OpenRoaming आर्किटेक्चर और ऑथेंटिकेशन के लिए अल्टीमेट गाइड
यह गाइड WBA OpenRoaming आर्किटेक्चर पर एक आधिकारिक तकनीकी संदर्भ प्रदान करता है, जिसमें Passpoint फाउंडेशन, RADIUS फेडरेशन, RadSec mTLS सुरक्षा और एंटरप्राइज वेन्यू के लिए चरण-दर-चरण डिप्लॉयमेंट गाइडेंस शामिल है। यह IT मैनेजर्स, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेटर्स को कैप्टिव पोर्टल को निर्बाध, सुरक्षित और अनुपालन वाले WiFi कनेक्टिविटी से बदलने का ज्ञान देता है जो मापने योग्य ROI प्रदान करता है।
Video overview
इस गाइड को सुनें
पॉडकास्ट ट्रांसक्रिप्ट देखें
हमारी मुख्य श्रृंखला का हिस्सा: गैस्ट WiFi गाइड →
OpenRoaming architecture and ROI advisor
Model your venue Passpoint (IEEE 802.11u) profile, Roaming Consortium OIs, RadSec mTLS certificate hierarchy, and estimate captive portal drop-off reduction.
Passpoint 802.11u ANQP parameters
Access points broadcast these parameters inside 802.11 beacon and probe response frames to allow zero-touch discovery without SSID association.
- Venue Group:
- 1 (0x01)
- Venue Type:
- 3 (0x03)
- Consortium RCOIs:
- 5A-03-BA-00-00
- Network Type:
- Free public network with terms acceptance via profile
- IPv4 / IPv6 Availability:
- IPv4 single NAT + Native IPv6 dual-stack recommended
Federation role specification
As an Access Network Provider you operate the RadSec client: your AAA proxy presents a WBA-signed certificate outbound to the broker, and you accept identities you did not issue. Your obligations are beacon correctness, the ANQP parameters above, and honouring the consortium’s acceptable-use terms.
WBA OpenRoaming settlement-free reciprocal consortium. Guarantees zero billing clearing and mutual identity acceptance across all global participants.
- EAP-TLS (RFC 5216)
- EAP-TTLS/MSCHAPv2 (RFC 5281)
- EAP-SIM (RFC 4186)
Deploy WBA OpenRoaming across your venue infrastructure
Purple provides end-to-end WBA OpenRoaming federation brokering, automated certificate lifecycle management, and seamless captive portal offloading for enterprise venues. Request a technical consultation and tailored architecture specification.
कार्यकारी सारांश
अतिथि WiFi के लिए पारंपरिक Captive Portal मॉडल अब काम का नहीं रहा। दशकों से, वेन्यू मैन्युअल लॉगिन स्क्रीन पर निर्भर रहे हैं जो उपयोगकर्ताओं को निराश करते हैं, कमजोर सुरक्षा प्रदान करते हैं, और महत्वपूर्ण सहायता ओवरहेड उत्पन्न करते हैं। WBA OpenRoaming एक मौलिक आर्किटेक्चरल बदलाव का प्रतिनिधित्व करता है, जो मैन्युअल प्रमाणीकरण को Passpoint (Hotspot 2.0) तकनीक और 802.1X Authentication: Securing Network Access on Modern Devices पर निर्मित सुरक्षित, स्वचालित कनेक्शन के वैश्विक संघ के साथ बदल देता है।
IT प्रबंधकों और नेटवर्क आर्किटेक्ट्स के लिए, OpenRoaming को तैनात करना अब केवल उपयोगकर्ता अनुभव को बेहतर बनाने के बारे में नहीं है - यह नेटवर्क सुरक्षा को बढ़ाने, सपोर्ट टिकटों को कम करने, और उच्च नेटवर्क उपयोग के माध्यम से मापने योग्य ROI प्राप्त करने के लिए एक रणनीतिक अनिवार्यता है। यह गाइड OpenRoaming आर्किटेक्चर को लागू करने, RADIUS फेडरेशन को नेविगेट करने, और उद्यम, Retail, और Hospitality वातावरण में आधुनिक सुरक्षा मानकों के साथ अनुपालन सुनिश्चित करने के लिए एक व्यापक तकनीकी संदर्भ प्रदान करता है।
तकनीकी गहन विश्लेषण: OpenRoaming आर्किटेक्चर
OpenRoaming आर्किटेक्चर वायरलेस ब्रॉडबैंड एलायंस (WBA) द्वारा प्रबंधित एक ट्रस्ट फेडरेशन के माध्यम से संचालित होता है। यह क्रेडेंशियल जारी करने वाले आइडेंटिटी प्रोवाइडर्स (IDPs) और WiFi इन्फ्रास्ट्रक्चर संचालित करने वाले एक्सेस नेटवर्क प्रोवाइडर्स (ANPs) के बीच की दूरी को पाटता है।
Passpoint फाउंडेशन
