La guía definitiva sobre la arquitectura y autenticación de OpenRoaming
Esta guía proporciona una referencia técnica autorizada sobre la arquitectura de WBA OpenRoaming, que abarca la base de Passpoint, la federación RADIUS, la seguridad mTLS de RadSec y una guía de despliegue paso a paso para recintos empresariales. Equipará a los directores de TI, arquitectos de red y operadores de recintos con los conocimientos necesarios para sustituir los Captive Portals por una conectividad Wi-Fi fluida, segura y conforme a la normativa que ofrezca un ROI medible.
Escuchar esta guía
Ver transcripción del podcast
Resumen Ejecutivo
El modelo tradicional de Captive Portal para Wi-Fi de invitados está obsoleto. Durante décadas, los establecimientos han dependido de pantallas de inicio de sesión manuales que frustran a los usuarios, ofrecen una seguridad deficiente y generan una sobrecarga de soporte significativa. WBA OpenRoaming representa un cambio arquitectónico fundamental, sustituyendo la autenticación manual por una federación global de conexiones seguras y automáticas basadas en la tecnología Passpoint (Hotspot 2.0) y 802.1X Authentication: Securing Network Access on Modern Devices .
Para los responsables de TI y arquitectos de red, implementar OpenRoaming ya no es solo una cuestión de mejorar la experiencia del usuario: es un imperativo estratégico para mejorar la seguridad de la red, reducir los tickets de soporte y generar un ROI medible mediante una mayor utilización de la red. Esta guía proporciona una referencia técnica completa para implementar la arquitectura OpenRoaming, navegar por la federación RADIUS y garantizar el cumplimiento de los estándares de seguridad modernos en entornos empresariales, de Retail y de Hospitality .
Análisis Técnico Profundo: La Arquitectura OpenRoaming
La arquitectura OpenRoaming funciona a través de una federación de confianza gestionada por la Wireless Broadband Alliance (WBA). Sirve de puente entre los proveedores de identidad (IDP) que emiten credenciales y los proveedores de redes de acceso (ANP) que operan la infraestructura Wi-Fi.
La Base de Passpoint
En el núcleo de OpenRoaming se encuentra el estándar Passpoint de la Wi-Fi Alliance (basado en IEEE 802.11u). Passpoint permite que los dispositivos descubran y se autentiquen en redes Wi-Fi de forma automática. Cuando un dispositivo entra en un establecimiento con OpenRoaming habilitado, utiliza el protocolo Access Network Query Protocol (ANQP) para consultar al punto de acceso sobre los identificadores de organización de consorcio de itinerancia (RCOI) compatibles antes de asociarse. Este descubrimiento previo a la asociación es completamente invisible para el usuario: el dispositivo determina de forma silenciosa si posee credenciales válidas para la red antes de iniciar cualquier intento de conexión.
La Federación RADIUS y RadSec
La itinerancia Wi-Fi de operadores tradicional se basa en tablas de enrutamiento RADIUS estáticas pobladas a través de acuerdos bilaterales, protegidas mediante túneles IPSec. Este modelo no es escalable para una federación global y abierta. OpenRoaming resuelve esto utilizando el descubrimiento dinámico de pares basado en DNS (RFC 7585) y RadSec (RADIUS sobre TLS, RFC 6614).
Cuando un punto de acceso recibe una solicitud de autenticación, el proxy RADIUS local realiza una búsqueda DNS NAPTR en el dominio del usuario para descubrir dinámicamente el servidor RadSec del IDP. La señalización se protege mediante TLS mutuo (mTLS) con certificados emitidos por la Infraestructura de Clave Pública (PKI) de cuatro niveles de la WBA, lo que garantiza la seguridad de extremo a extremo entre la Red de Acceso y el Proveedor de Identidad sin necesidad de acuerdos bilaterales previamente establecidos.
