La guía definitiva de la arquitectura y autenticación de OpenRoaming
Esta guía proporciona una referencia técnica autorizada sobre la arquitectura de WBA OpenRoaming, que abarca la base de Passpoint, la federación RADIUS, la seguridad mTLS de RadSec y una guía de implementación paso a paso para recintos empresariales. Equipará a los gerentes de TI, arquitectos de redes y operadores de recintos con el conocimiento para reemplazar los Captive Portals con una conectividad WiFi fluida, segura y que cumpla con las normativas, ofreciendo un ROI medible.
Video overview
Escucha esta guía
Ver transcripción del podcast
Parte de nuestra serie principal: Guía de WiFi de invitados →
Resumen ejecutivo
El modelo tradicional de portal cautivo para WiFi de invitados ya no funciona. Durante décadas, los recintos han dependido de pantallas de inicio de sesión manuales que frustran a los usuarios, ofrecen una seguridad deficiente y generan un costo operativo de soporte significativo. WBA OpenRoaming representa un cambio arquitectónico fundamental, reemplazando la autenticación manual con una federación global de conexiones seguras y automáticas basada en la tecnología Passpoint (Hotspot 2.0) y 802.1X Authentication: Securing Network Access on Modern Devices.
Para los gerentes de TI y arquitectos de redes, implementar OpenRoaming ya no es solo una cuestión de mejorar la experiencia del usuario - es un imperativo estratégico para mejorar la seguridad de la red, reducir los tickets de soporte y generar un ROI medible a través de una mayor utilización de la red. Esta guía proporciona una referencia técnica completa para implementar la arquitectura de OpenRoaming, navegar por la federación RADIUS y garantizar el cumplimiento de los estándares de seguridad modernos en entornos corporativos, de Retail y de Hospitality.
Análisis técnico profundo: La arquitectura de OpenRoaming
La arquitectura de OpenRoaming opera a través de una federación de confianza gestionada por la Wireless Broadband Alliance (WBA). Sirve como puente entre los Proveedores de identidad (IDPs) que emiten credenciales y los Proveedores de redes de acceso (ANPs) que operan la infraestructura de WiFi.
La base de Passpoint
En el núcleo de OpenRoaming se encuentra el estándar Passpoint de la Wi-Fi Alliance (basado en IEEE 802.11u). Passpoint permite que los dispositivos descubran y se autentiquen en redes WiFi de forma automática. Cuando un dispositivo entra a un recinto habilitado con OpenRoaming, utiliza el protocolo Access Network Query Protocol (ANQP) para consultar al punto de acceso sobre los identificadores de organización de consorcio de roaming (RCOIs) compatibles antes de asociarse. Este descubrimiento previo a la asociación es completamente invisible para el usuario - el dispositivo determina de manera silenciosa si posee credenciales válidas para la red antes de iniciar cualquier intento de conexión.
La federación RADIUS y RadSec
El roaming WiFi tradicional de los operadores móviles depende de tablas de enrutamiento RADIUS estáticas que se alimentan mediante acuerdos bilaterales, aseguradas a través de túneles IPSec. Este modelo no escala a una federación global y abierta. OpenRoaming resuelve esto utilizando el descubrimiento dinámico de pares basado en DNS (RFC 7585) y RadSec (RADIUS sobre TLS, RFC 6614).
Cuando un punto de acceso recibe una solicitud de autenticación, el proxy RADIUS local realiza una búsqueda DNS NAPTR en el dominio del usuario para descubrir de manera dinámica el servidor RadSec del IDP. La señalización se asegura mediante TLS mutuo (mTLS) con certificados emitidos por la infraestructura de clave pública (PKI) de cuatro niveles de la WBA, lo que garantiza la seguridad de extremo a extremo entre la red de acceso y el proveedor de identidad sin requerir acuerdos bilaterales preestablecidos.
Identificadores de Organización del Consorcio de Roaming (RCOIs)
OpenRoaming utiliza RCOIs específicos para transmitir controles de políticas y modelos de liquidación. Estos se anuncian en la baliza 802.11 y a través de ANQP:
| Valor de RCOI | Modelo | Descripción |
|---|---|---|
| 5A-03-BA | Libre de liquidación | El ANP proporciona conectividad sin costo para el IDP. Es el modelo dominante para entornos empresariales, retail y hospitalidad. |
| BA-A2-D0 | Liquidado | El ANP espera compensación financiera. Se utiliza para escenarios de conectividad premium. |
Los 12 bits más significativos del RCOI también se pueden utilizar para definir políticas de Grupo de Acceso Cerrado (CAG), lo que permite a los ANPs y los IDPs negociar niveles de calidad de servicio, niveles de verificación de identidad y requisitos de privacidad a un nivel detallado.
