, grupo o rol. Las directivas de grupo de Cisco Meraki y los roles de usuario de HPE Aruba incluyen límites de velocidad, y los demás fabricantes ofrecen equivalentes.

Defina un conjunto reducido de niveles, como quiosco, local estándar y tienda ancla. Asigne cada arrendatario a un nivel durante su incorporación. Los niveles evitan que un solo local reproduciendo vídeo promocional en streaming deje sin ancho de banda a las cajas de al lado. También le ofrecen un mecanismo de control si el contrato de arrendamiento incluye condiciones de conectividad.

Incorpore un nuevo local

Incluya la incorporación en la lista de comprobación de acondicionamiento del local, no en la semana de apertura:

1. Cree el registro del arrendatario cuando se firme el contrato de arrendamiento. Incluya el número de local, el contacto designado, las fechas de inicio y fin del contrato y el nivel de ancho de banda.
2. Asigne una VLAN del bloque del arrendatario y confirme su alcance DHCP.
3. Aplique las reglas de firewall para esa VLAN, incluidos los puntos finales de procesadores de pago o VPN que declare el arrendatario.
4. Genere la clave o claves en Purple y vincúlelas a la VLAN.
5. Envíe la clave al contacto designado a través de un canal cifrado. Nunca la imprima en el paquete del contrato de arrendamiento.
6. Realice una prueba desde el local. Conecte un dispositivo y confirme que obtiene la subred correcta y que accede a internet.
7. Registre la emisión con la fecha, el emisor, el destinatario y la VLAN.

Revocar el acceso cuando un arrendatario se marcha

Revoque la clave del arrendatario en la fecha de finalización del contrato de arrendamiento y prográmelo como parte de la lista de verificación de salida. La revocación detiene las nuevas conexiones de inmediato.

Los dispositivos que ya estén conectados pueden permanecer asociados hasta que vuelvan a conectarse, según su plataforma. Si su plataforma admite RADIUS Change of Authorisation (CoA, definido en la RFC 5176), utilícelo para desconectarlos. De lo contrario, desconecte los clientes desde la consola del fabricante.

Deje la VLAN liberada sin usar durante un periodo de cuarentena antes de volver a asignarla. Esto evita que un dispositivo olvidado aparezca en la red del siguiente arrendatario. La misma disciplina de altas, cambios y bajas que su equipo de RR. HH. aplica a las cuentas de los empleados se aplica ahora a los arrendatarios.

¿Cómo comprobar que la segmentación funciona?

Pruebe a cada nuevo arrendatario durante la incorporación y realice un muestreo de todas las instalaciones cada trimestre:

• VLAN correcta: un dispositivo que utiliza la clave del arrendatario recibe una dirección en la subred de ese arrendatario.
• Sin acceso lateral: desde un dispositivo del arrendatario, la puerta de enlace de la VLAN de un arrendatario vecino no responde.
• Sin acceso a los sistemas del centro: las subredes de CCTV, gestión del edificio y personal del centro son inaccesibles.
• Internet funciona: el arrendatario accede a internet y a todos los puntos finales de pago o VPN permitidos.
• La revocación funciona: una clave revocada no se autentica.

Si las cajas registradoras del arrendatario gestionan datos de tarjetas, el requisito 11.4.5 de PCI DSS v4.0 exige realizar pruebas de penetración de los controles de segmentación al menos una vez cada 12 meses. Sus resultados trimestrales y la prueba anual sirven como prueba para dicho requisito. Cada arrendatario sigue siendo responsable de su propia evaluación de PCI DSS como comerciante.

Qué registrar en los logs

Registre lo suficiente para responder a tres preguntas: quién tuvo acceso, cuándo y en qué VLAN.

• Clave emitida: arrendatario, ID de clave, VLAN, emisor, destinatario y fecha.
• Clave revocada: arrendatario, ID de clave, motivo, persona que la revoca y fecha.
• Eventos de autenticación: ID de clave, dirección MAC del dispositivo, punto de acceso, VLAN asignada, marca de tiempo y resultado.
• Cambios en las reglas de firewall por VLAN de arrendatario.

Las direcciones MAC de los dispositivos pueden ser datos personales según el GDPR cuando se pueden vincular a una persona física. Establezca un periodo de retención, documéntelo y elimine los datos según lo programado. Purple cuenta con la certificación ISO 27001 y está certificada para GDPR y CCPA, lo que le ofrece evidencias para las evaluaciones de sus propios proveedores. Para conocer el conjunto completo de controles, consulte WiFi security y Guest network security: A practical Guide for 2026.

