Redes inalámbricas

Una LAN inalámbrica (WLAN) transporta tramas LAN por radio. Un punto de acceso (AP) enlaza las estaciones inalámbricas con la red cableada, llamada sistema de distribución. Un enrutador inalámbrico doméstico combina varias funciones en un equipo; un punto de acceso empresarial suele conectarse a un conmutador Ethernet separado.

Nombres, radios y conjuntos de servicios

El SSID es el nombre de la red, de hasta 32 bytes. Un conjunto de servicios básicos (BSS) es una interfaz lógica de punto de acceso y sus clientes asociados. Su BSSID es una dirección de 48 bits de formato similar a una MAC. Una radio puede ofrecer varios SSID, cada uno con un BSSID separado. Un conjunto de servicios extendidos (ESS) agrupa BSS con el mismo SSID y conectados a la misma LAN para que los clientes puedan desplazarse entre puntos de acceso; ESSID designa ese nombre compartido.

Por ejemplo, 12 puntos de acceso que ofrecen «Staff» en dos radios proporcionan 24 BSSID para ese SSID. Un cliente puede seguir viendo «Staff» mientras su BSSID cambia durante la itinerancia. El nombre identifica el servicio; el BSSID identifica el BSS concreto.

La conexión se realiza por etapas

1. Descubrir: escuchar tramas de baliza o enviar solicitudes de sondeo. Un intervalo de baliza habitual es de 100 unidades de tiempo, unos 102,4 ms.
2. Autenticarse en 802.11: WPA2 usa un intercambio de sistema abierto; WPA3-Personal usa SAE.
3. Asociarse: solicitar la incorporación a un BSS y recibir la respuesta del punto de acceso.
4. Establecer claves: los clientes Enterprise completan primero la autenticación 802.1X/EAP; después, el intercambio de cuatro pasos establece las claves de cifrado que se usarán.
5. Usar IP: una vez listo el acceso seguro, solicitar la configuración DHCP y acceder a los servicios de red.

Por tanto, ver un SSID aún no te dice nada sobre DHCP. Un cliente puede asociarse correctamente, pero fallar después en el intercambio de claves o la solicitud de dirección.

Turnarse en el medio radioeléctrico

Wi-Fi comparte un canal semidúplex. CSMA/CA implica escuchar, esperar a que el canal esté libre y usar un tiempo de espera aleatorio antes de enviar. La entrega por unidifusión usa confirmaciones; la ausencia de confirmación provoca retransmisiones. Las radios modernas pueden confirmar grupos de tramas a la vez. OFDMA y MU-MIMO permiten que un punto de acceso atienda a varios clientes en una transmisión, pero el tiempo de uso del canal sigue siendo compartido.

Un cliente con una tasa baja tarda más en enviar los mismos datos. Un repetidor en el mismo canal debe recibirlos y retransmitirlos, lo que reduce aproximadamente a la mitad la tasa de transferencia efectiva disponible en un diseño sencillo de una sola radio. Las barras de señal muestran el nivel recibido, no el tiempo de uso del canal que queda para el tráfico útil.

Dos clientes pueden oír a un punto de acceso sin oírse entre sí. Estos nodos ocultos pueden transmitir a la vez y colisionar en el punto de acceso. RTS/CTS reserva tiempo de uso del canal antes de los datos, lo que reduce las colisiones, aunque añade sobrecarga.

La conexión cableada y la seguridad

El punto de acceso conecta mediante puente las tramas 802.11 con Ethernet y suele asignar los SSID a VLAN. Ocultar un SSID no protege este enlace: el tráfico de descubrimiento y asociación puede revelar el nombre. El filtrado MAC también es débil porque las direcciones son visibles y pueden cambiarse; las direcciones privadas aleatorias pueden invalidar las listas de direcciones.

Una generación de Wi-Fi describe un conjunto de capacidades de radio. Una banda de frecuencias describe dónde funciona la radio. Elegir un punto de acceso más nuevo solo ayuda cuando los clientes, los canales y la red cableada pueden aprovechar sus funciones.

Relaciona los nombres con los estándares

El IEEE desarrolla los estándares 802.11; la Wi-Fi Alliance certifica la interoperabilidad y asigna los nombres de las generaciones.

Wi-Fi 6E significa que 802.11ax se extiende a 6 GHz. No es una enmienda IEEE independiente. Los estándares antiguos a, b y g no tienen nombres oficiales de generación numerados.

Cómo aumenta la tasa

MIMO envía flujos espaciales separados mediante varias cadenas de antenas. El número de flujos utilizables está limitado por ambos extremos: un portátil de dos flujos no puede recibir cuatro solo porque el punto de acceso los admita. Los canales más anchos transportan más símbolos en paralelo, pero ocupan más espectro. QAM introduce más bits en cada símbolo: 64-QAM con n, 256-QAM con ac, 1024-QAM con ax y 4096-QAM con be. Una modulación más densa necesita una señal más limpia, por lo que resulta más útil cerca de un punto de acceso.

Wi-Fi 6 añade OFDMA, que divide un canal en unidades de recursos para varios clientes, y MU-MIMO bidireccional, que envía flujos separados a distintos clientes. El tiempo de activación objetivo programa los periodos de activación de los dispositivos con batería. Wi-Fi 7 añade la operación multienlace (MLO) para que los dispositivos compatibles puedan usar varios enlaces, incluidos enlaces en distintas bandas. Su tasa combinada depende de los enlaces disponibles.

La tasa PHY no es la tasa de transferencia efectiva de las aplicaciones

Un portátil Wi-Fi 6 de dos flujos en un canal de 80 MHz puede mostrar una tasa PHY de 1201 Mbps. Las cabeceras, las confirmaciones, la contienda y los demás usuarios consumen parte de esa capacidad. Cerca del punto de acceso, en un canal poco ocupado, la tasa de transferencia efectiva de las aplicaciones suele alcanzar entre la mitad y dos tercios de esa tasa; la distancia, las retransmisiones y la carga la reducen aún más.

Un portátil Wi-Fi 5 que se conecta a un punto de acceso Wi-Fi 7 sigue usando un enlace Wi-Fi 5 en 5 GHz. Un cliente b o g necesita 2,4 GHz. Un cliente Wi-Fi 6 necesita capacidad 6E para usar 6 GHz. Comprueba el adaptador y el controlador concretos, no solo la antigüedad del producto.

Comprueba las funciones más allá de la etiqueta de generación

Otras enmiendas identifican funciones concretas: 802.11e proporciona QoS/WMM; h añade DFS/TPC; i es la base de WPA2; w protege las tramas de gestión; k proporciona informes de vecinos; v ofrece sugerencias de transición entre BSS; r acorta el establecimiento de claves durante la itinerancia; s define el funcionamiento en malla. IEEE 802.11bn está en desarrollo y se centra en la fiabilidad.

La actualización de un punto de acceso también requiere suficiente alimentación PoE y ancho de banda del enlace ascendente. Un puerto de conmutador de 1 Gbps puede limitar el tráfico agregado de una radio rápida; algunos puntos de acceso necesitan puertos de 2,5 o 5 Gbps. Desactiva las tasas de transmisión bajas obsoletas solo después de comprobar que los clientes necesarios y la cobertura siguen funcionando.

La mejor banda depende de dónde funciona el cliente, de lo que admite su radio y de lo ocupado que está el medio radioeléctrico. Una señal de mayor alcance puede ser útil para un sensor, mientras que una celda más pequeña y limpia es mejor para una oficina con mucho tráfico.