OpenRoaming के मूल में Wi-Fi Alliance Passpoint मानक (IEEE 802.11u पर आधारित) है। Passpoint उपकरणों को स्वचालित रूप से WiFi नेटवर्क खोजने और प्रमाणित करने में सक्षम बनाता है। जब कोई उपकरण OpenRoaming-सक्षम वेन्यू में प्रवेश करता है, तो यह संबद्ध होने से पहले समर्थित रोमिंग कंसोर्टियम ऑर्गनाइजेशन आइडेंटिफायर्स (RCOIs) के लिए एक्सेस पॉइंट से क्वेरी करने के लिए एक्सेस नेटवर्क क्वेरी प्रोटोकॉल (ANQP) का उपयोग करता है। यह प्री-एसोसिएशन खोज उपयोगकर्ता के लिए पूरी तरह से अदृश्य होती है - कोई भी कनेक्शन प्रयास शुरू करने से पहले उपकरण चुपचाप यह निर्धारित करता है कि उसके पास नेटवर्क के लिए मान्य क्रेडेंशियल हैं या नहीं।
RADIUS फेडरेशन और RadSec
पारंपरिक कैरियर WiFi रोमिंग द्विपक्षीय समझौतों के माध्यम से भरे गए स्थिर RADIUS राउटिंग टेबल पर निर्भर करती है, जो IPSec टनल के माध्यम से सुरक्षित होते हैं। यह मॉडल वैश्विक, खुले फेडरेशन तक विस्तारित नहीं हो सकता। OpenRoaming इसे डायनेमिक DNS-आधारित पीयर डिस्कवरी (RFC 7585) और RadSec (RADIUS over TLS, RFC 6614) का उपयोग करके हल करता है।जब कोई एक्सेस पॉइंट ऑथेंटिकेशन अनुरोध प्राप्त करता है, तो स्थानीय RADIUS प्रॉक्सी IDP के RadSec सर्वर को गतिशील रूप से खोजने के लिए उपयोगकर्ता के दायरे पर DNS NAPTR लुकअप करता है। WBA के चार-स्तरीय पब्लिक की इन्फ्रास्ट्रक्चर (PKI) द्वारा जारी किए गए प्रमाणपत्रों के साथ म्यूचुअल TLS (mTLS) का उपयोग करके सिग्नलिंग को सुरक्षित किया जाता है, जो बिना किसी पूर्व-स्थापित द्विपक्षीय समझौतों के एक्सेस नेटवर्क और आइडेंटिटी प्रोवाइडर के बीच शुरू से अंत तक सुरक्षा सुनिश्चित करता है।
रोमिंग कंसोर्टियम ऑर्गनाइजेशन आइडेंटिफायर्स (RCOIs)
OpenRoaming पॉलिसी नियंत्रणों और सेटलमेंट मॉडल को प्रसारित करने के लिए विशिष्ट RCOIs का उपयोग करता है। इन्हें 802.11 बीकन और ANQP के माध्यम से विज्ञापित किया जाता है:
| RCOI मान | मॉडल | विवरण |
|---|---|---|
| 5A-03-BA | सेटलमेंट-फ्री | ANP, IDP को बिना किसी शुल्क के कनेक्टिविटी प्रदान करता है। एंटरप्राइज, रिटेल और हॉस्पिटैलिटी के लिए प्रमुख मॉडल। |
| BA-A2-D0 | सेटल्ड | ANP वित्तीय मुआवजे की उम्मीद करता है। प्रीमियम कनेक्टिविटी परिदृश्यों के लिए उपयोग किया जाता है। |
RCOI के 12 सबसे महत्वपूर्ण बिट्स का उपयोग क्लोज्ड एक्सेस ग्रुप (CAG) पॉलिसियों को परिभाषित करने के लिए भी किया जा सकता है, जिससे ANPs और IDPs को सर्विस टियर की गुणवत्ता, पहचान प्रमाणन स्तरों और गोपनीयता आवश्यकताओं पर विस्तृत स्तर पर बातचीत करने में मदद मिलती है।
कार्यान्वयन गाइड
OpenRoaming को तैनात करने के लिए नेटवर्क हार्डवेयर, RADIUS इन्फ्रास्ट्रक्चर और पहचान प्रबंधन के बीच समन्वय की आवश्यकता होती है। हार्डवेयर आवश्यकताओं के विस्तृत विवरण के लिए, वायरलेस एक्सेस पॉइंट्स डेफिनिशन योर अल्टीमेट 2026 गाइड पर हमारी गाइड देखें।
चरण 1: इन्फ्रास्ट्रक्चर तत्परता मूल्यांकन
सत्यापित करें कि आपके एक्सेस पॉइंट और वायरलेस LAN कंट्रोलर Passpoint/Hotspot 2.0 (IEEE 802.11u) का समर्थन करते हैं। 2018 के बाद निर्मित अधिकांश एंटरप्राइज-ग्रेड उपकरणों में इसका मूल समर्थन शामिल है। WPA3-Enterprise (या पुराने डिवाइस अनुकूलता के लिए WPA2-Enterprise) के साथ सुरक्षित एक समर्पित SSID कॉन्फ़िगर करें। यह SSID OpenRoaming ट्रैफ़िक को ले जाएगा और इसे आपके RCOI को प्रसारित करने के लिए उपयुक्त ANQP सेटिंग्स के साथ कॉन्फ़िगर किया जाना चाहिए।
चरण 2: WBA सदस्यता और ब्रोकर जुड़ाव
OpenRoaming फेडरेशन में भाग लेने के लिए, आपके संगठन को या तो सीधे WBA में शामिल होना होगा या किसी अधिकृत WBA ब्रोकर को नियुक्त करना होगा। ब्रोकर आपके संगठन को एक WBA Identity (WBAID) सौंपेगा, WBA PKI के तहत आपके RadSec प्रमाणपत्र जारी करेगा, और गतिशील खोज को सक्षम करने के लिए आपके DNS NAPTR/SRV रिकॉर्ड को कॉन्फ़िगर करेगा। यह वह बुनियादी चरण है जो आपके इन्फ्रास्ट्रक्चर को वैश्विक फेडरेशन से जोड़ता है।
चरण 3: RADIUS इन्फ्रास्ट्रक्चर कॉन्फ़िगरेशन