Escenarios prácticos

Estos dos escenarios son diseños ilustrativos, no despliegues nominales específicos. Los resultados se derivan del propio diseño.

Un centro comercial de 70 locales que reemplaza los SSID de los inquilinos

Situación. El centro transmitía 14 SSID: invitados, personal del centro y 12 SSID de inquilinos creados para los primeros grandes inquilinos. Los 58 locales restantes compartían una única contraseña de inquilino en una sola VLAN. Si un inquilino se marchaba, había que cambiar esa contraseña para todos los demás inquilinos del centro.

Qué se hizo. El departamento de TI consolidó todo en tres SSID: invitados, personal del centro en 802.1X con EAP-TLS y un SSID de inquilinos con xPSK. Los 70 locales recibieron su propia clave y VLAN, con claves por dispositivo para los terminales de punto de venta. TI migró a los 12 inquilinos basados en SSID de uno en uno, eliminando cada SSID antiguo a medida que se movían sus dispositivos. Las cámaras de videovigilancia y la gestión del edificio se trasladaron a sus propias claves y VLAN en el mismo SSID de inquilinos.

Resultado. Cada radio pasó de 14 SSID a tres. Las tramas beacon por radio se redujeron de unas 137 por segundo a unas 29. La salida de un inquilino pasó de requerir el cambio de clave en 58 empresas a revocar una sola clave. El tráfico de inquilino a inquilino, anteriormente abierto en la VLAN compartida, ahora está bloqueado en el gateway y se prueba trimestralmente.

Un mercado municipal gestionado por el ayuntamiento con comerciantes de fin de semana

Situación. Un mercado del sector público alberga 40 puestos permanentes y hasta 25 comerciantes de fin de semana. Todos los comerciantes utilizaban una única contraseña compartida que no se había cambiado en años. Los antiguos comerciantes aún podían conectarse desde el aparcamiento.

Qué se hizo. Cada puesto permanente recibió su propia clave y VLAN. Los comerciantes de fin de semana recibieron claves individuales asignadas a una VLAN de comerciantes compartida con aislamiento de clientes, de modo que sus dispositivos no pueden comunicarse entre sí. El encargado de turno revoca todas las claves del fin de semana como parte de la lista de verificación de cierre del domingo, y las nuevas claves se entregan con las asignaciones de puesto del sábado.

Resultado. El ayuntamiento pasó de una contraseña compartida de larga duración a 40 claves permanentes más hasta 25 claves semanales. Ninguna clave dura más que el comerciante que la posee. El ayuntamiento también obtuvo un registro de cada clave emitida y revocada, del que carecía anteriormente.

¿Qué puede salir mal y cómo se soluciona?

Síntoma	Causa probable	Solución
El dispositivo se conecta pero termina en la VLAN por defecto	A la respuesta RADIUS le faltan los atributos de VLAN, o el SSID ignora la superposición de VLAN por RADIUS	Confirme la asignación de clave a VLAN en Purple y, a continuación, habilite la asignación de VLAN por RADIUS en el SSID
El dispositivo se conecta pero no obtiene dirección IP	La VLAN del inquilino no está configurada como trunk en el puerto del conmutador de ese punto de acceso, o no hay ámbito DHCP	Añada la VLAN al trunk y confirme el ámbito DHCP
TPV o terminal antiguo no se conecta	SSID configurado solo en WPA3 o requiere Tramas de gestión protegidas	Utilice WPA2-PSK con AES o modo de transición WPA2/WPA3 para ese SSID
El inquilino revocado sigue en línea	La sesión existente se mantiene hasta que el dispositivo se vuelve a conectar	Envíe una desconexión CoA o elimine el cliente en la consola del fabricante
Un inquilino puede alcanzar a otro	Enrutamiento inter-VLAN permitido en el switch core o gateway	Añada reglas de denegación entre las VLAN de inquilinos y vuelva a probar
Dispositivos desconocidos en una VLAN de inquilino	El inquilino compartió su clave con un vecino o contratista	Revoque esa clave, emita una nueva e informe al contacto designado

¿Cuánto cuesta y qué obtiene a cambio?

Lo que cuesta. No necesita nuevos puntos de acceso, controladores ni switches. Solo paga la suscripción a Purple Access, más el tiempo de ingeniería para el plan de VLAN, trunking y reglas de firewall. Después de eso, cada inquilino requiere un registro, una VLAN y una clave durante la incorporación, y una revocación al salir.

Lo que obtiene a cambio.

