Der ultimative Leitfaden für OpenRoaming-Architektur und -Authentifizierung
Dieser Leitfaden bietet eine autoritative technische Referenz zur WBA-OpenRoaming-Architektur und deckt die Passpoint-Grundlagen, die RADIUS-Föderation, die RadSec-mTLS-Sicherheit sowie eine schrittweise Bereitstellungsanleitung für Unternehmensstandorte ab. Er vermittelt IT-Managern, Netzwerkarchitekten und Standortbetreibern das Wissen, um Captive Portals durch eine nahtlose, sichere und konforme WiFi-Konnektivität zu ersetzen, die einen messbaren ROI liefert.
Video overview
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Teil unserer Kernserie: Leitfaden für Gast-WiFi →
Executive Summary
Das traditionelle Captive Portal Modell für Gäste WiFi funktioniert nicht mehr zeitgemäß. Seit Jahrzehnten verlassen sich Veranstaltungsorte auf manuelle Anmeldeseiten, die Benutzer frustrieren, schlechte Sicherheit bieten und erheblichen Support-Aufwand verursachen. WBA OpenRoaming stellt einen grundlegenden architektonischen Wandel dar und ersetzt die manuelle Authentifizierung durch eine globale Föderation sicherer, automatischer Verbindungen, die auf Passpoint (Hotspot 2.0) Technologie und 802.1X-Authentifizierung: Sicherung des Netzwerkzugriffs auf modernen Geräten basieren.
Für IT-Manager und Netzwerkarchitekten ist die Bereitstellung von OpenRoaming nicht mehr nur eine Frage der Verbesserung des Benutzererlebnisses - es ist eine strategische Notwendigkeit, um die Netzwerksicherheit zu erhöhen, Support-Tickets zu reduzieren und durch eine höhere Netzwerkauslastung einen messbaren ROI zu erzielen. Dieser Leitfaden bietet eine umfassende technische Referenz für die Implementierung der OpenRoaming Architektur, die Navigation durch die RADIUS Föderation und die Gewährleistung der Compliance mit modernen Sicherheitsstandards in Unternehmens-, Einzelhandels- und Hotellerie-Umgebungen.
Technischer Deep-Dive: Die OpenRoaming Architektur
Die OpenRoaming Architektur basiert auf einer Vertrauensföderation, die von der Wireless Broadband Alliance (WBA) verwaltet wird. Sie schließt die Lücke zwischen Identity Providers (IDPs), die Anmeldedaten ausstellen, und Access Network Providers (ANPs), die die WiFi Infrastruktur betreiben.
Das Passpoint Fundament
Das Herzstück von OpenRoaming ist der Passpoint Standard der Wi-Fi Alliance (basierend auf IEEE 802.11u). Passpoint ermöglicht es Geräten, sich automatisch mit WiFi Netzwerken zu verbinden und zu authentifizieren. Wenn ein Gerät einen für OpenRoaming freigeschalteten Veranstaltungsort betritt, nutzt es das Access Network Query Protocol (ANQP), um den Access Point vor der Verbindung nach unterstützten Roaming Consortium Organisation Identifiers (RCOIs) abzufragen. Diese Erkennung vor der Verbindung ist für den Benutzer völlig unsichtbar - das Gerät ermittelt im Hintergrund, ob es über gültige Anmeldedaten für das Netzwerk verfügt, bevor es einen Verbindungsversuch initiiert.
Die RADIUS Föderation und RadSec
Das traditionelle WiFi Roaming von Mobilfunkanbietern basiert auf statischen RADIUS Routing-Tabellen, die durch bilaterale Vereinbarungen befüllt und über IPSec-Tunnel gesichert werden. Dieses Modell lässt sich nicht auf eine globale, offene Föderation skalieren. OpenRoaming löst dies durch den Einsatz von dynamischer DNS-basierter Peer-Erkennung (RFC 7585) und RadSec (RADIUS über TLS, RFC 6614). Wenn ein Access Point eine Authentifizierungsanfrage erhält, führt der lokale RADIUS-Proxy eine DNS NAPTR-Abfrage für den Realm des Benutzers durch, um den RadSec-Server des IDP dynamisch zu ermitteln. Die Signalisierung wird mittels gegenseitigem TLS (mTLS) mit Zertifikaten abgesichert, die von der vierstufigen Public Key Infrastructure (PKI) der WBA ausgestellt wurden. Dies gewährleistet eine durchgängige Sicherheit zwischen dem Zugangsnetzwerk und dem Identity Provider, ohne dass bilaterale Vereinbarungen im Vorfeld erforderlich sind.