आपके RADIUS सर्वर को OpenRoaming फेडरेशन में प्रमाणीकरण अनुरोधों को रूट करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसमें आपके WBA-जारी प्रमाणपत्रों का उपयोग करके mTLS कनेक्शन स्थापित करने के लिए RadSec को कॉन्फ़िगर करना शामिल है। IDP एंडपॉइंट्स को गतिशील रूप से हल करने के लिए RADIUS प्रॉक्सी DNS NAPTR लुकअप करने में सक्षम होना चाहिए। क्लाउड-आधारित RADIUS समाधान जटिल DNS खोज और प्रमाणपत्र प्रबंधन प्रक्रियाओं को सरल बनाकर इस चरण को काफी आसान बना सकते हैं।
चरण 4: डिवाइस प्रोविज़निंग रणनीति
उपयोगकर्ता के उपकरणों पर Passpoint प्रोफाइल प्राप्त करना प्राथमिक परिचालन विचार है। इसके लिए चार दृष्टिकोण उपलब्ध हैं:
| विधि | किसके लिए सर्वोत्तम है | कार्यप्रणाली |
|---|---|---|
| MDM पुश | प्रबंधित कॉर्पोरेट उपकरण | Intune, Jamf, या Workspace ONE स्वचालित रूप से प्रोफाइल पुश करते हैं |
| ऑनलाइन साइन-अप (OSU) | उपभोक्ता-उन्मुख परिनियोजन | Passpoint OSU प्रोटोकॉल के माध्यम से मानकीकृत स्व-नामांकन |
| ऐप-आधारित प्रोविज़निंग | लॉयल्टी प्रोग्राम के सदस्य | मोबाइल ऐप प्रमाणीकरण के बाद Passpoint प्रोफाइल इंस्टॉल करता है |
| QR कोड नामांकन | हॉस्पिटैलिटी चेक-इन | भौतिक QR कोड प्रोफाइल इंस्टॉलेशन को ट्रिगर करता है |
चरण 5: नीति कॉन्फ़िगरेशन और VLAN सेगमेंटेशन
ANQP के माध्यम से उपयुक्त OpenRoaming RCOIs को प्रसारित करने के लिए अपने WLAN कंट्रोलर को कॉन्फ़िगर करें। यह सुनिश्चित करने के लिए कि गेस्ट ट्रैफ़िक कॉर्पोरेट नेटवर्क से अलग रहे, RADIUS विशेषताओं के माध्यम से गतिशील VLAN असाइनमेंट लागू करें। यह Retail वातावरण में PCI-DSS अनुपालन के लिए गैर-परक्राम्य है और सभी क्षेत्रों में सर्वोत्तम अभ्यास है।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।
सुरक्षा और अनुपालन के लिए सर्वोत्तम अभ्यास
OpenRoaming बुनियादी तौर पर वेन्यू WiFi की सुरक्षा स्थिति में सुधार करता है, जिससे यह खुले, अनएन्क्रिप्टेड नेटवर्क से मजबूत एंटरप्राइज-ग्रेड सुरक्षा में बदल जाता है। अंतर्निहित प्रमाणीकरण तंत्रों की अधिक गहराई से समझ के लिए, 802.1X Authentication: Securing Network Access on Modern Devices की समीक्षा करें।
WPA3-Enterprise और 802.1X Authentication
कैप्टिव पोर्टल के विपरीत जहां लॉगिन होने तक ट्रैफ़िक अनएन्क्रिप्टेड रहता है, OpenRoaming पहले पैकेट से ही WPA3-Enterprise एन्क्रिप्शन का उपयोग करता है। 802.1X पारस्परिक प्रमाणीकरण प्रक्रिया यह सुनिश्चित करती है कि उपयोगकर्ता का डिवाइस कोई भी क्रेडेंशियल प्रसारित करने से पहले नेटवर्क की पहचान को क्रिप्टोग्राफिक रूप से सत्यापित करता है, जिससे "Evil Twin" दुष्ट एक्सेस पॉइंट्स का जोखिम समाप्त हो जाता है - एक ऐसी भेद्यता जिसका पारंपरिक कैप्टिव पोर्टल समाधान नहीं कर सकते।
गोपनीयता और GDPR अनुपालन
पारंपरिक captive portals अक्सर व्यापक Personally Identifiable Information (PII) एकत्र करते हैं, जिससे महत्वपूर्ण GDPR अनुपालन का बोझ बनता है। OpenRoaming उपयोगकर्ताओं को सद्मनाम पहचानकर्ताओं जैसे कि Chargeable-User-Identity (CUI) एट्रिब्यूट के माध्यम से प्रमाणित करता है। वेन्यू यह सत्यापित करता है कि उपयोगकर्ता वैध है, बिना उनके मूल PII को ग्रहण किए, जो GDPR डेटा न्यूनीकरण सिद्धांतों के अनुरूप है और आपके डेटा प्रोसेसिंग दायित्वों के दायरे को कम करता है।
नेटवर्क सेगमेंटेशन और PCI DSS
Retail वातावरण के लिए, PCI DSS अनुपालन महत्वपूर्ण है। OpenRoaming ट्रैफ़िक को Point of Sale (POS) सिस्टम और कॉर्पोरेट नेटवर्क से कड़ाई से अलग किया जाना चाहिए। प्रमाणीकरण के तुरंत बाद गेस्ट ट्रैफ़िक को अलग करने के लिए RADIUS एट्रिब्यूट्स के माध्यम से डायनेमिक VLAN असाइनमेंट का उपयोग करें, जिससे यह केवल एक डिफ़ॉल्ट इंटरनेट रूट और सभी आंतरिक RFC 1918 एड्रेस स्पेस के लिए स्पष्ट रूप से अस्वीकार करने वाले नियमों के साथ एक VRF इंस्टेंस में स्थित हो जाए।
-
केस स्टडीज: प्रोडक्शन में OpenRoaming
केस स्टडी 1: RAI एम्स्टर्डम कन्वेंशन सेंटर (इवेंट्स और कॉन्फ्रेंसिंग)
