WiFi para invitados en empresas: cómo implementarlo sin riesgos para la red interna

El WiFi para invitados en empresas no es solo un servicio para los visitantes: si se configura de forma incorrecta, es uno de los mayores agujeros de seguridad en entornos PYME. Este artículo presenta cómo establecer en la oficina una red hospitalaria pero segura, que proporcione internet a los visitantes manteniendo los sistemas internos bloqueados.

Errores más comunes que vemos en la práctica

• Mismo Wi-Fi para empleados e invitados ("MiEmpresa-WiFi" con una contraseña que todos conocen).
• SSID separado, pero en la misma VLAN que los usuarios: los invitados ven impresoras, NAS y partes del Active Directory.
• Sin portal cautivo y sin límites de tiempo o ancho de banda.
• La contraseña no se cambia durante meses o años, incluso después de que el visitante ya no esté en las instalaciones.

Arquitectura correcta: segmentación por VLAN

La base es una separación estricta del tráfico en el firewall mediante segmentación por VLAN. Configuración mínima recomendada:

En el firewall (pfSense, OPNsense, FortiGate, Sophos) establecemos reglas: desde la VLAN de invitados solo se permite el tráfico hacia internet, todo lo demás es rechazado.

Portal cautivo: inicio de sesión, aviso y registro

El portal cautivo es la página que ve el visitante antes de acceder a internet. Propósito:

• Aceptación de los términos de uso (protección legal de la empresa).
• Ingreso de nombre y correo electrónico (opcional, para marketing).
• Límite de tiempo de sesión (por ejemplo, 8 horas).
• Registro de acceso para posibles procedimientos legales.

El portal cautivo está integrado en UniFi, pfSense, Aruba Instant On, Meraki; no es necesaria una licencia aparte.

Políticas que recomendamos

1. Ancho de banda: limitado a 5–10 Mbit/s por dispositivo para que los invitados no consuman toda la línea.
2. Límite de tasa: máximo 30 dispositivos simultáneos (para oficinas pequeñas).
3. Bloqueo de tráfico P2P y torrent.
4. Filtro DNS (por ejemplo, Cloudflare Family, Quad9): bloquea malware y contenido inapropiado.
5. Rotación de contraseña automática cada mes, o WPA3 con SAE (más seguro que una contraseña compartida).

WPA3 y contraseñas separadas: el fin de la era de la "contraseña compartida"

Los nuevos puntos de acceso (UniFi U6, Aruba, Cisco) son compatibles con WPA3-SAE Personal, que otorga a cada cliente una clave de cifrado única incluso con la misma contraseña. Esto significa que aunque un atacante conozca la contraseña, no puede interceptar el tráfico de otros dispositivos.

Implementamos WiFi empresarial seguroPlanificamos las VLAN, configuramos los puntos de acceso y el portal cautivo, y garantizamos el cumplimiento legal.

Qué ocurre con el RGPD en el portal cautivo

Si recopila direcciones de correo electrónico o nombres en el portal cautivo, se trata de un tratamiento de datos personales. Necesita: (1) una base legal clara (consentimiento), (2) inscripción en el registro de actividades de tratamiento, (3) plazo de conservación (recomendamos 30–90 días para los registros, correos electrónicos solo si tiene un propósito de uso).

¿Necesito un punto de acceso independiente para los invitados?

No. Los puntos de acceso modernos (UniFi, Aruba, Meraki) permiten múltiples SSID en un solo dispositivo, donde cada SSID puede estar vinculado a su propia VLAN. Por tanto, un solo AP atiende sin problemas a empleados e invitados de forma separada.

¿Pueden los invitados verse entre sí en la red?

Si activa el 'Client Isolation' (aislamiento de clientes) en el SSID, no. Esta es la configuración recomendada para una red de invitados.

¿Qué velocidad proporcionar a los invitados?

Recomendamos 5–10 Mbit/s por dispositivo: suficiente para videollamadas y navegación, insuficiente para streaming HD masivo. Ajústelo según la velocidad de su línea de internet.

¿Necesito una licencia especial para el portal cautivo?

En soluciones de código abierto (pfSense, OPNsense) y en UniFi está incluido de base. Meraki y algunos productos de Cisco requieren licencia.

¿Cuánto cuesta la instalación para una oficina pequeña?

Si dispone de un switch gestionado y un AP moderno, la configuración de las VLAN y el portal cautivo supone unas 8–12 horas de consultoría. Si la infraestructura está obsoleta, se añade el coste del equipo.