Guía de implementación
La implementación de OpenRoaming requiere coordinación entre el hardware de red, la infraestructura RADIUS y la gestión de identidades. Para obtener una descripción detallada de los requisitos de hardware, consulte nuestra guía sobre la Definición de puntos de acceso inalámbricos: su guía definitiva para 2026.
Paso 1: Evaluación de preparación de la infraestructura
Verifique que sus puntos de acceso y controladores de LAN inalámbrica admitan Passpoint/Hotspot 2.0 (IEEE 802.11u). La mayoría de los equipos de nivel empresarial fabricados después de 2018 incluyen soporte nativo. Configure un SSID dedicado protegido con WPA3-Enterprise (o WPA2-Enterprise para compatibilidad con dispositivos heredados). Este SSID transportará el tráfico de OpenRoaming y debe configurarse con los ajustes de ANQP adecuados para transmitir su RCOI.
Paso 2: Membresía de la WBA e intermediación de agentes
Para participar en la federación OpenRoaming, su organización debe unirse directamente a la WBA o contratar a un agente autorizado de la WBA. El agente asignará a su organización una Identidad WBA (WBAID), emitirá sus certificados RadSec bajo la PKI de la WBA y configurará sus registros DNS NAPTR/SRV para permitir el descubrimiento dinámico. Este es el paso fundamental que conecta su infraestructura con la federación global.
Paso 3: Configuración de la infraestructura RADIUS
Su servidor RADIUS debe estar configurado para enrutar las solicitudes de autenticación a la federación OpenRoaming. Esto implica configurar RadSec para establecer conexiones mTLS utilizando sus certificados emitidos por la WBA. El proxy RADIUS debe ser capaz de realizar búsquedas DNS NAPTR para resolver dinámicamente los endpoints del IDP. Las soluciones RADIUS basadas en la nube pueden simplificar significativamente este paso al abstraer los complejos procesos de descubrimiento de DNS y gestión de certificados.
Paso 4: Estrategia de aprovisionamiento de dispositivos
Llevar los perfiles Passpoint a los dispositivos de los usuarios es la principal consideración operativa. Existen cuatro enfoques disponibles:
| Método | Ideal para | Mecanismo |
|---|---|---|
| Envío por MDM | Dispositivos corporativos administrados | Intune, Jamf o Workspace ONE envían perfiles de forma automática |
| Registro en línea (OSU) | Despliegues de cara al consumidor | Auto-inscripción estandarizada mediante el protocolo Passpoint OSU |
| Aprovisionamiento basado en aplicaciones | Miembros de programas de fidelización | La aplicación móvil instala el perfil Passpoint después de la autenticación |
| Inscripción por código QR | Registro en el sector de la hospitalidad | Un código QR físico activa la instalación del perfil |
Paso 5: Configuración de políticas y segmentación de VLAN
Configure su controlador WLAN para transmitir los RCOI de OpenRoaming adecuados a través de ANQP. Implemente la asignación dinámica de VLAN mediante atributos RADIUS para garantizar que el tráfico de invitados esté aislado de las redes corporativas. Esto es innegociable para el cumplimiento de PCI-DSS en entornos de Retail y es una mejor práctica en todos los sectores.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.
Mejores prácticas de seguridad y cumplimiento
OpenRoaming mejora fundamentalmente la postura de seguridad de la red WiFi del establecimiento, pasando de redes abiertas y sin cifrar a una sólida seguridad de nivel empresarial. Para profundizar en los mecanismos de autenticación subyacentes, revise Autenticación 802.1X: Protección del acceso a la red en dispositivos modernos.
WPA3-Enterprise y autenticación 802.1X
A diferencia de los portales cautivos donde el tráfico no está cifrado hasta que se inicia sesión, OpenRoaming utiliza cifrado WPA3-Enterprise desde el primer paquete. El proceso de autenticación mutua 802.1X garantiza que el dispositivo del usuario verifique criptográficamente la identidad de la red antes de transmitir cualquier credencial, eliminando el riesgo de puntos de acceso falsos "Evil Twin" - una vulnerabilidad que los portales cautivos tradicionales no pueden resolver.