RAI एम्स्टर्डम कन्वेंशन सेंटर, जो सालाना 1.5 मिलियन मेहमानों की मेजबानी करने वाले यूरोप के सबसे बड़े इवेंट वेन्यू में से एक है, ने 2023 में WBA OpenRoaming के साथ Wi-Fi 6 को तैनात किया। Cisco Live Europe में, 18,000 से अधिक सहभागियों के पास निर्बाध OpenRoaming कनेक्टिविटी की सुविधा थी, जिन्होंने चार दिनों में 77 टेराबाइट से अधिक डेटा का उपभोग किया। सहभागियों ने नेटवर्क पर औसतन छह घंटे बिताए। इस परिनियोजन ने प्रदर्शित किया कि कैसे OpenRoaming उस कनेक्शन वृद्धि को समाप्त करता है जो आमतौर पर इवेंट गेट खुलने पर होती है, जिससे प्रमाणीकरण भार को पूरे फेडरेशन में समान रूप से वितरित किया जा सके। Transport हब और कॉन्फ्रेंस केंद्रों के लिए, यह केस स्टडी निश्चित प्रूफ ऑफ कॉन्सेप्ट है।
केस स्टडी 2: डेलहाइज़ रिटेल चेन (Retail)
बेल्जियम के रिटेल समूह डेलहाइज़ ने ग्राहकों की कनेक्टिविटी को बेहतर बनाने और संचालन को सरल बनाने के लिए अपने स्टोर नेटवर्क में OpenRoaming तैनात किया। इस परिनियोजन ने captive portal रूपांतरण दरों के साथ लगातार आने वाली समस्याओं का समाधान किया - यह एक ऐसी चुनौती है जिसका सामना सभी Retail ऑपरेटरों को करना पड़ता है क्योंकि ग्राहक तेजी से मैन्युअल लॉगिन स्क्रीन के साथ जुड़ने के बजाय मोबाइल डेटा को डिफ़ॉल्ट रूप से चुनते हैं। लॉयल्टी ऐप उपयोगकर्ताओं के लिए स्वचालित, सुरक्षित कनेक्टिविटी सक्षम करके, डेलहाइज़ ने WiFi अपनाने की दर को बढ़ाया और इन-स्टोर एनालिटिक्स डेटा की गुणवत्ता में सुधार किया, जिससे सीधे मर्चेंडाइजिंग और स्पेस उपयोग के निर्णयों को समर्थन मिला। यह WiFi Analytics को रिटेल इंटेलिजेंस प्लेटफॉर्म के साथ एकीकृत करने के व्यापक रुझान के अनुरूप है।
-
समस्या निवारण और जोखिम न्यूनीकरण
जबकि OpenRoaming अंतिम-उपयोगकर्ता के अनुभव को सरल बनाता है, इसके पीछे का बुनियादी ढांचा जटिल है। नेटवर्क आर्किटेक्ट्स को सामान्य विफलता मोड को सक्रिय रूप से कम करना चाहिए:
RadSec Certificate Expiry सबसे महत्वपूर्ण परिचालन जोखिम (operational risk) है। mTLS कनेक्शन WBA PKI सर्टिफिकेट पर निर्भर करते हैं। एक समाप्त हो चुका सर्टिफिकेट तुरंत फेडरेशन राउटिंग को बाधित कर देगा, जिससे साइलेंट ऑथेंटिकेशन फेल्योर होने लगेंगे। कम से कम 60 दिनों की अग्रिम चेतावनी और एक निर्धारित रिन्यूअल प्रक्रिया के साथ मॉनिटरिंग लागू करें।
DNS Resolution Failures OpenRoaming आउटेज का दूसरा सबसे आम कारण हैं। डायनेमिक पीयर डिस्कवरी, NAPTR और SRV रिकॉर्ड्स के विश्वसनीय DNS रिज़ॉल्यूशन पर निर्भर करती है। सुनिश्चित करें कि आपके RADIUS प्रॉक्सी में रिडंडेंट, हाई-परफॉर्मेंस DNS फॉरवर्डर्स कॉन्फ़िगर किए गए हों और अपने नियमित नेटवर्क हेल्थ चेक के हिस्से के रूप में DNS रिज़ॉल्यूशन का परीक्षण करें।
Legacy Device Compatibility के लिए ट्रांजिशन के दौरान योजना बनाई जानी चाहिए। जबकि आधुनिक iOS, Android, Windows, और macOS डिवाइस मूल रूप से Passpoint का समर्थन करते हैं, पुराने डिवाइस ऐसा नहीं करते हैं। सार्वभौमिक कवरेज सुनिश्चित करने के लिए ट्रांजिशन अवधि के दौरान एक समानांतर पारंपरिक Guest WiFi नेटवर्क बनाए रखें।
RADIUS Proxy Misconfiguration के कारण रीम-आधारित (realm-based) राउटिंग फेल्योर हो सकते हैं। सुनिश्चित करें कि आपका प्रॉक्सी EAP-Identity रीम को सही ढंग से हैंडल करता है और आपके DNS NAPTR रिकॉर्ड RFC 7585 डिस्कवरी के लिए सही ढंग से फॉर्मेटेड हैं। गो-लाइव से पहले कई IDP रीम्स के साथ परीक्षण करें।
ROI और व्यावसायिक प्रभाव
OpenRoaming का व्यावसायिक मामला केवल तकनीकी श्रेष्ठता तक सीमित नहीं है। वेन्यू ऑपरेटर्स कई क्षेत्रों में मापने योग्य रिटर्न की उम्मीद कर सकते हैं:
| मीट्रिक | सामान्य परिणाम | स्रोत |
|---|---|---|
| WiFi सपोर्ट टिकटों में कमी | 70-80% की कमी | WBA डेप्लॉयमेंट रिपोर्ट्स |
| WiFi एडॉप्शन रेट में वृद्धि | 40-50% की वृद्धि | WBA एयरपोर्ट डेप्लॉयमेंट डेटा |
| प्रति उपयोगकर्ता डेटा खपत | Captive Portal की तुलना में काफी अधिक | RAI एम्स्टर्डम केस स्टडी |
