WiFi para concesiones e inquilinos en centros comerciales: una arquitectura xPSK con clave y VLAN por inquilino

Opere un SSID xPSK para cada concesión y local de inquilino. Cada inquilino recibe su propia clave, y la clave ubica sus cajas registradoras, tabletas y dispositivos de oficina en su propia VLAN. Los compradores permanecen en la red abierta de Captive Portal y los sistemas del centro en una red segura 802.1X: tres SSID en total, con claves revocadas el mismo día en que finaliza un contrato de arrendamiento.

¿Qué hace realmente una red con clave y VLAN por inquilino?

Un centro comercial es propietario de los puntos de acceso, pero decenas de empresas independientes dependen de ellos. Cada concesión, quiosco y local de inquilino opera cajas registradoras, tabletas de inventario, PC de oficina y, a menudo, señalización digital. Esos dispositivos no deben verse entre sí, ni ver a los compradores, ni a los sistemas del propio edificio del centro comercial.

xPSK es el término general para las redes donde cada inquilino o dispositivo tiene su propia clave precompartida en un solo SSID. Cada proveedor lo nombra de manera diferente:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Cuando un dispositivo se conecta, la clave que presenta identifica al inquilino. RADIUS luego devuelve la VLAN de ese inquilino. RADIUS es el protocolo que usan sus puntos de acceso para preguntar a un servidor de autenticación quién se está conectando. Una VLAN (LAN virtual, definida en IEEE 802.1Q) es una red independiente de capa 2 que se ejecuta sobre los mismos switches y cableado.

El resultado es un solo nombre de red en el aire y muchas redes aisladas en el cable. La identidad define la VLAN, no el SSID.

Por qué un SSID por inquilino no es escalable

Cada SSID transmite sus propios tramas de baliza (beacons) en cada radio. El intervalo de baliza predeterminado de IEEE 802.11 es de 100 unidades de tiempo, o 102.4 ms, por lo que cada SSID emite balizas casi 10 veces por segundo. Las balizas salen a la velocidad de datos básica más baja, lo que las hace costosas en tiempo de aire.

Por lo tanto, cada SSID adicional consume tiempo de aire que podría utilizar el tráfico de inquilinos y compradores. Con 20 SSID de inquilinos, cada punto de acceso dentro del alcance envía 20 conjuntos de balizas. Los proveedores también limitan la cantidad de SSID que puede transmitir un solo radio. Un centro comercial con 60 locales alcanza ese límite mucho antes de firmar su último contrato de arrendamiento.

El costo operativo también aumenta. Cada SSID tiene su propia frase de contraseña para rotar, y cada rotación desconecta todos los dispositivos de ese inquilino a la vez.

¿Cuántos SSID necesita un centro comercial?

Tres es el número correcto para la mayoría de los centros:

1. Red de invitados abierta para compradores. Esta red utiliza un Captive Portal: la página de inicio de sesión que ve un dispositivo antes de acceder a internet. Consulte Captive portals para ver opciones de diseño. El marketing de invitados en esta red corresponde al plan Engage de Purple, y el filtrado DNS es Shield.
2. Red xPSK para arrendatarios. Cada concesión, quiosco y unidad de arrendatario se conecta aquí. Los dispositivos headless propios del centro, como CCTV, controladores de gestión de edificios y reproductores de señalización, también se unen a ella, cada uno con su propia clave y VLAN.
3. Red segura para el personal del centro. Esta red utiliza 802.1X, el estándar IEEE para autenticación de red basada en puertos. Combínelo con EAP-TLS, que autentica cada dispositivo mediante un certificado. Las identidades provienen de Microsoft Entra ID, Okta o Google Workspace. EAP TLS vs PEAP: Security, Certs and Fit y Okta WiFi Authentication: Setup Steps, Options and Fixes cubren ese aspecto.