Privacidad y cumplimiento de GDPR
Los portales cautivos tradicionales a menudo recopilan una gran cantidad de Información de Identificación Personal (PII), lo que genera importantes cargas de cumplimiento de GDPR. OpenRoaming autentica a los usuarios a través de identificadores seudónimos, como el atributo Chargeable-User-Identity (CUI). El establecimiento verifica que el usuario sea legítimo sin necesidad de absorber su PII sin procesar, lo que se alinea con los principios de minimización de datos de GDPR y reduce el alcance de sus obligaciones de procesamiento de datos.
Segmentación de red y PCI DSS
Para entornos de Retail, el cumplimiento de PCI DSS es fundamental. El tráfico de OpenRoaming debe segmentarse estrictamente de los sistemas de Punto de Venta (POS) y de las redes corporativas. Utilice la asignación dinámica de VLAN a través de atributos RADIUS para aislar el tráfico de invitados inmediatamente después de la autenticación, colocándolo en una instancia VRF con solo una ruta de internet predeterminada y reglas de denegación explícitas para todo el espacio de direcciones internas RFC 1918.
Casos de estudio: OpenRoaming en producción
Caso de estudio 1: Centro de Convenciones RAI Amsterdam (Eventos y Conferencias)
El Centro de Convenciones RAI Amsterdam, uno de los recintos de eventos más grandes de Europa que recibe a 1.5 millones de invitados al año, implementó WiFi 6 con WBA OpenRoaming en 2023. En Cisco Live Europe, más de 18,000 asistentes tuvieron acceso a una conectividad OpenRoaming fluida, consumiendo más de 77 terabytes de datos en cuatro días. Los asistentes pasaron un promedio de seis horas en la red. La implementación demostró cómo OpenRoaming elimina el pico de conexiones que suele ocurrir cuando se abren las puertas del evento, distribuyendo la carga de autenticación de manera uniforme en toda la federación. Para los centros de Transport y centros de conferencias, este caso de estudio es la prueba de concepto definitiva.
Caso de estudio 2: Cadena de Retail Delhaize (Retail)
El grupo de retail belga Delhaize implementó OpenRoaming en toda su red de tiendas para mejorar la conectividad de los clientes y optimizar las operaciones. La implementación resolvió problemas persistentes con las tasas de conversión de los portales cautivos - un desafío que enfrentan todos los operadores de Retail, ya que los clientes recurren cada vez más por defecto a los datos móviles en lugar de interactuar con las pantallas de inicio de sesión manuales. Al habilitar una conectividad automática y segura para los usuarios de su aplicación de fidelización, Delhaize aumentó la adopción de WiFi y mejoró la calidad de los datos de analítica en la tienda, apoyando directamente las decisiones de comercialización y utilización del espacio. Esto se alinea con la tendencia más amplia de integrar WiFi Analytics con plataformas de inteligencia comercial.
Resolución de problemas y mitigación de riesgos
Aunque OpenRoaming simplifica la experiencia del usuario final, la infraestructura subyacente es compleja. Los arquitectos de red deben mitigar de manera proactiva los modos de falla más comunes:
El vencimiento del certificado RadSec es el riesgo operativo más crítico. Las conexiones mTLS dependen de los certificados WBA PKI. Un certificado caducado interrumpirá de inmediato el enrutamiento de la federación, lo que provocará fallas de autenticación silenciosas. Implemente un monitoreo con al menos 60 días de aviso previo y un proceso de renovación definido.
Las fallas de resolución de DNS son la segunda causa más común de interrupciones de OpenRoaming. El descubrimiento dinámico de pares depende de una resolución de DNS confiable de los registros NAPTR y SRV. Asegúrese de que sus proxies RADIUS tengan configurados reenviadores de DNS redundantes y de alto rendimiento, y pruebe la resolución de DNS como parte de sus comprobaciones periódicas del estado de la red.
La compatibilidad con dispositivos heredados debe planificarse durante la transición. Mientras que los dispositivos modernos iOS, Android, Windows y macOS admiten Passpoint de forma nativa, los dispositivos más antiguos no lo hacen. Mantenga una red de Guest WiFi tradicional paralela durante el período de transición para garantizar una cobertura universal.
