Una red Wi-Fi corporativa segura debe responder tres preguntas: quién se conecta, a qué puede acceder y cómo se comprueba que los controles siguen funcionando. Una contraseña extensa ayuda, pero no sustituye la identidad individual, la segmentación ni la administración de los equipos.

Esta guía presenta una base técnica independiente del fabricante para oficinas y organizaciones con personal, visitantes y dispositivos conectados. Las configuraciones son orientativas: deben ajustarse al inventario, los riesgos y las capacidades reales de cada entorno. No constituyen una certificación de cumplimiento ni reemplazan una evaluación del sitio.

1. Qué debe proteger una red inalámbrica empresarial

La señal puede atravesar los límites físicos de una oficina. Por eso, estar cerca del edificio no debe conceder confianza. Los riesgos incluyen conexiones no autorizadas, puntos de acceso ajenos, redes que imitan el nombre corporativo, equipos comprometidos y accesos excesivos desde invitados o IoT. También importan la disponibilidad y la calidad de servicio: interferencias, saturación y fallas de autenticación pueden detener la operación.

El diseño debe combinar cinco controles: autenticación verificable, cifrado vigente, permisos mínimos, infraestructura administrada y evidencia operativa. Ninguno reemplaza a los demás. El cifrado Wi-Fi protege el enlace inalámbrico; las aplicaciones deben mantener HTTPS/TLS y sus propios controles de acceso.

2. Separar empleados, invitados, IoT y administración

Antes de configurar un SSID —el nombre de la red—, clasifica los dispositivos y sus necesidades. Una arquitectura inicial puede usar tres SSID y una red de administración independiente. Evita crear un SSID por departamento sin necesidad: las transmisiones de gestión consumen tiempo de radio. Cuando la plataforma lo permita, asigna roles o VLAN dinámicamente desde el servicio de autenticación.

Zona de ejemplo	Acceso recomendado	Permisos
CORP · VLAN 10	802.1X con EAP-TLS; dispositivos administrados.	Aplicaciones autorizadas según identidad, rol y, si existe integración, estado del dispositivo.
GUEST · VLAN 20	Enhanced Open/OWE si es compatible; admisión y caducidad según política.	Internet y servicios auxiliares indispensables. Sin acceso a redes internas, administración ni otros invitados.
IOT · VLAN 30	EAP-TLS cuando sea posible; credenciales por dispositivo como alternativa compatible.	Solo controladores, destinos y puertos documentados. Internet únicamente cuando sea necesario.
MGMT · VLAN 99	Acceso administrativo restringido, preferentemente por red cableada o acceso remoto seguro.	AP, controladores y servicios de gestión. No se ofrece como SSID de uso general.

Un SSID diferente no demuestra aislamiento. Cada zona necesita un segmento o rol efectivo y reglas de firewall/ACL con denegación por defecto. Aplica la política a IPv4 e IPv6 y comprueba qué ocurre entre clientes del mismo AP, de AP distintos y de la red cableada. El aislamiento de clientes de un fabricante puede cubrir solo parte de esos caminos.

Para invitados, bloquea todos los prefijos internos de la organización, incluidos los públicos que use internamente y las redes de administración. Bloquear únicamente direcciones privadas IPv4 no basta. Si se requiere descubrimiento de impresoras o pantallas mediante mDNS, usa un servicio controlado y excepciones concretas, no una unión general entre segmentos.

3. Elegir WPA3, WPA2 y PMF con criterio

Opción	Uso corporativo	Precaución
WPA3-Enterprise	Opción preferida para equipos compatibles, con 802.1X y EAP-TLS.	Validar soporte de AP, clientes, controladores y perfiles. El modo de 192 bits requiere compatibilidad específica; no es obligatorio para toda empresa.
WPA2-Enterprise con AES-CCMP	Excepción transitoria para clientes heredados en bandas compatibles.	Segmentar, documentar responsable y fecha de retiro. No habilitar TKIP para conservar equipos obsoletos.
WPA3-Personal con SAE	Posible alternativa para casos acotados sin 802.1X.	Una contraseña compartida no aporta identidad individual. No equipararla a una arquitectura Enterprise.
Enhanced Open / OWE	Cifrado del enlace para visitantes sin contraseña, cuando los clientes lo soporten.	No autentica la identidad del AP ni del visitante. Mantener aislamiento, HTTPS y controles de admisión cuando correspondan.

Deshabilita WEP, WPA original, TKIP y WPS. Configura Protected Management Frames (PMF) como obligatorio en WPA3 y en los escenarios de 6 GHz que lo requieren. En excepciones WPA2, habilítalo y exige su uso donde los clientes lo soporten; registra cualquier dependencia que impida hacerlo.