Roaming Consortium Organisation Identifiers (RCOIs)
OpenRoaming verwendet spezifische RCOIs zur Übertragung von Richtlinienkontrollen und Abrechnungsmodellen. Diese werden im 802.11-Beacon und über ANQP angekündigt:
| RCOI-Wert | Modell | Beschreibung |
|---|---|---|
| 5A-03-BA | Gebührenfrei (Settlement-Free) | Der ANP stellt die Konnektivität für den IDP kostenlos zur Verfügung. Das vorherrschende Modell für Unternehmen, Einzelhandel und Hotellerie. |
| BA-A2-D0 | Gebührenpflichtig (Settled) | Der ANP erwartet eine finanzielle Vergütung. Wird für Premium-Konnektivitätsszenarien verwendet. |
Die 12 signifikantesten Bits des RCOI können auch zur Definition von Richtlinien für Closed Access Groups (CAG) verwendet werden, was es ANPs und IDPs ermöglicht, Servicequalität-Stufen (QoS), Identitätsprüfungsstufen und Datenschutzanforderungen auf granularer Ebene auszuhandeln.
Implementierungshandbuch
Die Bereitstellung von OpenRoaming erfordert die Abstimmung zwischen Netzwerk-Hardware, RADIUS-Infrastruktur und Identitätsmanagement. Für eine umfassende Übersicht der Hardware-Anforderungen lesen Sie bitte unseren Leitfaden unter Wireless Access Points Definition Your Ultimate 2026 Guide.
Schritt 1: Überprüfung der Infrastruktur-Bereitschaft
Stellen Sie sicher, dass Ihre Access Points und Wireless LAN Controller Passpoint/Hotspot 2.0 (IEEE 802.11u) unterstützen. Die meisten für Unternehmen konzipierten Geräte, die nach 2018 hergestellt wurden, bieten native Unterstützung. Konfigurieren Sie eine dedizierte SSID, die mit WPA3-Enterprise (oder WPA2-Enterprise für die Kompatibilität mit älteren Geräten) gesichert ist. Diese SSID überträgt den OpenRoaming-Datenverkehr und muss mit den entsprechenden ANQP-Einstellungen konfiguriert werden, um Ihre RCOI zu senden.
Schritt 2: WBA-Mitgliedschaft und Broker-Einbindung
Um an der OpenRoaming-Federation teilzunehmen, muss Ihr Unternehmen entweder direkt der WBA beitreten oder einen autorisierten WBA-Broker beauftragen. Der Broker weist Ihrem Unternehmen eine WBA-Identität (WBAID) zu, stellt Ihre RadSec-Zertifikate unter der WBA-PKI aus und konfiguriert Ihre DNS NAPTR/SRV-Einträge, um die dynamische Erkennung zu ermöglichen. Dies ist der grundlegende Schritt, der Ihre Infrastruktur mit der globalen Federation verbindet.
Schritt 3: Konfiguration der RADIUS-Infrastruktur
Ihr RADIUS-Server muss so konfiguriert sein, dass er Authentifizierungsanfragen an die OpenRoaming-Federation weiterleitet. Dies umfasst die Konfiguration von RadSec, um mTLS-Verbindungen unter Verwendung Ihrer von der WBA ausgestellten Zertifikate herzustellen. Der RADIUS-Proxy muss in der Lage sein, DNS-NAPTR-Abfragen durchzuführen, um IDP-Endpunkte dynamisch aufzulösen. Cloudbasierte RADIUS-Lösungen können diesen Schritt erheblich vereinfachen, indem sie die komplexen Prozesse der DNS-Erkennung und des Zertifikatsmanagements abstrahieren.
Schritt 4: Strategie zur Gerätebereitstellung
Das Bereitstellen von Passpoint-Profilen auf Benutzergeräten ist die primäre betriebliche Herausforderung. Es stehen vier Ansätze zur Verfügung:
| Methode | Bestens geeignet für | Mechanismus |
|---|---|---|
| MDM-Push | Verwaltete Unternehmensgeräte | Intune, Jamf oder Workspace ONE pushen Profile automatisch |
| Online Sign-Up (OSU) | Endkunden-Umgebungen | Standardisierte Selbstregistrierung über das Passpoint-OSU-Protokoll |
| App-basierte Bereitstellung | Mitglieder von Treueprogrammen | Mobile App installiert das Passpoint-Profil nach der Authentifizierung |
| QR-Code-Registrierung | Check-in im Gastgewerbe | Physischer QR-Code löst die Profilinstallation aus |
Schritt 5: Richtlinienkonfiguration und VLAN-Segmentierung
Konfigurieren Sie Ihren WLAN-Controller so, dass er die entsprechenden OpenRoaming-RCOIs über ANQP ausstrahlt. Implementieren Sie eine dynamische VLAN-Zuweisung über RADIUS-Attribute, um sicherzustellen, dass der Gastdatenverkehr von den Unternehmensnetzwerken isoliert ist. Dies ist für die PCI-DSS-Compliance in Einzelhandelsumgebungen zwingend erforderlich und gilt als Best Practice für alle Branchen.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.
