Planificar perfiles de red WiFi por escenarios no es solo una buena práctica, es la manera más segura y cómoda de conectar a empleados, invitados, IoT o sedes remotas sin dolores de cabeza. Cuando defines perfiles bien separados, automatizas la conexión, reduces errores y controlas el acceso según quién se conecte, cuándo y desde dónde.
Además de los típicos SSID, hoy entran en juego herramientas de gestión (Configuration Manager, Intune), funciones avanzadas de Wi‑Fi 7 como MLO, segmentación por VLAN con CAP/AC, redes SDN en routers ExpertWiFi y automatizaciones en el puesto del usuario. El objetivo es que el usuario vea la red correcta en su lista y se conecte sin líos, mientras TI gobierna seguridad, ancho de banda y cumplimiento.
Válido para Configuration Manager en su rama actual. También puede aplicarse a la administración local MDM en móviles, combinándolo con perfiles de certificado para validación de servidor y autenticación de cliente.
¿Qué es son perfiles WiFi por escenarios y por qué te interesa?
Un perfil de Wi‑Fi encapsula SSID, seguridad, cifrado, opciones de conexión y, si procede, certificados o proxy. Si despliegas un perfil por cada uso (empleados, invitados, IoT, Wi‑Fi de proyectos temporales, etc.), simplificas la vida del usuario y blindas la red.
En entornos Windows o de movilidad gestionada, puedes empujar estos perfiles desde Configuration Manager o Intune. El resultado práctico es que el equipo reconoce la red y se conecta automáticamente cuando está al alcance, sin pasos manuales ni llamadas al soporte.
Crear y distribuir perfiles con Configuration Manager
Desde la consola, ve a Activos y cumplimiento > Configuración de cumplimiento > Acceso a recursos de empresa > Perfiles de WiFi. Inicia el asistente Crear perfil Wi‑Fi y define un nombre único y una descripción clara. Si ya tienes un fichero con un perfil existente, puedes importarlo para agilizar.
En la fase General, además del nombre, puedes reutilizar otro perfil y elegir la severidad de incumplimiento para informes si la aplicación falla. Los niveles habituales incluyen Ninguno, Información/Information, Advertencia, Crítica o Crítica con evento (esta última, además, registra un evento en el registro de aplicaciones de Windows).
En la página Perfil de Wi‑Fi, establece el nombre visible de la red, el SSID exacto y comportamientos como conectar automáticamente, buscar otras redes simultáneamente o permitir conexión si el SSID no se difunde. Controlar estas casillas marca la experiencia del usuario cuando hay múltiples AP alrededor.
En Configuración de seguridad, escoge el tipo de seguridad (o Abierta si procede), el cifrado y el tipo EAP cuando aplique. Puedes pulsar Configurar para ajustar propiedades EAP y decidir si el equipo recuerda las credenciales en cada inicio de sesión, evitando que el usuario teclee la contraseña cada vez.
La página de opciones avanzadas se adapta a lo que elegiste en seguridad, por ejemplo, autenticación, inicio de sesión único o modos específicos. Si tu red usa proxy, añade la configuración de proxy en su apartado dedicado para que la navegación funcione sin intervención del usuario.
Para terminar, selecciona las plataformas compatibles y completa el asistente. Configuration Manager puede aplicar el perfil a distintas versiones de sistema operativo e incluso a dispositivos móviles mediante MDM local, reforzando escenarios mixtos de PC y smartphones.
Perfiles WiFi por PSK y EAP con Intune (XML y OMA-URI)
Con Microsoft Intune puedes crear un perfil Wi‑Fi mediante una directiva Personalizada y XML, tanto para Android (incluido perfil de trabajo) como para Windows, con soporte para EAP cuando toque. El flujo consiste en preparar el XML, insertarlo en una configuración OMA‑URI y asignarlo a los grupos adecuados.
Antes de empezar
- Te será más fácil exportar la sintaxis XML desde un equipo que ya conecta a esa red (más abajo tienes cómo hacerlo con netsh).