PMF protege determinadas tramas de gestión robustas, como desautenticación y desasociación, una vez establecida la protección. No cifra toda la gestión inalámbrica ni impide interferencias de radio o cualquier denegación de servicio. Ocultar el SSID y filtrar direcciones MAC tampoco ofrecen una autenticación sólida.

6 GHz necesita una planificación propia. Los despliegues Wi-Fi 6E/7 en esta banda usan WPA3 o Enhanced Open, según el tipo de acceso, con PMF; no admiten WPA2 ni los modos de transición heredados de WPA2/WPA3. Verifica además la regulación vigente de SUBTEL, el dominio regulatorio configurado y las bandas y potencias permitidas en Chile. Una etiqueta “Wi-Fi 7” no garantiza una configuración segura.

4. Implementar 802.1X y EAP-TLS sin debilitar la validación

En 802.1X intervienen el cliente o supplicant, el AP/controlador como autenticador y un servidor de autenticación, habitualmente RADIUS. Con EAP-TLS, el cliente y el servidor se autentican mediante certificados. El AP transporta el intercambio; las claves privadas no se envían entre los participantes. Después, la política de autorización determina el rol o la VLAN y los permisos efectivos.

Distribuye los perfiles con MDM o políticas corporativas, en lugar de pedir que cada persona configure la red manualmente. Define el SSID exacto, el método EAP permitido, las autoridades de confianza autorizadas y los nombres esperados de los servidores. No permitas que el usuario acepte un certificado desconocido para “resolver” una advertencia: esa práctica elimina una defensa esencial frente a una red impostora. En Windows, revisa explícitamente las opciones de validación del certificado del servidor.

Los certificados deben tener cadena de confianza válida, vigencia, identidad y usos de clave adecuados: autenticación de servidor para RADIUS y de cliente para el equipo o usuario, según el diseño. Prefiere claves privadas no exportables y protegidas por hardware cuando sea viable. No distribuyas el mismo certificado y clave privada a toda la flota.

Prepara el ciclo completo de PKI: inscripción inicial, renovación anticipada, inventario, recuperación y revocación por baja o pérdida del equipo. Define cómo se verifica la revocación y qué sucede si falla ese servicio. Algunos clientes todavía no tienen conectividad normal durante la autenticación; por ello, no supongas que siempre podrán consultar una CRL u OCSP. Prueba los mecanismos que realmente soporten cliente, servidor y versión de EAP-TLS.

Revocar un certificado no termina necesariamente una sesión ya establecida. Complementa la baja con bloqueo en la política, cierre administrativo de sesiones cuando corresponda y tiempos de reautenticación acordes al riesgo. Si se requiere identidad de máquina antes del inicio de sesión, define ese flujo de forma expresa y valida sus permisos.

Dispón de redundancia RADIUS, sincronización horaria y un procedimiento de recuperación. Protege el transporte y el acceso entre AP/controlador y RADIUS: utiliza una red restringida; para enlaces no confiables, evalúa RADIUS sobre TLS o IPsec con soporte en ambos extremos. Usa secretos únicos y robustos cuando se requieran y limita los clientes RADIUS autorizados. No expongas el servicio directamente a Internet. Una caída de autenticación no debe convertir la red corporativa en una red abierta.

5. Traducir la segmentación en reglas comprobables

Construye una matriz de flujos antes de abrir puertos. Cada excepción debe indicar origen, destino, protocolo, puerto, propósito, responsable y revisión. Permite DNS, DHCP y NTP mediante la infraestructura designada; contempla las particularidades de IPv6, incluido ICMPv6 necesario para su funcionamiento. Evita reglas amplias de “cualquier origen a cualquier destino”.

Si existe un sistema NAC, vincula identidad y cumplimiento del dispositivo con permisos concretos. NAC no es un requisito para comenzar, y disponer de él no sustituye las reglas. Un equipo administrado tampoco necesita acceso ilimitado: aplica controles adicionales a servidores, respaldos y aplicaciones sensibles.

6. Gestionar visitantes, BYOD e IoT

Invitados: establece duración de acceso, límites razonables de consumo y aislamiento. Un portal cautivo puede registrar una aceptación o un cupón, pero por sí solo no cifra el enlace ni verifica una identidad. Si necesitas compatibilidad con dispositivos sin OWE, evalúa una red separada y restringida, informa sus limitaciones y evita ampliar por esa razón el acceso a sistemas internos.