| PII अनुपालन जोखिम | काफी कम | GDPR स्यूडोनिमस ID मॉडल |
OpenRoaming को अपनाकर, वेन्यू Modern Hospitality WiFi Solutions Your Guests Deserve प्रदान करते हैं, जिससे WiFi एक निराशाजनक यूटिलिटी से डिजिटल अनुभव के एक सहज, अदृश्य इनेबलर में बदल जाता है। WiFi Analytics प्लेटफॉर्म के साथ इंटीग्रेशन और भी मूल्यवान हो जाता है क्योंकि उच्च अटैच रेट अधिक समृद्ध और प्रतिनिधि डेटा सेट उत्पन्न करते हैं। व्यापक नेटवर्क आधुनिकीकरण की तस्वीर तलाशने वाले संगठनों के लिए, The Core SD WAN Benefits for Modern Businesses इस बात पर पूरक संदर्भ प्रदान करता है कि कैसे OpenRoaming एक आधुनिक, सॉफ्टवेयर-परिभाषित नेटवर्क आर्किटेक्चर के भीतर फिट बैठता है।
Healthcare क्षेत्र को भी इससे महत्वपूर्ण लाभ होने वाला है, जिसमें OpenRoaming विजिटिंग क्लीनिशियनों और मेडिकल IoT डिवाइसों के लिए सुरक्षित, स्वचालित कनेक्टिविटी सक्षम बनाता है - वह भी ओपन गेस्ट नेटवर्क के अनुपालन जोखिमों या प्रति-डिवाइस Captive Portal मैनेजमेंट के परिचालन ओवरहेड के बिना।
मुख्य परिभाषाएं
Passpoint (Hotspot 2.0)
IEEE 802.11u पर आधारित एक WiFi Alliance सर्टिफिकेशन प्रोग्राम जो उपकरणों को पूर्व-प्रावधानित क्रेडेंशियल्स का उपयोग करके, उपयोगकर्ता के हस्तक्षेप के बिना स्वचालित रूप से WiFi नेटवर्क को खोजने और ऑथेंटिकेट करने में सक्षम बनाता है।
वह मूलभूत तकनीक जो एंड-यूजर डिवाइस पर निर्बाध OpenRoaming अनुभव को संभव बनाती है। AP और डिवाइस दोनों पर Passpoint सपोर्ट के बिना, OpenRoaming काम नहीं कर सकता है।
RadSec
एक प्रोटोकॉल (RFC 6614) जो TCP और TLS कनेक्शन पर RADIUS पैकेट को ट्रांसपोर्ट करता है, जो प्रमाणीकरण सिग्नलिंग की एन्क्रिप्टेड, विश्वसनीय और प्रमाणित डिलीवरी प्रदान करता है।
स्थल के RADIUS प्रॉक्सी और वैश्विक OpenRoaming फेडरेशन के बीच सार्वजनिक इंटरनेट से गुजरने वाले प्रमाणीकरण ट्रैफ़िक को सुरक्षित करने के लिए उपयोग किया जाता है। यह पुराने IPSec टनल मॉडल को बदलता है।
RCOI (Roaming Consortium Organisation Identifier)
एक्सेस पॉइंट्स द्वारा 802.11 बीकन और ANQP प्रतिक्रियाओं में प्रसारित एक 3-ऑक्टेट या 5-ऑक्टेट आइडेंटिफायर, जो यह दर्शाता है कि नेटवर्क किन रोमिंग फेडरेशन और सेटलमेंट पॉलिसियों का समर्थन करता है।
प्रमाणीकरण का प्रयास करने से पहले डिवाइस यह निर्धारित करने के लिए RCOI को पढ़ते हैं कि क्या उनके पास कनेक्ट करने के लिए वैध क्रेडेंशियल हैं। एंटरप्राइज डिप्लॉयमेंट के लिए सेटलमेंट-मुक्त RCOI (5A-03-BA) मानक है।
ANQP (Access Network Query Protocol)
एक IEEE 802.11 प्रोटोकॉल जिसका उपयोग डिवाइस एसोसिएशन से पहले नेटवर्क जानकारी - जिसमें समर्थित RCOIs, स्थल का नाम और NAI रियल्म सूची शामिल है - के लिए एक्सेस पॉइंट्स से पूछताछ करने के लिए करते हैं।
उपयोगकर्ता को बाधित किए बिना या कनेक्शन का प्रयास शुरू किए बिना डिवाइसों को चुपचाप यह मूल्यांकन करने में सक्षम बनाता है कि क्या कोई नेटवर्क उनके क्रेडेंशियल्स का समर्थन करता है।
Identity Provider (IDP)
एक संगठन जो उपयोगकर्ता की पहचान बनाए रखता है और OpenRoaming प्रमाणीकरण के लिए उपयोग किए जाने वाले Passpoint क्रेडेंशियल (प्रमाण पत्र या प्रोफाइल) जारी करता है।
मोबाइल कैरियर, कॉर्पोरेट IT विभाग और लॉयल्टी प्रोग्राम IDP के रूप में कार्य करते हैं। IDP उपयोगकर्ता को प्रमाणित करता है और RADIUS फेडरेशन के माध्यम से ANP को परिणाम का संकेत देता है।
Access Network Provider (ANP)
वह स्थल या संगठन जो भौतिक WiFi इन्फ्रास्ट्रक्चर संचालित करता है, OpenRoaming RCOIs प्रसारित करता है, और स्थानीय एक्सेस नीतियों को लागू करता है।
होटल, स्टेडियम, रिटेल स्टोर और एंटरप्राइज कार्यालय ANP के रूप में कार्य करते हैं। ANP यह नियंत्रित करता है कि प्रमाणित उपयोगकर्ता क्या एक्सेस कर सकते हैं, भले ही उन्हें किसी भी IDP ने प्रमाणित किया हो।
WBA PKI
Wireless Broadband Alliance द्वारा प्रबंधित चार-स्तरीय पब्लिक की इन्फ्रास्ट्रक्चर, जिसका उपयोग फेडरेशन प्रतिभागियों के बीच RadSec कनेक्शन के लिए आवश्यक mTLS प्रमाण पत्र जारी करने के लिए किया जाता है।