Identificadores de Organización de Consorcio de Roaming (RCOIs)
OpenRoaming utiliza RCOIs específicos para transmitir controles de políticas y modelos de liquidación. Estos se anuncian en la baliza 802.11 y a través de ANQP:
| Valor RCOI | Modelo | Descripción |
|---|---|---|
| 5A-03-BA | Sin liquidación | El ANP proporciona conectividad sin coste para el IDP. Modelo dominante para empresas, comercio minorista y hostelería. |
| BA-A2-D0 | Liquidado | El ANP espera una compensación financiera. Utilizado para escenarios de conectividad premium. |
Los 12 bits más significativos del RCOI también se pueden utilizar para definir políticas de Grupo de Acceso Cerrado (CAG), lo que permite a los ANP e IDP negociar niveles de Calidad de Servicio, niveles de verificación de identidad y requisitos de privacidad a un nivel detallado.
Guía de Implementación
La implementación de OpenRoaming requiere la coordinación entre el hardware de red, la infraestructura RADIUS y la gestión de identidades. Para obtener una visión global de los requisitos de hardware, consulte nuestra guía sobre Definición de Puntos de Acceso Inalámbricos: Su Guía Definitiva para 2026 .
Paso 1: Evaluación de la preparación de la infraestructura
Verifique que sus puntos de acceso y controladores de LAN inalámbricos sean compatibles con Passpoint/Hotspot 2.0 (IEEE 802.11u). La mayoría de los equipos de nivel empresarial fabricados después de 2018 incluyen soporte nativo. Configure un SSID dedicado protegido con WPA3-Enterprise (o WPA2-Enterprise para compatibilidad con dispositivos heredados). Este SSID transportará el tráfico de OpenRoaming y debe configurarse con los ajustes ANQP adecuados para transmitir su RCOI.
Paso 2: Membresía de la WBA y participación de intermediarios
Para participar en la federación OpenRoaming, su organización debe unirse directamente a la WBA o contratar a un intermediario autorizado de la WBA. El intermediario asignará a su organización una Identidad WBA (WBAID), emitirá sus certificados RadSec bajo la PKI de la WBA y configurará sus registros DNS NAPTR/SRV para permitir el descubrimiento dinámico. Este es el paso fundamental que conecta su infraestructura a la federación global.
Paso 3: Configuración de la infraestructura RADIUS
Su servidor RADIUS debe estar configurado para enrutar las solicitudes de autenticación a la federación de OpenRoaming. Esto implica configurar RadSec para establecer conexiones mTLS utilizando sus certificados emitidos por la WBA. El proxy RADIUS debe ser capaz de realizar búsquedas DNS NAPTR para resolver dinámicamente los endpoints del IDP. Las soluciones RADIUS basadas en la nube pueden simplificar significativamente este paso al abstraer los complejos procesos de descubrimiento de DNS y gestión de certificados.
Paso 4: Estrategia de aprovisionamiento de dispositivos
La instalación de perfiles Passpoint en los dispositivos de los usuarios es la principal consideración operativa. Existen cuatro enfoques disponibles:
| Método | Ideal para | Mecanismo |
|---|---|---|
| Inserción por MDM | Dispositivos corporativos gestionados | Intune, Jamf o Workspace ONE insertan perfiles automáticamente |
| Registro en línea (OSU) | Despliegues de cara al consumidor | Auto-registro estandarizado a través del protocolo Passpoint OSU |
| Aprovisionamiento basado en aplicaciones | Miembros de programas de fidelización | La aplicación móvil instala el perfil Passpoint tras la autenticación |
| Registro mediante código QR | Registro en el sector hotelero | Un código QR físico activa la instalación del perfil |
Paso 5: Configuración de políticas y segmentación de VLAN
Configure su controlador WLAN para transmitir los RCOI de OpenRoaming adecuados a través de ANQP. Implemente la asignación dinámica de VLAN mediante atributos RADIUS para garantizar que el tráfico de invitados esté aislado de las redes corporativas. Esto es innegociable para el cumplimiento de PCI DSS en entornos de Retail y constituye una práctica recomendada en todos los sectores.