La mala configuración del proxy RADIUS puede causar fallas en el enrutamiento basado en dominios. Asegúrese de que su proxy maneje correctamente el dominio EAP-Identity y que sus registros DNS NAPTR tengan el formato correcto para el descubrimiento RFC 7585. Realice pruebas con múltiples dominios de IDP antes de la puesta en marcha.
-
ROI e impacto comercial
El caso de negocio para OpenRoaming va mucho más allá de la elegancia técnica. Los operadores de los establecimientos pueden esperar retornos medibles en varios vectores:
| Métrica | Resultado típico | Fuente |
|---|---|---|
| Reducción de tickets de soporte de WiFi | Disminución del 70 - 80% | Informes de implementación de WBA |
| Incremento en la tasa de adopción de WiFi | Incremento del 40 - 50% | Datos de implementación en aeropuertos de WBA |
| Consumo de datos por usuario | Significativamente mayor frente al captive portal | Caso de estudio de RAI Amsterdam |
| Riesgo de cumplimiento de PII | Sustancialmente reducido | Modelo de ID seudónimo de GDPR |
Al adoptar OpenRoaming, los establecimientos ofrecen las Modern Hospitality WiFi Solutions Your Guests Deserve, transformando el WiFi de un servicio frustrante en un habilitador invisible y fluido de la experiencia digital. La integración con las plataformas de WiFi Analytics se vuelve más valiosa a medida que las tasas de conexión más altas producen conjuntos de datos más ricos y representativos. Para las organizaciones que exploran el panorama más amplio de la modernización de la red, The Core SD WAN Benefits for Modern Businesses proporciona un contexto complementario sobre cómo encaja OpenRoaming dentro de una arquitectura de red moderna y definida por software.
El sector de Healthcare también se beneficiará significativamente, ya que OpenRoaming permite una conectividad segura y automática para los médicos visitantes y los dispositivos IoT médicos, sin los riesgos de cumplimiento de las redes de invitados abiertas ni la sobrecarga operativa de la gestión de captive portal por dispositivo.
Definiciones clave
Passpoint (Hotspot 2.0)
Un programa de certificación de la WiFi Alliance basado en IEEE 802.11u que permite a los dispositivos descubrir y autenticarse automáticamente en redes WiFi sin la intervención del usuario, utilizando credenciales previamente provistas.
La tecnología fundamental que hace posible la experiencia fluida de OpenRoaming en el dispositivo del usuario final. Sin el soporte de Passpoint tanto en el AP como en el dispositivo, OpenRoaming no puede funcionar.
RadSec
Un protocolo (RFC 6614) que transporta paquetes RADIUS sobre una conexión TCP y TLS, proporcionando una entrega cifrada, confiable y autenticada de la señalización de autenticación.
Se utiliza para asegurar el tráfico de autenticación que cruza el internet público entre el proxy RADIUS del sitio y la federación global de OpenRoaming. Reemplaza el modelo de túnel IPSec heredado.
RCOI (Identificador de Organización de Consorcio de Roaming)
Un identificador de 3 u 5 octetos transmitido por los puntos de acceso en las balizas 802.11 y respuestas ANQP para indicar qué federaciones de roaming y políticas de liquidación admite la red.
Los dispositivos leen el RCOI para determinar si poseen credenciales válidas para conectarse antes de intentar la autenticación. El RCOI libre de cargos (5A-03-BA) es el estándar para despliegues empresariales.
ANQP (Protocolo de Consulta de Red de Acceso)
Un protocolo IEEE 802.11 utilizado por los dispositivos para consultar a los puntos de acceso sobre información de la red - incluyendo los RCOIs admitidos, el nombre del sitio y la lista de dominios NAI - antes de la asociación.
Permite que los dispositivos evalúen de forma silenciosa si una red admite sus credenciales sin interrumpir al usuario ni iniciar un intento de conexión.
Proveedor de Identidad (IDP)
Una organización que mantiene las identidades de los usuarios y emite las credenciales Passpoint (certificados o perfiles) utilizadas para la autenticación de OpenRoaming.
Los operadores móviles, los departamentos de TI corporativos y los programas de fidelidad actúan como IDPs. El IDP autentica al usuario y envía la señal del resultado al ANP a través de la federación RADIUS.