Compara el espectro disponible

La banda asignada de 2,4 GHz es 2,400–2,4835 GHz. La banda de 5 GHz contiene varios rangos utilizables separados; la configuración de país del equipo determina cuáles están disponibles. En Estados Unidos, las normas para interiores también se extienden a 5,850–5,895 GHz. No tomes un número de canales memorizado como la lista de canales permitidos en la instalación.

La banda asignada de 6 GHz en Estados Unidos es 5,925–7,125 GHz, con un total de 1200 MHz. La asignación de la UE es 5,945–6,425 GHz, con un total de 480 MHz. Proporcionan, respectivamente, 59 y 24 canales ordinarios de 20 MHz. Algunos países no han autorizado Wi-Fi en 6 GHz.

Por qué difiere el alcance

La longitud de onda sigue $\lambda =c\mathrm{/}f$: unos 12,3 cm a 2,437 GHz, 5,5 cm a 5,5 GHz y 4,6 cm a 6,5 GHz. Con la misma ganancia de antena y distancia, una frecuencia mayor produce más pérdidas en espacio libre. La mayoría de las paredes también atenúan más las frecuencias altas. Esto hace que 2,4 GHz sea útil a través de más obstáculos, mientras que 5 GHz y 6 GHz suelen necesitar puntos de acceso más próximos.

La frecuencia por sí sola no determina la velocidad. Los canales utilizables más anchos y la menor contienda suelen hacer que 5 GHz o 6 GHz sean más rápidos. Sin embargo, cerca del borde de celda, un enlace fuerte de 2,4 GHz puede rendir mejor que uno débil de 5 GHz. Estudia ambos sentidos con la clase de cliente real.

Conserva el escaso tiempo de uso del canal

Bluetooth, los hornos microondas, las WLAN vecinas y muchas radios IoT comparten 2,4 GHz. Mantén canales de 20 MHz en esa banda y reserva capacidad para los equipos que no pueden cambiar. En muchas redes empresariales, 5 GHz transporta la mayor parte del tráfico del personal porque hay amplia compatibilidad de clientes y más canales disponibles.

Solo los clientes Wi-Fi 6E y Wi-Fi 7 pueden usar 6 GHz. Un punto de acceso de triple banda puede ofrecer un SSID en las tres bandas, pero el cliente sigue necesitando compatibilidad de radio, sistema operativo y controlador. En 6 GHz, usa WPA3 o Enhanced Open con tramas de gestión protegidas; no se permiten WPA2 ni el funcionamiento abierto sin cifrar. Los clientes descubren las redes mediante información anunciada en bandas inferiores o mediante canales de exploración preferente.

Aplica la elección a un emplazamiento mixto

Un almacén tiene escáneres que solo admiten 2,4 GHz y portátiles de oficina Wi-Fi 6E. Mantén un servicio de 2,4 GHz para los escáneres. Ofrece el servicio del personal en 5 GHz y 6 GHz y verifica que esas celdas cubren la oficina con la señal y la SNR necesarias.

El direccionamiento de clientes entre bandas anima a los clientes compatibles a usar una banda superior, por ejemplo, retrasando las respuestas de sondeo de 2,4 GHz. El cliente toma la decisión final. Un direccionamiento agresivo en el borde de la cobertura de 5 GHz puede retrasar una conexión, así que confirma los resultados con las estadísticas de los clientes. MLO de Wi-Fi 7 puede mantener más de un enlace compatible, pero no proporciona una banda nueva a un cliente antiguo.

Los números de canal identifican frecuencias centrales, no franjas que ocupen solo un número. El ancho de canal ocupado determina si los puntos de acceso vecinos pueden usar el medio radioeléctrico de forma independiente.

Interpreta un número de canal

En 2,4 GHz, la frecuencia central en MHz es $2407+5n$, donde n es el número de canal. Los canales 1, 6 y 11 tienen sus centros en 2412, 2437 y 2462 MHz. Los números avanzan en pasos de 5 MHz, pero un canal normal ocupa unos 20 MHz, o 22 MHz en 802.11b. Por eso los canales 1 y 3 se solapan.

Usa 1, 6 y 11 a 20 MHz para el plan habitual de 2,4 GHz. Estos centros están separados por 25 MHz. Los canales parcialmente solapados crean interferencia de canal adyacente: los receptores no pueden decodificar de forma fiable la transmisión no deseada ni coordinar el acceso. Los vecinos en el mismo canal normalmente pueden oírse y turnarse, aunque eso también reduce la capacidad.

En 5 GHz, el centro en MHz es $5000+5n$. El canal 36 es 5180 MHz. Los canales ordinarios de 20 MHz avanzan de cuatro en cuatro números: 36, 40, 44 y 48 son cuatro canales distintos.

Agrupa los canales con criterio

La agrupación duplica aproximadamente la tasa máxima con cada duplicación del ancho. También reduce aproximadamente a la mitad el número de canales independientes. Una recepción más ancha capta más ruido: duplicar el ancho añade unos 3 dB al nivel de ruido de fondo, por lo que 80 MHz capta unos 6 dB más de ruido que 20 MHz en las mismas condiciones restantes.

Para una lista ilustrativa de canales permitidos de 36–64 y 100–140, hay 19 canales de 20 MHz. Los bloques agrupados estándar proporcionan nueve de 40 MHz, dejando sin usar el canal 140, o cuatro de 80 MHz: 36–48, 52–64, 100–112 y 116–128. Doce puntos de acceso que se oyen entre sí reutilizarían cada bloque de 80 MHz tres veces. Un plan de 40 MHz les da más tiempo de uso del canal independiente.

Elige un ancho para el emplazamiento

Usa 20 MHz en 2,4 GHz. En diseños densos de 5 GHz, empieza con 20 o 40 MHz; 40 u 80 MHz pueden ser adecuados en emplazamientos menos saturados con suficientes canales. En 6 GHz, 80 MHz o más pueden resultar útiles, pero cuenta los canales locales antes de elegir. Un ajuste de velocidad que parece bueno para un portátil puede reducir la capacidad total de una sala.

La fórmula del centro de 6 GHz en MHz es $5950+5n$. Los canales ordinarios de 20 MHz son 1, 5, 9 y así sucesivamente hasta el 233 en Estados Unidos. Los canales de exploración preferente (PSC) aparecen cada 80 MHz: 5, 21, 37 y así sucesivamente hasta el 229. La banda inferior de la UE tiene seis: 5, 21, 37, 53, 69 y 85. Usar un PSC como canal primario facilita el descubrimiento.

Reutiliza en tres dimensiones

Asigna canales distintos a los puntos de acceso que se oyen entre sí, incluidos los de arriba y abajo. Donde demasiadas radios de 2,4 GHz compartan los mismos tres canales, desactiva las sobrantes o úsalas para supervisión. La gestión de radio del controlador o de la nube puede asignar canales y potencia automáticamente; valida sus elecciones con mediciones, incluidas las redes vecinas que la organización no puede controlar.

El espectro exento de licencia sigue sujeto a normas. Configura el dominio regulatorio del punto de acceso para su país de instalación, de modo que la radio ofrezca los canales, la potencia y los modos de interior o exterior correctos. Configurar otro país no es una forma válida de desbloquear canales.

Los canales y la potencia dependen de la región

Los equipos estadounidenses de 2,4 GHz suelen usar los canales 1–11; los europeos pueden usar 1–13. Japón permite el canal 14 solo para 802.11b. El plan 1, 6, 11 también ayuda a los clientes visitantes que no pueden usar los canales 12 o 13.