Prácticas recomendadas de seguridad y cumplimiento normativo
OpenRoaming mejora fundamentalmente la postura de seguridad de la red Wi-Fi del establecimiento, pasando de redes abiertas y no cifradas a una sólida seguridad de nivel empresarial. Para profundizar en los mecanismos de autenticación subyacentes, consulte Autenticación 802.1X: Protección del acceso a la red en dispositivos modernos .
WPA3-Enterprise y autenticación 802.1X
A diferencia de los portales cautivos, donde el tráfico no se cifra hasta que se inicia sesión, OpenRoaming utiliza el cifrado WPA3-Enterprise desde el primer paquete. El proceso de autenticación mutua 802.1X garantiza que el dispositivo del usuario verifique criptográficamente la identidad de la red antes de transmitir cualquier credencial, eliminando el riesgo de puntos de acceso no autorizados de tipo "Evil Twin", una vulnerabilidad que los Captive Portals tradicionales no pueden resolver.
Privacidad y cumplimiento de GDPR
Los Captive Portals tradicionales a menudo recopilan una gran cantidad de Información de Identificación Personal (PII), lo que genera importantes cargas de cumplimiento con el GDPR. OpenRoaming autentica a los usuarios a través de identificadores seudónimos, como el atributo Chargeable-User-Identity (CUI). El establecimiento verifica que el usuario es legítimo sin necesidad de ingerir su PII sin procesar, lo que se alinea con los principios de minimización de datos del GDPR y reduce el alcance de sus obligaciones de procesamiento de datos.
Segmentación de red y PCI DSS
Para entornos de Retail , el cumplimiento de PCI DSS es fundamental. El tráfico de OpenRoaming debe estar estrictamente segmentado de los sistemas de punto de venta (POS) y de las redes corporativas. Utilice la asignación dinámica de VLAN a través de atributos RADIUS para aislar el tráfico de invitados inmediatamente después de la autenticación, ubicándolo en una instancia VRF con solo una ruta de internet predeterminada y reglas de denegación explícitas para todo el espacio de direcciones interno RFC 1918.
Casos de estudio: OpenRoaming en producción
Caso de estudio 1: Centro de convenciones RAI Amsterdam (Eventos y conferencias)
El centro de convenciones RAI Amsterdam, uno de los recintos para eventos más grandes de Europa que recibe a 1,5 millones de visitantes al año, implementó Wi-Fi 6 con WBA OpenRoaming en 2023. En Cisco Live Europe, más de 18.000 asistentes tuvieron acceso a una conectividad OpenRoaming fluida, consumiendo más de 77 terabytes de datos en cuatro días. Los asistentes pasaron una media de seis horas en la red. La implementación demostró cómo OpenRoaming elimina el pico de conexión que suele producirse cuando se abren las puertas del evento, distribuyendo la carga de autenticación de manera uniforme en toda la federación. Para los centros de Transport y palacios de congresos, este caso de estudio es la prueba de concepto definitiva.
Caso de estudio 2: Cadena de tiendas Delhaize (Retail)
El grupo de distribución belga Delhaize implementó OpenRoaming en toda su red de tiendas para mejorar la conectividad de los clientes y optimizar las operaciones. La implementación resolvió problemas persistentes con las tasas de conversión de los Captive Portals, un desafío al que se enfrentan todos los operadores de Retail , ya que los clientes recurren cada vez más por defecto a los datos móviles en lugar de interactuar con pantallas de inicio de sesión manuales. Al permitir una conectividad automática y segura para los usuarios de su aplicación de fidelización, Delhaize aumentó la adopción de Wi-Fi y mejoró la calidad de los datos analíticos en la tienda, respaldando directamente las decisiones de comercialización y optimización del espacio. Esto se alinea con la tendencia más amplia de integrar WiFi Analytics con plataformas de inteligencia comercial.