- Puedes incluir varias redes agregando más configuraciones OMA‑URI. Si en iOS/iPadOS lo necesitas, crea el perfil con Apple Configurator en Mac.
- En PSK, usa 64 dígitos hex o una passphrase de 8‑63 ASCII imprimibles; ciertos caracteres como el asterisco (*) no están soportados.
Creación de la directiva en Intune
Entra al Centro de administración de Intune, ve a Dispositivos > Administrar dispositivos > Configuración > Crear > Nueva directiva. Elige la plataforma, selecciona Tipo de perfil = Personalizado, pon nombre y descripción y avanza.
En Opciones de configuración, añade una entrada OMA‑URI con los campos: nombre, descripción (opcional), y OMA‑URI según plataforma. Para Android usa ./Vendor/MSFT/WiFi/Profile/{SSID}/Settings y para Windows ./Vendor/MSFT/WiFi/Profile/{SSID}/WlanXml. Si el SSID contiene espacios, sustitúyelos por %20.
Define Tipo de datos = Cadena y pega el XML. Después puedes etiquetar por ámbito, asignar a usuarios o dispositivos, revisar y crear. En la siguiente sincronización, el perfil aparecerá en el equipo y podrá conectar automáticamente.
Ejemplo de perfil Wi‑Fi (PSK)
Ten en cuenta que la etiqueta <protected> debe ser false para no esperar contraseñas cifradas, y que en Windows el valor hexadecimal de SSID en <hex> debe corresponder al nombre plano; en ciertos casos Windows podría lanzar un error falso de corrección, aunque el perfil se aplique.
Ejemplo de plantilla XML para PSK <!-- <hex>53534944</hex> es el valor hexadecimal de <name>SSID</name>. <name>PerfilVisible</name> es el nombre que ven los usuarios. <nonBroadcast>true/false</nonBroadcast> indica si el SSID se difunde. <authentication>WPA2PSK (ejemplo)</authentication> y <encryption>AES (ejemplo)</encryption>. <protected>false</protected> no lo cambies. <keyMaterial>password</keyMaterial> es la clave en claro. --><WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1"><name>NombrePerfil</name><SSIDConfig><SSID><hex>53534944</hex><name>NombreSSID</name></SSID><nonBroadcast>false</nonBroadcast></SSIDConfig><connectionType>ESS</connectionType><connectionMode>auto</connectionMode><autoSwitch>false</autoSwitch><MSM><security><authEncryption><authentication>WPA2PSK</authentication><encryption>AES</encryption><useOneX>false</useOneX></authEncryption><sharedKey><keyType>passPhrase</keyType><protected>false</protected><keyMaterial>password</keyMaterial></sharedKey><keyIndex>0</keyIndex></security></MSM></WLANProfile>
Ejemplo de perfil basado en EAP
Este formato muestra OneX con autenticación EAP‑TLS y validación configurable. Ajusta los parámetros de certificados, validación de servidor y EKUs a tus CA y política.