Best Practices für Sicherheit und Compliance
OpenRoaming verbessert die Sicherheitsstruktur von Standort-WiFi grundlegend, indem es von offenen, unverschlüsselten Netzwerken zu einer robusten Sicherheit auf Enterprise-Niveau übergeht. Für einen tieferen Einblick in die zugrunde liegenden Authentifizierungsmechanismen lesen Sie bitte 802.1X-Authentifizierung: Sicherung des Netzwerkzugriffs auf modernen Geräten.
WPA3-Enterprise und 802.1X-Authentifizierung
Im Gegensatz zu Captive Portals, bei denen der Datenverkehr bis zur Anmeldung unverschlüsselt bleibt, nutzt OpenRoaming eine WPA3-Enterprise-Verschlüsselung ab dem allerersten Paket. Der gegenseitige 802.1X-Authentifizierungsprozess stellt sicher, dass das Gerät des Benutzers die Identität des Netzwerks kryptografisch überprüft, bevor Anmeldedaten übertragen werden. Dies eliminiert das Risiko von gefälschten Access Points ("Evil Twin") - eine Schwachstelle, die herkömmliche Captive Portals nicht beheben können.
Datenschutz und GDPR-Konformität
Traditionelle Captive Portals erfassen oft umfangreiche personenbezogene Daten (PII), was erhebliche Belastungen bei der GDPR-Compliance verursacht. OpenRoaming authentifiziert Benutzer über pseudonyme Identifikatoren wie das Chargeable-User-Identity (CUI) Attribut. Der Veranstaltungsort überprüft, ob der Benutzer legitim ist, ohne zwingend seine rohen PII zu erfassen. Dies steht im Einklang mit den GDPR-Prinzipien der Datenminimierung und reduziert den Umfang Ihrer Datenverarbeitungspflichten.
Netzwerksegmentierung und PCI-DSS
Für Umgebungen im Bereich Retail ist die PCI-DSS-Compliance von entscheidender Bedeutung. Der OpenRoaming-Datenverkehr muss strikt von Point-of-Sale (POS) Systemen und Unternehmensnetzwerken segmentiert werden. Nutzen Sie die dynamische VLAN-Zuweisung über RADIUS-Attribute, um den Gastdatenverkehr sofort nach der Authentifizierung zu isolieren und ihn in einer VRF-Instanz mit nur einer Standard-Internetroute und expliziten Deny-Regeln für den gesamten internen RFC 1918-Adressraum zu platzieren.
Fallstudien: OpenRoaming in der Praxis
Fallstudie 1: RAI Amsterdam Convention Centre (Events & Konferenzen)
Das RAI Amsterdam Convention Centre, einer der größten Veranstaltungsorte Europas mit jährlich 1,5 Millionen Gästen, hat 2023 WiFi 6 mit WBA OpenRoaming eingeführt. Auf der Cisco Live Europe hatten über 18.000 Teilnehmer Zugang zu nahtloser OpenRoaming-Konnektivität und verbrauchten in vier Tagen mehr als 77 Terabyte an Daten. Die Teilnehmer verbrachten durchschnittlich sechs Stunden im Netzwerk. Die Bereitstellung zeigte, wie OpenRoaming die Verbindungsspitzen eliminiert, die typischerweise beim Öffnen von Veranstaltungstoren auftreten, indem die Authentifizierungslast gleichmäßig über die Föderation verteilt wird. Für Knotenpunkte im Bereich Transport und Konferenzzentren ist diese Fallstudie der ultimative Machbarkeitsnachweis.