Para el funcionamiento punto a multipunto habitual en 2,4 GHz en Estados Unidos, los límites conocidos son hasta 1 W de potencia conducida y 36 dBm de PIRE, con las restricciones de antena aplicables. El ejemplo de la UE/ETSI es 20 dBm de PIRE, o 100 mW. La PIRE incluye la ganancia de antena: sustituir una antena puede requerir reducir la potencia del transmisor. Selecciona el modelo de antena correcto en los ajustes del punto de acceso.

Protege a los usuarios de radar

802.11h proporciona selección dinámica de frecuencias (DFS) y control de potencia de transmisión (TPC) para el espectro de 5 GHz compartido con radares. Los canales DFS requieren un periodo de escucha antes de usarlos. La comprobación de disponibilidad del canal de la FCC suele durar 60 segundos; los canales europeos de radar meteorológico 120–128 pueden requerir 10 minutos.

Si se detecta un radar, el punto de acceso debe abandonar el canal en un plazo de 10 segundos y evitarlo durante al menos 30 minutos. Por tanto, un reinicio puede retrasar el servicio y un evento de radar puede interrumpir a los clientes mientras el punto de acceso cambia de canal. TPC permite reducir la potencia. Comprueba la compatibilidad de los clientes y los eventos de radar recurrentes antes de depender de la capacidad DFS.

Distingue las clases de dispositivos de 6 GHz

El funcionamiento de potencia estándar en Estados Unidos usa U-NII-5 y U-NII-7. La coordinación automática de frecuencias (AFC) usa la ubicación del dispositivo para proteger los enlaces fijos de microondas y determina el funcionamiento permitido. Los equipos LPI son para interiores. VLP permite el funcionamiento portátil de baja potencia en interiores y exteriores, sujeto a las restricciones de esa clase; la FCC amplió VLP a toda la banda estadounidense de 6 GHz en 2025. Los ejemplos de la UE solo se aplican a 5,945–6,425 GHz; LPI de la UE excluye los vehículos de carretera y VLP excluye los drones.

Aplica ambos límites de potencia

Un límite de densidad espectral de potencia (PSD) limita la potencia por MHz. La potencia total también tiene un límite independiente:

Para un punto de acceso LPI estadounidense, 20 MHz permite unos 5 + 13 = 18 dBm, mientras que 80 MHz permite unos 5 + 19 = 24 dBm. A 320 MHz, el resultado alcanza el límite total de 30 dBm. Para LPI de la UE, 20 MHz ya da unos 10 + 13 = 23 dBm, por lo que los canales más anchos no elevan la potencia total por encima de 23 dBm.

Usa la información vigente del regulador y del fabricante sobre compatibilidad por país al instalar los equipos. El máximo legal es un techo; ajusta la potencia de funcionamiento para satisfacer las necesidades de cobertura y capacidad y conservar el trayecto de retorno del cliente.

Una medición de radio resulta útil cuando sabes qué mide. La potencia, un cambio de potencia y la calidad de señal usan unidades de decibelios relacionadas, pero responden a preguntas distintas.

Convierte la potencia sin mezclar unidades

dBm expresa la potencia referida a 1 mW:

La conversión inversa es $P_{\text{mW}}={10}^{P_{\text{dBm}}\mathrm{/}10}$. Referencias útiles son 1 mW = 0 dBm, 10 mW = 10 dBm, 100 mW = 20 dBm y 1 W = 30 dBm.

Un valor en dB es una relación: +3 dB duplica aproximadamente la potencia; −3 dB la reduce a la mitad; +10 dB la multiplica por diez. Reducir 20 dBm en 3 dB da unos 17 dBm, o 50 mW. Reducirla en 10 dB da 10 dBm, o 10 mW. Suma las ganancias y pérdidas en dB a una potencia en dBm. Para combinar dos potencias, suma primero sus milivatios: dos potencias de 20 dBm suman 200 mW, unos 23 dBm, no 40 dBm.

Compara la señal con el ruido

La intensidad de la señal recibida suele mostrarse como RSSI en dBm negativos. Cuanto más cerca de cero, más fuerte: −45 dBm es más fuerte que −75 dBm. Algunos fabricantes indican el RSSI como un índice o porcentaje, así que compara mediciones equivalentes.

El nivel de ruido de fondo es la energía de radiofrecuencia de fondo, a menudo entre −90 y −95 dBm en un canal de 20 MHz poco ocupado. La relación señal-ruido (SNR) es la diferencia:

Una señal de −65 dBm y un ruido de −92 dBm dan una SNR de 27 dB. Una señal fuerte puede seguir teniendo una SNR baja si el ruido también es fuerte. Los objetivos habituales de diseño son al menos 20 dB de SNR para datos y 25 dB para voz, con unos −70 dBm de señal para datos y −67 dBm para voz/vídeo. Son objetivos de planificación que deben validarse con las aplicaciones y los clientes; los enlaces cercanos a −80 dBm suelen ser poco fiables.

Estima la pérdida del trayecto

Para espacio libre sin obstáculos:

Usa kilómetros y MHz en esta fórmula. A 2437 MHz, 10 m da unos 60,2 dB de pérdida y 20 m unos 66,2 dB. Duplicar la distancia añade unos 6 dB. A 5500 MHz, el trayecto de 10 m pierde unos 67,2 dB.

Las paredes añaden pérdidas: las placas de yeso pueden suponer unos 3 dB, el vidrio transparente 2–4 dB, el ladrillo 6–10 dB y el hormigón 10–20 dB. El vidrio con revestimiento y el metal pueden bloquear mucho más. Mide el edificio real. La absorción elimina energía; la reflexión la hace rebotar; la refracción la desvía entre materiales; la difracción la desvía alrededor de los bordes; la dispersión la esparce. Los trayectos múltiples pueden causar desvanecimientos, mientras que MIMO puede aprovechar diferencias adecuadas entre trayectos para los flujos espaciales.

Comprueba ambos sentidos

Un balance de enlace suma la potencia de transmisión y las ganancias de antena y después resta las pérdidas. Con 20 dBm de PIRE, 80 dB de pérdida del trayecto y una antena receptora de 3 dBi, la potencia recibida es −57 dBm. Un teléfono que devuelve 15 dBm de PIRE por el mismo trayecto a una antena de punto de acceso de 4 dBi llega con −61 dBm. Aumentar solo la potencia del punto de acceso mejora el enlace descendente; deja este trayecto de retorno igual.

Una antena dirige la energía de radio según un patrón. Su ganancia mejora unas direcciones al reducir la energía en otras; no crea potencia adicional del transmisor.

Interpreta la ganancia y el ancho de haz

dBi compara la ganancia con una antena ideal que radia por igual en todas las direcciones. dBd la compara con un dipolo; 0 dBd equivale a 2,15 dBi. El ancho de haz de una antena direccional es el ángulo entre los puntos situados 3 dB por debajo de su máximo. Una mayor ganancia suele implicar un haz más estrecho.

Una omnidireccional de mayor ganancia aplana su patrón vertical. Puede llegar más lejos en horizontal y, aun así, dejar una cobertura débil debajo de un punto de montaje alto. Los puntos de acceso de techo tienen patrones específicos de cada modelo, a menudo dirigidos hacia abajo, hacia los usuarios, así que usa las instrucciones de montaje y los diagramas de radiación de ese punto de acceso.

