La guía definitiva sobre la arquitectura y la autenticación de OpenRoaming
Esta guía proporciona una referencia técnica autorizada sobre la arquitectura de WBA OpenRoaming, que abarca la base de Passpoint, la federación RADIUS, la seguridad mTLS de RadSec y una guía de implementación paso a paso para recintos empresariales. Equipará a directores de TI, arquitectos de red y operadores de recintos con los conocimientos necesarios para sustituir los portales cautivos por una conectividad WiFi fluida, segura y conforme a las normativas que ofrezca un ROI medible.
Video overview
Escuchar esta guía
Ver transcripción del podcast
Parte de nuestra serie principal: Guía de WiFi para invitados →
Resumen Ejecutivo
El modelo tradicional de Captive Portal para WiFi de invitados está obsoleto. Durante décadas, los establecimientos han dependido de pantallas de inicio de sesión manuales que frustran a los usuarios, ofrecen una seguridad deficiente y generan importantes costes de soporte. WBA OpenRoaming representa un cambio de arquitectura fundamental, que sustituye la autenticación manual por una federación global de conexiones seguras y automáticas basadas en la tecnología Passpoint (Hotspot 2.0) y 802.1X Authentication: Securing Network Access on Modern Devices.
Para los responsables de TI y los arquitectos de redes, implementar OpenRoaming ya no es solo cuestión de mejorar la experiencia del usuario - es un imperativo estratégico para mejorar la seguridad de la red, reducir los casos de soporte y generar un ROI cuantificable mediante una mayor utilización de la red. Esta guía proporciona una referencia técnica completa para implementar la arquitectura de OpenRoaming, navegar por la federación RADIUS y garantizar el cumplimiento de los estándares de seguridad modernos en entornos empresariales, de Retail y de Hospitality.
Análisis Técnico Detallado: La Arquitectura OpenRoaming
La arquitectura de OpenRoaming opera a través de una federación de confianza gestionada por la Wireless Broadband Alliance (WBA). Sirve de puente entre los proveedores de identidad (IDP) que emiten credenciales y los proveedores de redes de acceso (ANP) que gestionan la infraestructura WiFi.
La Base de Passpoint
En el núcleo de OpenRoaming se encuentra el estándar Passpoint de la Wi-Fi Alliance (basado en IEEE 802.11u). Passpoint permite a los dispositivos descubrir redes WiFi y autenticarse en ellas de forma automática. Cuando un dispositivo entra en un establecimiento con OpenRoaming habilitado, utiliza el protocolo Access Network Query Protocol (ANQP) para consultar al punto de acceso sobre los identificadores de organización de consorcio de roaming (RCOI) compatibles antes de asociarse. Este descubrimiento previo a la asociación es completamente invisible para el usuario: el dispositivo determina de forma silenciosa si dispone de credenciales válidas para la red antes de iniciar cualquier intento de conexión.
La Federación RADIUS y RadSec
El roaming de WiFi de operadores tradicional se basa en tablas de enrutamiento RADIUS estáticas configuradas mediante acuerdos bilaterales, protegidas a través de túneles IPSec. Este modelo no es escalable para una federación global y abierta. OpenRoaming soluciona este problema mediante el uso del descubrimiento dinámico de pares basado en DNS (RFC 7585) y RadSec (RADIUS sobre TLS, RFC 6614).
Cuando un punto de acceso recibe una solicitud de autenticación, el proxy RADIUS local realiza una búsqueda DNS NAPTR en el dominio del usuario para descubrir de forma dinámica el servidor RadSec del proveedor de identidad (IDP). La señalización se protege mediante TLS mutuo (mTLS) con certificados emitidos por la infraestructura de clave pública (PKI) de cuatro niveles de la WBA, lo que garantiza la seguridad de extremo a extremo entre la red de acceso y el proveedor de identidad sin necesidad de acuerdos bilaterales previos.
