Aislamiento Avanzado Wi-Fi Invitado: UDM Pro & Portal Cautivo UniFi

Segmentación de Red Wi-Fi para Invitados: Imperativo de Seguridad

La exposición de una red interna a dispositivos de terceros no controlados mediante Wi-Fi de invitado sin aislamiento es una vulnerabilidad crítica. La UniFi Dream Machine Pro (UDM Pro) permite implementar una arquitectura de red segmentada y un control de acceso estricto, mitigando riesgos de acceso no autorizado y propagación de malware. La base es la segmentación mediante VLANs.

Requisitos Arquitectónicos de VLAN para Invitados

La asignación de una Virtual Local Area Network (VLAN) dedicada a la red de invitados asegura un dominio de broadcast y routing lógicamente separado de la red corporativa.

• ID de VLAN: 10 (ejemplo, rango: 2-4094, evitando VLAN 1 nativa).
• Subred IP: 192.168.10.0/24 (ejemplo, garantizando al menos 253 hosts disponibles).
• Servidor DHCP: UDM Pro integrado, asignando IPs desde 192.168.10.100-192.168.10.254.
• DNS: Por defecto, los servidores DNS configurados en la UDM Pro (ej., 8.8.8.8, 1.1.1.1) o un Pi-hole interno configurado para acceso externo.

Configuración de Red y SSID para Invitados en UniFi OS

La interfaz UniFi Network Application centraliza la gestión de la UDM Pro y los puntos de acceso (APs) UniFi.

Creación de Red y VLAN Dedicada

1. Navegar a Settings > Networks > Create New Network.
2. Name: Guest_WIFI
3. Purpose: Guest
4. VLAN ID: 10 (coincidiendo con el diseño).
5. Gateway IP/Subnet: 192.168.10.1/24 (la UDM Pro actuará como router y DHCP server para esta VLAN).
6. DHCP Range: Configurar un pool apropiado, e.g., 192.168.10.100 - 192.168.10.254.

Configuración de SSID para Invitados

1. Navegar a Settings > WiFi > Create New WiFi Network.
2. Name: Brutolabs-Guest (Visible a los usuarios).
3. Network: Seleccionar la red Guest_WIFI creada previamente. Esto asocia el SSID con la VLAN 10.
4. Security Protocol: WPA2 (o WPA3 si los dispositivos invitados lo soportan universalmente).
5. Password: Configurar una contraseña robusta o dejar en blanco si el portal cautivo es la única autenticación.

⚠️ ADVERTENCIA TÉCNICA: No utilizar la misma VLAN para redes corporativas y de invitados. La segregación lógica es la piedra angular de la seguridad. La VLAN nativa (por defecto, VLAN 1) nunca debe ser usada para invitados.

Implementación de Portal Cautivo UniFi

El portal cautivo es el punto de control de acceso principal, requiriendo que los usuarios acepten términos o proporcionen credenciales antes de obtener acceso a internet.

Activación y Modos de Autenticación del Portal

1. En la configuración del SSID Brutolabs-Guest, expandir Advanced y activar Guest Policy.
2. Navegar a Settings > Guest Hotspot.
3. Enable Guest Hotspot: Activar.
4. Authentication:
   • Hotspot: Autenticación básica sin contraseña, solo aceptación de términos. Útil para accesos públicos no sensibles.
   • Password: Requiere una contraseña única. Se puede rotar periódicamente.
   • Access Codes: Generación de códigos únicos, ideal para eventos o accesos temporales controlados.
   • External Portal Server: Para integraciones avanzadas con sistemas AAA externos (RADIUS).

💡 INGENIERO TIP: Para entornos empresariales con necesidad de trazabilidad, el modo Access Codes gestionado centralmente o External Portal Server integrado con un directorio (LDAP/RADIUS) es superior al simple Password estático.

Personalización y Branding del Portal

El portal cautivo puede ser personalizado para reflejar la identidad corporativa.

1. En Settings > Guest Hotspot > Guest Portal Customization:
   • Portal Headline/Welcome Text: Ajustar mensajes de bienvenida y términos de uso.
   • Logo: Subir el logo de la empresa.
   • Background Image: Configurar una imagen de fondo.
   • Colors: Ajustar paleta de colores.
   • Terms of Service: Esencial legalmente, añadir un enlace o texto completo.

Reglas de Pre-Autorización para el Portal

Para que el portal cautivo funcione, los clientes deben poder alcanzar el controlador UniFi y los servidores DNS/DHCP antes de la autenticación.

1. En Settings > Guest Hotspot > Pre-Authorization Access:

   • Asegurar que las IPs de la UDM Pro (controlador UniFi) y los servidores DNS estén listadas. Por defecto, la UDM Pro gestiona esto automáticamente para su propia IP.

   • Si se utilizan servidores DNS externos como 8.8.8.8 y 1.1.1.1, añadir estas IPs a la lista.

   • Example:

     { "Pre-Authorization IPs": [ "192.168.1.1", # IP de la UDM Pro (o controlador UniFi si es externo) "8.8.8.8", # Google DNS "1.1.1.1" # Cloudflare DNS ] }

   • Puertos necesarios: HTTP (80), HTTPS (443), y el puerto de guest portal (8880/8843 por defecto) deben estar abiertos hacia la UDM Pro.