Una oficina abierta suele ser adecuada para puntos de acceso de techo. Un pasillo largo puede ser adecuado para un panel orientado a lo largo de él. En una zona grande de asientos, las celdas orientadas ayudan a repartir a los usuarios entre canales. Un enlace entre edificios necesita antenas direccionales en ambos extremos.

Calcula la potencia radiada

Usa dBm para la potencia del transmisor, dB para las pérdidas y dBi para la ganancia de antena. Con 17 dBm en la radio, 2 dB de pérdida de cable y 6 dBi de ganancia, la PIRE es 21 dBm, unos 126 mW. Si el límite regional fuera 20 dBm, reduce la potencia del transmisor a 16 dBm. Aumentar la ganancia en 1 dB sin reducir la potencia superaría ese límite en otro 1 dB.

La antena también mejora la recepción en su dirección favorecida. Eso ayuda al enlace de retorno de una forma que aumentar solo la potencia del transmisor del punto de acceso no puede conseguir.

Haz coincidir la polarización y las cadenas de radio

La polarización es la dirección del campo eléctrico. Haz que coincida en ambos extremos de un enlace punto a punto, por ejemplo, vertical con vertical. Las polarizaciones cruzadas pueden perder 20 dB o más. Las reflexiones interiores mezclan la polarización, pero las antenas y el montaje correctos siguen siendo importantes.

Una radio 4×4:4 tiene cuatro cadenas de transmisión, cuatro de recepción y hasta cuatro flujos espaciales. Equipa cada conector necesario con las antenas compatibles especificadas. La conformación de haces de transmisión ajusta las fases de las señales para que se refuercen entre sí hacia un cliente; la antena no gira físicamente.

Despeja el espacio alrededor de un trayecto exterior

Una línea de visión visible no basta para un enlace punto a punto fiable. Los objetos cercanos a la línea directa pueden invadir la primera zona de Fresnel, donde los trayectos reflejados afectan a la señal recibida. Mantén despejado al menos el 60 % de esa zona.

En el punto medio, su radio en metros es aproximadamente:

Para 1 km a 5,5 GHz, el radio es de unos 3,7 m. El sesenta por ciento es aproximadamente 2,2 m, por lo que los árboles y los bordes de los tejados necesitan ese despeje alrededor de la línea directa en el punto medio. Comprueba también el resto de la ruta; la zona se estrecha hacia cada extremo.

La cobertura plantea si un dispositivo puede intercambiar tramas en una ubicación. La capacidad plantea si todos los dispositivos activos pueden obtener allí suficiente tiempo de uso del canal. Un diseño WLAN útil responde a ambas preguntas antes de elegir las ubicaciones de los puntos de acceso.

Convierte los requisitos en objetivos

Enumera las zonas de servicio, los tipos de clientes, las cantidades de dispositivos y las aplicaciones. Un escáner necesita un servicio distinto al de un teléfono de voz. Diseña el borde de celda según el cliente relevante más débil, incluida su potencia de transmisión y su número de flujos. Un portátil de estudio con una antena mejor puede hacer que una ubicación mala para un teléfono parezca aceptable.

Los objetivos habituales para voz/vídeo son al menos −67 dBm y 25 dB de SNR; para datos generales pueden usarse unos −70 dBm. Mide también la cobertura secundaria: un segundo punto de acceso al nivel objetivo facilita la itinerancia y la resiliencia. Un solapamiento de alrededor del 15–20 % es una regla orientativa inicial, pero las mediciones de señal y las pruebas de itinerancia determinan si un diseño concreto funciona.

Calcula la demanda activa

Un aula de 150 asientos tiene dos dispositivos por persona, con el 60 % activo a la vez. Primero calcula 150 × 2 = 300 dispositivos. Después, 300 × 0,6 = 180 dispositivos activos. Con una previsión de 30 dispositivos activos por radio de 5 GHz, se necesitan 180 ÷ 30 = 6 radios. A 2 Mbps por dispositivo activo, la demanda agregada es 180 × 2 = 360 Mbps.

La previsión de 30 es un dato de planificación, no un límite garantizado del punto de acceso. Comprueba si las radios pueden transportar la demanda de las aplicaciones a las tasas de transmisión esperadas. Asigna a esas radios canales separados adecuados; seis radios que se oyen entre sí en un canal siguen compartiendo el tiempo de uso de ese canal.

Adapta las celdas al emplazamiento

En zonas densas, la potencia moderada y los canales más estrechos crean celdas más pequeñas que pueden reutilizar canales. Ajusta la potencia del punto de acceso a la capacidad del cliente. Un teléfono de unos 15 dBm puede oír un punto de acceso a máxima potencia desde un lugar donde sus propias transmisiones no pueden volver de forma fiable.

Un único punto de acceso potente también da a todos los usuarios un solo fondo compartido de tiempo de uso del canal y crea un punto único de fallo. Varios puntos de acceso bien ubicados distribuyen la demanda y proporcionan cobertura alternativa. Añadir puntos de acceso sin un plan de canales y potencia puede, en cambio, aumentar la contienda.

Monta los puntos de acceso con una vista despejada de los usuarios y con la orientación indicada por el fabricante. Evita que haya armarios metálicos, conductos, pilares y placas metálicas de techo entre el punto de acceso y los usuarios. Considera las plantas superior e inferior: escalona las ubicaciones y los canales donde las celdas atraviesen huecos entre plantas o construcciones ligeras. En un almacén, considera las estanterías llenas además del edificio vacío.

Proporciona la capacidad cableada y la alimentación

Comprueba que el canal Ethernet se mantiene dentro del límite de cobre de 100 m y que el puerto del conmutador es lo bastante rápido. Un punto de acceso de alta capacidad puede necesitar un enlace ascendente multigigabit.

La potencia entregada al punto de acceso es menor por las pérdidas del cable. Comprueba la clase PoE que requiere el punto de acceso y el presupuesto total del conmutador. Un punto de acceso con alimentación insuficiente puede desactivar radios o flujos en lugar de apagarse por completo. Las instalaciones exteriores también necesitan protección adecuada frente a la intemperie, puesta a tierra y protección contra rayos.

Registra la ubicación, la antena, la potencia, el canal y el plan de cableado de cada punto de acceso. Valida el diseño instalado con los mismos requisitos de aplicaciones y clientes que se usaron para dimensionarlo.

Un estudio de emplazamiento convierte un plan WLAN en pruebas sobre un edificio. Elige el método de estudio según la pregunta que necesitas responder y después registra mediciones en ubicaciones conocidas.

Usa el método adecuado

Un modelo predictivo necesita los materiales de las paredes y sus valores de atenuación. Una escala incorrecta del plano o una pared ausente pueden desplazar los límites de celda previstos. Revisa el edificio en una visita de inspección: anota los puntos de montaje, las rutas de cableado, las alturas de techo, las estanterías metálicas y los materiales poco habituales. Un estudio con un punto de acceso en un soporte provisional resulta especialmente útil cuando la estructura es difícil de modelar.

Un estudio pasivo revela los puntos de acceso de la organización y las redes cercanas sin conectarse a ellos. Un estudio activo prueba el servicio real, incluidas las retransmisiones y los retardos. Un analizador de espectro puede revelar energía de microondas o de transmisores de vídeo que un adaptador Wi-Fi corriente no puede decodificar. Estos métodos responden a preguntas distintas y pueden usarse juntos.