Identificadores de Organización de Consorcio de Roaming (RCOIs)
OpenRoaming utiliza RCOIs específicos para difundir controles de políticas y modelos de liquidación. Estos se anuncian en la baliza 802.11 y a través de ANQP:
| Valor RCOI | Modelo | Descripción |
|---|---|---|
| 5A-03-BA | Sin liquidación | El ANP proporciona conectividad sin coste para el IDP. Es el modelo predominante para empresas, comercio minorista y hostelería. |
| BA-A2-D0 | Liquidado | El ANP espera una compensación financiera. Se utiliza para escenarios de conectividad premium. |
Los 12 bits más significativos del RCOI también se pueden utilizar para definir políticas de Grupo de Acceso Cerrado (CAG), lo que permite a los ANPs e IDPs negociar niveles de calidad de servicio, niveles de pruebas de identidad y requisitos de privacidad de manera detallada.
Guía de implementación
La implementación de OpenRoaming requiere coordinación entre el hardware de red, la infraestructura RADIUS y la gestión de identidades. Para obtener una descripción general completa de los requisitos de hardware, consulte nuestra guía sobre la definición de puntos de acceso inalámbricos, su guía definitiva para 2026.
Paso 1: Evaluación de preparación de la infraestructura
Verifique que sus puntos de acceso y controladores de LAN inalámbrica sean compatibles con Passpoint/Hotspot 2.0 (IEEE 802.11u). La mayoría de los equipos de nivel empresarial fabricados después de 2018 incluyen compatibilidad nativa. Configure un SSID dedicado protegido con WPA3-Enterprise (o WPA2-Enterprise para compatibilidad con dispositivos heredados). Este SSID transportará el tráfico de OpenRoaming y debe configurarse con los ajustes ANQP adecuados para difundir su RCOI.
Paso 2: Membresía de la WBA y participación del intermediario
Para participar en la federación OpenRoaming, su organización debe unirse a la WBA directamente o contratar a un intermediario autorizado de la WBA. El intermediario asignará a su organización una Identidad WBA (WBAID), emitirá sus certificados RadSec bajo la PKI de la WBA y configurará sus registros DNS NAPTR/SRV para permitir el descubrimiento dinámico. Este es el paso fundamental que conecta su infraestructura con la federación global.
Paso 3: Configuración de la infraestructura RADIUS
Su servidor RADIUS debe estar configurado para enrutar las solicitudes de autenticación a la federación OpenRoaming. Esto implica configurar RadSec para establecer conexiones mTLS utilizando sus certificados emitidos por la WBA. El proxy RADIUS debe ser capaz de realizar búsquedas DNS NAPTR para resolver dinámicamente los endpoints del IDP. Las soluciones RADIUS basadas en la nube pueden simplificar significativamente este paso al abstraer los complejos procesos de detección de DNS y gestión de certificados.
Paso 4: Estrategia de aprovisionamiento de dispositivos
El principal factor operativo a tener en cuenta es cómo instalar los perfiles Passpoint en los dispositivos de los usuarios. Existen cuatro enfoques:
| Método | Ideal para | Mecanismo |
|---|---|---|
| Distribución por MDM | Dispositivos corporativos gestionados | Intune, Jamf o Workspace ONE distribuyen perfiles de forma automática |
| Registro en línea (OSU) | Implementaciones de cara al consumidor | Registro automático estandarizado a través del protocolo OSU de Passpoint |
| Aprovisionamiento basado en aplicaciones | Miembros de programas de fidelización | Una aplicación móvil instala el perfil Passpoint tras la autenticación |
| Registro mediante código QR | Check-in en hostelería | Un código QR físico activa la instalación del perfil |
Paso 5: Configuración de políticas y segmentación de VLAN
Configure su controlador WLAN para transmitir los RCOI de OpenRoaming correspondientes a través de ANQP. Implemente la asignación dinámica de VLAN mediante atributos RADIUS para garantizar que el tráfico de invitados esté aislado de las redes corporativas. Esto es innegociable para cumplir con la normativa PCI-DSS en entornos de Retail y constituye una buena práctica en todos los sectores.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.
Buenas prácticas de seguridad y cumplimiento
OpenRoaming mejora fundamentalmente la seguridad del WiFi de los establecimientos, pasando de redes abiertas y no cifradas a una seguridad sólida de nivel empresarial. Para profundizar en los mecanismos de autenticación subyacentes, revise Autenticación 802.1X: Protección del acceso a la red en dispositivos modernos.
