Hotspot de Sophos Firewall con voucher o contraseña diaria

Un hotspot de Sophos Firewall habilita el acceso a Internet de los invitados solo después de que inicien sesión. Para accesos limitados individualmente se utilizan vouchers. Una contraseña diaria es más sencilla, pero todos los invitados comparten la misma.

El requisito previo es una red Wi-Fi para invitados separada con Client traffic: Separate zone. El hotspot no sustituye ni la segmentación de red ni unas reglas de firewall correctamente limitadas.

Según el país, los hotspots ofrecidos al público pueden estar sujetos a obligaciones de registro, filtrado, privacidad o conservación. Estos requisitos legales deben revisarse para la ubicación concreta antes del despliegue; la configuración de SFOS por sí sola no los resuelve.

Las rutas de menú y los nombres de campo de esta guía corresponden a SFOS 22.0. En versiones anteriores, compare la pantalla con la ayuda de Sophos correspondiente antes de realizar cambios.

⚠️ Importante: Este procedimiento solo se aplica al hardware Wi-Fi administrado directamente por SFOS. Los puntos de acceso AP6 no se administran mediante Sophos Firewall. Por tanto, en la práctica, el hotspot resulta relevante sobre todo para instalaciones APX existentes, el LocalWiFi integrado de los modelos de sobremesa W y los módulos Wi-Fi compatibles de Sophos Firewall o SD-RED. Configurar Wi-Fi directamente en Sophos Firewall explica la delimitación del hardware y la red de invitados.

El procedimiento completo es el siguiente:

Comprobar la red Wi-Fi para invitados separada y la interfaz Wireless.
Elegir una definición de voucher o una contraseña diaria.
Asignar el hotspot a la interfaz de invitados.
Comprobar la regla de firewall creada automáticamente.
Crear el voucher y probar el acceso con un cliente nuevo.

¿Voucher, contraseña diaria o solo condiciones de uso?

Los tres tipos de hotspot resuelven necesidades distintas:

Voucher: Cada invitado recibe un código propio. Se pueden limitar la validez, el tiempo de conexión, el volumen de datos y el número de dispositivos permitido. Es adecuado para visitantes, técnicos externos, hoteles o eventos.
Password of the day: Todos los invitados utilizan la misma contraseña. Es fácil de distribuir en ubicaciones pequeñas, pero no permite una asignación individual.
Terms of use acceptance: Los invitados solo tienen que aceptar las condiciones de uso. Session expires determina cuándo deben aceptarlas de nuevo. Este tipo presenta la barrera de acceso más baja, pero no controla quién utiliza el acceso.

Para el siguiente ejemplo, Voucher es la opción más adecuada. Combina una entrega sencilla en recepción con límites técnicos claros.

Un usuario invitado en Sophos Firewall, en cambio, es una cuenta local temporal con Username, contraseña, grupo e inicio de sesión en Captive Portal. Este modelo es adecuado cuando cada persona necesita una identidad con Access Time o cuotas; no es otro tipo de hotspot.

La contraseña diaria tiene un efecto secundario importante: en cuanto se genera una nueva contraseña, SFOS finaliza las sesiones de hotspot existentes. Los invitados deben volver a iniciar sesión. La opción Override wireless networks’ passphrase también cambia la PSK de la red Wi-Fi y vuelve a configurar o reinicia los puntos de acceso correspondientes. Por tanto, esta opción solo debe utilizarse de forma consciente y con una interrupción planificada.

Comprobar los requisitos previos

Wireless abarca más que los hotspots. Esta guía trata el control de acceso del hotspot, no la creación y administración de redes inalámbricas, puntos de acceso, clientes o redes mesh. WPA2/AES y la detección de puntos de acceso no autorizados también son temas de WLAN independientes; un hotspot que funciona no verifica su configuración ni la seguridad de toda la WLAN. Complete la configuración de la WLAN de invitados antes de asignar la interfaz como se indica a continuación.

El artículo parte de una red Wi-Fi para invitados que ya se está emitiendo. Antes de configurar el hotspot, deben funcionar los siguientes elementos:

La Wireless Network utiliza Separate zone y dispone de una interfaz propia.
Un cliente de prueba recibe mediante DHCP una dirección, una puerta de enlace y servidores DNS.
La hora del sistema, la zona horaria y NTP del firewall son correctos. Entre otros aspectos, influyen en la validez de los vouchers y el cambio de la contraseña diaria.
La red de invitados no se solapa con LAN, VPN, RED ni otras VLAN.
Las redes internas y la administración del firewall están bloqueadas para los invitados.
Se han definido políticas adecuadas de Web, Application, IPS y Traffic Shaping para el hotspot.
Se ha previsto un usuario o grupo para emitir los vouchers.
Para Redirect to HTTPS existen un nombre de portal, DNS y un certificado de confianza adecuados.