बुनियादी क्रिप्टोग्राफिक विश्वास प्रदान करता है जो हजारों स्वतंत्र नेटवर्क को पूर्व-स्थापित द्विपक्षीय समझौतों के बिना सुरक्षित रूप से संघटित होने की अनुमति देता है।
802.1X
पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक जो EAP (Extensible Authentication Protocol) विधियों का उपयोग करके LAN या WLAN से जुड़ने के इच्छुक उपकरणों के लिए एक प्रमाणीकरण तंत्र प्रदान करता है।
OpenRoaming को आधार देने वाला मजबूत सुरक्षा ढांचा। यह अनधिकृत पहुंच को रोकता है और पहले डेटा पैकेट से ही WPA3-Enterprise एन्क्रिप्शन को सक्षम बनाता है।
Chargeable-User-Identity (CUI)
एक RADIUS विशेषता (RFC 4372) जो एक्सेस नेटवर्क के सामने उनकी वास्तविक पहचान को उजागर किए बिना, कई सत्रों में उपयोगकर्ता के लिए एक छद्म नाम, स्थिर पहचानकर्ता प्रदान करती है।
GDPR डेटा न्यूनतमकरण अनुपालन का सीधे समर्थन करते हुए, PII संग्रह को कम से कम रखते हुए विश्लेषण उद्देश्यों के लिए स्थलों को विशिष्ट विज़िटर को ट्रैक करने में सक्षम बनाता है।
हल किए गए उदाहरण
एक 500 कमरों वाले लग्जरी होटल में वर्तमान में एक कैप्टिव पोर्टल का उपयोग किया जाता है जिसमें मेहमानों को अपने कमरा नंबर और अंतिम नाम के साथ लॉग इन करना होता है। वे सहायता के उच्च मामलों और WiFi के संबंध में खराब अतिथि संतुष्टि स्कोर का अनुभव कर रहे हैं। वे OpenRoaming को लागू करना चाहते हैं लेकिन VIP मेहमानों और लॉयल्टी प्रोग्राम के सदस्यों के लिए बैंडविड्थ को टियर करने की क्षमता खोने को लेकर चिंतित हैं।
होटल को सेटलमेंट-फ्री RCOI (5A-03-BA) का उपयोग करके OpenRoaming को डिप्लॉय करना चाहिए, जिसमें होटल का लॉयल्टी ऐप एक Identity Provider के रूप में कार्य करता है। जब कोई VIP लॉयल्टी सदस्य ऑथेंटिकेट करता है, तो IDP के RADIUS Access-Accept रिस्पॉन्स में Vendor-Specific Attributes (VSAs) शामिल होते हैं जो होटल के WLAN कंट्रोलर को यूजर को एक प्रीमियम QoS प्रोफाइल और एक समर्पित हाई-बैंडविड्थ VLAN सौंपने का निर्देश देते हैं। किसी थर्ड-पार्टी IDP (जैसे, उनके मोबाइल कैरियर) के माध्यम से ऑथेंटिकेट होने वाले सामान्य मेहमानों को डिफॉल्ट QoS प्रोफाइल मिलता है। होटल का RADIUS सर्वर पॉलिसी एनफोर्समेंट पॉइंट के रूप में कार्य करता है, जो IDP द्वारा दिए गए आइडेंटिटी एट्रिब्यूट्स को स्थानीय नेटवर्क पॉलिसियों में बदलता है।
200 स्टोर्स वाली एक बड़ी रिटेल चेन ग्राहकों की कनेक्टिविटी को बेहतर बनाने और अपने WiFi Analytics प्लेटफॉर्म को अधिक समृद्ध फुटफॉल डेटा प्रदान करने के लिए OpenRoaming को डिप्लॉय करना चाहती है। उनकी सुरक्षा टीम PCI-DSS अनुपालन और कॉर्पोरेट नेटवर्क या पॉइंट-ऑफ-सेल सिस्टम तक पहुंचने वाले अतिथि उपकरणों के जोखिम को लेकर चिंतित है।
रिटेल चेन को डिप्लॉयमेंट से पहले एक अनिवार्य शर्त के रूप में कड़े नेटवर्क सेगमेंटेशन को लागू करना चाहिए। OpenRoaming SSID को एक्सेस लेयर (AP या डिस्ट्रीब्यूशन स्विच) पर एक आइसोलेटेड गेस्ट VLAN से मैप किया जाना चाहिए। RADIUS सर्वर को डायनेमिक VLAN असाइनमेंट लागू करना चाहिए, जिससे यह सुनिश्चित हो सके कि सभी OpenRoaming-ऑथेंटिकेटेड यूजर्स को केवल इंटरनेट के डिफॉल्ट रूट और सभी RFC 1918 इंटरनल एड्रेस स्पेस के लिए स्पष्ट ACL डिनाई रूल्स के साथ एक VRF इंस्टेंस में रखा जाए। OpenRoaming RADIUS प्रॉक्सी को DMZ में डिप्लॉय किया जाना चाहिए, जिसका कॉर्पोरेट नेटवर्क के लिए कोई सीधा राउटिंग पाथ न हो। एक त्रैमासिक पेनेट्रेशन टेस्ट से यह सत्यापित होना चाहिए कि सेगमेंटेशन सीमा मजबूत है।
अभ्यास प्रश्न
Q1. आपका स्थल OpenRoaming उपयोगकर्ताओं के एक समूह के लिए लगातार साइलेंट प्रमाणीकरण विफलताओं का सामना कर रहा है। पैकेट कैप्चर पुष्टि करते हैं कि AP द्वारा EAP-Identity प्रतिक्रिया प्राप्त हुई है, लेकिन कोई भी RADIUS Access-Request कभी भी Identity Provider तक नहीं पहुंचता है। सबसे संभावित आर्किटेक्चरल विफलता बिंदु क्या है, और आप इसका निदान कैसे करेंगे?