Fallstudie 2: Delhaize-Einzelhandelskette (Retail)
Die belgische Einzelhandelsgruppe Delhaize hat OpenRoaming in ihrem gesamten Filialnetz eingeführt, um die Konnektivität für Kunden zu verbessern und die Abläufe zu optimieren. Die Einführung löste hartnäckige Probleme mit den Konversionsraten von Captive Portals - eine Herausforderung, vor der alle Betreiber im Bereich Retail stehen, da Kunden zunehmend standardmäßig mobile Daten nutzen, anstatt sich mit manuellen Anmeldeseiten zu befassen. Durch die Ermöglichung einer automatischen, sicheren Konnektivität für Nutzer der Treue-App konnte Delhaize die WiFi-Nutzung steigern und die Qualität der Analysedaten in den Filialen verbessern, was Entscheidungen zur Warenpräsentation und Flächennutzung direkt unterstützt. Dies steht im Einklang mit dem breiteren Trend, WiFi Analytics in Retail-Intelligence-Plattformen zu integrieren.
Fehlerbehebung & Risikominderung
Obwohl OpenRoaming das Benutzererlebnis vereinfacht, ist die zugrunde liegende Infrastruktur komplex. Netzwerkarchitekten müssen proaktiv gängige Fehlermodi mindern:
RadSec-Zertifikatsablauf ist das kritischste betriebliche Risiko. Die mTLS-Verbindungen basieren auf WBA-PKI-Zertifikaten. Ein abgelaufenes Zertifikat unterbricht sofort das Föderations-Routing, was zu unbemerkten Authentifizierungsfehlern führt. Implementieren Sie eine Überwachung mit mindestens 60 Tagen Vorwarnzeit und einen definierten Erneuerungsprozess.
DNS-Auflösungsfehler sind die zweithäufigste Ursache für OpenRoaming Ausfälle. Die dynamische Peer-Erkennung hängt von der zuverlässigen DNS-Auflösung von NAPTR- und SRV-Einträgen ab. Stellen Sie sicher, dass Ihre RADIUS Proxies mit redundanten, leistungsstarken DNS-Forwardern konfiguriert sind, und testen Sie die DNS-Auflösung im Rahmen Ihrer regelmäßigen Netzwerk-Health-Checks.
Kompatibilität mit älteren Geräten muss während der Übergangsphase eingeplant werden. Während moderne iOS, Android, Windows und macOS Geräte Passpoint nativ unterstützen, ist dies bei älteren Geräten nicht der Fall. Betreiben Sie während der Übergangszeit ein paralleles traditionelles Guest WiFi Netzwerk, um eine flächendeckende Abdeckung zu gewährleisten.
Fehlkonfigurationen des RADIUS Proxies können zu bereichsbasierten Routing-Fehlern führen. Stellen Sie sicher, dass Ihr Proxy den EAP-Identity-Bereich korrekt verarbeitet und Ihre DNS-NAPTR-Einträge für die Erkennung nach RFC 7585 korrekt formatiert sind. Testen Sie vor dem Live-Gang mit mehreren IDP-Bereichen.
ROI & geschäftliche Auswirkungen
Der Business Case für OpenRoaming geht weit über technische Eleganz hinaus. Veranstaltungsorte können messbare Erträge in mehreren Bereichen erwarten:
| Metrik | Typisches Ergebnis | Quelle |
|---|---|---|
| Reduzierung von WiFi Support-Tickets | 70-80 % Rückgang | WBA-Bereitstellungsberichte |
| Steigerung der WiFi Nutzungsrate | 40-50 % Steigerung | WBA-Flughafen-Bereitstellungsdaten |
| Datenverbrauch pro Nutzer | Deutlich höher im Vergleich zum Captive Portal | RAI Amsterdam Fallstudie |
| PII-Compliance-Risiko | Erheblich reduziert | GDPR Pseudonym-ID-Modell |
Durch die Einführung von OpenRoaming bieten Veranstaltungsorte die Modern Hospitality WiFi Solutions Your Guests Deserve und verwandeln WiFi von einem frustrierenden Hilfsmittel in einen nahtlosen, unsichtbaren Wegbereiter des digitalen Erlebnisses. Die Integration mit WiFi Analytics Plattformen wird noch wertvoller, da höhere Verbindungsraten reichhaltigere, repräsentativere Datensätze liefern. Für Unternehmen, die das größere Bild der Netzmodernisierung betrachten, bietet The Core SD WAN Benefits for Modern Businesses ergänzenden Kontext dazu, wie sich OpenRoaming in eine moderne, softwaredefinierte Netzwerkarchitektur einfügt.
Auch der Bereich Healthcare profitiert erheblich, da OpenRoaming eine sichere, automatische Konnektivität für gastierende Kliniker und medizinische IoT-Geräte ermöglicht - ganz ohne die Compliance-Risiken offener Gastnetzwerke oder den betrieblichen Aufwand einer Captive Portal Verwaltung pro Gerät.