Recoge mediciones que representen a los usuarios

Calibra el plano con una distancia conocida antes de caminar. Mide toda la zona de servicio, incluidas las esquinas, las escaleras y las rutas de itinerancia previstas. Mantén las mediciones a la altura a la que se usan los dispositivos y camina a un ritmo constante para que las muestras coincidan con sus posiciones en el mapa. Registra todas las bandas en uso.

Usa un adaptador de estudio similar a los clientes relevantes o aplica una corrección de medición justificada. Un portátil de alto rendimiento por sí solo puede sobreestimar la cobertura de un escáner portátil. Donde las existencias, las personas o las paredes móviles cambien las condiciones, incluye en el plan del estudio la disposición prevista en momentos de mayor actividad.

Lee la leyenda antes de los colores

Un mapa de calor colorea un plano según una medición. Puede mostrar señal, SNR, tasa de transmisión, cobertura secundaria o el número de puntos de acceso audibles en el mismo canal. Un mapa de señal verde no puede indicarte que la contienda del canal es baja, salvo que eso sea lo que mide su leyenda.

Supón que el objetivo de una sala de reuniones es −67 dBm y las mediciones muestran −75 dBm. El déficit es de 8 dB. Comprueba si lo explica una pared nueva, la posición de montaje o el patrón de antena. Mueve o añade un punto de acceso o cambia la forma de la celda con la antena correcta y después repite la prueba del cliente. Aumentar solo la potencia del punto de acceso deja igual el transmisor de retorno del cliente.

Valida la instalación

Después de montar y configurar los puntos de acceso, realiza un estudio de validación frente a los objetivos originales. Prueba las aplicaciones mientras caminas entre celdas, no solo estando debajo de un punto de acceso. Conserva un informe con los requisitos, las posiciones y alturas de los puntos de acceso, las antenas, los canales, los ajustes de potencia y los resultados.

Repite la validación después de cambios importantes, como nuevas estanterías, paredes u ocupantes vecinos. Un analizador Wi-Fi rápido es útil para comprobar el SSID, el BSSID, el canal y la señal, pero un estudio completo añade pruebas vinculadas a ubicaciones en toda la zona de servicio.

La arquitectura WLAN separa dos preguntas: quién gestiona el punto de acceso y adónde van las tramas de los clientes. Un punto de acceso gestionado de forma centralizada puede seguir enviando el tráfico de los clientes directamente a una VLAN local.

Compara los modelos de gestión

Los puntos de acceso autónomos son adecuados para un emplazamiento pequeño, pero resulta más difícil mantener su coherencia a medida que aumenta su número. Un controlador o panel de gestión en la nube aplica ajustes compartidos de seguridad, firmware y radio a muchos puntos de acceso.

En un diseño de controlador de MAC dividida, el punto de acceso realiza el trabajo de radio que requiere respuesta inmediata: balizas, confirmaciones, encolamiento y cifrado por radio. El controlador gestiona las políticas, la itinerancia, la seguridad y los recursos de radio. El reparto exacto depende de la plataforma.

Sigue a un punto de acceso hasta su controlador

Un punto de acceso ligero puede descubrir un WLC mediante la opción DHCP 43, una dirección configurada, difusión local o DNS, como CISCO-CAPWAP-CONTROLLER. Establece túneles CAPWAP a través de la red IP. El control usa UDP 5246 con cifrado DTLS; los datos usan UDP 5247 con cifrado de túnel opcional. El cifrado de radio y el del túnel de datos son protecciones distintas.

Como CAPWAP se enruta, el punto de acceso y el WLC pueden estar en subredes distintas. En la conmutación centralizada, las tramas de los clientes viajan por el túnel hasta el controlador. Por tanto, las VLAN de los clientes salen a la red en el controlador, no en el puerto de conmutador del punto de acceso.

Mantén local el tráfico de la sucursal cuando sea necesario

FlexConnect de Cisco puede conectar mediante puente el tráfico de los clientes a las VLAN de la sucursal y conservar la gestión centralizada. La conmutación local puede mantener el acceso local cuando falla la WAN, pero la autenticación también debe seguir disponible: un SSID con conmutación local que requiera un servidor RADIUS central inaccesible podría no admitir nuevos clientes.

Un controlador puede estar centralizado en un centro de datos, integrado en un punto de acceso o conmutador o ejecutarse como máquina virtual en una nube. Esta última opción es un controlador alojado en la nube; es distinta de la gestión mediante un panel. En una WLAN típica gestionada desde la nube, esta se encarga de la configuración y la supervisión mientras las tramas de los usuarios permanecen locales. Los puntos de acceso suelen conservar su última configuración durante una interrupción de la nube; comprueba el comportamiento del producto y las condiciones de licencia al elegir un sistema.

Reconoce los modos de puntos de acceso Cisco

El modo Local atiende a los clientes mediante el WLC y explora brevemente otros canales. El modo Monitor explora para tareas de seguridad y ubicación sin atender a clientes. El modo Sniffer envía las tramas capturadas de un canal a un analizador. Rogue detector examina la información MAC cableada. SE-Connect dedica el punto de acceso al análisis de espectro. Bridge/Mesh proporciona enlace de retorno inalámbrico y Flex+Bridge combina las funciones de malla y FlexConnect. La disponibilidad de los modos depende de la plataforma del punto de acceso y del controlador.

Un campus puede elegir controladores con WLC de respaldo para las políticas centrales y la itinerancia de voz. Una cadena de sucursales puede elegir gestión desde la nube o FlexConnect para evitar un controlador en cada sede. Un punto de acceso en modo Local depende del contacto con el controlador para atender a los clientes, así que planifica la resiliencia del controlador además de la cobertura de los puntos de acceso.

La ruta del tráfico del punto de acceso determina la configuración de su puerto de conmutador. Primero decide si las tramas de los clientes se envían por túnel a un controlador o salen del punto de acceso directamente a las VLAN.

Adapta el puerto al modo de reenvío

Un punto de acceso ligero en modo Local con tráfico conmutado de forma centralizada normalmente necesita un puerto de acceso en su VLAN de gestión. Las tramas de sus clientes están dentro de paquetes CAPWAP, por lo que el puerto físico del punto de acceso no necesita cada VLAN de cliente.

Un punto de acceso con conmutación local necesita un enlace troncal cuando transporta varias VLAN. Supón que la gestión del punto de acceso usa la VLAN 10, «Staff» usa la VLAN 20 y «Guest» usa la VLAN 30. Permite las tres VLAN en el enlace troncal del punto de acceso. Haz coincidir el punto de acceso y el conmutador en si la VLAN 10 es nativa y no etiquetada o está etiquetada explícitamente.

Si falta la VLAN 30 en ese enlace troncal, los invitados aún pueden asociarse y completar la seguridad de radio. Sus difusiones DHCP no pueden llegar a la red correcta, por lo que no reciben una concesión. Es un fallo de reenvío cableado, aunque el síntoma aparezca en Wi-Fi.

Identifica las conexiones del controlador

La terminología de Cisco AireOS distingue el puerto de servicio para la gestión fuera de banda, los puertos del sistema de distribución para el tráfico de puntos de acceso, gestión y clientes, un puerto de redundancia entre una pareja de alta disponibilidad y un puerto de consola para la configuración inicial. Las interfaces del controlador asignan las WLAN a las VLAN de clientes. Los puertos de distribución suelen conectarse a enlaces troncales de conmutadores; el puerto de servicio no sustituye una conexión de datos de clientes.