BYOD: no incorpores automáticamente equipos personales al mismo nivel de confianza que los corporativos. Proporciona acceso limitado a aplicaciones o a una zona específica; condiciona permisos adicionales a requisitos y consentimiento claros. Evita recolectar datos personales que no sean necesarios para operar y proteger el servicio.

IoT: inventaría modelo, firmware, responsable y destinos requeridos. Prioriza EAP-TLS; si no existe, evalúa claves por dispositivo —PPSK, DPSK o denominaciones equivalentes— verificando exactamente qué modos y bandas admite el fabricante. No todos estos mecanismos funcionan con SAE o con 6 GHz. Si solo es viable WPA2-Personal con AES-CCMP, trátalo como excepción aislada y con plan de sustitución. La identificación basada únicamente en MAC no debe considerarse una identidad fuerte.

Separa dispositivos con funciones o riesgos distintos cuando lo necesiten: una cámara no debe heredar los permisos de una impresora. Limita la comunicación lateral, configura actualizaciones y deshabilita servicios de administración innecesarios. Si un equipo no puede operar bajo controles razonables, considera conexión cableada aislada o reemplazo.

7. Diseñar cobertura, capacidad y continuidad

Realiza un estudio de cobertura y capacidad considerando materiales, densidad de usuarios, voz, videoconferencia y movilidad. Ajustar todos los AP a potencia máxima puede aumentar interferencias y producir enlaces asimétricos: el cliente no siempre transmite con la misma potencia.

En 2,4 GHz, 20 MHz suele ser una base prudente en oficinas densas; elige canales según el dominio regulatorio y el estudio del sitio. En 5 y 6 GHz, selecciona anchos de canal según capacidad y reutilización: usar siempre el mayor ancho no garantiza mejor experiencia. Verifica eventos DFS donde apliquen y mide pérdida, latencia, retransmisiones y utilización del canal, además de la intensidad de señal.

Valida el roaming con los clientes reales antes de activar funciones como 802.11r. Documenta las combinaciones compatibles de seguridad y movilidad. Considera alimentación PoE, UPS, enlaces de salida y redundancia de controladores o servicios en la nube. Si el diseño depende de Internet para autenticar o administrar, prueba qué servicios sobreviven a una interrupción y con qué restricciones.

8. Proteger AP, controladores y consolas

La consola inalámbrica controla un acceso importante a la organización. Usa cuentas nominativas, privilegios por función y MFA cuando esté disponible, especialmente en portales de administración en la nube. Restringe la consola a redes de gestión y accesos remotos autorizados; no publiques interfaces administrativas directamente en Internet.

• Cambia credenciales iniciales y elimina cuentas o servicios que no se utilicen. Si existe una cuenta de emergencia, custódiala y audita su uso.
• Prefiere HTTPS con certificados válidos, SSH cuando sea necesario y SNMPv3 con autenticación y privacidad. Deshabilita Telnet, HTTP administrativo y protocolos de gestión inseguros.
• Registra inventario, versiones, fin de soporte y avisos de seguridad. Prueba y aplica actualizaciones en ventanas acordes a su criticidad.
• Guarda respaldos cifrados de configuración, controla quién puede leerlos y prueba la restauración. Pueden contener secretos y datos sensibles.
• Audita cambios, integraciones y tokens de API. En servicios en la nube, revisa roles, retención de registros, recuperación de cuenta y responsabilidades compartidas.
• Protege físicamente AP y puertos de acceso. Controla la incorporación de equipos de red no autorizados.

9. Configurar y acompañar a los usuarios

Mantén sistema operativo, controladores inalámbricos y protección del endpoint actualizados. Distribuye perfiles administrados, retira redes antiguas y restringe la conexión automática a redes no aprobadas cuando la plataforma lo permita. Mantén firewall local, cifrado del dispositivo y controles de acceso a aplicaciones.

Explica una regla sencilla: ante un aviso inesperado de certificado, detener la conexión y contactar a TI. El nombre conocido de una red no demuestra que sea legítima. Evita compartir contraseñas corporativas mediante mensajes o códigos QR de uso general; en redes con certificados, usa el proceso de inscripción autorizado.

Define una política para puntos de acceso personales y puentes entre redes, porque pueden eludir la segmentación. En viajes y redes externas, utiliza aplicaciones con TLS y el acceso remoto corporativo aprobado cuando corresponda. Una VPN protege su túnel, pero no corrige un endpoint comprometido ni convierte una red en confiable.

10. Monitorear y responder con evidencia

Centraliza registros de AP/controlador, RADIUS, DHCP, DNS, firewall y gestión, y sincroniza sus relojes. Correlaciona identidad o certificado, sesión, dirección IP, rol y AP. La aleatorización de MAC hace insuficiente seguir únicamente una dirección física. Limita la retención y el acceso a los registros según su propósito y las obligaciones aplicables. El enfoque de NIST para WLAN abarca diseño, configuración, mantenimiento y monitoreo durante todo el ciclo de vida.