Si se utiliza un módulo Wi-Fi en SD-RED, también deben funcionar la conexión RED, DHCP, DNS, NTP y los puertos RED necesarios. Configurar y probar Sophos SD-RED explica el flujo de datos completo y la delimitación de los modos de funcionamiento.

El ejemplo utiliza los siguientes valores:

SSID: Company Guest
red de invitados: 10.30.40.0/24
puerta de enlace: 10.30.40.1
hotspot: Guest WiFi Reception
definición de voucher: Guest-8h-2GB
un dispositivo por voucher
ocho horas de conexión
2 GB de volumen de datos
un día de validez desde el primer inicio de sesión

Estos valores no son una recomendación general. El vestíbulo de un hotel, un evento de un día y el acceso para técnicos externos requieren límites distintos.

Conservar la configuración existente

Antes de editar un hotspot en producción, anote o capture sus interfaces, políticas, tipo, usuarios administrativos, redirecciones, personalización y posición de la regla de firewall creada automáticamente. Cambiar el tipo, las interfaces o la contraseña diaria puede afectar de inmediato a los accesos activos. Realice el cambio en una ventana de mantenimiento y tenga disponible un cliente de prueba.

Para volver atrás, restaure estos valores y la posición original de la regla, guarde y pruebe con un cliente nuevo. Para Voucher, cree un código de prueba nuevo. Con Password of the day, recuerde que otro cambio de contraseña vuelve a finalizar las sesiones activas.

Configurar el hotspot con vouchers

1. Crear la definición de voucher

En Wireless > Hotspot voucher definition > Add se definen los límites de un voucher:

Name: Guest-8h-2GB
Validity period: 1 day
Time quota: 8 hours
Data volume: 2 GB

Los tres valores no tienen el mismo efecto:

Validity period empieza con el primer inicio de sesión. En el ejemplo, el voucher deja de ser válido como máximo un día después, aunque todavía no se haya agotado el tiempo o los datos disponibles.
Time quota cuenta el tiempo real de conexión desde el inicio de sesión y se detiene al cerrar la sesión. También deja de contar después de cinco minutos de inactividad.
Data volume limita el volumen total transferido mediante este voucher.

De esta forma, un invitado puede conectarse varias veces durante el periodo de validez de un día que comienza con el primer inicio de sesión, pero como máximo durante ocho horas y hasta un límite de 2 GB. Cuando se alcanza uno de los tres límites, el voucher deja de ser válido.

Pulse Save. La definición queda disponible para hotspots de vouchers nuevos o existentes.

2. Crear el hotspot

En Wireless > Hotspots > Add se crea el acceso propiamente dicho:

Introducir Name: Guest WiFi Reception.
En Interfaces, hacer clic en Add new item, seleccionar la interfaz de Company Guest y confirmar con Apply selected items.
Seleccionar las políticas adecuadas de Application filter policy, Web policy, IPS policy y Traffic shaping policy.
Establecer Hotspot type: Voucher.
En Voucher definitions, seleccionar Guest-8h-2GB.
Establecer Devices per voucher: 1.
En Administrative users, introducir los usuarios responsables de emitir vouchers o el grupo correspondiente.
Active Users have to accept terms of use e introduzca las condiciones si se requiere una aceptación adicional.
Active Redirect to HTTPS. Un Hostname personalizado solo puede contener letras, números y guiones, y no distingue mayúsculas de minúsculas.
Opcionalmente, active Redirect to URL after login e introduzca una URL de destino completa.
Opcionalmente, activar Enable customization y después elegir Basic o Full en el campo independiente Customization type.
Guarde con Save.

Al asignar una interfaz, todos los puntos de acceso asociados a ella se convierten en hotspots. Por tanto, antes de guardar, comprobar qué puntos de acceso proporcionan la red Wi-Fi de invitados a través de esta interfaz; el efecto no se limita al punto de acceso de recepción. Sigue siendo aplicable la limitación indicada anteriormente al hardware Wi-Fi gestionado directamente por SFOS.

Devices per voucher: 1 significa que el mismo código no se puede utilizar en otros dispositivos. Si un visitante debe conectar, por ejemplo, un portátil y un smartphone, hay que aumentar deliberadamente el número de dispositivos o emitir un segundo voucher.

Las políticas de protección se aplican al tráfico permitido mediante la regla de hotspot creada automáticamente. Para los invitados no conviene adoptar sin más los mismos permisos que para los usuarios internos. Un acceso web limitado, Application Control, IPS y un límite de ancho de banda adecuado suelen ser un mejor punto de partida.