La agregación de enlaces (LAG) combina enlaces de distribución para ofrecer ancho de banda agregado y resiliencia. Un flujo normalmente permanece en un miembro, por lo que un grupo de enlaces no multiplica la velocidad de cada flujo individual. AireOS usa EtherChannel estático con el modo on; los controladores más nuevos, como Catalyst 9800, pueden usar LACP. Haz coincidir el modo de agregación admitido por el controlador y el conmutador.

Comprueba la alimentación antes de las capas superiores

Comprueba la clase PoE que requiere el punto de acceso, la capacidad de cada puerto de conmutador y el presupuesto total del conmutador. Veinticuatro puertos de puntos de acceso con una previsión de 30 W cada uno requieren 720 W de capacidad PoE en el lado del conmutador. Un conmutador con suficientes puertos físicos puede seguir teniendo muy poca potencia. Los puntos de acceso con alimentación insuficiente pueden perder funciones de radio y producir un problema de capacidad que se parece a un mal diseño de radiofrecuencia.

Protege la gestión y permite las dependencias

Usa la consola para la configuración local inicial, SSH para la CLI remota y HTTPS para la gestión web. Telnet y HTTP exponen tráfico de gestión sensible. La administración centralizada de dispositivos suele usar TACACS+ en TCP 49; el acceso WLAN suele usar RADIUS en UDP 1812 para autenticación y 1813 para registro de actividad. RADIUS tradicional no cifra todo el paquete; el método EAP protege por separado las credenciales durante un inicio de sesión Enterprise.

Permite el tráfico necesario a través de las ACL intermedias: CAPWAP UDP 5246/5247, DHCP UDP 67/68 y DNS en el puerto 53, además de los servicios de autenticación elegidos.

Si un punto de acceso no puede conectarse, comprueba la alimentación y el enlace, la VLAN de gestión, la dirección DHCP, el descubrimiento del controlador, el enrutamiento y la accesibilidad de CAPWAP y, después, la configuración de país, los certificados y la hora. Cada comprobación establece una dependencia necesaria para la etapa siguiente.

Un perfil WLAN del controlador vincula el nombre visible de la red con su VLAN, sus bandas de radio y su política de seguridad. Créalo deshabilitado, comprueba los ajustes en conjunto y después habilítalo y pruébalo desde un cliente.

Crea los ajustes de servicio y seguridad

Un perfil tiene un nombre interno, un identificador de WLAN, un SSID, un estado de habilitación y una asignación a interfaz o VLAN de clientes. El nombre del perfil ayuda a los administradores; los clientes ven el SSID. Elige qué bandas anuncian el servicio.

Para un ejemplo de WPA2-Personal, crea la WLAN con identificador 2, perfil y SSID «Office», asignada a la VLAN 20. Selecciona WPA2 con AES-CCMP, elige gestión de claves PSK e introduce una frase de contraseña robusta de 8–63 caracteres. Mantén TKIP deshabilitado. Aplica la configuración y habilita la WLAN. Un cliente de prueba debe aparecer en «Office» con una dirección, puerta de enlace y configuración DNS de la VLAN 20 y debe acceder a un servicio permitido.

WPA3-Personal selecciona SAE en su lugar y exige tramas de gestión protegidas. Los perfiles Enterprise seleccionan 802.1X y los servidores RADIUS correctos. Un portal cautivo es un ajuste separado de autenticación web de capa 3; no sustituye el cifrado de radio.

Da al tráfico un tratamiento adecuado

WMM proporciona las categorías de acceso voz, vídeo, mejor esfuerzo y segundo plano. Los perfiles de los controladores Cisco las llaman Platinum, Gold, Silver y Bronze, respectivamente, con Silver como perfil predeterminado de mejor esfuerzo. WMM es necesario para las altas tasas de transmisión modernas. QoS da al tráfico una prioridad adecuada durante la contienda; no puede crear tiempo de uso del canal adicional ni corregir la falta de cobertura.

Los ajustes avanzados incluyen tiempo de expiración de sesión, exclusión de clientes tras fallos repetidos, límites de clientes, modo de DHCP obligatorio, bloqueo entre iguales, direccionamiento entre bandas, balanceo de carga y tasas de transmisión permitidas. Cámbialos para cubrir una necesidad medida. Por ejemplo, el modo de DHCP obligatorio puede bloquear clientes configurados intencionadamente con direcciones estáticas; un tiempo de expiración de sesión corto puede hacer que los fallos de reautenticación aparezcan como desconexiones periódicas.

Mantén la coherencia de la itinerancia

Para la itinerancia sencilla dentro de la misma subred, los puntos de acceso vecinos ofrecen el mismo SSID, seguridad y VLAN. El cliente decide cuándo cambiar. 802.11k proporciona información de vecinos; 802.11v sugiere un BSS mejor; 802.11r acorta el establecimiento de claves para una transición rápida. Ayudan al cliente a encontrar y usar un punto de acceso mejor, pero no pueden corregir una zona sin cobertura.

Algunos clientes antiguos fallan cuando se exige transición rápida. Prueba el inventario de clientes y usa ajustes adaptativos compatibles o un servicio de compatibilidad separado cuando sea necesario. Con distintas subredes de clientes, se necesita soporte de movilidad del controlador para conservar la conectividad mientras el dispositivo en itinerancia mantiene su dirección. El mismo SSID por sí solo no proporciona ese soporte.

Controla la sobrecarga de los SSID

En el funcionamiento tradicional, cada SSID tiene su propio BSS y balizas periódicas, a menudo a una tasa de transmisión obligatoria baja. Los SSID sin uso siguen consumiendo tiempo de uso del canal. El funcionamiento de BSSID múltiples puede anunciar varios BSS en una baliza, especialmente en 6 GHz, pero más SSID siguen añadiendo trabajo de gestión y configuración.

Una recomendación habitual es tres o cuatro SSID por radio. Para muchos grupos de usuarios, un SSID Enterprise con VLAN asignadas por RADIUS escala mejor que un nombre separado para cada equipo. Verifica la VLAN asignada y la política de acceso con una cuenta representativa de cada grupo.

Las tramas de radio pueden recibirse más allá de las paredes de una sala. La seguridad inalámbrica necesita controlar el acceso, proteger el contenido de las tramas y detectar alteraciones. Los distintos modos de seguridad proporcionan estas protecciones de formas diferentes.

Reconoce los modos obsoletos y actuales

WPA2, basado en 802.11i, apareció en 2004 y pasó a ser obligatorio para la certificación Wi-Fi en 2006. WEP y TKIP también impiden las altas tasas modernas de 802.11n y posteriores. Por tanto, elegir un cifrado obsoleto para un dispositivo antiguo puede debilitar la seguridad y el rendimiento.

Comprende la diferencia del modo Personal

WPA2-Personal deriva material de claves de la frase de contraseña compartida y el SSID. La información capturada del intercambio permite probar contraseñas sin conexión. Una frase de contraseña larga y aleatoria reduce este riesgo. Quien conoce esa frase y captura el intercambio de otro cliente también puede derivar sus claves; la existencia de claves de trabajo por cliente no proporciona privacidad frente a otros poseedores de la contraseña.

WPA3-Personal usa autenticación simultánea entre iguales (SAE). Adivinar contraseñas requiere interacción en directo, y la captura pasiva no permite el mismo proceso de adivinación sin conexión. También proporciona secreto hacia adelante: revelar la contraseña después no permite descifrar las sesiones registradas anteriormente. Los usuarios pueden seguir compartiendo una contraseña, por lo que SAE no crea cuentas de usuario individuales.