Enfoque	SSIDs para 60 arrendatarios	Aislamiento de arrendatarios	Eliminación de un arrendatario	Sobrecarga de beacons	A quién se adapta
SSID por arrendatario	60 SSIDs de arrendatarios, superando los límites por radio	Una VLAN por SSID	Elimine ese SSID y reconfigure los radios	Aumenta con cada SSID	Centros con menos de cinco arrendatarios
Una clave compartida para todos los arrendatarios	1	Ninguno: una clave, una VLAN	Cambie la clave para cada arrendatario	Un SSID	Ningún centro donde los arrendatarios operen cajas registradoras
xPSK: una clave y VLAN por arrendatario	1	Una VLAN por clave	Revoque una clave; las demás no se modifican	Un SSID	Concesiones, quioscos y unidades con dispositivos headless
802.1X por dispositivo	1	Una VLAN por identidad	Revoque el certificado o la cuenta	Un SSID	Arrendatarios con dispositivos administrados que ejecutan un suplicante 802.1X

802.1X es el modelo más sólido donde los dispositivos del arrendatario lo admiten. La mayoría de las propiedades en concesión combinan cajas registradoras, terminales de tarjeta, tabletas y reproductores de señalización. Muchos de estos no pueden ejecutar un suplicante 802.1X, por lo que xPSK se encarga de ellos.

¿Qué necesita antes de comenzar?

Puntos de acceso y una consola compatibles con PSK multiclave

No necesita hardware nuevo. Purple es una superposición en la nube independiente del hardware con RADIUS en la nube, y se sitúa sobre los puntos de acceso que ya posee. Antes de comenzar, confirme que su modelo y firmware admitan PSK multiclave con una VLAN asignada por RADIUS.

Proveedor	Nombre de la función	Consola
Cisco Meraki	Identity PSK (iPSK) con RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone o RUCKUS One
Juniper Mist	Multi PSK	Panel en la nube de Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Aplicación UniFi Network

Verifique un punto más en la documentación de su proveedor: la compatibilidad con WPA3. Muchas implementaciones de xPSK funcionan con WPA2-PSK con AES. La compatibilidad de WPA3-SAE para múltiples claves en un solo SSID varía según el proveedor y el firmware. Para conocer los detalles de instalación de Meraki y Mist, consulte PPSK para dispositivos de tiendas minoristas: una lista de verificación de implementación para cajas registradoras, escáneres y CCTV en Cisco Meraki y Juniper Mist.

Un plan de VLAN e IP

IEEE 802.1Q utiliza un ID de VLAN de 12 bits, lo que proporciona 4,094 VLANs utilizables. Eso cubre cualquier centro cómodamente. Planifique lo siguiente antes de emitir la primera clave:

• Un bloque VLAN reservado para inquilinos. Manténgalo separado de las VLAN de gestión del centro, CCTV y visitas.
• Una subred y alcance DHCP por VLAN de inquilino. Dimensione cada uno para los dispositivos declarados por el inquilino, más un margen para adiciones de temporada.
• Trunks a cada puerto de switch de punto de acceso. Cada VLAN de inquilino debe llegar a cada puerto donde se pueda conectar un dispositivo de inquilino. En la práctica, eso significa cada puerto en el centro.
• Reglas de firewall en el gateway. Deniegue el tráfico de inquilino a inquilino, deniegue el tráfico de inquilino a centro y permita el acceso a internet. Permita el procesador de pagos del inquilino y la VPN de la oficina central donde los necesiten.

Una decisión sobre quién tiene las claves

El equipo de TI del centro debe emitir cada clave, y cada inquilino debe nombrar un único contacto para recibirla. Registre ese contacto junto con la clave. Sin ese registro, no podrá saber quién conocía una clave cuando un inquilino reporte que ha sido comprometida.