Resolución de problemas y mitigación de riesgos
Aunque OpenRoaming simplifica la experiencia del usuario final, la infraestructura subyacente es compleja. Los arquitectos de red deben mitigar proactivamente los modos de fallo comunes:
La caducidad del certificado RadSec es el riesgo operativo más crítico. Las conexiones mTLS dependen de los certificados WBA PKI. Un certificado caducado interrumpirá inmediatamente el enrutamiento de la federación, provocando fallos de autenticación silenciosos. Implemente una monitorización con al menos 60 días de aviso previo y un proceso de renovación definido.
Los fallos de resolución de DNS son la segunda causa más común de interrupciones en OpenRoaming. El descubrimiento dinámico de pares depende de una resolución de DNS fiable de los registros NAPTR y SRV. Asegúrese de que sus proxies RADIUS tengan configurados reenviadores de DNS redundantes y de alto rendimiento, y pruebe la resolución de DNS como parte de sus comprobaciones periódicas del estado de la red.
La compatibilidad con dispositivos heredados debe planificarse durante la transición. Aunque los dispositivos modernos con iOS, Android, Windows y macOS admiten Passpoint de forma nativa, los dispositivos más antiguos no lo hacen. Mantenga una red de Guest WiFi tradicional paralela durante el período de transición para garantizar una cobertura universal.
La configuración incorrecta del proxy RADIUS puede provocar fallos en el enrutamiento basado en dominios. Asegúrese de que su proxy gestiona correctamente el dominio EAP-Identity y de que sus registros DNS NAPTR tienen el formato correcto para el descubrimiento según el RFC 7585. Realice pruebas con múltiples dominios de IDP antes de la puesta en marcha.
ROI e impacto empresarial
El caso de negocio de OpenRoaming va mucho más allá de la elegancia técnica. Los operadores de recintos pueden esperar retornos medibles en varios vectores:
| Métrica | Resultado típico | Fuente |
|---|---|---|
| Reducción de tickets de soporte de Wi-Fi | Disminución del 70–80% | Informes de despliegue de WBA |
| Incremento de la tasa de adopción de Wi-Fi | Incremento del 40–50% | Datos de despliegue en aeropuertos de WBA |
| Consumo de datos por usuario | Significativamente mayor frente a Captive Portal | Caso de estudio de RAI Amsterdam |
| Riesgo de cumplimiento de PII | Sustancialmente reducido | Modelo de ID seudónimo de GDPR |
Al adoptar OpenRoaming, los recintos ofrecen las Modern Hospitality WiFi Solutions Your Guests Deserve , transformando el Wi-Fi de un servicio frustrante a un facilitador invisible y fluido de la experiencia digital. La integración con las plataformas de WiFi Analytics adquiere más valor a medida que las tasas de conexión más altas producen conjuntos de datos más ricos y representativos. Para las organizaciones que exploran el panorama más amplio de la modernización de redes, el artículo The Core SD WAN Benefits for Modern Businesses proporciona un contexto complementario sobre cómo encaja OpenRoaming dentro de una arquitectura de red moderna y definida por software.
El sector de Healthcare también se beneficiará significativamente, ya que OpenRoaming permite una conectividad segura y automática para los médicos visitantes y los dispositivos IoT médicos, sin los riesgos de cumplimiento de las redes de invitados abiertas ni la sobrecarga operativa de la gestión de Captive Portal por dispositivo.
Definiciones clave
Passpoint (Hotspot 2.0)
Un programa de certificación de Wi-Fi Alliance basado en IEEE 802.11u que permite a los dispositivos descubrir y autenticarse automáticamente en redes Wi-Fi sin intervención del usuario, utilizando credenciales preaprovisionadas.
La tecnología fundamental que hace posible la experiencia fluida de OpenRoaming en el dispositivo del usuario final. Sin soporte de Passpoint tanto en el AP como en el dispositivo, OpenRoaming no puede funcionar.