Protege las tramas de gestión

Las tramas de gestión protegidas (PMF) protegen frente a la falsificación determinado tráfico de gestión, incluidas la desautenticación y la desasociación, una vez establecida la protección. WPA3 exige PMF. Esto no cifra todas las tramas de gestión; el descubrimiento debe seguir funcionando antes de que un cliente tenga claves.

WPA3-Enterprise usa 802.1X y ofrece un modo de seguridad de 192 bits opcional con conjuntos de algoritmos más robustos, como GCMP-256. WPA2-Personal y WPA3-Personal suelen usar ambos CCMP-128 para los datos, por lo que las mejoras de WPA3 no se limitan a una clave de datos más larga. Los conjuntos más nuevos, incluidas las configuraciones de Wi-Fi 7, pueden usar GCMP-256.

Migra sin exagerar la protección

El modo de transición acepta clientes WPA2-PSK y WPA3-SAE en un SSID con la misma frase de contraseña. Los clientes antiguos conservan las debilidades de WPA2. Úsalo en 2,4 GHz o 5 GHz durante la migración y después pasa a solo WPA3 cuando el inventario lo admita. La banda de seis GHz no permite WPA2 ni el modo de transición y exige PMF.

Enhanced Open, basado en OWE, cifra el tráfico de radio de cada cliente sin contraseña. Protege frente a la escucha pasiva, pero no autentica al usuario ni demuestra que el punto de acceso sea el previsto. Es útil para redes públicas cuya política de acceso se gestiona por separado.

Desactiva WPS y evita confiar en SSID ocultos o listas MAC. Si un dispositivo IoT solo admite WPA2, dale una VLAN separada con únicamente el acceso que necesita. Esto conserva la compatibilidad sin conceder a ese dispositivo un acceso amplio a la red empresarial.

La seguridad Personal usa una contraseña compartida. La seguridad Enterprise comprueba una identidad mediante 802.1X, lo que permite a una organización revocar el acceso de una persona sin cambiar todos los demás dispositivos.

Elige el modelo de acceso

WPA2-Personal deriva una PSK de una contraseña; WPA3-Personal usa esa contraseña mediante SAE. Ambos son sencillos de administrar en emplazamientos pequeños, pero una contraseña común se difunde y es difícil revocarla solo para una persona. Algunos fabricantes ofrecen claves por dispositivo para reducir ese problema.

802.1X tiene tres funciones: el suplicante en el cliente, el autenticador en el punto de acceso o controlador y el servidor de autenticación, normalmente RADIUS conectado a un directorio. El autenticador controla el acceso y retransmite los mensajes de autenticación; no es la base de datos de las contraseñas de todos los usuarios.

Sigue el intercambio

1. El cliente se asocia a la WLAN Enterprise.
2. El suplicante y el autenticador intercambian EAP sobre LAN, o EAPOL, a través del enlace inalámbrico.
3. El autenticador transporta la conversación EAP al servidor RADIUS en mensajes Access-Request, normalmente en UDP 1812.
4. El cliente y el servidor completan el método EAP seleccionado. El servidor devuelve Access-Accept cuando acepta la identidad y puede proporcionar una VLAN o un rol.
5. El material de claves permite el intercambio de cuatro pasos entre el cliente y el punto de acceso. Comienza el acceso cifrado y después DHCP.

El registro de actividad RADIUS suele usar UDP 1813 para registrar las sesiones. Las cuentas por usuario permiten a los administradores deshabilitar un inicio de sesión, investigar la actividad y aplicar distintos roles de acceso en un SSID.

Selecciona un método EAP

EAP-TLS es una opción habitual robusta para dispositivos gestionados porque cada uno recibe un certificado de cliente. PEAP y EAP-TTLS pueden adaptarse a sistemas de cuentas existentes, pero siguen dependiendo de la comprobación del certificado del servidor. Valida tanto su autoridad de certificación de confianza como el nombre de servidor esperado. Un SSID conocido no demuestra que un servidor sea auténtico.

Haz coincidir el servidor y el controlador

Configura la dirección, los puertos y el secreto compartido del servidor RADIUS en el autenticador. Registra ese punto de acceso o controlador como cliente RADIUS en el servidor con el mismo secreto. Este secreto de infraestructura es distinto de la contraseña de un empleado y de la frase de contraseña de una WLAN Personal.

Un certificado de servidor caducado puede afectar a todos los clientes que lo validan. Un reloj incorrecto en un portátil afecta a las comprobaciones de certificados de ese portátil. Un fallo de autorización en el directorio es, a su vez, distinto de un servidor que nunca recibe las solicitudes. Compara los registros del cliente, del controlador y de RADIUS para encontrar el intercambio que falla.

802.1X autentica el acceso; WPA2 o WPA3 proporciona el cifrado de radio mediante las claves establecidas. La palabra Enterprise designa ese modelo de autenticación. Servicios como eduroam usan este modelo para que los usuarios participantes se autentiquen mediante sus instituciones de origen al visitar otra sede.

El Wi-Fi para invitados necesita decisiones separadas sobre acceso, privacidad y accesibilidad. Una página de inicio de sesión gestiona la política de acceso; el cifrado protege el enlace de radio; las VLAN y las reglas de cortafuegos controlan adónde pueden acceder los invitados.

Construye el límite

Asigna el SSID de invitados a una VLAN separada o envía el tráfico de invitados por túnel a un controlador de anclaje en una DMZ. Aplica reglas de cortafuegos que bloqueen las redes internas y permitan el acceso a internet previsto y los servicios de apoyo necesarios. Una VLAN separa los dominios de difusión; una ACL o un cortafuegos impone qué destinos enrutados son accesibles.

Activa el aislamiento de clientes para impedir que los dispositivos de invitados se comuniquen entre sí. Esto tiene una finalidad distinta de bloquear las subredes internas. Los límites de tasa evitan que unos pocos usuarios consuman toda la conexión a internet, mientras que unas concesiones DHCP adecuadas ayudan a evitar el agotamiento de direcciones cuando unos visitantes se marchan y llegan otros.

Comprende qué hace el portal

Un portal cautivo es una página web que aparece antes de conceder acceso normal. Puede pedir la aceptación de condiciones, un código de acceso, un inicio de sesión o la aprobación de un responsable. Los sistemas operativos suelen detectar la red restringida y abrir la página. Los controladores suelen llamarlo autenticación web de capa 3.

Completar esta página no convierte un enlace de radio abierto en uno cifrado. HTTPS protege la sesión de aplicación con el sitio web, pero es una capa separada del cifrado Wi-Fi. Elige explícitamente la seguridad de radio de la WLAN.

Recorre un diseño para invitados

Un hotel ofrece «Hotel-Guest» en la VLAN 50. Enhanced Open cifra el tráfico de radio y un portal comprueba el número de habitación y el apellido para dar acceso. El aislamiento de clientes bloquea el tráfico entre invitados. La política de cortafuegos bloquea los rangos internos del hotel, como 10.0.0.0/8, y permite el servicio de internet previsto.

Un límite de 10 Mbps por dispositivo controla la demanda. Un tiempo de expiración de sesión de un día y una concesión DHCP adecuadamente corta liberan el acceso y las direcciones cuando los invitados se marchan. Prueba desde dos dispositivos de invitados y desde uno del personal: los invitados deben acceder a internet tras completar el portal, no poder acceder a los sistemas internos ni poder comunicarse entre sí. Comprueba cada resultado por separado para que un resultado correcto no oculte otro control ausente.