Proveedor de Red de Acceso (ANP)
El sitio u organización que opera la infraestructura física de WiFi, transmite los RCOIs de OpenRoaming y aplica las políticas de acceso locales.
Los hoteles, estadios, tiendas de retail y oficinas corporativas actúan como ANPs. El ANP controla a qué pueden acceder los usuarios autenticados, independientemente de qué IDP los haya autenticado.
WBA PKI
La Infraestructura de Clave Pública de cuatro niveles gestionada por la Wireless Broadband Alliance, utilizada para emitir los certificados mTLS requeridos para las conexiones RadSec entre los participantes de la federación.
Proporciona la confianza criptográfica fundamental que permite a miles de redes independientes federarse de forma segura sin acuerdos bilaterales establecidos previamente.
802.1X
Un estándar IEEE para el control de acceso a la red basado en puertos que proporciona un mecanismo de autenticación para los dispositivos que desean conectarse a una LAN o WLAN, utilizando métodos EAP (Protocolo de Autenticación Extensible).
El sólido marco de seguridad que sustenta OpenRoaming. Evita el acceso no autorizado y permite el cifrado WPA3-Enterprise desde el primer paquete de datos.
CUI (Identidad de Usuario Facturable)
Un atributo de RADIUS (RFC 4372) que proporciona un identificador seudónimo y estable para un usuario a lo largo de múltiples sesiones, sin exponer su identidad real a la red de acceso.
Permite a los sitios rastrear visitantes únicos con fines analíticos mientras minimizan la recopilación de PII, apoyando directamente el cumplimiento de la minimización de datos de GDPR.
Ejemplos resueltos
Un hotel de lujo de 500 habitaciones utiliza actualmente un Captive Portal que requiere que los huéspedes inicien sesión con su número de habitación y apellido. Experimentan un alto volumen de solicitudes de soporte técnico y bajas calificaciones de satisfacción de los huéspedes con respecto al WiFi. Desean implementar OpenRoaming pero les preocupa perder la capacidad de ofrecer diferentes niveles de ancho de banda para huéspedes VIP y miembros del programa de lealtad.
El hotel debe implementar OpenRoaming utilizando el RCOI libre de liquidación (5A-03-BA), con la aplicación de lealtad del hotel funcionando como un proveedor de identidad. Cuando un miembro VIP del programa de lealtad se autentica, la respuesta RADIUS Access-Accept del IDP incluye atributos específicos del proveedor (VSAs) que indican al controlador WLAN del hotel que asigne al usuario a un perfil de QoS premium y a una VLAN de alto ancho de banda dedicada. Los huéspedes estándar autenticados a través de un IDP externo (por ejemplo, su operador móvil) reciben el perfil de QoS predeterminado. El servidor RADIUS del hotel actúa como el punto de aplicación de políticas, traduciendo los atributos de identidad proporcionados por el IDP en políticas de red locales.
Una gran cadena minorista con 200 tiendas desea implementar OpenRoaming para mejorar la conectividad de los clientes y alimentar su plataforma de análisis de WiFi con datos de afluencia más completos. Su equipo de seguridad está preocupado por el cumplimiento de PCI-DSS y el riesgo de que los dispositivos de los invitados accedan a la red corporativa o a los sistemas de punto de venta.
La cadena minorista debe implementar una segmentación de red estricta como requisito previo para la implementación. El SSID de OpenRoaming debe estar asignado a una VLAN de invitados aislada en la capa de acceso (el AP o el switch de distribución). El servidor RADIUS debe aplicar la asignación dinámica de VLAN, garantizando que todos los usuarios autenticados mediante OpenRoaming se coloquen en una instancia de VRF con solo una ruta predeterminada a internet y reglas de denegación ACL explícitas para todo el espacio de direcciones internas RFC 1918. El proxy RADIUS de OpenRoaming debe implementarse en una DMZ, sin ruta de enrutamiento directo a la red corporativa. Una prueba de penetración trimestral debe verificar que el límite de segmentación se mantenga.
Preguntas de práctica
Q1. Su sitio está experimentando fallas frecuentes de autenticación silenciosa para un subconjunto de usuarios de OpenRoaming. Las capturas de paquetes confirman que el AP recibe la respuesta EAP-Identity, pero ningún RADIUS Access-Request llega al Proveedor de Identidad. ¿Cuál es el punto de falla arquitectónico más probable y cómo lo diagnosticaría?