WPA3-Enterprise y autenticación 802.1X
A diferencia de los portales cautivos, donde el tráfico no se cifra hasta que se inicia sesión, OpenRoaming utiliza cifrado WPA3-Enterprise desde el primer paquete. El proceso de autenticación mutua 802.1X garantiza que el dispositivo del usuario verifique criptográficamente la identidad de la red antes de transmitir cualquier credencial, lo que elimina el riesgo de puntos de acceso no autorizados de tipo "Evil Twin", una vulnerabilidad que los portales cautivos tradicionales no pueden resolver.
Privacidad y cumplimiento de GDPR
Los Captive Portals tradicionales a menudo recopilan una gran cantidad de información de identificación personal (PII), lo que genera importantes cargas de cumplimiento de la GDPR. OpenRoaming autentica a los usuarios a través de identificadores seudónimos como el atributo Chargeable-User-Identity (CUI). El establecimiento verifica que el usuario es legítimo sin necesidad de ingerir su PII original, lo que se alinea con los principios de minimización de datos de la GDPR y reduce el alcance de sus obligaciones de procesamiento de datos.
Segmentación de red y PCI DSS
Para entornos de Retail, el cumplimiento de PCI DSS es fundamental. El tráfico de OpenRoaming debe estar estrictamente segmentado de los sistemas de punto de venta (POS) y de las redes corporativas. Utilice la asignación dinámica de VLAN a través de atributos RADIUS para aislar el tráfico de invitados inmediatamente después de la autenticación, ubicándolo en una instancia VRF con solo una ruta de internet predeterminada y reglas de denegación explícitas para todo el espacio de direcciones RFC 1918 interno.
Casos de estudio: OpenRoaming en producción
Caso de estudio 1: Centro de convenciones RAI Amsterdam (Eventos y conferencias)
El Centro de convenciones RAI Amsterdam, uno de los recintos para eventos más grandes de Europa que recibe a 1,5 millones de visitantes al año, implementó WiFi 6 con WBA OpenRoaming en 2023. En el Cisco Live Europe, más de 18 000 asistentes tuvieron acceso a una conectividad OpenRoaming fluida, consumiendo más de 77 terabytes de datos en cuatro días. Los asistentes pasaron una media de seis horas en la red. La implementación demostró cómo OpenRoaming elimina el pico de conexiones que suele producirse cuando se abren las puertas del evento, distribuyendo la carga de autenticación de manera uniforme en toda la federación. Para los centros de Transport y de conferencias, este caso de estudio es la prueba de concepto definitiva.
Caso de estudio 2: Cadena de retail Delhaize (Retail)
El grupo de retail belga Delhaize implementó OpenRoaming en toda su red de tiendas para mejorar la conectividad de los clientes y optimizar las operaciones. La implementación resolvió problemas persistentes con las tasas de conversión de los Captive Portals, un desafío al que se enfrentan todos los operadores de Retail, ya que los clientes utilizan cada vez más los datos móviles por defecto en lugar de interactuar con pantallas de inicio de sesión manuales. Al permitir una conectividad automática y segura para los usuarios de su aplicación de fidelización, Delhaize aumentó la adopción de WiFi y mejoró la calidad de los datos de analítica en tienda, respaldando directamente las decisiones de comercialización y uso del espacio. Esto se alinea con la tendencia más amplia de integrar WiFi Analytics con plataformas de inteligencia comercial.
Resolución de problemas y mitigación de riesgos
Aunque OpenRoaming simplifica la experiencia del usuario final, la infraestructura subyacente es compleja. Los arquitectos de red deben mitigar de forma proactiva los modos de fallo más comunes:
RadSec Certificate Expiry es el riesgo operativo más crítico. Las conexiones mTLS dependen de los certificados WBA PKI. Un certificado caducado interrumpirá de inmediato el enrutamiento de la federación, provocando fallos de autenticación silenciosos. Implemente una monitorización con al menos 60 días de aviso previo y un proceso de renovación definido.
DNS Resolution Failures son la segunda causa más común de caídas de OpenRoaming. El descubrimiento dinámico de pares depende de una resolución DNS fiable de los registros NAPTR y SRV. Asegúrese de que sus proxies RADIUS tengan configurados reenviadores DNS redundantes y de alto rendimiento, y pruebe la resolución DNS como parte de sus comprobaciones periódicas de estado de la red.
Legacy Device Compatibility debe planificarse durante la transición. Aunque los dispositivos modernos iOS, Android, Windows y macOS admiten Passpoint de forma nativa, los dispositivos más antiguos no lo hacen. Mantenga una red de Guest WiFi tradicional paralela durante el período de transición para garantizar una cobertura universal.