RadSec
Un protocolo (RFC 6614) que transporta paquetes RADIUS a través de una conexión TCP y TLS, proporcionando una entrega cifrada, fiable y autenticada de la señalización de autenticación.
Se utiliza para proteger el tráfico de autenticación que atraviesa la internet pública entre el proxy RADIUS del establecimiento y la federación global de OpenRoaming. Reemplaza el modelo heredado de túnel IPSec.
RCOI (Roaming Consortium Organization Identifier)
Un identificador de 3 o 5 octetos transmitido por los puntos de acceso en balizas (beacons) 802.11 y respuestas ANQP para indicar qué federaciones de roaming y políticas de liquidación admite la red.
Los dispositivos leen el RCOI para determinar si disponen de credenciales válidas para conectarse antes de intentar la autenticación. El RCOI libre de cargos de liquidación (5A-03-BA) es el estándar para despliegues empresariales.
ANQP (Access Network Query Protocol)
Un protocolo IEEE 802.11 utilizado por los dispositivos para consultar a los puntos de acceso información sobre la red (incluidos los RCOI admitidos, el nombre del establecimiento y la lista de dominios NAI) antes de la asociación.
Permite a los dispositivos evaluar de forma silenciosa si una red admite sus credenciales sin interrumpir al usuario ni iniciar un intento de conexión.
Identity Provider (IDP)
Una organización que mantiene las identidades de los usuarios y emite las credenciales de Passpoint (certificados o perfiles) utilizadas para la autenticación de OpenRoaming.
Los operadores móviles, los departamentos de TI corporativos y los programas de fidelización actúan como IDP. El IDP autentica al usuario y comunica el resultado al ANP a través de la federación RADIUS.
Access Network Provider (ANP)
El establecimiento u organización que opera la infraestructura física de Wi-Fi, transmite los RCOI de OpenRoaming y aplica las políticas de acceso locales.
Los hoteles, estadios, tiendas minoristas y oficinas corporativas actúan como ANP. El ANP controla a qué pueden acceder los usuarios autenticados, independientemente de qué IDP los haya autenticado.
WBA PKI
La infraestructura de clave pública de cuatro niveles gestionada por la Wireless Broadband Alliance, utilizada para emitir los certificados mTLS necesarios para las conexiones RadSec entre los participantes de la federación.
Proporciona la confianza criptográfica fundamental que permite a miles de redes independientes federarse de forma segura sin acuerdos bilaterales previos.
802.1X
Un estándar IEEE para el control de acceso a redes basado en puertos que proporciona un mecanismo de autenticación para los dispositivos que desean conectarse a una LAN o WLAN, utilizando métodos EAP (Extensible Authentication Protocol).
El robusto marco de seguridad que sustenta OpenRoaming. Evita el acceso no autorizado y permite el cifrado WPA3-Enterprise desde el primer paquete de datos.
Chargeable-User-Identity (CUI)
Un atributo RADIUS (RFC 4372) que proporciona un identificador seudónimo y estable para un usuario a lo largo de múltiples sesiones, sin exponer su identidad real a la red de acceso.
Permite a los establecimientos realizar un seguimiento de los visitantes únicos para fines analíticos, minimizando al mismo tiempo la recopilación de PII, lo que respalda directamente el cumplimiento de la minimización de datos de la GDPR.
Ejemplos prácticos
Un hotel de lujo de 500 habitaciones utiliza actualmente un Captive Portal que requiere que los huéspedes inicien sesión con su número de habitación y apellido. Están experimentando un alto volumen de solicitudes de soporte y bajas puntuaciones de satisfacción de los huéspedes en relación con el Wi-Fi. Quieren implementar OpenRoaming pero les preocupa perder la capacidad de segmentar el ancho de banda por niveles para los huéspedes VIP y los miembros del programa de fidelización.