Sugerencia: Considere los pasos requeridos para que el proxy RADIUS localice el destino correcto para el dominio del usuario específico antes de que pueda reenviar la solicitud de autenticación.
Ver respuesta modelo
El punto de falla más probable es la resolución DNS en el proxy RADIUS. OpenRoaming depende del descubrimiento dinámico (RFC 7585), lo que requiere que el proxy realice una búsqueda DNS NAPTR/SRV en el dominio proporcionado en el EAP-Identity. Si el DNS falla, el proxy no puede determinar la dirección IP del servidor RadSec del IDP, lo que resulta en una falla silenciosa. Diagnostique ejecutando una búsqueda manual NAPTR desde el proxy RADIUS para el dominio afectado, verificando que se devuelvan los registros SRV correctos y que la IP del servidor RadSec sea accesible en el puerto 2083.
Q2. El director de TI de un hospital quiere implementar OpenRoaming para mejorar la conectividad de los médicos visitantes y los dispositivos médicos IoT, pero exige que todo el tráfico de invitados esté cifrado de forma inalámbrica desde el momento de la conexión para cumplir con la política de seguridad interna. Actualmente utilizan un captive portal con WPA2-Personal (PSK). ¿Cumple OpenRoaming con este requisito y en qué se diferencia el modelo de cifrado?
Sugerencia: Compare el tiempo de cifrado de los captive portals frente a la autenticación basada en 802.1X, y considere qué pasa con el tráfico antes de que se complete el inicio de sesión del captive portal.
Ver respuesta modelo
Sí, OpenRoaming cumple totalmente con este requisito. Con un captive portal, el tráfico no está cifrado de forma inalámbrica hasta que el usuario completa el proceso de inicio de sesión, lo que genera una ventana de vulnerabilidad. OpenRoaming utiliza autenticación 802.1X y WPA3-Enterprise (o WPA2-Enterprise), lo que establece una sesión cifrada única y criptográficamente segura mediante un protocolo de enlace de 4 vías (4-way handshake) inmediatamente después de una autenticación exitosa, antes de que se transmita cualquier dato del usuario. Cada sesión utiliza una PMK única derivada del intercambio EAP, lo que garantiza un cifrado por sesión que es mucho más sólido que el modelo de PSK compartido.
Q3. Está configurando el controlador WLAN para la implementación de un nuevo estadio que participará en la federación OpenRoaming libre de liquidación (settlement-free). Un colega sugiere transmitir también el RCOI liquidado para maximizar la compatibilidad. ¿Cuáles son las implicaciones de transmitir ambos RCOIs simultáneamente y cuál es su recomendación?
Sugerencia: Considere las implicaciones comerciales y operativas del RCOI liquidado y cómo los dispositivos priorizan la coincidencia de RCOI.
Ver respuesta modelo
Transmitir el RCOI liquidado (BA-A2-D0) junto con el RCOI libre de liquidación (5A-03-BA) es técnicamente posible pero conlleva un riesgo comercial significativo. El RCOI liquidado indica a los proveedores de identidad (IDPs) que el ANP espera una compensación financiera por la conectividad. Esto puede disuadir a los IDPs de permitir que sus usuarios se conecten, ya que incurrirían en cargos. Para un estadio que busca la máxima adopción de usuarios y una conectividad fluida, transmitir únicamente el RCOI libre de liquidación es el enfoque correcto. El RCOI liquidado solo debe usarse cuando existe un acuerdo de liquidación comercial específico con los IDPs correspondientes.
Preguntas frecuentes
¿Qué es WBA OpenRoaming y cómo reemplaza a los Captive Portals tradicionales?
Wireless Broadband Alliance (WBA) OpenRoaming es una federación global de WiFi basada en Passpoint (Hotspot 2.0 / IEEE 802.11u) y RadSec (RFC 6614). Permite que los dispositivos móviles descubran y se autentiquen en redes WiFi empresariales de forma automática utilizando credenciales preinstaladas, certificados o perfiles de operador, omitiendo por completo los Captive Portals del navegador.
¿Cuál es la diferencia entre un Access Network Provider (ANP) y un Identity Provider (IdP)?