Aislamiento Avanzado y Seguridad de Firewall

La segmentación de VLAN es el primer paso. Las reglas de firewall son el componente crítico para asegurar que la red de invitados no pueda acceder a recursos internos.

Aislamiento de Capa 2 (Guest Policies)

La funcionalidad Guest Policies de UniFi, cuando se activa en el SSID, automáticamente aplica un aislamiento de capa 2 (client device isolation) que previene la comunicación directa entre dispositivos conectados a la red de invitados. Esto es fundamental para mitigar ataques de lateralidad entre huéspedes.

Restricciones de Ancho de Banda (QoS)

Para evitar la saturación de la red por parte de los invitados:

1. En Settings > Networks > Guest_WIFI (Edit) > Advanced > Traffic Restrictions:
2. Bandwidth Profile: Crear un perfil (Settings > Profiles > Traffic & Firewall > Create New Bandwidth Profile).
   • Download: 20 Mbps (ejemplo)
   • Upload: 5 Mbps (ejemplo)
3. Asignar este perfil a la red de invitados.

Reglas de Cortafuegos para Aislamiento Total

Las reglas de firewall explícitas son esenciales para bloquear el tráfico desde la VLAN de invitados hacia cualquier otra VLAN o subred corporativa.

Tipo de Regla	Acción	Interfaz	Protocolo	Origen (Red)	Destino (Red)
WAN IN Permit DNS/DHCP	Permitir	WAN	UDP	Any	UDM_Pro_IP:53,67,68
GUEST_IN Dropruta Interna	Descartar	Guest_WIFI (VLAN 10)	Todo	192.168.10.0/24	192.168.1.0/24 (Corporate)
GUEST_IN Dropruta Interna 2	Descartar	Guest_WIFI (VLAN 10)	Todo	192.168.10.0/24	10.0.0.0/8 (Corporate Server)

Ejemplo de configuración de firewall CLI (aunque se gestiona por UI en UniFi, es útil para entender la lógica):

bash

Regla para denegar tráfico de la red de invitados (VLAN 10)hacia la red corporativa principal (VLAN 1, si es 192.168.1.0/24)Prioridad: Las reglas con menor número se aplican primero.Esta regla debería estar ANTES de cualquier regla de "Permitir todo a internet".Define el grupo de direcciones internas que deben ser protegidasEsto se hace en UniFi UI como "Address Groups"Por ejemplo, un grupo llamado "Internal_Networks" con 192.168.1.0/24, 10.0.0.0/8, etc.Comando conceptual para la regla de firewall en UniFi Network (aplicado en "Firewall & Security -> Firewall Rules -> LAN In")Tipo: LAN InAction: DropIPv4 Protocol: AllSource:Type: NetworkNetwork: Guest_WIFI (VLAN 10)Destination:Type: Address GroupAddress Group: Internal_Networks # (Este grupo contendría todas las subredes internas)

⚠️ ADVERTENCIA TÉCNICA: Es crítico verificar el orden de las reglas del firewall. Las reglas de denegación de acceso a la red interna deben tener mayor prioridad (número de regla más bajo en algunas implementaciones, o aparecer antes en la lista si es procesamiento secuencial) que cualquier regla de permitir el acceso a internet. Un error aquí anula el aislamiento de VLAN.

Monitoreo y Mantenimiento de la Red de Invitados

El UniFi Network Application proporciona visibilidad sobre el tráfico y los clientes conectados.

• Clients: Ver dispositivos conectados, consumo de datos.
• Insights: Analizar tendencias de uso y rendimiento.
• Logs: Revisar eventos de autenticación y acceso. La auditoría periódica del portal cautivo y las reglas de firewall asegura la conformidad con las políticas de seguridad.

VEREDICTO DEL LABORATORIO

La implementación de Wi-Fi de invitado seguro y aislado utilizando Ubiquiti UDM Pro y el portal cautivo UniFi es una estrategia robusta para entornos corporativos y de hostelería. La combinación de segmentación VLAN, políticas de aislamiento de capa 2, y reglas de firewall explícitas es fundamental. El portal cautivo añade una capa de control de acceso y personalización crucial para la experiencia de usuario y cumplimiento legal. Fallar en cualquiera de estos pilares, especialmente en las reglas de firewall, compromete la seguridad de la red interna. La UDM Pro simplifica este proceso a través de una interfaz unificada, pero requiere una comprensión técnica profunda para una configuración óptima y segura.

RECURSOS RELACIONADOS

Para profundizar en la seguridad de los endpoints y la gestión de dispositivos en un entorno híbrido con invitados y usuarios corporativos:

• [Brutolabs.com/laptoppro/hardening-seguridad-portatil-empresa]: Estrategias avanzadas para asegurar laptops corporativas, complementando el aislamiento de red.
• [Brutolabs.com/tablab/mdm-seguridad-dispositivos-moviles]: Gestión de seguridad para tablets y otros dispositivos móviles, relevante para políticas BYOD y acceso de invitados.
• [Brutolabs.com/clickmaster/optimizacion-ux-portal-cautivo]: Diseño de experiencia de usuario para portales cautivos y páginas de aterrizaje, mejorando la interacción del invitado.