Con Basic, elija directamente el logotipo, Title y Custom text. SFOS admite .jpg, .jpeg, .png y .gif para el logotipo. Sophos recomienda un máximo de 300 × 100 píxeles y ofrece Scale logo to recommended size para imágenes mayores. Use Full solo si puede mantener de forma controlada toda la página de inicio de sesión, la hoja de estilo y los recursos, y volver a probarlos tras las actualizaciones.

Custom text puede incluir, por ejemplo, la SSID Company Guest y admite marcado HTML sencillo e hipervínculos. Para un logotipo, un título y un aviso breve, Basic es la opción recomendada y más fácil de mantener; sigue siendo obligatorio mantener y probar Full.

La URL de destino opcional solo se usa después de iniciar sesión correctamente. No sustituye a DNS ni a la redirección de Captive Portal. Para la aceptación, elija una página HTTPS que el invitado pueda alcanzar realmente mediante la regla de hotspot.

3. Definir HTTPS, el certificado y Walled Garden

En Wireless > Hotspot settings se encuentran tres ajustes globales. No solo se aplican al hotspot recién creado, por lo que deben comprobarse teniendo en cuenta todos los hotspots existentes:

Login page certificate: Seleccionar el certificado para la página de inicio de sesión HTTPS. El nombre o la dirección IP utilizados deben estar cubiertos por el certificado, resolver completamente hacia el firewall y utilizar una cadena de certificados en la que confíen los dispositivos de los invitados. De lo contrario, aparecerá una advertencia del navegador a pesar de utilizar HTTPS. Let’s Encrypt en Sophos Firewall explica la emisión y renovación. El certificado se selecciona en el desplegable Login page certificate y se aplica con Apply. SFOS permite seleccionar los certificados válidos presentes en el firewall; sin embargo, que un certificado sea válido en el firewall no significa automáticamente que los dispositivos de los invitados confíen en él.
Walled garden: Introducir únicamente los destinos que deben ser accesibles antes del inicio de sesión, por ejemplo, una página concreta con las condiciones de uso. Cada red y dominio adicionales amplían el acceso sin voucher. Para Walled garden, hacer clic en Add new item y seleccionar la red o el host necesario. Si el objeto de destino no existe, crear un nuevo host o dominio con Add. A continuación, aplicar con Apply y comprobar desde el cliente de prueba que aún no haya iniciado sesión que solo se pueda acceder a los destinos previstos.
Delete expired vouchers: Eliminar automáticamente los vouchers caducados después de un intervalo elegido de entre 1 y 365 días. Esto mantiene la administración ordenada, pero no sustituye una norma operativa para la emisión y revocación. La limpieza automática se habilita activando Delete expired vouchers, introduciendo el intervalo y haciendo clic en Apply. Antes, definir el intervalo de conservación deseado; la limpieza elimina de la base de datos los vouchers caducados.

La página de inicio de sesión también se puede personalizar. Una adaptación sencilla con logotipo, título y una breve indicación es más fácil de mantener que una plantilla HTML completamente personalizada. Los códigos de voucher reales, los nombres de host internos y los datos de acceso de soporte no deben incluirse en la plantilla ni en capturas de pantalla.

Utilizar de forma segura plantillas propias de inicio de sesión y voucher

En Wireless > Hotspot settings > Download templates, hacer clic en Login page template para descargar la plantilla de inicio de sesión, o en Voucher template para descargar la plantilla de vouchers. Conservar la plantilla de partida descargada y los archivos utilizados actualmente antes de editarlos. La página de inicio de sesión puede utilizar variables como <?login_form?>, <?error?>, <?terms?> y <?asset_path?>; los bloques condicionales solo muestran contenido para el tipo de hotspot o el estado de inicio de sesión correspondiente. Si se crea un formulario propio en lugar de <?login_form?>, deben conservarse la acción y el método que espera SFOS:

<form action="?action=login" method="POST">
  ...
</form>

Dentro de este formulario, el campo de entrada depende del tipo de hotspot. Para Terms of use acceptance, debe incluirse una casilla de verificación con name="accept" y value="true":

<input type="checkbox" name="accept" value="true">

Para Password of the day o Voucher, se utiliza en su lugar un campo de texto con name="token". Los ejemplos no exigen ambos campos de entrada de forma general para todos los tipos de hotspot:

<input type="text" name="token">

Un botón de envío envía el formulario. El siguiente botón es un ejemplo; su etiqueta no es un valor obligatorio fijado por el producto:

<input type="submit" name="sign-in" value="Sign in">

Si se han activado condiciones de uso adicionales, comprobar también su visualización y aceptación en el ejemplo descargado correspondiente. Después de cada cambio, se prueban el inicio de sesión, los mensajes de error, las condiciones de uso, la redirección y el cierre de sesión con un cliente nuevo. Los recursos que se pueden cargar para la personalización completa son .jpg, .jpeg, .png, .ico, .css y .js; los scripts de terceros y el contenido activo innecesario no deben incluirse en una página de inicio de sesión.

