¿Por qué mi ESP32 no se conecta al WiFi del colegio?
El WiFi de los centros educativos bloquea los ESP32 con inicios de sesión WPA2-Enterprise, portales cautivos y políticas de dispositivos; la placa no está estropeada. Pide a informática un SSID IoT con PSK, o esquiva el WiFi con una malla ESP-NOW, BLE o LoRa.
Resumen rápido
- Tu ESP32 no se conecta al WiFi del colegio porque las redes escolares exigen cosas que un microcontrolador no puede aportar: un inicio de sesión WPA2-Enterprise (usuario más certificado, al estilo de eduroam), un portal cautivo que necesita un navegador, o el registro de la MAC y políticas de doble factor. Un firmware que solo entiende de SSID + contraseña falla en el primer paso. Es cuestión de política y de protocolo, no de una placa averiada.
- La solución legítima más rápida es pedir al departamento de informática un SSID de invitados con PSK, una VLAN para IoT o una entrada en la lista blanca de MAC. Más abajo tienes la redacción exacta que conviene usar.
- Los puntos de acceso del móvil y los routers de viaje te sacan del apuro en una demostración, pero rodean la política del centro, pueden incumplir las normas de uso aceptable y se caen en cuanto el móvil se suspende.
- La respuesta duradera es de arquitectura: una malla ESP-NOW con un único nodo puente, aprovisionamiento por BLE, LoRa para el alcance o registro offline-first con sincronización posterior. Solo un dispositivo, o ninguno, llega a tocar la red del centro.
- Variante doméstica y agrícola del mismo dolor: los routers que solo admiten WPA1/TKIP también fallan con el firmware moderno de ESP32. El escaneo ve el punto de acceso, pero la conexión devuelve NO_AP_FOUND. Actualiza el router a WPA2.
El muro más repetido del IoT en el aula
Busca «ESP32 school WiFi» en cualquier foro maker y encontrarás siempre la misma historia: el proyecto funciona a la perfección en casa, llega al colegio y no hay manera de que se conecte. Les pasa a profesores, a alumnos e incluso a los formadores que imparten el curso:
«Doy clase en un centro de formación superior y el departamento de informática no nos deja usar el Wi-Fi instalado para enseñar con placas Wi-Fi (esp32 u otras). … ¿Tenemos que pagarnos nuestro propio servicio Wi-Fi o es que el departamento de informática está exagerando?»
«Estoy montando un controlador de hidroponía … funciona de maravilla … conectado a un punto de acceso protegido de 2,4 GHz. Pero las dos redes disponibles para un despliegue de larga duración son Eduroam y una red protegida por un portal cautivo.»
«El wifi de mi centro exige usuario, contraseña y una autenticación de doble factor con Duo para poder conectarse, así que no puedo usar el wifi simple (ssid, contraseña). ¿Alguien ha tenido un problema parecido?»
El profesorado que busca material para el aula ya ha aprendido la lección y lo pregunta de entrada:
«Me encantaría algo que tenga panel propio y que no dependa de conectarse al wifi del colegio»
— una profesora comprando un sistema de hidroponía para el aula, r/Hydroponics, diciembre de 2023
El apaño estándar que aparece en más de siete hilos de r/esp32 es siempre el mismo: comprar un punto de acceso personal o un router de viaje. Dicho de otro modo, la gente se gasta dinero en hardware adicional solo para rodear la red del centro. Antes de hacerlo, conviene entender exactamente por qué se está rechazando la placa.
Por qué el WiFi del colegio rechaza tu placa
1. WPA2-Enterprise quiere una identidad, no una contraseña
El WiFi doméstico usa WPA2-Personal: una única contraseña compartida (una «clave precompartida», PSK) para todo el mundo. Las redes de colegios y universidades, como eduroam, usan WPA2-Enterprise: cada usuario se autentica con un nombre de usuario, una contraseña y a menudo un certificado, verificados contra un servidor RADIUS central. La mayoría del firmware para aficionados, y la mayoría de los entornos de programación por bloques, sencillamente no tienen ninguna interfaz para nada de eso. La placa no está fallando; le están haciendo una pregunta que no tiene forma de responder.
2. Los portales cautivos necesitan un navegador que tu placa no tiene
Las redes de invitados suelen parecer abiertas, pero redirigen la primera petición web a una página de acceso: aceptar las condiciones, introducir un código, pulsar un botón. Ese flujo da por hecho que hay una persona con un navegador y una pantalla. Un microcontrolador sin pantalla puede asociarse al punto de acceso, pero jamás podrá pulsar «aceptar», así que se queda en un jardín vallado sin acceso real a internet.
3. Registro de dispositivos, filtrado por MAC y políticas de doble factor
Muchos centros exigen además que cada dispositivo esté registrado por su dirección MAC, o envían avisos de doble factor a una aplicación del móvil antes de conceder el acceso. La placa de un alumno es un dispositivo no gestionado, no registrado y sin ningún móvil asociado. Con esas normas queda bloqueada por diseño, y algunas placas aleatorizan su dirección MAC, lo que rompe las listas blancas incluso cuando informática intenta echar una mano.
