Wifi de invitados y portal cautivo: dar acceso sin abrir tu red

Entenderlo explica casi todos los fallos que la gente reporta como «no me abre la pantalla de acceso».

Cuando un dispositivo se asocia a la red de visitas recibe dirección por DHCP, pero el cortafuegos lo mantiene en un jardín amurallado: solo puede hablar con el servidor del portal, con el DNS y con los destinos de autenticación indispensables. Todo lo demás se bloquea. El navegador pide cualquier página, la petición se intercepta y se devuelve una redirección al portal. Los sistemas operativos no esperan a que el usuario abra el navegador: al conectarse consultan una dirección conocida de comprobación de conectividad y, si la respuesta no es la esperada, deducen que hay un portal y abren la ventana por su cuenta.

De ahí salen los dos síntomas clásicos:

• La ventana no aparece. Casi siempre es DNS cifrado en el dispositivo, o que la comprobación de conectividad quedó bloqueada en vez de permitida.
• Sale una advertencia de certificado. Ocurre cuando la primera página que el usuario intenta abrir va cifrada: ese tráfico no se puede redirigir sin romper el cifrado, y no se debe.

Una vez autorizado, el permiso se recuerda por dirección física el tiempo que definas.

El portal decide quién entra. Lo que ese alguien puede alcanzar una vez dentro se decide en otro sitio, y es la parte que se suele olvidar.

• Red virtual propia para visitas, con su propio direccionamiento y su salida controlada por el cortafuegos. Los equipos Fortinet que instalamos aplican ahí las reglas de qué destinos internos son inalcanzables, que en una red de visitas deberían ser todos.
• Aislamiento entre clientes. Dos visitantes conectados a la misma red no tienen por qué verse entre ellos. Sin esta opción activada, el portátil de un proveedor puede rastrear al de otro.
• Límite de velocidad por dispositivo. No para castigar al visitante, sino para que una actualización de sistema operativo en recepción no se lleve el enlace que usa la operación.
• Vigencia de sesión. Una sesión que nunca caduca es una llave permanente entregada a alguien que vino a una reunión de una hora.

Es también lo que vuelve auditable el wifi de visitas: cuando alguien pregunta qué consumió el enlace el martes, la respuesta existe.

La seguridad inalámbrica cambió y conviene alinear la instalación con lo que traen los dispositivos nuevos.

WPA3 personal sustituye el intercambio de clave de WPA2 por uno que impide capturar el saludo y probar contraseñas después con calma en otra máquina: cada intento tiene que hacerse contra la red en vivo, lo que vuelve inviable el ataque de diccionario fuera de línea. Se despliega en modo de transición para que los dispositivos viejos sigan entrando mientras se renueva el parque.

El cifrado oportunista para redes abiertas resuelve el punto débil histórico del wifi de cortesía: en una red abierta clásica, todo lo que no cifre la propia aplicación viaja legible para cualquiera en la sala. Con este mecanismo la red sigue sin pedir contraseña, pero cada dispositivo negocia su propia llave.

La protección de tramas de gestión, obligatoria en WPA3, corta los ataques de desconexión forzada que empujan a un cliente hacia una red falsa con el mismo nombre.

Una advertencia práctica: activar todo esto en modo estricto de golpe deja fuera a impresoras, lectores y equipos antiguos. Se hace por etapas, con inventario previo.

• el barrido de radiofrecuencia previo dice dónde llega la señal antes de repartir redes.
• la red interna del personal tiene otras exigencias de capacidad.
• sedes múltiples bajo una misma política mantiene un único criterio de acceso.
• cobertura fuera del edificio alcanza al transportista que espera en el muelle.
• administración del wifi corporativo responde quién opera esto el día después.
• el índice general de frentes enlaza todo lo demás que hacemos.