Schlüsseldefinitionen
Passpoint (Hotspot 2.0)
Ein Zertifizierungsprogramm der WiFi Alliance auf Basis von IEEE 802.11u, das es Geräten ermöglicht, WiFi-Netzwerke automatisch und ohne Benutzereingriff mithilfe vorkonfigurierter Anmeldedaten zu erkennen und sich bei ihnen zu authentifizieren.
Die grundlegende Technologie, die das nahtlose OpenRoaming-Erlebnis auf dem Endgerät des Benutzers ermöglicht. Ohne Passpoint-Unterstützung sowohl auf dem AP als auch auf dem Gerät kann OpenRoaming nicht funktionieren.
RadSec
Ein Protokoll (RFC 6614), das RADIUS-Pakete über eine TCP- und TLS-Verbindung transportiert und eine verschlüsselte, zuverlässige und authentifizierte Übertragung von Authentifizierungssignalen bietet.
Wird verwendet, um den Authentifizierungsverkehr zu sichern, der über das öffentliche Internet zwischen dem RADIUS-Proxy des Standorts und der weltweiten OpenRoaming-Federation übertragen wird. Ersetzt das ältere IPSec-Tunnel-Modell.
RCOI (Roaming Consortium Organisation Identifier)
Ein 3-Oktett- oder 5-Oktett-Identifikator, der von Access Points in 802.11-Beacons und ANQP-Antworten übertragen wird, um anzuzeigen, welche Roaming-Federations und Abrechnungsrichtlinien das Netzwerk unterstützt.
Geräte lesen den RCOI, um festzustellen, ob sie über gültige Anmeldedaten für eine Verbindung verfügen, bevor sie eine Authentifizierung versuchen. Der abrechnungsfreie RCOI (5A-03-BA) ist der Standard für Unternehmensbereitstellungen.
ANQP (Access Network Query Protocol)
Ein IEEE 802.11-Protokoll, mit dem Geräte Access Points vor der Zuordnung nach Netzwerkinformationen abfragen - einschließlich unterstützter RCOIs, Name des Standorts und NAI-Realm-Liste.
Ermöglicht es Geräten, im Hintergrund zu prüfen, ob ein Netzwerk ihre Anmeldedaten unterstützt, ohne den Benutzer zu stören oder einen Verbindungsversuch einzuleiten.
Identity Provider (IDP)
Eine Organisation, die Benutzeridentitäten verwaltet und die Passpoint-Anmeldedaten (Zertifikate oder Profile) ausstellt, die für die OpenRoaming-Authentifizierung verwendet werden.
Mobilfunkanbieter, IT-Abteilungen von Unternehmen und Treueprogramme fungieren als IDPs. Der IDP authentifiziert den Benutzer und signalisiert das Ergebnis über die RADIUS-Federation an den ANP.
Access Network Provider (ANP)
Der Standort oder die Organisation, die die physische WiFi-Infrastruktur betreibt, OpenRoaming-RCOIs überträgt und lokale Zugriffsrichtlinien durchsetzt.
Hotels, Stadien, Einzelhandelsgeschäfte und Unternehmensbüros fungieren als ANPs. Der ANP steuert, worauf authentifizierte Benutzer zugreifen können, unabhängig davon, welcher IDP sie authentifiziert hat.
WBA PKI
Die vierstufige Public-Key-Infrastruktur, die von der Wireless Broadband Alliance verwaltet wird und zur Ausstellung der mTLS-Zertifikate dient, die für RadSec-Verbindungen zwischen Federation-Teilnehmern erforderlich sind.
Bietet das grundlegende kryptografische Vertrauen, das es Tausenden von unabhängigen Netzwerken ermöglicht, sich ohne vorherige bilaterale Vereinbarungen sicher zu verbinden.
802.1X
Ein IEEE-Standard für portbasierte Netzwerkzugriffskontrolle, der einen Authentifizierungsmechanismus für Geräte bietet, die eine Verbindung zu einem LAN oder WLAN herstellen möchten, unter Verwendung von EAP-Methoden (Extensible Authentication Protocol).
Das robuste Sicherheits-Framework, das OpenRoaming zugrunde liegt. Es verhindert unbefugten Zugriff und ermöglicht eine WPA3-Enterprise-Verschlüsselung ab dem ersten Datenpaket.
Chargeable-User-Identity (CUI)
Ein RADIUS-Attribut (RFC 4372), das einen pseudonymen, stabilen Identifikator für einen Benutzer über mehrere Sitzungen hinweg bereitstellt, ohne dessen tatsächliche Identität gegenüber dem Zugangsnetzwerk offenzulegen.