संकेत: प्रमाणीकरण अनुरोध को आगे भेजने से पहले विशिष्ट उपयोगकर्ता के रियल्म के लिए सही गंतव्य का पता लगाने के लिए RADIUS प्रॉक्सी के लिए आवश्यक चरणों पर विचार करें।
मॉडल उत्तर देखें
सबसे संभावित विफलता बिंदु RADIUS प्रॉक्सी पर DNS रिज़ॉल्यूशन है। OpenRoaming डायनेमिक डिस्कवरी (RFC 7585) पर निर्भर करता है, जिसके लिए प्रॉक्सी को EAP-Identity में प्रदान किए गए रियल्म पर DNS NAPTR/SRV लुकअप करने की आवश्यकता होती है। यदि DNS विफल हो जाता है, तो प्रॉक्सी IDP के RadSec सर्वर के IP पते का निर्धारण नहीं कर सकती है, जिससे साइलेंट विफलता होती है। प्रभावित रियल्म के लिए RADIUS प्रॉक्सी से एक मैन्युअल NAPTR लुकअप चलाकर निदान करें, यह सत्यापित करते हुए कि सही SRV रिकॉर्ड वापस आ गए हैं और RadSec सर्वर IP पोर्ट 2083 पर पहुंच योग्य है।
Q2. एक अस्पताल के IT डायरेक्टर आने वाले क्लिनिशियन और मेडिकल IoT उपकरणों के लिए कनेक्टिविटी को बेहतर बनाने के लिए OpenRoaming को तैनात करना चाहते हैं, लेकिन उनका आदेश है कि आंतरिक सुरक्षा नीति का पालन करने के लिए कनेक्शन के क्षण से ही सभी गेस्ट ट्रैफ़िक हवा में एन्क्रिप्टेड होना चाहिए। वे वर्तमान में WPA2-Personal (PSK) के साथ कैप्टिव पोर्टल का उपयोग करते हैं। क्या OpenRoaming इस आवश्यकता को पूरा करता है, और एन्क्रिप्शन मॉडल कैसे भिन्न है?
संकेत: कैप्टिव पोर्टल बनाम 802.1X-आधारित ऑथेंटिकेशन के एन्क्रिप्शन समय की तुलना करें, और विचार करें कि कैप्टिव पोर्टल लॉगिन पूरा होने से पहले ट्रैफ़िक का क्या होता है।
मॉडल उत्तर देखें
हाँ, OpenRoaming इस आवश्यकता को पूरी तरह से संतुष्ट करता है। कैप्टिव पोर्टल के साथ, जब तक उपयोगकर्ता लॉगिन प्रक्रिया पूरी नहीं कर लेता, तब तक ट्रैफ़िक हवा में अनएन्क्रिप्टेड रहता है - जिससे एक सुरक्षा भेद्यता की स्थिति बनती है। OpenRoaming 802.1X ऑथेंटिकेशन और WPA3-Enterprise (या WPA2-Enterprise) का उपयोग करता है, जो कोई भी उपयोगकर्ता डेटा प्रसारित होने से ठीक पहले, सफल ऑथेंटिकेशन के तुरंत बाद 4-way हैंडशेक के माध्यम से एक अद्वितीय, क्रिप्टोग्राफिक रूप से सुरक्षित एन्क्रिप्टेड सत्र स्थापित करता है। प्रत्येक सत्र EAP एक्सचेंज से प्राप्त एक अद्वितीय PMK का उपयोग करता है, जिससे प्रति-सत्र एन्क्रिप्शन सुनिश्चित होता है जो साझा PSK मॉडल की तुलना में कहीं अधिक मजबूत है।
Q3. आप एक नए स्टेडियम परिनियोजन के लिए WLAN कंट्रोलर को कॉन्फ़िगर कर रहे हैं जो सेटलमेंट-फ्री OpenRoaming फ़ेडरेशन में भाग लेगा। एक सहकर्मी संगतता को अधिकतम करने के लिए सेटल्ड RCOI को भी ब्रॉडकास्ट करने का सुझाव देता है। दोनों RCOIs को एक साथ ब्रॉडकास्ट करने के क्या निहितार्थ हैं, और आपकी क्या सिफारिश है?
संकेत: सेटल्ड RCOI के व्यावसायिक और परिचालन प्रभावों पर विचार करें, और यह भी कि डिवाइस RCOI मिलान को कैसे प्राथमिकता देते हैं।
मॉडल उत्तर देखें
सेटलमेंट-फ्री RCOI (5A-03-BA) के साथ सेटल्ड RCOI (BA-A2-D0) को ब्रॉडकास्ट करना तकनीकी रूप से संभव है लेकिन इसमें महत्वपूर्ण व्यावसायिक जोखिम शामिल है। सेटल्ड RCOI आइडेंटिटी प्रोवाइडर्स को संकेत देता है कि ANP कनेक्टिविटी के लिए वित्तीय मुआवजे की उम्मीद करता है। यह IDPs को अपने उपयोगकर्ताओं को कनेक्ट करने की अनुमति देने से रोक सकता है, क्योंकि उन्हें शुल्क देना होगा। अधिकतम उपयोगकर्ता अपनाने और निर्बाध कनेक्टिविटी चाहने वाले स्टेडियम के लिए, केवल सेटलमेंट-फ्री RCOI ब्रॉडकास्ट करना ही सही तरीका है। सेटल्ड RCOI का उपयोग केवल तब किया जाना चाहिए जब प्रासंगिक IDPs के साथ एक विशिष्ट व्यावसायिक सेटलमेंट समझौता लागू हो।
अक्सर पूछे जाने वाले प्रश्न
What is WBA OpenRoaming and how does it replace traditional captive portals?