4. A veces no es nada técnico: informática dice que no
Al formador citado más arriba no lo derrotó ningún protocolo. Lo rechazó el departamento de informática. Ese rechazo suele ser defendible: decenas de microcontroladores no gestionados en una red que transporta expedientes de alumnos y material de exámenes son una carga real de seguridad y de soporte. Trata a informática como una parte interesada con preocupaciones legítimas, y no como un obstáculo, y tus probabilidades mejorarán muchísimo.
La variante doméstica y agrícola: routers que solo admiten WPA1/TKIP
Hay un fallo emparentado que golpea a gente muy lejos de cualquier colegio. El firmware moderno de ESP32 rechaza por motivos de seguridad los routers antiguos que funcionan con WPA1 y cifrado TKIP. El síntoma despista: la red aparece en el escaneo, pero todos los intentos de conexión fallan con NO_AP_FOUND. No hay cambio de código que lo arregle. Configura el router en WPA2 (o cámbialo) y la placa se conectará con normalidad. Si vas a desplegar en un cobertizo de una granja o en un apartamento con un router de hace diez años, comprueba esto lo primero.
Lo que sí funciona
Opción 1: pedirlo bien a informática, usando su vocabulario
La mayoría de las peticiones fracasan porque suenan a «por favor, debilitad la seguridad». Pide en su lugar una de estas tres soluciones estándar y acotadas que los administradores de red despliegan a diario:
- Una VLAN separada para IoT: un segmento de red aislado para los dispositivos del laboratorio, con cortafuegos que lo separe de los sistemas de administración y de los del alumnado.
- Un SSID WPA2-PSK: una red sencilla protegida con contraseña, a ser posible oculta o de baja potencia, que solo cubra el aula de robótica.
- Una lista blanca de MAC: tú facilitas las direcciones MAC fijas del juego de placas de la clase e informática admite únicamente esos dispositivos.
Una petición que merece la pena copiar: «¿Podríamos tener un SSID WPA2-PSK en una VLAN aislada para el laboratorio de robótica, solo con salida a internet, sin acceso a los sistemas internos y limitado a N direcciones MAC conocidas que os facilitaré yo? Sin problema en que se limite el ancho de banda y se apague fuera del horario de clase.» Esa sola frase demuestra que entiendes sus preocupaciones y convierte una discusión de políticas en un ticket de cambio rutinario.
Opción 2: punto de acceso del móvil o router de viaje, con los ojos abiertos
Un punto de acceso del móvil funciona porque es una red WPA2-PSK normal y corriente que tú controlas, y las placas de la clase del ESP32 hablan WiFi de 2,4 GHz sin problemas. Para una demostración puntual va bien. Como plan para todo un trimestre tiene pegas serias: el móvil se suspende o sale del aula y todo el proyecto se queda sin conexión; el consumo de datos móviles se acumula, algo que escuece en Sudáfrica; y en muchos campus un punto de acceso privado incumple la política de uso aceptable, así que consúltalo con informática en lugar de esconderlo. Un router de viaje conectado a la toma de red del aula es más estable, pero necesita igualmente el visto bueno de informática, y llegados a ese punto la opción 1 suele ser mejor petición.
Opción 3: diseñar para que la red del colegio deje de importar
La posición más sólida es una arquitectura en la que los dispositivos del alumnado no necesiten en ningún momento el WiFi de la infraestructura:
- Malla ESP-NOW con un único puente: ESP-NOW es un protocolo de radio entre iguales para placas de la clase del ESP32 que no necesita router ni contraseña. Las placas del alumnado se hablan directamente entre sí; un único nodo puente mantiene la única conexión a internet (un punto de acceso del móvil, una toma de red de la sala de profesores o la única dirección MAC que informática aceptó incluir en la lista blanca). Un dispositivo que proteger en lugar de treinta.
- BLE para configuración y control: Bluetooth Low Energy empareja una placa con un móvil o un portátil para el aprovisionamiento y los paneles, sin ninguna red de por medio.
- LoRa cuando la distancia descarta el WiFi: para huertos escolares, estaciones meteorológicas y parcelas agrícolas, LoRa transporta pequeños paquetes de sensores a lo largo de kilómetros, sin WiFi por ninguna parte.
- Registro offline-first: guarda los datos en la memoria flash o en una tarjeta SD durante la clase y sincroniza más tarde desde una red que tú controles. Los cortes de luz programados hacen de esto una buena costumbre en los colegios sudafricanos, al margen de la política de WiFi.