RADIUS Proxy Misconfiguration puede causar fallos de enrutamiento basados en el reino. Asegúrese de que su proxy gestiona correctamente el reino EAP-Identity y de que sus registros DNS NAPTR tienen el formato correcto para el descubrimiento RFC 7585. Realice pruebas con múltiples reinos IDP antes de la puesta en marcha.
-
ROI & Business Impact
El caso de negocio para OpenRoaming va mucho más allá de la elegancia técnica. Los operadores de recintos pueden esperar retornos mensurables en varios vectores:
| Métrica | Resultado típico | Fuente |
|---|---|---|
| Reducción de tickets de soporte de WiFi | 70-80% de disminución | Informes de despliegue de WBA |
| Incremento en la tasa de adopción de WiFi | 40-50% de aumento | Datos de despliegue en aeropuertos de WBA |
| Consumo de datos por usuario | Significativamente mayor frente a Captive Portal | Estudio de caso de RAI Amsterdam |
| Riesgo de cumplimiento de PII | Sustancialmente reducido | Modelo de ID seudónimo de GDPR |
Al adoptar OpenRoaming, los recintos ofrecen las Modern Hospitality WiFi Solutions Your Guests Deserve, transformando el WiFi de un servicio frustrante en un habilitador invisible y fluido de la experiencia digital. La integración con las plataformas de WiFi Analytics se vuelve más valiosa a medida que las tasas de conexión más altas producen conjuntos de datos más ricos y representativos. Para las organizaciones que exploran el panorama más amplio de la modernización de la red, The Core SD WAN Benefits for Modern Businesses proporciona un contexto complementario sobre cómo encaja OpenRoaming dentro de una arquitectura de red moderna definida por software.
El sector de Healthcare también se beneficiará significativamente, ya que OpenRoaming permite una conectividad segura y automática para los médicos visitantes y los dispositivos médicos IoT - sin los riesgos de cumplimiento de las redes de invitados abiertas ni la carga operativa de la gestión de Captive Portal por dispositivo.
Definiciones clave
Passpoint (Hotspot 2.0)
Un programa de certificación de WiFi Alliance basado en IEEE 802.11u que permite a los dispositivos descubrir y autenticarse automáticamente en redes WiFi sin la intervención del usuario, utilizando credenciales previamente aprovisionadas.
La tecnología fundamental que hace posible la experiencia fluida de OpenRoaming en el dispositivo del usuario final. Sin el soporte de Passpoint tanto en el AP como en el dispositivo, OpenRoaming no puede funcionar.
RadSec
Un protocolo (RFC 6614) que transporta paquetes RADIUS a través de una conexión TCP y TLS, lo que proporciona una entrega cifrada, fiable y autenticada de la señalización de autenticación.
Se utiliza para proteger el tráfico de autenticación que atraviesa la internet pública entre el proxy RADIUS del establecimiento y la federación global de OpenRoaming. Sustituye al modelo heredado de túnel IPSec.
RCOI (Roaming Consortium Organisation Identifier)
Un identificador de 3 o 5 octetos emitido por los puntos de acceso en las balizas 802.11 y respuestas ANQP para indicar qué federaciones de roaming y políticas de liquidación admite la red.
Los dispositivos leen el RCOI para determinar si disponen de credenciales válidas para conectarse antes de intentar la autenticación. El RCOI libre de liquidación (5A-03-BA) es el estándar para despliegues empresariales.
ANQP (Access Network Query Protocol)
Un protocolo IEEE 802.11 utilizado por los dispositivos para consultar información de red a los puntos de acceso (incluidos los RCOI admitidos, el nombre del establecimiento y la lista de dominios NAI) antes de la asociación.
Permite a los dispositivos evaluar de forma silenciosa si una red admite sus credenciales sin interrumpir al usuario ni iniciar un intento de conexión.
Proveedor de identidad (IDP)
Una organización que mantiene las identidades de los usuarios y emite las credenciales Passpoint (certificados o perfiles) utilizadas para la autenticación de OpenRoaming.
Los operadores móviles, los departamentos de TI corporativos y los programas de fidelización actúan como IDP. El IDP autentica al usuario y envía la señal con el resultado al ANP a través de la federación RADIUS.