• Tiempo de aire (Airtime). Un solo SSID de inquilinos sustituye a un SSID por inquilino, por lo que el tráfico de balizas (beacons) deja de crecer con cada contrato de arrendamiento.
• Contención. La filtración o salida de una clave afecta a un solo inquilino, no a todo el centro.
• Evidencia. Los registros de emisión y revocación respaldan el requisito 2.3.2 de PCI-DSS. Las pruebas de segmentación respaldan el requisito 11.4.5.
• Escalabilidad. Purple opera en más de 80 000 ubicaciones activas y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Un centro de 70 locales no supone un esfuerzo adicional.

Si el personal de su centro todavía comparte una única contraseña, migrelos a continuación. Migrar el WiFi del personal de una contraseña compartida a 802.1X en una propiedad ubicaciones múltiples explica la secuencia. Puede consultar más diseños de acceso en Guías de acceso.

Preguntas frecuentes

¿Funciona esto con los puntos de acceso que nuestro centro ya posee?

Sí, Purple funciona como una superposición en la nube sobre los puntos de acceso que ya posee, sin necesidad de reemplazar la infraestructura existente. Purple es independiente del hardware y compatible con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Para una red xPSK de inquilino, confirme que su modelo y firmware admiten PSK de clave múltiple con una VLAN asignada por RADIUS. Meraki llama a esto iPSK, Aruba lo llama MPSK y Ruckus lo llama DPSK.

¿Pueden los inquilinos compartir puntos de acceso pero no redes?

Sí, ese es el objetivo de tener una clave y una VLAN por inquilino. Cada inquilino se conecta al mismo SSID a través de los mismos puntos de acceso. Cada clave ubica los dispositivos de ese inquilino en su propia VLAN. Las reglas de firewall en el gateway bloquean el tráfico entre las VLAN de los inquilinos y los sistemas propios del centro. Los locales vecinos comparten radios y tiempo de aire, pero nunca comparten una red de capa 2.

¿Cuántos SSID necesita un centro comercial?

Three cubre la mayoría de los centros. Necesita una red de invitados abierta con un Captive Portal para los compradores, y una red xPSK para cada arrendatario y los dispositivos sin pantalla del centro. Añada una red 802.1X segura para el personal del centro, autenticada con Microsoft Entra ID, Okta o Google Workspace. Cada SSID adicional añade sobrecarga de beacons en cada radio, así que evite crear uno por arrendatario.

¿Cómo retiramos el acceso WiFi de un arrendatario cuando se marcha?

Revoque la clave de ese arrendatario en Purple y las nuevas conexiones se detendrán de inmediato. Incluya la revocación en la lista de comprobación de finalización del contrato de arrendamiento, con fecha del fin del contrato. Los dispositivos que ya estén conectados pueden permanecer en línea hasta que se vuelvan a conectar. Desconéctelos con RADIUS Change of Authorisation si su plataforma lo admite, o desde la consola del fabricante. Después, ponga en cuarentena la VLAN antes de volver a asignarla.

¿Hará esto que las cajas registradoras de nuestros arrendatarios cumplan con PCI-DSS?

No, el diseño de la red por sí solo no puede hacer que un comerciante cumpla la normativa. Cada arrendatario sigue siendo responsable de su propia evaluación de PCI-DSS. Una clave y una VLAN por arrendatario le proporcionan pruebas para requisitos específicos. El Requisito 2.3.2 cubre el cambio de claves inalámbricas cuando las personas que las conocen se marchan. El Requisito 11.4.5 cubre las pruebas de penetración anuales de los controles de segmentación. Comparta los resultados de sus pruebas de segmentación con los arrendatarios que lo soliciten.

¿Podemos limitar el ancho de banda de cada arrendatario?

Sí, puede establecer el límite en la consola de su fabricante para el grupo, rol o VLAN al que se asocia la clave de cada arrendatario. Las políticas de grupo de Cisco Meraki y los roles de usuario de HPE Aruba incluyen límites de velocidad, y los demás fabricantes ofrecen equivalentes. Defina unos cuantos niveles, como quiosco, local estándar y tienda ancla. Asigne cada arrendatario a uno durante la incorporación para que un solo local no deje sin ancho de banda a las cajas registradoras vecinas.

¿Cómo migramos desde un SSID por arrendatario sin tiempo de inactividad?

Realice la migración arrendatario por arrendatario, manteniendo las redes antiguas y nuevas funcionando en paralelo. Cree primero el SSID xPSK y, a continuación, mueva los dispositivos de un arrendatario a su nueva clave y VLAN. Elimine el antiguo SSID de ese arrendatario una vez que se hayan movido todos los dispositivos. Comience con una pequeña concesión para probar el enlace troncal de la VLAN y las reglas del firewall. A continuación, programe los locales más grandes fuera del horario comercial.