A continuación, decida entre una clave por inquilino y una clave por dispositivo. Una clave por inquilino es más rápida de administrar. Una clave por dispositivo para cajas registradoras y equipos de procesamiento de tarjetas es más estricta. Si una tableta de inventario se extravía, revoca su clave y las cajas registradoras permanecen en línea.

El requisito 2.3.2 de PCI-DSS v4.0 exige que las claves inalámbricas conectadas al entorno de datos del titular de la tarjeta cambien cuando alguien con conocimiento de la clave se retire. Las claves por inquilino y por dispositivo mantienen ese cambio reducido al grupo más pequeño posible.

¿Cómo configurar una clave y una VLAN por inquilino?

Cree el SSID xPSK una sola vez

Cree el SSID de inquilinos en su consola de fabricante con autenticación RADIUS apuntada a Purple. Utilice WPA2-PSK con AES como línea base, y WPA3 donde su fabricante lo admita para PSK de claves múltiples. Transmita el SSID: ocultar el nombre de una red no agrega seguridad y hace que los dispositivos la busquen en todas partes.

La documentación de configuración de Purple para su fabricante proporciona los parámetros exactos. Sígala en lugar de copiar valores de otro sitio.

Mapee cada clave de inquilino a su VLAN

En Purple, cada registro de inquilino contiene una o más claves y un ID de VLAN. Cuando un dispositivo se autentica, Purple devuelve la VLAN utilizando los atributos estándar de túnel RADIUS descritos en el RFC 3580. Estos son Tunnel-Type, Tunnel-Medium-Type y Tunnel-Private-Group-ID. El punto de acceso coloca entonces el dispositivo en esa VLAN.

Establezca límites de ancho de banda por inquilino

Purple asigna la VLAN. El límite de ancho de banda se adjunta a la política que su consola aplica a esa VLAN, grupo o rol. Las políticas de grupo de Cisco Meraki y los roles de usuario de HPE Aruba incluyen límites de tasa, y los demás fabricantes ofrecen equivalentes.

Defina un conjunto pequeño de niveles, como kiosco, unidad estándar y tienda ancla. Asigne cada inquilino a un nivel cuando se incorpore. Los niveles evitan que una sola unidad que transmite video promocional consuma el ancho de banda de las cajas registradoras de al lado. También le dan una herramienta si un contrato de arrendamiento incluye términos de conectividad.

Incorpore una nueva unidad

Integre la incorporación en la lista de verificación de remodelación y acondicionamiento, no en la semana de apertura:

1. Cree el registro del arrendatario cuando se firme el contrato de arrendamiento. Incluya el número de unidad, el contacto designado, las fechas de inicio y fin del arrendamiento y el nivel de ancho de banda.
2. Asigne una VLAN del bloque del arrendatario y confirme su alcance DHCP.
3. Aplique reglas de firewall para esa VLAN, incluyendo cualquier procesador de pagos o puntos de enlace de VPN que el arrendatario declare.
4. Genere la clave o claves en Purple y vincúlelas a la VLAN.
5. Envíe la clave al contacto designado a través de un canal cifrado. Nunca la imprima en el paquete del arrendamiento.
6. Realice pruebas desde la unidad. Conecte un dispositivo y confirme que obtenga la subred correcta y tenga acceso a internet.
7. Registre la emisión con fecha, emisor, destinatario y VLAN.

Revoque el acceso cuando un arrendatario se vaya

Revoque la clave del arrendatario en la fecha de finalización del contrato de arrendamiento y prográmelo como parte de la lista de verificación de salida. La revocación interrumpe las nuevas conexiones de inmediato.

Los dispositivos que ya estén conectados pueden permanecer asociados hasta que se reconecten, dependiendo de su plataforma. Si su plataforma es compatible con RADIUS Change of Authorisation (CoA, definido en RFC 5176), utilícelo para desconectarlos. De lo contrario, desconecte a los clientes desde la consola del proveedor.