Wireless Broadband Alliance (WBA) OpenRoaming is a global WiFi federation built on Passpoint (Hotspot 2.0 / IEEE 802.11u) and RadSec (RFC 6614). It enables mobile devices to discover and authenticate onto enterprise WiFi networks automatically using pre-installed credentials, certificates, or carrier profiles, bypassing browser captive portals entirely.
What is the difference between an Access Network Provider (ANP) and an Identity Provider (IdP)?
An Access Network Provider (ANP) is a venue or network operator that provides physical wireless access and broadcasts OpenRoaming Roaming Consortium OIs (RCOIs). An Identity Provider (IdP) is an organisation - such as a mobile carrier, university, tech company, or loyalty programme - that issues credentials to users and validates authentication requests forwarded by the ANP across the federation.
Which Roaming Consortium Organization Identifiers (RCOIs) are used for OpenRoaming?
The primary WBA OpenRoaming RCOI is 5A-03-BA-00-00, which designates settlement-free, reciprocal access. Commercial carrier offloading with financial settlement uses 5A-03-BA-01-00. Venues may also broadcast legacy Cisco OpenRoaming RCOI 00-40-96 or eduroam RCOI 00-1B-C5 for dual-federation environments.
Why does OpenRoaming mandate RadSec over TCP port 2083 instead of standard RADIUS?
Standard RADIUS operates over unencrypted UDP (ports 1812/1813), which exposes user identities and credentials when routed across public internet backbones. OpenRoaming mandates RadSec (RFC 6614), wrapping RADIUS packets in TLS 1.3 encryption over TCP port 2083 with mutual X.509 certificate validation (mTLS) to secure cross-realm federation.
How does Purple enable enterprise venues to deploy OpenRoaming alongside guest analytics?
Purple acts as a trusted WBA OpenRoaming federation partner, managing RadSec broker connectivity, automated profile provisioning, and X.509 certificate lifecycles across enterprise hardware including Cisco, HPE Aruba, Ruckus, and Mist. Venues maintain real-time footfall analytics, dwell time tracking, and GDPR compliance while offering guests a zero-touch, seamless WiFi connection.
इस श्रृंखला में आगे पढ़ें
India DPDP Act: भारतीय स्थानों के लिए Guest WiFi अनुपालन
यह आधिकारिक तकनीकी संदर्भ गाइड अतिथि WiFi संचालित करने वाले भारतीय स्थानों के लिए डिजिटल पर्सनल डेटा प्रोटेक्शन (DPDP) Act 2023 का विश्लेषण करती है। यह व्यावहारिक अनुपालन रणनीतियाँ, कैप्टिव पोर्टल के लिए आर्किटेक्चरल विचार, और डेटा प्रतिधारण (retention) और सीमा पार स्थानान्तरण के लिए व्यावहारिक रूपरेखा प्रदान करती है।
ब्राजील LGPD और गेस्ट WiFi: एक अनुपालन गाइड
यह तकनीकी संदर्भ गाइड विस्तार से बताती है कि ब्राजील का LGPD एंटरप्राइज गेस्ट WiFi तैनाती पर कैसे लागू होता है, जिसमें कैप्टिव पोर्टल अनुपालन, प्रसंस्करण के लिए कानूनी आधार और Marco Civil da Internet के साथ अंतर्संबंध पर ध्यान केंद्रित किया गया है। यह IT लीडर्स और नेटवर्क आर्किटेक्ट्स के लिए नेटवर्क उपयोगिता को बनाए रखते हुए नियामक जोखिम को कम करने के लिए व्यावहारिक कार्यान्वयन मार्गदर्शन प्रदान करता है.
EU AI Act और Guest WiFi: मार्केटर्स को क्या जानना चाहिए
EU AI Act (विनियमन 2024/1689) एक जोखिम-आधारित ढांचा पेश करता है जो सीधे तौर पर प्रभावित करता है कि वेन्यू ऑपरेटर AI-संचालित WiFi मार्केटिंग, Captive Portal और अतिथि एनालिटिक्स को कैसे डिप्लॉय करते हैं। यह गाइड वास्तविक दुनिया के Guest WiFi उपयोग के मामलों के विरुद्ध अधिनियम के चार जोखिम स्तरों को मैप करती है, भावना अनुमान और सोशल स्कोरिंग सहित निषिद्ध प्रथाओं की पहचान करती है, और हॉस्पिटैलिटी, रिटेल, इवेंट्स और सार्वजनिक क्षेत्र के वातावरण में काम करने वाले IT टीमों और मार्केटिंग निदेशकों के लिए कार्रवाई योग्य अनुपालन कदम प्रदान करती है। यह समझना कि आपका डिप्लॉयमेंट जोखिम स्पेक्ट्रम पर कहाँ बैठता है - और AI चैटबॉट्स और संवादात्मक पोर्टल्स के लिए अनुच्छेद 50 पारदर्शिता दायित्वों को लागू करना - अब वैकल्पिक नहीं है: निषिद्ध प्रथा प्रवर्तन फरवरी 2025 में शुरू हो गया है।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।