El hotel debe desplegar OpenRoaming utilizando el RCOI libre de liquidación (5A-03-BA), con la aplicación de fidelización del hotel actuando como proveedor de identidad (IDP). Cuando un miembro VIP del programa de fidelización se autentica, la respuesta RADIUS Access-Accept del IDP incluye atributos específicos del proveedor (VSA) que indican al controlador WLAN del hotel que asigne al usuario un perfil de QoS premium y una VLAN dedicada de gran ancho de banda. Los huéspedes estándar autenticados a través de un IDP de terceros (por ejemplo, su operador de telefonía móvil) reciben el perfil de QoS predeterminado. El servidor RADIUS del hotel actúa como punto de aplicación de políticas, traduciendo los atributos de identidad proporcionados por el IDP en políticas de red local.
Una gran cadena de tiendas con 200 establecimientos quiere desplegar OpenRoaming para mejorar la conectividad de los clientes y alimentar su plataforma de WiFi Analytics con datos de afluencia más completos. A su equipo de seguridad le preocupa el cumplimiento de la normativa PCI DSS y el riesgo de que los dispositivos de los clientes accedan a la red corporativa o a los sistemas de punto de venta.
La cadena de tiendas debe implementar una segmentación de red estricta como requisito previo al despliegue. El SSID de OpenRoaming debe asignarse a una VLAN de invitados aislada en la capa de acceso (el AP o el switch de distribución). El servidor RADIUS debe aplicar la asignación dinámica de VLAN, garantizando que todos los usuarios autenticados mediante OpenRoaming se ubiquen en una instancia VRF con solo una ruta predeterminada a internet y reglas de denegación ACL explícitas para todo el espacio de direcciones internas RFC 1918. El proxy RADIUS de OpenRoaming debe desplegarse en una DMZ, sin ruta de enrutamiento directo a la red corporativa. Una prueba de penetración trimestral debe verificar que el límite de segmentación se mantiene.
Preguntas de práctica
Q1. Su recinto está experimentando fallos frecuentes de autenticación silenciosa para un subconjunto de usuarios de OpenRoaming. Las capturas de paquetes confirman que el AP recibe la respuesta EAP-Identity, pero ninguna solicitud RADIUS Access-Request llega al proveedor de identidad. ¿Cuál es el punto de fallo arquitectónico más probable y cómo lo diagnosticaría?
Sugerencia: Considere los pasos necesarios para que el proxy RADIUS localice el destino correcto para el dominio del usuario específico antes de poder reenviar la solicitud de autenticación.
Ver respuesta modelo
El punto de fallo más probable es la resolución DNS en el proxy RADIUS. OpenRoaming se basa en el descubrimiento dinámico (RFC 7585), lo que requiere que el proxy realice una búsqueda DNS NAPTR/SRV en el dominio proporcionado en la EAP-Identity. Si el DNS falla, el proxy no puede determinar la dirección IP del servidor RadSec del IDP, lo que provoca un fallo silencioso. Diagnostíquelo ejecutando una búsqueda manual NAPTR desde el proxy RADIUS para el dominio afectado, verificando que se devuelvan los registros SRV correctos y que la IP del servidor RadSec sea accesible en el puerto 2083.
Q2. El director de TI de un hospital quiere implementar OpenRoaming para mejorar la conectividad de los médicos visitantes y los dispositivos IoT médicos, pero exige que todo el tráfico de invitados esté cifrado en el aire desde el momento de la conexión para cumplir con la política de seguridad interna. Actualmente utilizan un Captive Portal con WPA2-Personal (PSK). ¿Cumple OpenRoaming con este requisito y en qué se diferencia el modelo de cifrado?
Sugerencia: Compare el momento del cifrado de los Captive Portals frente a la autenticación basada en 802.1X, y considere qué ocurre con el tráfico antes de que se complete el inicio de sesión en el Captive Portal.