Proveedor de red de acceso (ANP)
El establecimiento u organización que opera la infraestructura física de WiFi, emite RCOI de OpenRoaming y aplica las políticas de acceso locales.
Los hoteles, estadios, tiendas minoristas y oficinas corporativas actúan como ANP. El ANP controla a qué pueden acceder los usuarios autenticados, independientemente de qué IDP los haya autenticado.
WBA PKI
La infraestructura de clave pública de cuatro niveles gestionada por la Wireless Broadband Alliance, utilizada para emitir los certificados mTLS necesarios para las conexiones RadSec entre los participantes de la federación.
Proporciona la confianza criptográfica fundamental que permite a miles de redes independientes federarse de forma segura sin acuerdos bilaterales establecidos previamente.
802.1X
Un estándar IEEE para el control de acceso a redes basado en puertos que proporciona un mecanismo de autenticación para los dispositivos que desean conectarse a una LAN o WLAN, utilizando métodos EAP (Extensible Authentication Protocol).
El robusto marco de seguridad que sustenta OpenRoaming. Evita el acceso no autorizado y permite el cifrado WPA3-Enterprise desde el primer paquete de datos.
Chargeable-User-Identity (CUI)
Un atributo RADIUS (RFC 4372) que proporciona un identificador seudónimo y estable para un usuario a lo largo de múltiples sesiones, sin exponer su identidad real a la red de acceso.
Permite a los establecimientos realizar el seguimiento de visitantes únicos con fines analíticos al mismo tiempo que se minimiza la recopilación de PII, lo que respalda directamente el cumplimiento de la minimización de datos del GDPR.
Ejemplos prácticos
Un hotel de lujo de 500 habitaciones utiliza actualmente un portal cautivo que requiere que los huéspedes inicien sesión con su número de habitación y apellido. Tienen un volumen elevado de solicitudes de soporte y puntuaciones bajas de satisfacción de los huéspedes en relación con el WiFi. Quieren implementar OpenRoaming, pero les preocupa perder la capacidad de ofrecer diferentes niveles de ancho de banda para huéspedes VIP y miembros del programa de fidelización.
El hotel debe implementar OpenRoaming utilizando el RCOI sin liquidación (5A-03-BA), con la aplicación de fidelización del hotel actuando como proveedor de identidad. Cuando un miembro de fidelización VIP se autentica, la respuesta RADIUS Access-Accept del IDP incluye atributos específicos del proveedor (VSA) que indican al controlador WLAN del hotel que asigne al usuario un perfil de QoS premium y una VLAN dedicada de alto ancho de banda. Los huéspedes estándar autenticados a través de un IDP externo (por ejemplo, su operador móvil) reciben el perfil de QoS predeterminado. El servidor RADIUS del hotel actúa como punto de aplicación de políticas, traduciendo los atributos de identidad proporcionados por el IDP en políticas de red local.
Una gran cadena de tiendas de distribución con 200 establecimientos quiere implementar OpenRoaming para mejorar la conectividad de los clientes y alimentar su plataforma de WiFi Analytics con datos de afluencia más completos. A su equipo de seguridad le preocupa el cumplimiento de PCI-DSS y el riesgo de que los dispositivos de los invitados accedan a la red corporativa o a los sistemas de punto de venta.
La cadena de tiendas debe implementar una segmentación de red estricta como requisito previo a la implementación. El SSID de OpenRoaming debe asignarse a una VLAN de invitados aislada en la capa de acceso (el AP o el switch de distribución). El servidor RADIUS debe aplicar la asignación dinámica de VLAN, garantizando que todos los usuarios autenticados mediante OpenRoaming se ubiquen en una instancia VRF con solo una ruta predeterminada a internet y reglas de denegación ACL explícitas para todo el espacio de direcciones internas RFC 1918. El proxy RADIUS de OpenRoaming debe desplegarse en una DMZ, sin ruta de enrutamiento directa a la red corporativa. Una prueba de penetración trimestral debe verificar que el límite de segmentación se mantiene de forma eficaz.
Preguntas de práctica
Q1. Su establecimiento está experimentando fallos frecuentes de autenticación silenciosa para un subconjunto de usuarios de OpenRoaming. Las capturas de paquetes confirman que el AP recibe la respuesta EAP-Identity, pero ninguna solicitud Access-Request de RADIUS llega al proveedor de identidad. ¿Cuál es el punto de fallo arquitectónico más probable y cómo lo diagnosticaría?