Un Access Network Provider (ANP) es un establecimiento u operador de red que proporciona acceso inalámbrico físico y transmite OpenRoaming Roaming Consortium OIs (RCOIs). Un Identity Provider (IdP) es una organización - como un operador móvil, una universidad, una empresa de tecnología o un programa de fidelización - que emite credenciales a los usuarios y valida las solicitudes de autenticación reenviadas por el ANP a través de la federación.
¿Qué identificadores de organización de consorcio de itinerancia (RCOIs) se utilizan para OpenRoaming?
El RCOI principal de WBA OpenRoaming es 5A-03-BA-00-00, el cual designa un acceso recíproco y sin cargos de liquidación. La descarga de tráfico de operadores comerciales con liquidación financiera utiliza 5A-03-BA-01-00. Los establecimientos también pueden transmitir el RCOI heredado de Cisco OpenRoaming 00-40-96 o el RCOI de eduroam 00-1B-C5 para entornos de doble federación.
¿Por qué OpenRoaming exige RadSec sobre el puerto TCP 2083 en lugar de RADIUS estándar?
RADIUS estándar funciona sobre UDP no cifrado (puertos 1812/1813), lo que expone las identidades y credenciales de los usuarios cuando se enrutan a través de backbones de internet público. OpenRoaming exige RadSec (RFC 6614), que envuelve los paquetes RADIUS en un cifrado TLS 1.3 sobre el puerto TCP 2083 con validación mutua de certificados X.509 (mTLS) para proteger la federación entre dominios.
¿Cómo permite Purple a los establecimientos corporativos implementar OpenRoaming junto con el análisis de invitados?
Purple actúa como un socio de federación de confianza de WBA OpenRoaming, gestionando la conectividad del broker RadSec, el aprovisionamiento automatizado de perfiles y los ciclos de vida de los certificados X.509 en hardware empresarial, incluidos Cisco, HPE Aruba, Ruckus y Mist. Los establecimientos mantienen análisis de afluencia en tiempo real, seguimiento del tiempo de permanencia y el cumplimiento de GDPR, al tiempo que ofrecen a los invitados una conexión WiFi fluida y sin intervención técnica.
Continúe leyendo esta serie
India DPDP Act: Cumplimiento de WiFi de invitados para establecimientos en India
Esta guía de referencia técnica autoritativa analiza la Ley de Protección de Datos Personales Digitales (DPDP) Act 2023 para establecimientos en India que operan redes WiFi de invitados. Proporciona estrategias de cumplimiento aplicables, consideraciones de arquitectura para Captive Portals y marcos prácticos para la retención de datos y transferencias transfronterizas.
La LGPD de Brasil y el WiFi para invitados: Una guía de cumplimiento
Esta guía de referencia técnica detalla cómo se aplica la LGPD de Brasil a las implementaciones de WiFi para invitados empresariales, centrándose en el cumplimiento del Captive Portal, las bases legales para el procesamiento y la intersección con el Marco Civil da Internet. Proporciona orientación práctica de implementación para líderes de TI y arquitectos de redes para mitigar el riesgo regulatorio mientras se mantiene la utilidad de la red.
La Ley de IA de la UE y el Guest WiFi: Lo que los mercadólogos necesitan saber
La Ley de IA de la UE (Reglamento 2024/1689) introduce un marco basado en riesgos que afecta directamente la forma en que los operadores de recintos implementan el marketing de WiFi impulsado por IA, los Captive Portals y la analítica de visitas. Esta guía mapea los cuatro niveles de riesgo de la Ley frente a casos de uso reales de Guest WiFi, identifica prácticas prohibidas que incluyen la inferencia de emociones y la puntuación social, y proporciona pasos de cumplimiento prácticos para equipos de TI y directores de marketing que operan en los sectores de hospitalidad, retail, eventos y entornos públicos. Comprender en qué parte del espectro de riesgo se encuentra su implementación - y aplicar las obligaciones de transparencia del Artículo 50 para chatbots de IA y portales conversacionales - ya no es opcional: la aplicación de las prácticas prohibidas comenzó en febrero de 2025.
¿Tiene preguntas sobre su configuración específica?
Nuestro equipo trabaja con gestores de espacios, responsables de TI e ingenieros de redes en 80 000 establecimientos. Reserve una llamada de 20 minutos y le mostraremos cómo lo resolvieron otros profesionales como usted.