Deje la VLAN liberada sin usar durante un período de cuarentena antes de volver a asignarla. Esto evita que un dispositivo olvidado aparezca en la red del siguiente arrendatario. La misma disciplina de altas, cambios y bajas que su equipo de RH aplica a las cuentas del personal ahora se aplica a los arrendatarios.

¿Cómo verificar que la segmentación funcione?

Pruebe a cada nuevo arrendatario durante la incorporación y realice un muestreo de toda la propiedad cada trimestre:

• VLAN correcta: un dispositivo que utiliza la clave del arrendatario recibe una dirección en la subred de ese arrendatario.
• Sin acceso lateral: desde un dispositivo del arrendatario, el gateway de la VLAN de un arrendatario vecino no responde.
• Sin acceso a los sistemas del centro: las subredes de CCTV, administración del edificio y personal del centro son inaccesibles.
• Internet funciona: el arrendatario tiene acceso a internet y a cualquier punto de enlace permitido para pagos o VPN.
• La revocación funciona: una clave revocada no logra autenticarse.

Si las cajas registradoras del arrendatario manejan datos de tarjetas, el requisito 11.4.5 de PCI DSS v4.0 exige pruebas de penetración de los controles de segmentación al menos una vez cada 12 meses. Sus resultados trimestrales y la prueba anual son evidencia para ese requisito. Cada arrendatario sigue siendo responsable de su propia evaluación de PCI DSS como comerciante.

Qué registrar

Registre lo suficiente para responder tres preguntas: quién tuvo acceso, cuándo y en qué VLAN.

• Clave emitida: arrendatario, ID de clave, VLAN, emisor, destinatario y fecha.
• Clave revocada: arrendatario, ID de clave, motivo, persona que revocó y fecha.
• Eventos de autenticación: ID de clave, dirección MAC del dispositivo, punto de acceso, VLAN asignada, marca de tiempo y resultado.
• Cambios en las reglas de firewall por VLAN de arrendatario.

Las direcciones MAC de los dispositivos pueden ser datos personales bajo el GDPR cuando se pueden vincular a un individuo. Establezca un periodo de retención, documéntelo y elimine la información según lo programado. Purple cuenta con la certificación ISO 27001 y está certificado para GDPR y CCPA, lo que le brinda evidencia para sus propias evaluaciones de proveedores. Para consultar el conjunto completo de controles, consulte WiFi security y Guest network security: A practical Guide for 2026.

Escenarios de ejemplo

Estos dos escenarios son diseños ilustrativos, no implementaciones con nombres reales. Los resultados se derivan del propio diseño.

Un centro comercial de 70 locales que reemplaza los SSID de los arrendatarios

Situación. El centro transmitía 14 SSID: invitados, personal del centro y 12 SSID de arrendatarios creados para los primeros arrendatarios grandes. Los 58 locales restantes compartían una contraseña de arrendatario en una sola VLAN. Cuando un arrendatario se iba, era necesario cambiar esa contraseña para todos los demás arrendatarios del centro.

Lo que se hizo. El equipo de TI unificó todo en tres SSID: invitados, personal del centro en 802.1X con EAP-TLS y un SSID de arrendatario con xPSK. Los 70 locales recibieron su propia clave y VLAN, con claves por dispositivo para las cajas registradoras. El equipo de TI migró a los 12 arrendatarios basados en SSID uno a la vez, eliminando cada SSID antiguo una vez que sus dispositivos se trasladaron. Las cámaras de CCTV y los sistemas de gestión del edificio se movieron a sus propias claves y VLAN en el mismo SSID de arrendatario.

Resultado. Cada radio pasó de 14 SSID a tres. Las tramas beacon por radio disminuyeron de aproximadamente 137 por segundo a cerca de 29. La salida de un arrendatario pasó de requerir el cambio de clave en 58 negocios a revocar solo una clave. El tráfico entre arrendatarios, que antes estaba abierto en la VLAN compartida, ahora está bloqueado en el gateway y se prueba trimestralmente.