Asignar los marcadores de posición de la página de inicio de sesión

<?error?> muestra el mensaje de error devuelto por un intento de inicio de sesión; <?terms?> utiliza los términos de uso definidos para el hotspot en Wireless > Hotspots. <?login_form?> proporciona el formulario adecuado para el tipo de hotspot, como el campo de token o la casilla de aceptación. Un formulario personalizado sustituye este marcador únicamente con los campos dependientes del tipo y el envío descritos anteriormente.

Las variables se sustituyen al generar la página. Para utilizarlas, se debe seguir la estructura de la plantilla de ejemplo descargada, en lugar de inventar una sintaxis propia para los bloques condicionales:

<?admin_message?> proporciona la indicación de un contacto administrativo; <?admin_contact?> utiliza la dirección Send notifications to email address de Administration > Notification settings.
<?asset_path?> indica el directorio de imágenes y hojas de estilo en Full. Por ejemplo, un logotipo se incorpora mediante <img src="<?asset_path?>/logo.png">; logo.png debe proporcionarse como archivo de recursos adecuado.
<?company_logo?> y <?company_text?> utilizan, respectivamente, el logotipo y el texto de la empresa de la personalización sencilla en Wireless > Hotspots.
<?location?> es la URL solicitada por el invitado; <?location_host?>, su nombre de host. No confundir estos valores con la URL de destino configurada para después del inicio de sesión.
<?maclimit?> corresponde a Devices per voucher en Wireless > Hotspots, <?numdevices?> al número de dispositivos definido en la plantilla y <?redirect_host?> a la URL de redirección configurada en Wireless > Hotspots.
<?time_total?>, <?timeend?> y <?traffic_total?> proceden de Wireless > Hotspot voucher definition y muestran la cuota total de tiempo, el periodo de validez y el volumen total de datos del voucher.

Las siguientes condiciones controlan cuándo se muestra una sección; sus nombres no son intercambiables con los valores de salida anteriores:

<?if_loggedin?>: inicio de sesión correcto; <?if_notloggedin?>: aún no se ha iniciado sesión, por ejemplo, por una aceptación pendiente o un error.
<?if_authtype_password?>: Password of the day; <?if_authtype_disclaimer?>: Terms of use acceptance; <?if_authtype_token?>: Voucher.
<?if_location?>: se redirige al usuario; <?if_redirect_url?> o <?if_not_redirect_url?>: Redirect to URL after login está activado o desactivado, respectivamente.
<?if_timelimit?>: existe un periodo de validez; <?if_trafficlimit?>: existe un límite de datos; <?if_timequota?>: existe una cuota de tiempo.
<?if_maclimit?>: Devices per voucher está configurado; <?if_terms?>: las condiciones de uso están activadas y definidas; <?if_error?>: error al iniciar sesión.

Después de realizar cambios, comprobar expresamente los estados afectados: antes y después del inicio de sesión, con y sin redirección, así como con un código incorrecto y las condiciones de uso correspondientes. Esto no garantiza que cada variable proporcione un valor en todos los tipos de hotspot.

Una plantilla propia de voucher se crea como PDF versión 1.5 o posterior. Las variables como <?ssid#?>, <?psk#?>, <?code?>, <?validity?>, <?datalimit?>, <?timelimit?>, <?comment?> y <?qr0?> se colocan cada una en una línea independiente. Para #, siga la asignación de la plantilla de ejemplo de Sophos descargada. Si la plantilla contiene <?psk#?>, la clave Wi-Fi también forma parte del documento de acceso y debe tratarse como una contraseña. Solo deben utilizarse fuentes estándar sin negrita, cursiva ni formatos similares, y la declaración del juego de caracteres indicada en el ejemplo de Sophos debe figurar en la última línea del PDF. Antes del despliegue se genera un voucher real, se imprime o se abre el PDF y se comprueban tanto el código como el inicio de sesión mediante QR.

En la plantilla de vouchers, <?ssid#?> corresponde a la SSID definida en Wireless networks y <?code?> al código del voucher. <?validity?>, <?datalimit?> y <?timelimit?> utilizan Validity period, Data volume y Time quota de Hotspot voucher definition. La especificación del juego de caracteres en la última línea del PDF no se imprime en el voucher. Para <?comment?>, comprobar antes del despliegue qué texto descriptivo aparece realmente en el voucher de prueba generado; esta guía no añade ningún campo de entrada no documentado para ello.