Plantilla XML para EAP‑TLS <WLANProfile xmlns="http://www.microsoft.com/networking/WLAN/profile/v1"><name>testcert</name><SSIDConfig><SSID><hex>7465737463657274</hex><name>testcert</name></SSID><nonBroadcast>true</nonBroadcast></SSIDConfig><connectionType>ESS</connectionType><connectionMode>auto</connectionMode><autoSwitch>false</autoSwitch><MSM><security><authEncryption><authentication>WPA2</authentication><encryption>AES</encryption><useOneX>true</useOneX><FIPSMode xmlns="http://www.microsoft.com/networking/WLAN/profile/v2">false</FIPSMode></authEncryption><PMKCacheMode>disabled</PMKCacheMode><OneX xmlns="http://www.microsoft.com/networking/OneX/v1"><cacheUserData>false</cacheUserData><authMode>user</authMode><EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod><Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type><VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId><VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType><AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId></EapMethod><Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type><EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1"><CredentialsSource><CertificateStore><SimpleCertSelection>true</SimpleCertSelection></CertificateStore></CredentialsSource><ServerValidation><DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation><ServerNames></ServerNames></ServerValidation><DifferentUsername>false</DifferentUsername><PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</PerformServerValidation><AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName><TLSExtensions xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2"><FilteringInfo xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV3"><AllPurposeEnabled>true</AllPurposeEnabled><CAHashList Enabled="true"><IssuerHash>75 f5 06 9c a4 12 0e 9b db bc a1 d9 9d d0 f0 75 fa 3b b8 78</IssuerHash></CAHashList><EKUMapping><EKUMap><EKUName>Client Authentication</EKUName><EKUOID>1.3.6.1.5.5.7.3.2</EKUOID></EKUMap></EKUMapping><ClientAuthEKUList Enabled="true"/><AnyPurposeEKUList Enabled="false"><EKUMapInList><EKUName>Client Authentication</EKUName></EKUMapInList></AnyPurposeEKUList></FilteringInfo></TLSExtensions></EapType></Eap></Config></EapHostConfig></EAPConfig></OneX></security></MSM></WLANProfile>
Exportar el XML desde una conexión existente
Crea una carpeta como c:\WiFi, abre CMD como administrador y ejecuta netsh wlan show profiles para listar perfiles. Exporta con netsh wlan export profile name="TuPerfil" folder=c:\WiFi. Si el perfil incluye PSK, añade key=clear para sacar la clave en claro.
Si el nombre del perfil en <name> tiene espacios, al asignarlo podrías ver un error tipo 0x87d101f4 Syncml(500). El perfil se crea, pero no aparece como directiva gestionada; elimina los espacios del nombre para evitarlo.
Recomendaciones de despliegue
- Confirma que el dispositivo conecta a la red objetivo de forma manual antes de empujar el perfil. Así detectas problemas de cobertura o credenciales a tiempo.
- Al rotar claves, planifica una ventana fuera de horario. Asegura un camino alternativo a Internet (invitados o datos móviles) para que el equipo reciba la nueva directiva.
- Notifica a los usuarios que puede haber un pequeño corte y que deben reconectar si lo ven necesario. La comunicación reduce tickets innecesarios.
MLO en Wi‑Fi 7: STR, EMLSR y perfiles MLO en routers ASUS
La Operación Multi‑Enlace (MLO) de Wi‑Fi 7 permite mantener varias conexiones a la vez entre cliente y AP. Hay dos modos clave: STR (transmisión y recepción simultánea) y EMLSR (multi‑enlace mejorado en una sola radio). ASUS soporta ambos; en la práctica, muchos móviles aún combinan 2,4 GHz + 5 GHz.
Activar MLO desde la interfaz web
Conecta al router y entra en la GUI web (IP LAN o asusrouter punto com). Solo puede existir un conjunto de redes MLO activo a la vez: si activas MLO en la red principal, no podrás usar a la vez un SSID MLO independiente.
- Opción A: habilitar MLO en la red principal. Ve a Red > Perfil de red principal > Configuración avanzada y activa Operación multi‑enlace (MLO). Alternativamente, en General, activa MLO Fronthaul para Clientes. Aplica cambios.
- Opción B: crear un perfil MLO dedicado. En Red > Red de invitados (o Invitados Pro o Smart home Master) pulsa Agregar red > Operación Multi‑Enlace (MLO), completa los ajustes y Aplica. Se sincroniza con la lista de perfiles Inalámbrico > MLO. Puedes crear hasta 2 redes MLO simultáneas.
- Opción C: gestionar perfiles MLO. En Inalámbrico > MLO, activa/desactiva MLO. Al habilitar MLO, también se habilita el backhaul AiMesh MLO y puedes añadir hasta 2 redes MLO a la lista de perfiles.