Define alertas útiles: fallas de autenticación inusuales, certificados próximos a vencer, cambios administrativos no previstos, equipos sin soporte, pérdida de servicio RADIUS y AP desconocidos conectados a la infraestructura. Una red vecina o un SSID duplicado es una señal para investigar, no prueba suficiente de un ataque.

Si se utiliza Wazuh u otro SIEM, confirma primero que la integración recibe e interpreta los campos necesarios. Documenta quién investiga y qué acciones puede tomar: deshabilitar una credencial, cerrar una sesión, aislar un dispositivo o revertir una configuración. No actives contención inalámbrica automática contra redes ajenas. Conserva evidencia y coordina cualquier medida que pueda interrumpir servicios.

11. Validar la configuración sin afectar la producción

Prueba únicamente sobre activos propios o autorizados, con alcance y ventana definidos. Estas comprobaciones no requieren capturar contraseñas ni interrumpir clientes ajenos. Una conexión exitosa demuestra disponibilidad, pero no que la identidad del servidor o el aislamiento estén bien configurados.

Prueba	Resultado esperado	Evidencia
Equipo administrado y certificado válido	Autentica y recibe su rol correcto.	Registro RADIUS, sesión del controlador y acceso a una aplicación autorizada.
Certificado no confiable, vencido o revocado de prueba	Se rechaza según la política documentada.	Motivo de rechazo. Para revocación, cerrar la sesión de prueba y provocar una nueva autenticación.
Validación del servidor	El perfil rechaza una CA o un nombre no autorizado, sin aceptación manual.	Revisión del perfil y prueba en laboratorio aislado, sin imitar la red en producción.
Invitado hacia un servicio interno controlado	No establece la conexión no autorizada, en IPv4 e IPv6.	Prueba de puerto y registro de denegación; no depender solo de ping.
Comunicación entre clientes	Se cumple el aislamiento definido en el mismo AP, entre AP y hacia la red cableada.	Resultados por camino probado, incluidos segmentos con excepciones.
Caída de RADIUS, renovación y restauración	La recuperación respeta la política sin abrir accesos generales.	Prueba controlada y procedimiento validado en una ventana autorizada.

Para revisar el estado local en Windows, pueden utilizarse estos comandos de consulta:

netsh wlan show interfaces
netsh wlan show drivers

En Linux con NetworkManager:

nmcli -f IN-USE,SSID,SECURITY,SIGNAL device wifi list
nmcli connection show --active

La información mostrada depende del controlador y del sistema. Estos comandos ayudan a identificar conexión y capacidades, pero no prueban por sí solos PMF, validación de certificados o reglas de acceso. Para una prueba puntual de servicio en Windows, usa Test-NetConnection -ComputerName <servidor-de-prueba-autorizado> -Port 443, sustituyendo el marcador por un destino controlado. Contrasta el resultado con los registros del firewall: una falla también puede deberse a DNS o a que el servicio está detenido.

12. Lista de control y adopción por etapas

• Inventario y responsables de AP, clientes, IoT, RADIUS y certificados.
• WPA3-Enterprise/EAP-TLS como objetivo; excepciones heredadas documentadas.
• Validación estricta del servidor y perfiles administrados.
• Renovación, revocación y baja de sesiones probadas.
• PMF configurado; WEP, WPA original, TKIP y WPS deshabilitados.
• Segmentación y reglas verificadas en IPv4 e IPv6.
• Invitados, BYOD e IoT con permisos limitados.
• Administración restringida, MFA donde exista y registros de cambios.
• Firmware soportado, respaldo protegido y restauración comprobada.
• Cobertura, capacidad, roaming y contingencia medidos.
• Alertas con responsables y procedimientos de respuesta.
• Revisión periódica y después de cambios importantes.

Como secuencia de adopción, comienza por inventario y flujos; continúa con PKI y un piloto de EAP-TLS; despliega luego segmentación y perfiles por grupos; finalmente valida operación y retiro de excepciones. Un primer ciclo de 30 días puede servir para diagnóstico y piloto si la infraestructura está disponible. La migración completa dependerá del parque de dispositivos, el soporte y los cambios de red necesarios.

El objetivo es que cada conexión tenga una identidad verificable, permisos justificables y controles comprobables. Así, Wi-Fi se integra a la seguridad de la organización y deja de depender de una contraseña compartida. Para evaluar el diseño actual o planificar una mejora, puedes contactar a I3G.