Portal cautivo (CWA) el portero de la red de invitados

Autenticación que vive en la red, no en el AP

Central Web Authentication separa el unirse de el estar autorizado. El cliente se asocia a un SSID abierto de invitados y el controlador corre MAC Authentication Bypass hacia un servidor RADIUS (Cisco ISE), que responde con acceso provisional: una redirect ACL que permite solo DHCP, DNS y el portal, más una URL a donde enviar el navegador. Las credenciales del usuario nunca tocan el punto de acceso — terminan en ISE.

Cuando el usuario inicia sesión o acepta los términos, ISE emite un Change of Authorization de vuelta al controlador, que reevalúa la misma sesión y aplica acceso completo. Nada del enlace de radio cambió; solo el permiso.

Dónde se rompe, y el sucesor en Wi-Fi 6E

Dos fallas dominan los tickets de CWA, y la lámina reproduce ambas: una redirect-ACL cuyo nombre ISE envía pero el controlador nunca definió (el cliente se onboardea hacia un agujero negro), y un Change of Authorization bloqueado por un firewall en UDP 1700 (el usuario inicia sesión pero el acceso nunca se abre). En un SSID abierto de Wi-Fi 5 el enlace mismo va en claro, así que el HTTPS del portal es lo único que protege las credenciales — exactamente por eso la lámina de Wi-Fi 6E corre el mismo flujo sobre un enlace cifrado con OWE.