<?psk#?> utiliza la frase de contraseña o las PSK definidas en Wireless networks; <?qr0?> genera un código QR con los datos de acceso al hotspot codificados. La ayuda de la plantilla de vouchers vincula <?comment?> con la descripción en Hotspot voucher definition. Sin embargo, el procedimiento para añadir una definición solo enumera el nombre y los tres límites, no un campo de descripción. Esta vinculación documentada no confirma, por tanto, un campo adicional en todas las compilaciones: compare la plantilla descargada con la pantalla real y compruebe la salida con un voucher de prueba. Si falta la descripción, no dé por supuesto un nombre de campo inventado ni que el valor siempre se rellene.

Cargar los archivos personalizados en el hotspot

La plantilla en producción solo se sustituye después de realizar la copia de seguridad y la preparación descritas anteriormente:

En Wireless > Hotspots, abrir el hotspot deseado, en este ejemplo Guest WiFi Reception.
Activar Enable customization y establecer Customization type en Full.
En Login page template, seleccionar la plantilla de inicio de sesión personalizada mediante Choose File.
En Images/stylesheet, seleccionar y cargar la hoja de estilo correspondiente o los archivos de recursos admitidos mediante Choose File.
Para personalizar la salida de vouchers, seleccionar la plantilla PDF preparada en Voucher template mediante Choose File; proporcionar la hoja de estilo necesaria mediante Images/stylesheet.
Guardar con Save. A continuación, comprobar la nueva página de inicio de sesión con un cliente nuevo y la salida de vouchers con un nuevo código de prueba. Si se produce un error, restaurar los archivos y los ajustes de personalización guardados, guardar y volver a probar.

La selección de archivos puede aparecer en el navegador como Browse en lugar de Choose File. Lo importante es la correspondencia con el campo de carga respectivo, no la etiqueta local del diálogo de archivos.

4. Comprobar la regla de firewall creada automáticamente

Al guardar, SFOS crea una regla de firewall asociada y la coloca al principio de la lista de reglas. Esto resulta práctico, pero es crítico para la seguridad: una regla situada arriba se evalúa antes que las reglas inferiores y, si tiene un alcance demasiado amplio, puede hacerse cargo de tráfico de forma inesperada.

En Rules and policies > Firewall rules, comprobar lo siguiente:

La interfaz y la zona de origen pertenecen únicamente a la red Wi-Fi para invitados.
La zona y las redes de destino no permiten acceder a LAN, servidores, redes de administración ni VPN.
Los Services no son más amplios de lo necesario.
Las políticas de Web, Application, IPS y Traffic Shaping se corresponden con el perfil de invitados.
Log firewall traffic está activado durante la aceptación.
La posición no entra en conflicto con reglas MTA, IPsec u otras reglas de hotspot creadas automáticamente.
Una regla MASQ/SNAT adecuada cubre la red de invitados.

El acceso al propio firewall se controla por separado en Administration > Device access. En la zona WiFi deben estar cerrados HTTPS, SSH y los demás servicios locales que no sean necesarios. DNS solo debe permanecer abierto si los invitados utilizan realmente el firewall como resolver. Planificar correctamente las reglas de firewall y Configurar Device Access de forma segura explican estas relaciones.

Crear vouchers en User Portal

Las personas asignadas en Administrative users pueden administrar vouchers en User Portal sin obtener acceso a WebAdmin. La pestaña Hotspots solo es visible para estos usuarios. User Portal utiliza de forma predeterminada el puerto 4443. Permita el acceso desde la zona de administración en Administration > Device access y pruebe https://<IP-o-FQDN-del-firewall>:4443. No lo abra de forma general desde WAN para este fin. Un acceso específico desde una red interna de administración de confianza es más seguro. Resumen de los portales de Sophos lo diferencia de WebAdmin, VPN Portal y Captive Portal. En Hotspots se seleccionan los siguientes valores:

Hotspot: Guest WiFi Reception
Hotspot Voucher Definition: Guest-8h-2GB
Amount: la cantidad deseada, con un máximo de 50 por operación
Description: por ejemplo, Visitors 2026-08-07
Opcionalmente, seleccionar Print, el tamaño de página, los vouchers por página y Add QR Code.
Hacer clic en Create Vouchers.

El código QR abre la página de inicio de sesión del hotspot y rellena los datos necesarios. Por tanto, contiene datos de acceso y debe protegerse igual que el código de voucher escrito.

La emisión requiere un proceso sencillo: ¿quién puede crear vouchers, cómo se asigna un código a un invitado y cuándo se elimina un código que todavía es válido? Una gran reserva de vouchers impresos en una recepción accesible al público debilita los límites técnicos.

Los vouchers seleccionados pueden eliminarse manualmente en User Portal o exportarse como PDF o CSV. En una exportación CSV, el separador debe coincidir con el sistema de destino; de lo contrario, los códigos y los límites se distribuyen en columnas incorrectas al abrir el archivo. La eliminación automática de vouchers caducados solo sigue el intervalo global configurado en Wireless > Hotspot settings y no revoca un código que todavía es válido.