Un mercado administrado por el ayuntamiento con comerciantes de fin de semana

Situación. Un mercado del sector público alberga 40 puestos permanentes y hasta 25 comerciantes de fin de semana. Todos los comerciantes usaban una contraseña compartida que no se había cambiado en años. Los antiguos comerciantes aún podían conectarse desde el estacionamiento.

Lo que se hizo. Cada puesto permanente recibió su propia clave y VLAN. Los comerciantes de fin de semana recibieron claves individuales vinculadas a una VLAN compartida de comerciantes con aislamiento de clientes, por lo que sus dispositivos no pueden comunicarse entre sí. El gerente de turno revoca todas las claves de fin de semana como parte de la lista de verificación del cierre del domingo, y se entregan nuevas claves con las asignaciones de espacios del sábado.

Resultado. El ayuntamiento pasó de tener una única contraseña compartida de larga duración a contar con 40 claves permanentes y hasta 25 claves semanales. Ninguna clave dura más que el comerciante que la posee. Además, el ayuntamiento obtuvo un registro de cada clave emitida y revocada, del cual carecía anteriormente.

¿Qué puede salir mal y cómo se soluciona?

Síntoma	Causa probable	Solución
El dispositivo se conecta pero termina en la VLAN predeterminada	La respuesta de RADIUS no tiene atributos de VLAN, o el SSID ignora la superposición de VLAN de RADIUS	Confirme la asignación de clave a VLAN en Purple y, luego, habilite la asignación de VLAN de RADIUS en el SSID
El dispositivo se conecta pero no obtiene una dirección IP	La VLAN del arrendatario no está enlazada (trunked) al puerto del switch de ese punto de acceso, o no hay un alcance de DHCP	Agregue la VLAN al trunk y confirme el alcance de DHCP
La caja registradora o terminal antigua no se conecta	El SSID está configurado solo para WPA3 o requiere Protected Management Frames	Use WPA2-PSK con AES o modo de transición WPA2/WPA3 para ese SSID
El inquilino revocado sigue en línea	La sesión existente sobrevive hasta que el dispositivo se vuelve a conectar	Envíe un CoA de desconexión o elimine el cliente en la consola del proveedor
Un inquilino puede alcanzar a otro	Enrutamiento inter-VLAN permitido en el switch principal o gateway	Agregue reglas de denegación entre las VLAN de los inquilinos y vuelva a probar
Dispositivos desconocidos en la VLAN de un inquilino	El inquilino compartió su clave con un vecino o contratista	Revoque esa clave, emita una nueva e informe al contacto designado

¿Cuánto cuesta y qué obtiene a cambio?

Lo que cuesta. No necesita nuevos puntos de acceso, controladores o switches. Paga la suscripción a Purple Access, más el tiempo de ingeniería para el plan de VLAN, trunking y reglas de firewall. Después de eso, cada inquilino requiere un registro, una VLAN y una clave al momento de la incorporación, y una revocación al salir.

Lo que obtiene a cambio.

• Tiempo de aire. Un solo SSID de inquilinos reemplaza a un SSID por inquilino, por lo que la sobrecarga de beacons deja de crecer con cada contrato de arrendamiento.
• Contención. Una clave filtrada o de un inquilino saliente afecta solo a ese inquilino, no a todo el centro comercial.
• Evidencia. Los registros de emisión y revocación respaldan el requisito 2.3.2 de PCI-DSS. Las pruebas de segmentación respaldan el requisito 11.4.5.
• Escalabilidad. Purple opera en más de 80,000 ubicaciones activas y procesó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Un centro con 70 unidades no genera ninguna carga adicional.

Si el personal de su centro comercial aún comparte una sola contraseña, migrelos a continuación. Migración del WiFi del personal de una contraseña compartida a 802.1X en una propiedad multisitio establece la secuencia. Encontrará más diseños de acceso en las Guías de acceso.