Sugerencia: Considere los pasos requeridos para que el proxy RADIUS localice el destino correcto para el dominio del usuario específico antes de que pueda reenviar la solicitud de autenticación.
Ver respuesta modelo
El punto de fallo más probable es la resolución DNS en el proxy RADIUS. OpenRoaming depende del descubrimiento dinámico (RFC 7585), lo que requiere que el proxy realice una búsqueda DNS NAPTR/SRV en el dominio proporcionado en la EAP-Identity. Si el DNS falla, el proxy no puede determinar la dirección IP del servidor RadSec del IDP, lo que resulta en un fallo silencioso. Diagnostíquelo ejecutando una búsqueda NAPTR manual desde el proxy RADIUS para el dominio afectado, verificando que se devuelvan los registros SRV correctos y que la IP del servidor RadSec sea accesible en el puerto 2083.
Q2. El director de TI de un hospital desea desplegar OpenRoaming para mejorar la conectividad de los médicos visitantes y los dispositivos IoT médicos, pero exige que todo el tráfico de invitados esté cifrado de forma inalámbrica desde el momento de la conexión para cumplir con la política de seguridad interna. Actualmente utilizan un Captive Portal con WPA2-Personal (PSK). ¿Cumple OpenRoaming con este requisito y en qué se diferencia el modelo de cifrado?
Sugerencia: Compare el tiempo de cifrado de los Captive Portals frente a la autenticación basada en 802.1X, y considere qué ocurre con el tráfico antes de que se complete el inicio de sesión en el Captive Portal.
Ver respuesta modelo
Sí, OpenRoaming satisface plenamente este requisito. Con un Captive Portal, el tráfico no está cifrado de forma inalámbrica hasta que el usuario completa el proceso de inicio de sesión - creando una ventana de vulnerabilidad. OpenRoaming utiliza autenticación 802.1X y WPA3-Enterprise (o WPA2-Enterprise), lo que establece una sesión cifrada única y criptográficamente segura mediante un intercambio de 4 vías (4-way handshake) inmediatamente después de una autenticación exitosa, antes de que se transmita cualquier dato de usuario. Cada sesión utiliza una PMK única derivada del intercambio EAP, lo que garantiza un cifrado por sesión mucho más robusto que el modelo de PSK compartida.
Q3. Está configurando el controlador WLAN para un nuevo despliegue en un estadio que participará en la federación OpenRoaming sin liquidación (settlement-free). Un compañero sugiere transmitir también el RCOI con liquidación para maximizar la compatibilidad. ¿Cuáles son las implicaciones de transmitir ambos RCOI simultáneamente y cuál es su recomendación?
Sugerencia: Considere las implicaciones comerciales y operativas del RCOI con liquidación, y cómo los dispositivos priorizan la coincidencia de RCOI.
Ver respuesta modelo
Transmitir el RCOI con liquidación (BA-A2-D0) junto con el RCOI sin liquidación (5A-03-BA) es técnicamente posible pero conlleva un riesgo comercial significativo. El RCOI con liquidación indica a los proveedores de identidad que el ANP espera una compensación financiera por la conectividad. Esto puede disuadir a los proveedores de identidad de permitir que sus usuarios se conecten, ya que incurrirían en cargos. Para un estadio que busca la máxima adopción de usuarios y una conectividad fluida, transmitir únicamente el RCOI sin liquidación es el enfoque correcto. El RCOI con liquidación solo debe utilizarse cuando exista un acuerdo de liquidación comercial específico con los proveedores de identidad correspondientes.
Preguntas frecuentes
¿Qué es WBA OpenRoaming y cómo sustituye a los Captive Portals tradicionales?
Wireless Broadband Alliance (WBA) OpenRoaming es una federación WiFi global basada en Passpoint (Hotspot 2.0 / IEEE 802.11u) y RadSec (RFC 6614). Permite que los dispositivos móviles descubran y se autentiquen en redes WiFi empresariales de forma automática utilizando credenciales, certificados o perfiles de operador preinstalados, omitiendo por completo los Captive Portals de los navegadores.
¿Cuál es la diferencia entre un Proveedor de Red de Acceso (ANP) y un Proveedor de Identidad (IdP)?