Activar MLO desde la app ASUS Router
Accede a Configuración > Red > Perfil de red principal. Activa MLO desde Configuración avanzada o desde General en MLO Fronthaul para Clientes, y aplica. Alternativamente, crea una red MLO en Configuración > Red > Red de invitados (o Invitados Pro o Smart home Master) > Operación Multi‑Enlace y completa los datos.
Notas AiMesh con Wi‑Fi 7
Si MLO está activo en el router AiMesh principal, los nodos sin MLO no anunciarán 6 GHz. Para el mejor rendimiento con varios routers ASUS, usa como principal el de especificaciones más altas.
El backhaul MLO en AiMesh está limitado: solo el primer nodo puede usarlo y únicamente entre el mismo modelo. Si ajustas la banda de backhaul entra en Wireless > MLO > Backhaul Band; cambiarla reinicia todos los routers del sistema.
FAQ MLO y Wi‑Fi 7
El modo Wi‑Fi 7 puede activarse/desactivarse desde el perfil de la red principal. En cifrado, Wi‑Fi 7 combina bandas con AES + GCMP‑256: AES es un estándar simétrico consolidado, y GCMP‑256 eleva la longitud de clave desde 128 a 256 bits frente a Wi‑Fi 6/6E/7 con GCMP‑128, end endureciendo el descifrado.
Ojo compatibilidad: hay dispositivos antiguos que no trabajarán con GCMP‑256. Usa una red IoT dedicada en 2,4 GHz + 5 GHz con WPA2‑Personal AES. Truco útil: mantén SSID/contraseña de la red IoT igual a la que usas ahora y crea un SSID nuevo para Wi‑Fi 7.
Si necesitas firmware, utilidades o manuales, descárgalos desde el Centro de Descargas de ASUS del producto correspondiente.
SDN en routers ASUS ExpertWiFi: redes por escenarios al vuelo
La red autodefinida (SDN) en ExpertWiFi permite hasta cinco SSID independientes para separar y priorizar dispositivos: empleados, portal cautivo para marketing, invitados, red programada, IoT, VPN, explorador de escenarios y redes personalizadas. Al crear una SDN Wi‑Fi se genera simultáneamente la VLAN asociada.
Prepárate antes: SDN funciona con routers ExpertWiFi, actualiza a la última versión de firmware y, si vas a usar la app, instálala y verifica que está actualizada. La configuración rápida QIS y otras guías están en la documentación del fabricante.
Configurar SDN desde la app
Abre la app ExpertWiFi, toca SDN y elige un perfil, por ejemplo Red para invitados. Define SSID y contraseña, decide si será un acceso de una sola vez con ventana temporal o si vas a programar horarios, y aplica. Podrás ver, por ejemplo, que esa red queda disponible dos horas.
Configurar SDN desde la interfaz web
Conecta al router por cable o Wi‑Fi y entra vía la IP LAN o expertwifi punto net. Inicia sesión y ve a Red definida por el usuario para crear el perfil según tus necesidades. Si olvidaste credenciales, restablece a valores de fábrica y vuelve a crear cuenta.
En ajustes generales define SSID/contraseña (recomendado, nada de redes abiertas) y la programación. Tras aplicar, verás un icono de reloj con el tiempo restante de la red invitada, podrás eliminar el perfil o crear más con el botón de añadir.
En ajustes avanzados puedes elegir banda Wi‑Fi aplicable, sincronización AiMesh, limitador de ancho de banda, permitir o bloquear acceso a intranet, asignar servidores DNS distintos de los del ISP o activar VPN por perfil (cliente o servidor).
Si los dispositivos conectan pero no navegan, revisa la cobertura y mitiga interferencias, y recuerda las diferencias entre 2,4 y 5 GHz. Para drivers y firmware, usa el Centro de descargas de ASUS.
VLAN por SSID con CAP/AC de TP‑Link: guía paso a paso
Dividir la red empresarial por departamentos o usos exige aislar el dominio de broadcast. Con CAP/AC y un switch L3 puedes mapear SSID a VLAN (p. ej., I+D, Marketing, Producto), mantener gestión separada y dar salida a Internet mediante NAT en la puerta de enlace.