Ermöglicht es Standorten, eindeutige Besucher für Analysezwecke zu erfassen und gleichzeitig die Erfassung personenbezogener Daten zu minimieren, was direkt die Einhaltung der GDPR-Datenminimierung unterstützt.
Ausgearbeitete Beispiele
Ein Luxushotel mit 500 Zimmern nutzt derzeit ein Captive Portal, bei dem sich die Gäste mit ihrer Zimmernummer und ihrem Nachnamen anmelden müssen. Es kommt zu einem hohen Supportaufkommen und schlechten Bewertungen der Gästezufriedenheit in Bezug auf das WiFi. Das Hotel möchte OpenRoaming implementieren, befürchtet jedoch, die Möglichkeit zur Staffelung der Bandbreite für VIP-Gäste und Mitglieder von Treueprogrammen zu verlieren.
Das Hotel sollte OpenRoaming unter Verwendung des gebührenfreien RCOI (5A-03-BA) bereitstellen, wobei die Treue-App des Hotels als Identity Provider fungiert. Wenn sich ein VIP-Mitglied authentifiziert, enthält die RADIUS-Access-Accept-Antwort des IDP herstellerspezifische Attribute (VSAs), die den WLAN-Controller des Hotels anweisen, den Benutzer einem Premium-QoS-Profil und einem dedizierten High-Bandwidth-VLAN zuzuweisen. Standardgäste, die über einen Drittanbieter-IDP (z. B. ihren Mobilfunkanbieter) authentifiziert werden, erhalten das Standard-QoS-Profil. Der RADIUS-Server des Hotels fungiert als Richtliniendurchsetzungspunkt und übersetzt die vom IDP bereitgestellten Identitätsattribute in lokale Netzwerkrichtlinien.
Eine große Einzelhandelskette mit 200 Filialen möchte OpenRoaming bereitstellen, um die Konnektivität der Kunden zu verbessern und ihre WiFi-Analytics-Plattform mit reichhaltigeren Besucherdaten zu füttern. Ihr Sicherheitsteam ist besorgt über die PCI-DSS-Compliance und das Risiko, dass Gastgeräte auf das Unternehmensnetzwerk oder Kassensysteme zugreifen.
Die Einzelhandelskette muss als Voraussetzung für die Bereitstellung eine strikte Netzwerksegmentierung implementieren. Die OpenRoaming-SSID muss auf der Zugriffsebene (am AP oder Distribution-Switch) einem isolierten Gast-VLAN zugeordnet werden. Der RADIUS-Server sollte eine dynamische VLAN-Zuweisung erzwingen, um sicherzustellen, dass alle über OpenRoaming authentifizierten Benutzer in einer VRF-Instanz platziert werden, die nur über eine Standardroute zum Internet und explizite ACL-Deny-Regeln für den gesamten internen RFC-1918-Adressraum verfügt. Der OpenRoaming-RADIUS-Proxy sollte in einer DMZ bereitgestellt werden, ohne direkten Routing-Pfad zum Unternehmensnetzwerk. Ein vierteljährlicher Penetrationstest sollte die Wirksamkeit der Segmentierungsgrenze überprüfen.
Übungsfragen
Q1. Ihr Standort verzeichnet häufige stille Authentifizierungsfehler bei einer Gruppe von OpenRoaming-Benutzern. Paketaufzeichnungen bestätigen, dass die EAP-Identity-Antwort vom AP empfangen wird, aber kein RADIUS-Access-Request jemals den Identity Provider erreicht. Was ist die wahrscheinlichste Fehlerquelle in der Architektur und wie würden Sie diese diagnostizieren?
Hinweis: Berücksichtigen Sie die Schritte, die der RADIUS-Proxy ausführen muss, um das richtige Ziel für den Realm des jeweiligen Benutzers zu finden, bevor er die Authentifizierungsanfrage weiterleiten kann.
Musterlösung anzeigen
Die wahrscheinlichste Fehlerquelle ist die DNS-Auflösung am RADIUS-Proxy. OpenRoaming basiert auf dynamischer Erkennung (RFC 7585), was erfordert, dass der Proxy einen DNS-NAPTR/SRV-Lookup für den im EAP-Identity angegebenen Realm durchführt. Wenn DNS fehlschlägt, kann der Proxy die IP-Adresse des RadSec-Servers des IDPs nicht ermitteln, was zu einem stillen Fehler führt. Diagnostizieren Sie dies, indem Sie eine manuelle NAPTR-Abfrage vom RADIUS-Proxy für den betroffenen Realm ausführen und überprüfen, ob die korrekten SRV-Einträge zurückgegeben werden und die RadSec-Server-IP auf Port 2083 erreichbar ist.