Aplica el mismo principio de separación a los dispositivos IoT y BYOD. Asígnales una VLAN o un rol adecuado y permite solo los destinos que necesitan. Una cámara que sube datos a un servicio no necesita acceso a los servidores de nóminas.

Un usuario que informa de Wi-Fi lento puede tener una señal fuerte y casi ningún tiempo de uso del canal libre. Recoge mediciones antes de ajustar los canales o la potencia para que la solución aborde el límite real.

Compara los principales síntomas

Registra el nivel de señal, el nivel de ruido de fondo, la SNR, la ocupación del canal, la tasa de retransmisiones y la tasa de transmisión del cliente. La ocupación del canal mide cuánto tiempo está ocupado; la tasa de retransmisiones mide cuánto tráfico debe enviarse de nuevo. Compara las zonas afectadas y no afectadas y los momentos en que los usuarios observan el fallo.

Son indicios para el diagnóstico. Confirma la causa con mediciones concordantes antes de hacer un cambio permanente.

Distingue CCI de ACI

Con la interferencia cocanal (CCI), las estaciones audibles del mismo canal normalmente se turnan. El coste práctico es la contienda y la reducción del tiempo de uso del canal disponible. Los canales más estrechos, las celdas más pequeñas, un conjunto más amplio de canales y la desactivación de radios de 2,4 GHz sobrantes pueden mejorar la reutilización. Añadir puntos de acceso en el mismo canal audible puede empeorar el problema.

La interferencia de canal adyacente (ACI) procede de canales parcialmente solapados, como el 1 y el 4 en 2,4 GHz, o de señales muy fuertes en canales cercanos. Las tramas se corrompen porque los receptores no pueden coordinarse con la señal no deseada. Usa los canales 1, 6 y 11 de 20 MHz, reduce la potencia excesiva y separa adecuadamente las radios cercanas.

Encuentra energía ajena a Wi-Fi

Un analizador Wi-Fi informa de las WLAN que puede decodificar; un analizador de espectro también ve otra energía de radiofrecuencia. Los hornos microondas pueden producir ráfagas cerca de 2,45 GHz, Bluetooth salta por 2,4 GHz y los equipos de vídeo inalámbrico u otros equipos IoT pueden ocupar canales. Relaciona el patrón de energía con los momentos en que funciona la fuente sospechosa. Mueve, sustituye o retira la fuente o traslada a los clientes a un canal o banda no afectados.

Para la lentitud a la hora del almuerzo cerca de una cocina, compara las mediciones con el horno en marcha y apagado. Si las ráfagas de la parte superior de la banda coinciden con el problema, traslada los clientes de doble banda a 5 GHz y prueba un canal de 2,4 GHz más limpio para los dispositivos restantes.

Corrige la cobertura y los casos especiales

Las nuevas existencias, las paredes, los elementos metálicos, un montaje deficiente o unas antenas incorrectas pueden crear zonas débiles. Estudia la ruta afectada y mueve, añade o reorienta puntos de acceso. Aumentar solo la potencia del punto de acceso deja igual el enlace ascendente del cliente y puede extender la contienda a mayor distancia.

Muchas retransmisiones con buena señal del punto de acceso pueden indicar nodos ocultos: los clientes en lados opuestos de la celda no pueden oírse entre sí. RTS/CTS, celdas más pequeñas o menos clientes por radio pueden ayudar. Ante cambios bruscos de canal, inspecciona los registros DFS y elimina del plan de canales permitido del emplazamiento los canales afectados repetidamente, manteniendo las protecciones regulatorias.

Empieza por el alcance: un dispositivo, una ubicación, un SSID o toda la WLAN. Pregunta cuándo empezó el fallo y qué cambió y después sigue al cliente desde el descubrimiento hasta el acceso a las aplicaciones.

Encuentra la primera etapa que falla

1. Visibilidad del SSID: comprueba las bandas que admite el cliente, su controlador, la radio habilitada, la WLAN anunciada y la cobertura. Un escáner que solo admite 2,4 GHz no puede ver un servicio exclusivo de 5/6 GHz.
2. Autenticación y asociación: comprueba la compatibilidad de seguridad. Un cliente que solo admite WPA2 no puede conectarse a un servicio exclusivo de WPA3; los requisitos de PMF o transición rápida no admitidos también pueden bloquear la conexión.
3. Establecimiento de claves: una contraseña WPA2 incorrecta suele hacer fallar el intercambio de cuatro pasos. Una contraseña WPA3-Personal incorrecta hace fallar SAE antes, previo a la asociación.
4. Direccionamiento: comprueba la VLAN del cliente, el ámbito DHCP y el agente de retransmisión.
5. Acceso a las aplicaciones: comprueba la puerta de enlace, DNS, la política de cortafuegos y la finalización del portal.

Para la autenticación Enterprise, examina la accesibilidad de RADIUS, el secreto compartido, la autorización del usuario y los certificados. Un certificado de servidor caducado afecta a todos los clientes que lo validan; un reloj incorrecto en un cliente puede afectar solo a ese dispositivo. Los intentos fallidos repetidos pueden activar una exclusión temporal, así que comprueba también el estado del cliente en el controlador.

Usa la dirección como prueba

Una dirección IPv4 de 169.254.0.0/16 suele indicar que, tras fallar un intento DHCP, se ha aplicado direccionamiento automático de enlace local. Tanto la asociación como el cifrado pueden estar funcionando. Comprueba la asignación de SSID a VLAN, las VLAN permitidas en un enlace troncal de conmutación local, la configuración del agente de retransmisión y las concesiones DHCP disponibles.

Si el cliente tiene la dirección prevista, prueba primero su puerta de enlace. Compara el acceso por dirección IP con el acceso por nombre para investigar DNS. Comprueba si aún falta completar el portal. Cambiar la contraseña inalámbrica no repara un conjunto de direcciones DHCP agotado.

Investiga las desconexiones repetidas y la itinerancia

Relaciona las marcas de tiempo y los códigos de motivo de desconexión con los registros del controlador. Busca cobertura débil en los bordes, interferencias, DFS, reautenticación de sesión, direccionamiento agresivo entre bandas o fallos del controlador y del ahorro de energía del cliente.

Un cliente persistente en un punto de acceso permanece con un punto de acceso lejano aunque haya uno mejor disponible. El cliente decide cuándo cambiar. Reduce el solapamiento excesivo de celdas, revisa las tasas de transmisión obligatorias bajas y usa la asistencia 802.11k/v con clientes compatibles. Para los cortes de voz al caminar, prueba la cobertura secundaria al nivel objetivo y verifica la compatibilidad con 802.11r. Una seguridad incoherente o un cambio de subred no admitido pueden interrumpir el servicio incluso con buena señal.

Comprueba los límites más allá de la radio

Si todos los clientes de un punto de acceso van lentos, inspecciona la velocidad de su puerto Ethernet, los errores y el estado PoE. Un cable dañado puede negociar a 100 Mbps y limitar una radio Wi-Fi rápida. Compara una prueba local de tasa de transferencia efectiva con una prueba de internet para distinguir los límites de la WLAN de los de la conexión hacia redes externas.

En Windows, netsh wlan show interfaces informa del SSID, el BSSID, el canal y la seguridad actuales. En macOS, usa Diagnóstico Inalámbrico o sudo wdutil info donde se admita. En Linux, iw dev wlan0 link usa el nombre real de la interfaz; nmcli dev wifi enumera los servicios cercanos. Combina estas observaciones del cliente con los registros del punto de acceso/controlador, haz un cambio dirigido y vuelve a probar el síntoma original.