Paso 1: NAT multired y ruta estática en el router de borde
Habilita Multi‑Nets NAT en Advanced > NAT para cada subred que necesite salida, dejando la interfaz como LAN. Después crea rutas estáticas en Advanced > Routing > Static Route: destino = red de la subred, siguiente salto = IP del switch L3, interfaz LAN.
Paso 2: VLAN y puertos en el switch
En VLAN > 802.1Q VLAN > Port Config pon en modo troncal los puertos que van a los CAP (por ejemplo 1/0/37 y 1/0/39). El troncal transporta múltiples VLAN, el resto de puertos pueden quedar en acceso.
En VLAN > 802.1Q VLAN > VLAN Config crea las VLAN (ej. VLAN100 y VLAN200) y añade como miembros los puertos hacia los CAP. Para la VLAN de gestión (ej. VLAN10), incluye el puerto del AC (1/0/15), los de CAP (1/0/37, 1/0/39) y el de la PC de administración (1/0/6) y fija su PVID a 10. Así la gestión queda aislada.
Paso 3: Interfaz L3 y DHCP en el switch
En Routing > Interface > Interface Config, crea la interfaz L3 por cada VLAN con IP estática. Activa el servidor DHCP por subred en Routing > DHCP Server > Pool indicando red, máscara, gateway y DNS.
Importante: el switch no hace proxy DNS. En DNS apunta a la IP del router de salida o a servidores públicos como 8.8.8.8. El DHCP viene deshabilitado por defecto: recuerda habilitarlo o los clientes no obtendrán IP.
Paso 4: Ruta por defecto en el switch
En Routing > Static Routing > IPv4 Static Routing Config añade una ruta 0.0.0.0/0 hacia la IP del router (ej. 192.168.0.1). Esto asegura que el tráfico desconocido salga por la puerta de enlace.
Paso 5: SSID y binding a VLAN en el controlador
Con el AC gestionando los CAP, entra en Wireless > Wireless Service, crea los SSID y enlázalos a radio y VLAN (p. ej., SSID v100 a VLAN100). En Network > Interface asigna IP al AC (ej. 10.10.10.253) y en Network > DHCP Server configura el DHCP del AC para AP únicamente si lo deseas.
Probando con dos SSID (v100 y v200), verás clientes con IPs como 172.16.10.3 o 172.16.20.3 y el AC gestionando CAP en 10.10.10.0/24. Con ello queda validada la segmentación y salida a Internet.
AutoSwitch: activar perfiles WiFi de forma automática en el equipo
En el puesto del usuario, automatizar el cambio de perfil según condiciones evita clics y despistes. AutoSwitch te deja definir condiciones por perfil (una o varias) y decidir si deben cumplirse todas o basta con una. Si varias coinciden, mandan los perfiles de la parte superior de la lista.
El panel de AutoSwitch ayuda a entender qué ocurre en tiempo real: condiciones verdes cumplidas, rojas no cumplidas y grises sin relevancia cuando otro perfil ya ha activado correctamente. También puedes definir preferencias globales como notificaciones.
La activación por defecto muestra un aviso con cuenta atrás (cancelable). Opcionalmente, usa notificación nativa de Windows o activa en segundo plano sin mensajes; el icono de la bandeja se animará y cambiará de color para informarte. Para ahorrar recursos, la herramienta no compara tu configuración actual con el perfil, así que cambios manuales no se detectan como divergencias.
Políticas por horario, QoS y firewall por perfiles (controladores WHG)
En empresas y organizaciones con horarios definidos, es útil aplicar políticas por día y hora para distinguir staff y empleados con accesos distintos. El rol de Dirección no tendrá las mismas libertades que un perfil de oficina, y sus ventanas de acceso también varían.
Los perfiles de QoS en controladores WHG de 4ipnet permiten limitar ancho de banda por perfil y por usuario, subida y bajada. Además, clasifica tráfico para priorizar servicios críticos (p. ej., equipos médicos en hospitales) frente a visitas.