Ver respuesta modelo
Sí, OpenRoaming cumple plenamente con este requisito. Con un Captive Portal, el tráfico no está cifrado en el aire hasta que el usuario completa el proceso de inicio de sesión, lo que crea una ventana de vulnerabilidad. OpenRoaming utiliza autenticación 802.1X y WPA3-Enterprise (o WPA2-Enterprise), lo que establece una sesión cifrada única y criptográficamente segura mediante un protocolo de enlace de 4 vías (4-way handshake) inmediatamente después de una autenticación exitosa, antes de que se transmita cualquier dato del usuario. Cada sesión utiliza una PMK única derivada del intercambio EAP, lo que garantiza un cifrado por sesión que es mucho más robusto que el modelo de PSK compartida.
Q3. Está configurando el controlador WLAN para el despliegue de un nuevo estadio que participará en la federación OpenRoaming gratuita (settlement-free). Un colega sugiere transmitir también el RCOI de pago (settled) para maximizar la compatibilidad. ¿Cuáles son las implicaciones de transmitir ambos RCOIs simultáneamente y cuál es su recomendación?
Sugerencia: Considere las implicaciones comerciales y operativas del RCOI de pago (settled), y cómo los dispositivos priorizan la coincidencia de RCOI.
Ver respuesta modelo
Transmitir el RCOI de pago (BA-A2-D0) junto con el RCOI gratuito (5A-03-BA) es técnicamente posible pero conlleva un riesgo comercial significativo. El RCOI de pago indica a los proveedores de identidad que el ANP espera una compensación financiera por la conectividad. Esto puede disuadir a los IDPs de permitir que sus usuarios se conecten, ya que incurrirían en cargos. Para un estadio que busca la máxima adopción por parte de los usuarios y una conectividad fluida, transmitir únicamente el RCOI gratuito es el enfoque correcto. El RCOI de pago solo debe utilizarse cuando exista un acuerdo de liquidación comercial específico con los IDPs correspondientes.
Continúe leyendo esta serie
Cómo configurar SCEP para el registro automatizado de certificados WiFi corporativos
Esta guía explica cómo configurar SCEP (Simple Certificate Enrollment Protocol) para el registro automatizado de certificados WiFi corporativos, abarcando toda la arquitectura desde PKI y NDES hasta el despliegue de perfiles MDM y la validación RADIUS. Está dirigida a directores de TI, arquitectos de red y CTO de hoteles, cadenas de retail, estadios, centros de conferencias y organizaciones del sector público que necesitan ir más allá de las claves precompartidas e implementar una autenticación 802.1X EAP-TLS escalable y basada en la identidad. La plataforma de superposición en la nube de Purple, que es independiente del hardware, se integra directamente con esta arquitectura, proporcionando la capa de WiFi para invitados y BYOD que coexiste junto a la red de personal autenticada por certificado.
La guía empresarial de SCEP: Despliegue de Simple Certificate Enrollment Protocol para la seguridad automatizada de WiFi en campus
Esta guía de referencia técnica proporciona un diseño arquitectónico definitivo y una estrategia de implementación paso a paso para el despliegue de certificados WiFi empresariales mediante SCEP. Cubre las diferencias críticas entre SCEP y PKCS, la secuencia exacta de despliegue requerida para el éxito y estrategias reales de mitigación de riesgos para líderes de TI.
Cómo implementar SCEP para el registro automatizado de certificados WiFi
Esta guía explica cómo implementar SCEP (Simple Certificate Enrollment Protocol) para el registro automatizado de certificados WiFi en entornos empresariales. Cubre el diseño arquitectónico completo, desde el diseño de PKI y la integración con MDM hasta la secuencia de despliegue obligatoria de tres pasos, y muestra a los responsables de TI y arquitectos de red cómo eliminar las credenciales compartidas, automatizar la gestión del ciclo de vida de los certificados y cumplir con los requisitos de PCI DSS y GDPR a escala.