Probar completamente el acceso de invitados

La aceptación se realiza con un dispositivo que todavía no tenga una sesión de hotspot activa. Una ventana privada del navegador también evita que las cookies antiguas distorsionen el resultado.

Conectarse a Company Guest.
Comprobar que el cliente recibe una dirección de 10.30.40.0/24, la puerta de enlace 10.30.40.1 y los servidores DNS previstos.
Antes de iniciar sesión, comprobar que no se puede acceder a ningún destino interno o externo, salvo a los destinos añadidos deliberadamente a Walled Garden.
Abrir una página HTTP normal y comprobar la redirección a la página de inicio de sesión del hotspot.
Comprobar el nombre del certificado, la cadena de certificados y el estado del navegador.
Introducir primero un código de voucher incorrecto y después el correcto.
Probar DNS y una página HTTPS permitida.
Acceder deliberadamente a un destino interno y a la dirección de WebAdmin; ambos deben seguir bloqueados.
En Log Viewer, filtrar por la IP del cliente y comprobar la Firewall Rule ID y la NAT Rule ID previstas.
Con un voucher de prueba, alcanzar deliberadamente al menos uno de los límites configurados y comprobar que el acceso finaliza después.

Disponer de Internet por sí solo no es un resultado suficiente. El cliente debe encontrarse en la red correcta, pasar por la regla prevista y permanecer separado de los sistemas internos y de la administración del firewall.

Transferir la configuración del hotspot de forma controlada mediante la API XML

Para despliegues reproducibles, la referencia XML describe las mismas estructuras de hotspot para SFOS 22.0 y 23.0. La correspondencia de objetos por sí sola no constituye una solicitud de importación completa. Proteger el acceso a la API XML explica el acceso, la operación de escritura explícita, la protección de secretos y la evaluación de las respuestas. Antes de realizar cambios, guardar el hotspot actual junto con los ajustes globales, los archivos y la posición de la regla; contrastar el payload con API help de la compilación instalada. Las siguientes correspondencias no sustituyen ni una solicitud completa ni las pruebas de aceptación descritas anteriormente.

Rellenar solo la rama del hotspot seleccionada

El objeto Hotspot contiene Name, elementos repetidos Interfaces/Interface y, para las personas responsables de la administración, Users/User. Estos usuarios administran la contraseña diaria o los vouchers; no constituyen la lista de invitados que deben iniciar sesión. Name está limitado a 40 caracteres. HotspotType determina los demás campos; un «Yes» en la tabla de parámetros no exige rellenar simultáneamente todos los tipos y variantes de personalización:

TermsOfUseAcceptance: SessionExpiry y TermsOfUse. Los valores de caducidad documentados son After2hours, After6hours, After12hours, After24hours y After1week; el texto de las condiciones puede contener como máximo 8192 caracteres.
PasswordofTheDay: PasswordCreationTime y, opcionalmente, Email y SynchronizePSK. La hora de generación debe ser una hora en punto entre 00:00 y 23:00. El cambio de contraseña finaliza las sesiones; la sincronización de la PSK provoca además las interrupciones de los puntos de acceso descritas anteriormente.
Voucher: los elementos repetidos Vouchers/Voucher hacen referencia a las definiciones creadas previamente; DevicePerVoucher limita el número de dispositivos. El ejemplo también indica unlimited, pero la tabla de parámetros especifica un entero. No deducir de ello un valor universal para acceso ilimitado; para el ejemplo con un dispositivo, utilizar el valor 1 y comprobar el límite guardado.

Con la contraseña diaria o los vouchers, TermsAcceptance vincula la aceptación adicional a TermsOfUse. Del mismo modo, Hostname pertenece a la rama HostnameType con Custom hostname, y URL corresponde a RedirectURL activado. No copiar de un ejemplo completo las ramas que no se necesiten.

AutoFirewallRule admite Enable o Disable; para una tarea reproducible, establecer explícitamente la opción confirmada, sin deducir un valor predeterminado de la API a partir de las instrucciones de la interfaz. ApplicationFilterPolicy, WebFilterPolicy, IPSPolicy y QoSPolicy hacen referencia a las políticas de protección. A continuación, comprobar la regla que realmente existe, su posición y sus políticas como se ha indicado anteriormente: el estado de la API por sí solo no confirma un acceso de invitados seguro.