Q2. Ein IT-Leiter eines Krankenhauses möchte OpenRoaming einführen, um die Konnektivität für Gastärzte und medizinische IoT-Geräte zu verbessern. Er fordert jedoch, dass der gesamte Gastdatenverkehr ab dem Moment der Verbindung über die Luft verschlüsselt sein muss, um die internen Sicherheitsrichtlinien zu erfüllen. Derzeit wird ein Captive Portal mit WPA2-Personal (PSK) genutzt. Erfüllt OpenRoaming diese Anforderung und wie unterscheidet sich das Verschlüsselungsmodell?
Hinweis: Vergleichen Sie den Verschlüsselungszeitpunkt von Captive Portals mit der 802.1X-basierten Authentifizierung und berücksichtigen Sie, was mit dem Datenverkehr geschieht, bevor die Anmeldung am Captive Portal abgeschlossen ist.
Musterlösung anzeigen
Ja, OpenRoaming erfüllt diese Anforderung vollständig. Bei einem Captive Portal ist der Datenverkehr über die Luft unverschlüsselt, bis der Benutzer den Anmeldevorgang abschließt - was ein Sicherheitsrisiko darstellt. OpenRoaming nutzt die 802.1X-Authentifizierung und WPA3-Enterprise (oder WPA2-Enterprise). Hierbei wird sofort nach erfolgreicher Authentifizierung, noch bevor Benutzerdaten übertragen werden, über einen 4-Wege-Handshake eine eindeutige, kryptografisch sichere verschlüsselte Sitzung aufgebaut. Jede Sitzung verwendet einen eindeutigen PMK, der aus dem EAP-Austausch abgeleitet wird, was eine Verschlüsselung pro Sitzung gewährleistet, die weitaus stärker ist als das Modell mit gemeinsam genutztem PSK.
Q3. Sie konfigurieren den WLAN-Controller für eine neue Stadion-Infrastruktur, die an der kostenfreien (settlement-free) OpenRoaming-Federation teilnehmen soll. Ein Kollege schlägt vor, auch die kostenpflichtige (settled) RCOI auszustrahlen, um die Kompatibilität zu maximieren. Welche Auswirkungen hat die gleichzeitige Ausstrahlung beider RCOIs und was ist Ihre Empfehlung?
Hinweis: Berücksichtigen Sie die kommerziellen und operativen Auswirkungen der kostenpflichtigen (settled) RCOI und wie Geräte die RCOI-Übereinstimmung priorisieren.
Musterlösung anzeigen
Die Ausstrahlung der kostenpflichtigen RCOI (BA-A2-D0) neben der kostenfreien RCOI (5A-03-BA) ist technisch möglich, birgt jedoch erhebliche kommerzielle Risiken. Die kostenpflichtige RCOI signalisiert den Identity Providers (IDPs), dass der ANP eine finanzielle Vergütung für die Konnektivität erwartet. Dies kann IDPs davon abhalten, ihren Nutzern die Verbindung zu erlauben, da ihnen dadurch Kosten entstehen würden. Für ein Stadion, das eine maximale Benutzerakzeptanz und nahtlose Konnektivität anstrebt, ist die Ausstrahlung ausschließlich der kostenfreien RCOI der richtige Ansatz. Die kostenpflichtige RCOI sollte nur verwendet werden, wenn eine spezifische kommerzielle Vereinbarung mit den entsprechenden IDPs besteht.
Häufig gestellte Fragen
Was ist WBA OpenRoaming und wie ersetzt es herkömmliche Captive Portals?
Wireless Broadband Alliance (WBA) OpenRoaming ist eine globale WiFi-Federation, die auf Passpoint (Hotspot 2.0 / IEEE 802.11u) und RadSec (RFC 6614) basiert. Sie ermöglicht es mobilen Geräten, sich mithilfe vorinstallierter Anmeldedaten, Zertifikate oder Mobilfunkprofile automatisch auf WiFi-Netzwerken von Unternehmen anzumelden und diese zu erkennen - unter vollständiger Umgehung von Captive Portals im Browser.
Was ist der Unterschied zwischen einem Access Network Provider (ANP) und einem Identity Provider (IdP)?