Con perfiles de firewall puedes bloquear puertos o aplicaciones (SSH, eMule, etc.) y listas de sitios, e incluso aplicar reglas en doble capa: por calendario y por condición, para permitir/bloquear direcciones según franja.
Para casos especiales, contempla perfiles de ruta específica que sustituyen rutas por defecto y permiten, por ejemplo, forzar tráfico hacia servidores por un segundo puerto WAN o entre zonas de servicio. La plataforma ofrece un rango amplio de opciones. Contacto comercial: 902 506 100 y info@wifisafe.com para consultas sobre productos y soluciones wireless profesionales.
Modelos y disponibilidad, firmware y notas
Los siguientes modelos aparecen relacionados en documentación y guías de referencia del ecosistema empresarial y de controladores/gestores: TL-SG2008P , TL-SG3452X , SG5452XMPP , AP9635 , TL-SG2218P , TL-SG3452XP , AP9670 , EAP245( V3 V4 ) , EAP230-Wall , TL-SG2210P( V3 V3.20 V4 V5 ) , SG2210MP , TL-SX3008F , EAP115( V4 V4.20 V5 ) , TL-SL2428P( V4 V4.20 V5 V6 ) , TL-SX3016F , S4500-8G , SG2218 , SG3428 , Omada Software Controller( V4 V5 ) , TL-SG3452P , EAP725-Outdoor , TL-SG3428X , EAP650-Outdoor , EAP772-Outdoor( V1 ) , SL2428P , S4500-8GHP2F , EAP653 UR , EAP660 HD , AP9665 , S4500-16G2F , TL-SG3428XF , EAP673 , EAP110( V4 V5 ) , EAP670 , EAP235-Wall , TL-SG2210MP , SG3210 , SG3452 , SG3452X , TL-SG3210XHP-M2 , S5500-24GP4XF , EAP225( V3 V3.20 V4 V5 ) , TL-SG2428P , EAP610-Outdoor , EAP115-Wall , SG3428XF , SG2428LP , AP9778 , EAP225-Wall( V2 ) , EAP225-Outdoor , EAP223 , SX3008F , SG3428MP , SG3428X , EAP725-Wall , AP9650 , SG3452P , EAP265 HD , SX3016F , SG2218P , EAP620 HD , SG2428P , SG2008P , SG3452XP , EAP613 , EAP610 , EAP653 , TL-SG3428 , TL-SG2218 , SG2210P , SG5452X , S5500-4XHPP2XF , EAP615-Wall , S5500-8MHP2XF , TL-SG3428MP , TL-SG2008( V3 V4 ) , EAP650 , TL-SG3452 , TL-SG3210( V3 ) , EAP690E HD , TL-SX3206HPP , EAP623-Outdoor HD , SG3428XMP , EAP110-Outdoor( V3 V4 ) , TL-SG3428XMP , SX3206HPP.
Ten en cuenta que las actualizaciones recientes pueden haber ampliado el acceso a funciones descritas. Consulta siempre la página de soporte de tu producto, selecciona su versión de hardware y revisa la ficha técnica o el apartado de firmware para ver mejoras. La disponibilidad varía por región.
Para completar, el cifrado en entornos Wi‑Fi 7 con AES + GCMP‑256 refuerza la seguridad frente a GCMP‑128. Recuerda crear una red IoT aparte cuando tengas dispositivos antiguos que no soporten GCMP‑256, manteniendo compatibilidad y orden.
Todo lo anterior te permite diseñar perfiles WiFi para cualquier escenario sin dejar cabos sueltos: desde la consola (Configuration Manager o Intune) al mundo real (MLO, VLAN, SDN, QoS y automatizaciones), con procedimientos claros, notas de compatibilidad, descargas de firmware y controles de seguridad. Una configuración bien pensada se traduce en conexiones más rápidas, menos incidencias y una red que se adapta al negocio. Comparte este tutorial y ayuda a otros usuarios a crear perfiles WiFi.