Para las personalizaciones, la rama documentada utiliza RestoreDefault con Enable y el tipo CustomizationType: Basic vincula Logo, ScaleLogo, Title y CustomText; Full vincula LoginPageTemplate y ImagesStylesheet. No interpretar este nombre ambiguo como una instrucción para restablecer los valores predeterminados. La plantilla de inicio de sesión es un archivo HTML y los recursos deben corresponder a sus referencias de archivo. La tabla de parámetros describe varios valores de recursos, mientras que el ejemplo solo muestra un elemento; aclarar en API help cómo se realiza la transferencia concreta de varios archivos, sin inventar un contenedor XML adicional. VoucherTemplate vincula la plantilla PDF en la rama de personalización cuando se utiliza Voucher. Un nombre de archivo en el XML no sustituye la carga del archivo correspondiente; utilizar únicamente vinculaciones de carga confirmadas para la compilación y comprobar después la página de inicio de sesión y la salida de vouchers.

Tratar por separado los límites de los vouchers y los ajustes globales

VoucherDefinition es la definición, no un código emitido. Name puede contener como máximo 60 caracteres. ValidityPeriod tiene el rango documentado 1–730 y utiliza ValidityUnit con Minutes, Hours o Days. TimeQuota utiliza QuotaUnit con Minutes o Hours; DataVolume utiliza DataUnit con MB o GB. Por ejemplo, un día de validez, ocho horas de conexión y 2 GB corresponden a tres pares independientes de valor y unidad. La validez desde el primer inicio de sesión transcurre independientemente del consumo de las cuotas de tiempo de conexión y datos. El campo XML opcional Description no confirma automáticamente la existencia de un campo del mismo nombre en la interfaz de todas las compilaciones.

Los ajustes globales comparten AdvancedConfiguration, pero solo quedan identificados de forma inequívoca por sus elementos subordinados:

AdvancedConfiguration/WalledGarden/AllowedNetworks: AllowedNetworks se repite para varios objetos de host o de red existentes; no es una lista de destinos permitidos separados por comas. Permitir solo destinos estrictamente limitados antes del inicio de sesión, no una lista amplia Any. Después, comprobar los destinos permitidos y no permitidos sin una sesión activa.
AdvancedConfiguration/LoginPageCertificate/Certificate: referencia al certificado seleccionado para la página de inicio de sesión HTTPS, no la carga de un certificado. Después, comprobar la selección realmente guardada y el navegador del invitado.
AdvancedConfiguration/GeneralVoucherOptions: DeleteOption controla la limpieza de vouchers caducados; DeleteExpiredVouchersAfter describe el intervalo de conservación de 1–365 días cuando la limpieza está activada, no la validez de su acceso. El ejemplo indica Enable/Disable, mientras que la tabla de parámetros indica 1 y 0. No considerar equivalentes estas representaciones sin confirmación: antes de realizar una llamada de escritura, confirmar el valor válido en la compilación instalada; si la codificación sigue sin aclararse, no enviar la solicitud. Los vouchers eliminados no se recuperan al restablecer el interruptor.

Identificar las respuestas y consultar el estado guardado antes de reintentar

Para Add Hotspot, la referencia indica 200 con Message.HotSpotAddSuccess, 500 con Message.HotSpotAddFail y 502 con Message.HotSpotRecodExist. Para Update Hotspot, figuran 200 con Message.HotSpotUpdateSuccess y 500 con Message.HotSpotUpdateFail. Ambas operaciones incluyen además estas filas diferenciadoras:

541 — Message.InterfaceAlreadyBindWithHotspot
542 — Message.HotspotHTMLFileAllowedCharacters
543 — Message.HotspotPDFFileAllowedCharacters

Son valores de estado XML con símbolos Message.* conservados sin cambios y sin resolver, no códigos HTTP ni textos de mensajes de ejecución verificados. También RecodExist conserva exactamente esa grafía. No deducir de un símbolo una causa garantizada, una lista de caracteres permitidos ni una reparación automática. Registrar la operación, el código y la respuesta real depurada de datos sensibles; antes de cada reintento, consultar el nombre del objeto guardado, las vinculaciones de interfaces y los archivos cargados. Una respuesta poco clara no justifica ni un segundo objeto de hotspot ni permisos más amplios. Si una discrepancia sigue sin aclararse, detenerse y consultarla con soporte; realizar la prueba completa de acceso de invitados solo después de confirmar el estado.

Contraseña diaria como alternativa más sencilla

Para utilizar una contraseña diaria común, se selecciona Password of the day en lugar de Voucher en el hotspot. A continuación, se definen la hora de creación, las direcciones de los destinatarios y los usuarios administrativos responsables.

En los ajustes del hotspot, solo Administrative users y los destinatarios incluidos en Send password by email to pueden acceder a la contraseña diaria. Esto restringe la administración y distribución de la contraseña, pero no impide que un destinatario se la facilite a un invitado. Si además se requiere aceptación, activar también Users have to accept terms of use para Password of the day, introducir las Terms of use y guardar con Save. A continuación, comprobar con un cliente nuevo que la contraseña por sí sola, sin la aceptación requerida, no sea suficiente.