Ein Access Network Provider (ANP) ist ein Betreiber eines Standorts oder Netzwerks, der den physischen drahtlosen Zugang bereitstellt und OpenRoaming Roaming Consortium OIs (RCOIs) ausstrahlt. Ein Identity Provider (IdP) ist eine Organisation - wie ein Mobilfunkanbieter, eine Universität, ein Technologieunternehmen oder ein Treueprogramm -, die Anmeldedaten für Nutzer ausstellt und Authentifizierungsanfragen validiert, die vom ANP über die Federation weitergeleitet werden.
Welche Roaming Consortium Organization Identifiers (RCOIs) werden für OpenRoaming verwendet?
Die primäre WBA OpenRoaming RCOI ist 5A-03-BA-00-00, was für einen abrechnungsfreien, gegenseitigen Zugang steht. Kommerzielles Mobilfunk-Offloading mit finanziellem Ausgleich nutzt 5A-03-BA-01-00. Standorte können für duale Federations-Umgebungen auch die ältere Cisco OpenRoaming RCOI 00-40-96 oder eduroam RCOI 00-1B-C5 ausstrahlen.
Warum schreibt OpenRoaming RadSec über den TCP-Port 2083 anstelle von Standard-RADIUS vor?
Standard-RADIUS läuft über unverschlüsseltes UDP (Ports 1812/1813), wodurch Benutzeridentitäten und Anmeldedaten offengelegt werden, wenn sie über das öffentliche Internet geroutet werden. OpenRoaming schreibt RadSec (RFC 6614) vor, wodurch RADIUS-Pakete in eine TLS 1.3-Verschlüsselung über den TCP-Port 2083 mit gegenseitiger X.509-Zertifikatsvalidierung (mTLS) verpackt werden, um die realmübergreifende Federation zu sichern.
Wie ermöglicht Purple es Enterprise-Standorten, OpenRoaming zusammen mit Gast-Analysen bereitzustellen?
Purple fungiert als vertrauenswürdiger Partner der WBA OpenRoaming-Federation und verwaltet die RadSec-Broker-Verbindung, die automatisierte Profilbereitstellung sowie die Lebenszyklen von X.509-Zertifikaten über Enterprise-Hardware wie Cisco, HPE Aruba, Ruckus und Mist hinweg. Standorte behalten Echtzeit-Besucheranalysen, die Erfassung der Verweildauer und die Einhaltung der GDPR bei, während sie Gästen eine nahtlose WiFi-Verbindung ohne manuelle Einrichtung bieten.
Weiterlesen in dieser Reihe
Indien DPDP Act: Guest WiFi Compliance für indische Standorte
Dieser fundierte technische Leitfaden erläutert den Digital Personal Data Protection (DPDP) Act 2023 für indische Standorte, die ein Guest WiFi betreiben. Er bietet praxisnahe Compliance-Strategien, architektonische Überlegungen für Captive Portals sowie praktische Frameworks für Datenaufbewahrung und grenzüberschreitende Datenübertragungen.
Brasilien LGPD und Guest WiFi: Ein Compliance-Leitfaden
Dieser technische Leitfaden beschreibt detailliert, wie die brasilianische LGPD auf Guest WiFi-Bereitstellungen in Unternehmen anzuwenden ist. Der Schwerpunkt liegt dabei auf der Compliance von Captive Portals, den Rechtsgrundlagen für die Verarbeitung und der Schnittstelle zum Marco Civil da Internet. Er bietet IT-Verantwortlichen und Netzwerkarchitekten praktische Implementierungshilfen zur Minimierung regulatorischer Risiken bei gleichzeitiger Aufrechterhaltung des Netzwerknutzens.
EU AI Act und Guest WiFi: Was Marketer wissen müssen
Die EU-KI-Verordnung (Regulation 2024/1689) führt einen risikobasierten Rahmen ein, der sich direkt auf die Art und Weise auswirkt, wie Standortbetreiber KI-gestütztes WiFi Marketing, Captive Portals und Gäste-Analysen einsetzen. Dieser Leitfaden gleicht die vier Risikostufen der Verordnung mit realen Guest WiFi Anwendungsfällen ab, identifiziert verbotene Praktiken wie Emotionserkennung und Social Scoring und bietet IT-Teams sowie Marketingleitern in den Bereichen Gastgewerbe, Einzelhandel, Events und im öffentlichen Sektor umsetzbare Schritte zur Compliance. Zu verstehen, wo Ihre Bereitstellung im Risikospektrum liegt - und die Transparenzpflichten nach Artikel 50 für KI-Chatbots und konversationelle Portale umzusetzen - ist nicht mehr optional: Die Durchsetzung verbotener Praktiken begann im Februar 2025.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.