Un Proveedor de Red de Acceso (ANP) es un establecimiento u operador de red que proporciona acceso inalámbrico físico y transmite los identificadores de consorcio de itinerancia (RCOI) de OpenRoaming. Un Proveedor de Identidad (IdP) es una organización - como un operador móvil, una universidad, una empresa tecnológica o un programa de fidelización - que emite credenciales a los usuarios y valida las solicitudes de autenticación reenviadas por el ANP a través de la federación.
¿Qué Identificadores de Organización de Consorcio de Itinerancia (RCOI) se utilizan para OpenRoaming?
El RCOI principal de WBA OpenRoaming es 5A-03-BA-00-00, que designa un acceso recíproco y libre de cargos. La descarga de tráfico de operadores comerciales con liquidación financiera utiliza el 5A-03-BA-01-00. Los establecimientos también pueden transmitir el RCOI heredado de Cisco OpenRoaming 00-40-96 o el RCOI de eduroam 00-1B-C5 para entornos de doble federación.
¿Por qué OpenRoaming exige RadSec a través del puerto TCP 2083 en lugar del RADIUS estándar?
El RADIUS estándar funciona a través de UDP no cifrado (puertos 1812/1813), lo que expone las identidades y credenciales de los usuarios cuando se enrutan a través de redes troncales de Internet pública. OpenRoaming exige RadSec (RFC 6614), que envuelve los paquetes RADIUS en un cifrado TLS 1.3 sobre el puerto TCP 2083 con validación mutua de certificados X.509 (mTLS) para asegurar la federación entre dominios.
¿Cómo permite Purple a los establecimientos empresariales implementar OpenRoaming junto con la analítica de visitas de invitados?
Purple actúa como un socio de federación de confianza de WBA OpenRoaming, gestionando la conectividad del bróker RadSec, el aprovisionamiento automatizado de perfiles y los ciclos de vida de los certificados X.509 en hardware empresarial, incluidos Cisco, HPE Aruba, Ruckus y Mist. Los establecimientos mantienen análisis de visitas en tiempo real, seguimiento del tiempo de permanencia y el cumplimiento de GDPR, al tiempo que ofrecen a los clientes una conexión WiFi fluida y sin intervención.
Continúe leyendo esta serie
Ley DPDP de la India: cumplimiento para WiFi de invitados en espacios de la India
Esta guía de referencia técnica autorizada detalla la Ley de Protección de Datos Personales Digitales (DPDP) de 2023 para espacios de la India que ofrecen WiFi de invitados. Proporciona estrategias de cumplimiento listas para la acción, consideraciones de arquitectura para Captive Portals y marcos prácticos para la retención de datos y transferencias transfronterizas.
LGPD de Brasil y WiFi para invitados: una guía de cumplimiento
Esta guía de referencia técnica detalla cómo se aplica la LGPD de Brasil a los despliegues de WiFi para invitados en empresas, centrándose en el cumplimiento del Captive Portal, las bases legales para el procesamiento y la intersección con el Marco Civil da Internet. Proporciona orientación de implementación práctica para líderes de TI y arquitectos de red para mitigar el riesgo regulatorio mientras se mantiene la utilidad de la red.
La Ley de IA de la UE y el Guest WiFi: lo que los profesionales del marketing deben saber
La Ley de IA de la UE (Reglamento 2024/1689) introduce un marco basado en el riesgo que afecta directamente a cómo los operadores de espacios físicos despliegan el marketing de WiFi basado en IA, los Captive Portals y la analítica de visitas. Esta guía asocia los cuatro niveles de riesgo de la Ley con casos de uso reales de Guest WiFi, identifica las prácticas prohibidas - incluyendo la inferencia de emociones y la puntuación social - y proporciona pasos de cumplimiento prácticos para equipos de TI y directores de marketing en los sectores de hostelería, retail, eventos y entornos públicos. Comprender en qué parte del espectro de riesgo se encuentra su despliegue, así como implementar las obligaciones de transparencia del Artículo 50 para chatbots de IA y portales conversacionales, ya no es opcional: la aplicación de las prácticas prohibidas comenzó en febrero de 2025.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con operadores de recintos, responsables de TI e ingenieros de redes en 80 000 espacios. Reserve una llamada de 20 minutos y le mostraremos cómo lo han solucionado otros profesionales como usted.