Un grupo de correo interno resulta más práctico que muchos destinatarios individuales. Para ello, debe funcionar la notificación por correo electrónico de Sophos Firewall. La contraseña no debe permanecer expuesta públicamente de forma permanente y debe probarse con un cliente nuevo después de cada cambio automático o manual.

Un usuario administrativo asignado puede ver y cambiar la contraseña actual en Hotspots de User Portal:

Seleccione el hotspot en la lista.
Introduzca una contraseña o use la generada automáticamente y haga clic en Generate.
Opcionalmente, seleccione Send Mail. Solo aparece si hay direcciones de destinatarios configuradas en el hotspot.
Haga clic en Save.

Tras Save, la contraseña nueva es válida inmediatamente. La anterior deja de ser válida y finalizan las sesiones activas. Por tanto, un cambio manual no es una comprobación funcional sin efectos secundarios.

Override wireless networks’ passphrase solo es necesario si la contraseña del hotspot y la PSK de la red Wi-Fi deben ser idénticas. Sin esta opción, la PSK de la red Wi-Fi permanece sin cambios y solo el inicio de sesión en el hotspot utiliza la contraseña diaria. Con la opción activada, los puntos de acceso correspondientes se vuelven a configurar y se reinician; los clientes conectados sufren una interrupción.

Revertir el cambio

Si falla la aceptación, restaure las interfaces, políticas, tipo de autenticación, redirecciones y personalización documentados, y devuelva la regla creada automáticamente a su posición original. Con un cliente nuevo, pruebe tanto el acceso permitido a Internet como el bloqueo de destinos internos. Una cookie antigua o una sesión existente no son una prueba válida de rollback.

Delimitar los errores habituales

No aparece la página de inicio de sesión

Primero se debe comprobar que el cliente se encuentra en la red de invitados correcta y que la interfaz está asignada al hotspot. Después, comprobar DHCP, puerta de enlace y DNS, y abrir deliberadamente una página HTTP normal. Las sesiones de hotspot ya activas, los protocolos DNS cifrados o un navegador que accede directamente solo mediante HTTPS pueden ocultar la redirección esperada.

El voucher se rechaza

Comprobar que el voucher pertenece al hotspot seleccionado y que la validez, Time quota, el volumen de datos o el número de dispositivos permitido no se hayan agotado. Si se utiliza un código QR, comprobar también que se esté utilizando el código actual y que pueda leerse por completo.

HTTPS muestra una advertencia de certificado o no se abre la página de destino

Ante una advertencia, deben coincidir el nombre de redirección utilizado, la resolución DNS, Login page certificate y toda la cadena de confianza. Si funciona el inicio de sesión pero no Redirect to URL after login, pruebe directamente la URL de destino y compruebe en Log Viewer si DNS, la regla de firewall y las políticas permiten la solicitud.

El inicio de sesión funciona, pero no hay Internet

Esto confirma el inicio de sesión en el hotspot y el funcionamiento del voucher; el error se encuentra en la ruta de datos posterior. Compruebe la regla de firewall creada automáticamente, su posición, DNS, routing, MASQ/SNAT y las políticas de protección seleccionadas. Log Viewer muestra si coincide el Rule ID esperado o si otra regla se hace cargo del tráfico.

Se puede acceder a sistemas internos

No se trata de un error del hotspot, sino de un permiso demasiado amplio. Limitar las zonas y redes de destino de la regla de hotspot, así como las reglas WiFi-to-LAN o Any existentes. Después, volver a probar los destinos internos.

Las personas responsables no pueden crear vouchers

El usuario o su grupo correspondiente debe estar incluido en Administrative users del hotspot y poder iniciar sesión en User Portal. La definición de voucher necesaria también debe estar asignada al hotspot; de lo contrario, no aparecerá allí para seleccionarla.

El error sigue siendo reproducible

Documentar la IP del cliente, la hora, la SSID, el nombre del hotspot y el estado del voucher. A continuación, comprobar Log Viewer y, si es necesario, hotspotd.log. Para la ruta de radio se añaden, según el hardware, awed.log, wc_remote.log o hostapd.log; dhcpd.log, firewall_rule.log, cschelper.log y, en el caso de SD-RED, red.log y red-<serial>.log permiten delimitar las distintas partes del procedimiento. Registros de servicios de Sophos Firewall explica cómo leer estos archivos sin reiniciar servicios de forma incontrolada.

El hotspot no debe ponerse en producción mientras no se hayan comprobado correctamente Separate zone, DHCP, DNS, la hora del sistema, el certificado, Walled Garden y la regla creada automáticamente. Lo mismo se aplica a una contraseña diaria con envío por correo electrónico o cambio de la PSK de la red Wi-Fi si todavía no se han probado la entrega y el reinicio previsto del punto de acceso.