Cómo diseña sheen para sortear esto
Este muro moldeó nuestras decisiones de hardware. La placa sheenbot∞ lleva radio WiFi, BLE y ESP-NOW integrada y funciona completamente sin conexión, sin cuenta, sin suscripción y sin dependencia de la nube. En los despliegues de aula, las placas forman una malla ESP-NOW sin router con un único nodo puente que mantiene la única conexión de red, la misma arquitectura que usan nuestros nodos de domótica para reformas detrás de un único puente en la placa base. sheenIoT añade emparejamiento asistido por BLE para que los dispositivos se incorporen a una flota sin tocar el WiFi del colegio, y nuestros sistemas de agricultura inteligente aislada de la red usan nodos de campo LoRa con energía solar y alcance kilométrico allí donde el WiFi nunca fue una opción. Para las clases de programación pura, los simuladores sheen canvas y sheen verse ejecutan MicroPython real en el navegador del profesorado, de modo que el alumnado puede escribir y probar lógica de IoT sin un solo dispositivo en la red. Una limitación que conviene reconocer: igual que otras placas de la clase del ESP32, conectarse a WPA2-Enterprise o a eduroam no es una vía admitida en el aula. Diseñamos para sortearlo en lugar de pelearnos con ello.
Comparativa de opciones de conectividad
| Opción | Dificultad de instalación | ¿Hace falta el visto bueno de informática? | Alcance | Encaje en el aula e inconveniente principal |
|---|---|---|---|---|
| WiFi del colegio (VLAN IoT / SSID PSK) | Baja para ti, un ticket de cambio para informática | Sí, imprescindible | Todo el campus | La mejor a largo plazo si la conceden; la aprobación puede tardar semanas o denegarse sin más |
| Punto de acceso del móvil | Muy baja | Formalmente sí, aunque suele saltarse | Un aula | Estupendo para demostraciones; se cae cuando el móvil se suspende, gasta datos móviles y puede incumplir la política |
| Router de viaje | De baja a media | Sí, se enchufa a su red | Una o dos aulas | Estable y barato; sigue exigiendo la misma conversación con informática, así que a menudo es redundante |
| Malla ESP-NOW + un nodo puente | Media (requiere placas con ESP-NOW, p. ej. sheenbot∞) | Solo para el puente, o ninguna si el puente usa un punto de acceso del móvil | De un aula a todo un edificio; la malla lo amplía | El mejor encaje en el aula; el acceso a internet sigue dependiendo de ese único enlace puente |
| Nodos LoRa | De media a alta | No | Kilómetros | Ideal para huertos, granjas y estaciones meteorológicas; poco ancho de banda, solo datos de sensores, radio adicional |
Preguntas frecuentes
¿Puede un ESP32 conectarse a eduroam o a otro WiFi WPA2-Enterprise?
No como vía práctica para el aula. WPA2-Enterprise necesita una identidad por usuario verificada contra un servidor RADIUS, y ni el firmware para aficionados ni los entornos de programación por bloques tienen un flujo admitido para ello. Unas pocas compilaciones avanzadas de firmware lo intentan, pero los resultados son frágiles y dependen de cada red. Planifica una arquitectura que no dependa de eso.
¿Puede un ESP32 superar un portal cautivo?
No. Un portal cautivo espera que una persona con un navegador acepte las condiciones o introduzca un código. Una placa sin pantalla puede asociarse al punto de acceso, pero nunca completa el acceso, así que se queda en el jardín vallado. Pide a informática una red con PSK, o usa un dispositivo puente que mantenga la conexión.
¿Por qué mi ESP32 ve mi WiFi en el escaneo pero falla al conectarse con NO_AP_FOUND?
Si ocurre en casa o en una granja, lo más probable es que el router sea solo WPA1/TKIP. El firmware moderno de ESP32 rechaza esas redes por motivos de seguridad, aunque el escaneo las siga listando. Cambia el modo de seguridad del router a WPA2 (o cambia el router) y la placa se conectará.
¿Qué debo pedirle exactamente al departamento de informática del colegio?
Pide un SSID WPA2-PSK en una VLAN de IoT aislada, solo con salida a internet, restringido a una lista blanca de MAC que facilites tú, con límite de ancho de banda y activo únicamente durante las clases. Esas palabras demuestran que estás pidiendo una configuración acotada y estándar, y no una excepción a la política de seguridad, y se corresponden directamente con herramientas que informática ya tiene.
¿Puede el alumnado aprender IoT sin nada de WiFi?
Sí. Las placas pueden intercambiar datos de sensores en directo por una malla ESP-NOW sin router, registrar sin conexión para sincronizar después o emparejarse por BLE. Y los simuladores de navegador como sheen verse ejecutan MicroPython real, de modo que una clase entera puede construir y probar lógica de IoT antes de que un solo dispositivo necesite red.
¿Está permitido usar el punto de acceso del móvil para el IoT del aula?
Técnicamente funciona casi siempre, puesto que es una red WPA2-PSK normal de 2,4 GHz. Que esté permitido depende de la política de uso aceptable de tu centro; muchos campus prohíben los puntos de acceso privados. Pregunta antes. Si a informática le parece bien un punto de acceso del móvil, normalmente también le parecerá bien darte un SSID PSK en condiciones, que es mejor.