Preguntas frecuentes

¿Esto funciona con los puntos de acceso que nuestro centro comercial ya tiene?

Sí, Purple funciona como una capa en la nube sobre los puntos de acceso que ya posee, sin necesidad de reemplazar hardware. Purple es independiente del hardware en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Para una red xPSK de inquilinos, confirme que su modelo y firmware admitan PSK con múltiples claves con una VLAN asignada por RADIUS. Meraki llama a esto iPSK, Aruba lo llama MPSK y Ruckus lo llama DPSK.

¿Pueden los inquilinos compartir puntos de acceso pero no las redes?

Sí, ese es el propósito de tener una clave y una VLAN por inquilino. Cada inquilino se conecta al mismo SSID a través de los mismos puntos de acceso. Cada clave coloca los dispositivos de ese inquilino en su propia VLAN. Las reglas del firewall en el gateway bloquean el tráfico entre las VLAN de los inquilinos y los sistemas propios del centro comercial. Las unidades vecinas comparten radios y tiempo de aire, pero nunca comparten una red de capa 2.

¿Cuántos SSID necesita un centro comercial?

Tres cubren la mayoría de los centros. Necesita una red de invitados abierta con un Captive Portal para los compradores, y una red xPSK para cada arrendatario y los dispositivos headless del centro. Agregue una red 802.1X segura para el personal del centro, autenticada con Microsoft Entra ID, Okta o Google Workspace. Cada SSID adicional agrega una carga de beacons en cada radio, así que evite crear uno por arrendatario.

¿Cómo eliminamos el acceso WiFi de un arrendatario cuando se va?

Revoque la clave de ese arrendatario en Purple y las nuevas conexiones se detendrán de inmediato. Incluya la revocación en la lista de verificación de salida del contrato de arrendamiento, con fecha de finalización del contrato. Los dispositivos que ya están conectados pueden permanecer en línea hasta que se vuelvan a conectar. Desconéctelos con RADIUS Change of Authorisation si su plataforma lo admite, o desde la consola del proveedor. Luego ponga en cuarentena la VLAN antes de volver a asignarla.

¿Esto hará que las cajas registradoras de nuestros arrendatarios cumplan con PCI-DSS?

No, el diseño de la red por sí solo no puede hacer que un comerciante cumpla con las normas. Cada arrendatario sigue siendo responsable de su propia evaluación de PCI-DSS. Una clave y una VLAN por arrendatario sí le brindan evidencia para requisitos específicos. El Requisito 2.3.2 cubre el cambio de claves inalámbricas cuando las personas que las conocen se van. El Requisito 11.4.5 cubre las pruebas de penetración anuales de los controles de segmentación. Comparta los resultados de sus pruebas de segmentación con los arrendatarios que lo soliciten.

¿Podemos limitar el ancho de banda de cada arrendatario?

Sí, establece el límite en la consola de su proveedor para el grupo, rol o VLAN al que se vincula cada clave de arrendatario. Las políticas de grupo de Cisco Meraki y los roles de usuario de HPE Aruba incluyen límites de velocidad, y los demás proveedores ofrecen equivalentes. Defina algunos niveles, como kiosco, unidad estándar y tienda ancla. Asigne cada arrendatario a uno durante la incorporación para que una sola unidad no sature las cajas registradoras de sus vecinos.

¿Cómo migramos desde un SSID por arrendatario sin tiempo de inactividad?

Migre arrendatario por arrendatario, ejecutando las redes antiguas y nuevas en paralelo. Cree primero el SSID xPSK y luego mueva los dispositivos de un arrendatario a su nueva clave y VLAN. Elimine el antiguo SSID de ese arrendatario una vez que se hayan movido todos los dispositivos. Comience con una concesión pequeña para probar el trunking de VLAN y las reglas del firewall. Luego programe las unidades más grandes fuera del horario comercial.