La guida definitiva all'architettura e all'autenticazione OpenRoaming
Questa guida fornisce un riferimento tecnico autorevole sull'architettura WBA OpenRoaming, coprendo le fondamenta di Passpoint, la federazione RADIUS, la sicurezza mTLS di RadSec e la guida all'implementazione passo-passo per le strutture aziendali. Offre ai responsabili IT, ai network architect e ai gestori di location le competenze necessarie per sostituire i Captive Portal con una connettività WiFi fluida, sicura e conforme, in grado di generare un ROI misurabile.
Video overview
Ascolta questa guida
Visualizza trascrizione del podcast
Parte della nostra serie principale: Guida al WiFi per gli ospiti →
Sintesi Esecutiva
Il modello tradizionale di Captive Portal per il WiFi ospiti è superato. Per decenni, le strutture si sono affidate a schermate di accesso manuale che frustrano gli utenti, offrono una sicurezza scarsa e generano un notevole carico di lavoro per il supporto tecnico. WBA OpenRoaming rappresenta una svolta architetturale fondamentale, sostituendo l'autenticazione manuale con una federazione globale di connessioni sicure e automatiche basate sulla tecnologia Passpoint (Hotspot 2.0) e su 802.1X Authentication: Securing Network Access on Modern Devices.
Per gli IT manager e gli architetti di rete, implementare OpenRoaming non è più solo una questione di miglioramento dell'esperienza utente - è un imperativo strategico per rafforzare la sicurezza di rete, ridurre i ticket di supporto e generare un ROI misurabile attraverso una maggiore ottimizzazione della rete. Questa guida fornisce un riferimento tecnico completo per implementare l'architettura OpenRoaming, gestire la federazione RADIUS e garantire la conformità con i moderni standard di sicurezza negli ambienti aziendali, Retail e Hospitality.
Analisi Tecnica Dettagliata: L'Architettura OpenRoaming
L'architettura OpenRoaming opera attraverso una federazione di fiducia gestita dalla Wireless Broadband Alliance (WBA). Collega gli Identity Provider (IDP) che emettono le credenziali e gli Access Network Provider (ANP) che gestiscono l'infrastruttura WiFi.
La Fondazione Passpoint
Al cuore di OpenRoaming c'è lo standard Passpoint della Wi-Fi Alliance (basato su IEEE 802.11u). Passpoint consente ai dispositivi di rilevare e autenticarsi alle reti WiFi in modo automatico. Quando un dispositivo entra in una struttura abilitata a OpenRoaming, utilizza l'Access Network Query Protocol (ANQP) per interrogare l'access point sui Roaming Consortium Organisation Identifier (RCOI) supportati prima di associarsi. Questa rilevazione pre-associazione è completamente invisibile all'utente - il dispositivo determina silenziosamente se possiede credenziali valide per la rete prima di avviare qualsiasi tentativo di connessione.
La Federazione RADIUS e RadSec
Il roaming WiFi tradizionale degli operatori telefonici si affida a tabelle di instradamento RADIUS statiche popolate tramite accordi bilaterali, protette tramite tunnel IPSec. Questo modello non è scalabile per una federazione globale e aperta. OpenRoaming risolve questo problema utilizzando la scoperta dinamica dei peer basata su DNS (RFC 7585) e RadSec (RADIUS over TLS, RFC 6614).
Quando un access point riceve una richiesta di autenticazione, il proxy RADIUS locale esegue una ricerca DNS NAPTR sul realm dell'utente per scoprire dinamicamente il server RadSec dell'IDP. La segnalazione è protetta tramite mutual TLS (mTLS) con certificati emessi dalla Public Key Infrastructure (PKI) a quattro livelli della WBA, garantendo la sicurezza end-to-end tra l'Access Network e l'Identity Provider senza richiedere accordi bilaterali prestabiliti.
Roaming Consortium Organisation Identifiers (RCOIs)
OpenRoaming utilizza RCOI specifici per trasmettere i controlli delle policy e i modelli di settlement. Questi vengono pubblicizzati nel beacon 802.11 e tramite ANQP:
| Valore RCOI | Modello | Descrizione |
|---|---|---|
| 5A-03-BA | Settlement-Free | L'ANP fornisce connettività a costo zero per l'IDP. Modello dominante per enterprise, retail e hospitality. |
| BA-A2-D0 | Settled | L'ANP prevede una compensazione finanziaria. Utilizzato per scenari di connettività premium. |
I 12 bit più significativi del RCOI possono anche essere utilizzati per definire le policy del Closed Access Group (CAG), consentendo ad ANP e IDP di negoziare livelli di Quality of Service, livelli di verifica dell'identità e requisiti di privacy a livello granulare.
-
Guida all'Implementazione
La distribuzione di OpenRoaming richiede il coordinamento tra hardware di rete, infrastruttura RADIUS e gestione delle identità. Per una panoramica completa dei requisiti hardware, consulta la nostra guida su Wireless Access Points Definition Your Ultimate 2026 Guide.
Passaggio 1: Valutazione della Prontezza dell'Infrastruttura
Verifica che i tuoi access point e wireless LAN controller supportino Passpoint/Hotspot 2.0 (IEEE 802.11u). La maggior parte dei dispositivi di livello enterprise prodotti dopo il 2018 include il supporto nativo. Configura un SSID dedicato protetto con WPA3-Enterprise (o WPA2-Enterprise per la compatibilità con i dispositivi legacy). Questo SSID trasmetterà il traffico OpenRoaming e deve essere configurato con le impostazioni ANQP appropriate per trasmettere il tuo RCOI.
Passaggio 2: Adesione alla WBA e Coinvolgimento del Broker
Per partecipare alla federazione OpenRoaming, la tua organizzazione deve aderire direttamente alla WBA o affidarsi a un broker WBA autorizzato. Il broker assegnerà alla tua organizzazione un WBA Identity (WBAID), emetterà i tuoi certificati RadSec sotto la PKI della WBA e configurerà i tuoi record DNS NAPTR/SRV per abilitare la scoperta dinamica. Questo è il passaggio fondamentale che collega la tua infrastruttura alla federazione globale.
Passaggio 3: Configurazione dell'Infrastruttura RADIUS
Il tuo server RADIUS deve essere configurato per instradare le richieste di autenticazione alla federazione OpenRoaming. Ciò comporta la configurazione di RadSec per stabilire connessioni mTLS utilizzando i certificati rilasciati dalla WBA. Il proxy RADIUS deve essere in grado di eseguire ricerche DNS NAPTR per risolvere dinamicamente gli endpoint IDP. Le soluzioni RADIUS basate su cloud possono semplificare notevolmente questo passaggio, astraendo i complessi processi di individuazione DNS e gestione dei certificati.
Passaggio 4: Strategia di provisioning dei dispositivi
L'installazione dei profili Passpoint sui dispositivi degli utenti rappresenta la principale considerazione operativa. Sono disponibili quattro approcci:
| Metodo | Ideale per | Meccanismo |
|---|---|---|
| Invio tramite MDM | Dispositivi aziendali gestiti | Intune, Jamf o Workspace ONE inviano automaticamente i profili |
| Registrazione online (OSU) | Distribuzioni rivolte ai clienti | Registrazione autonoma standardizzata tramite il protocollo Passpoint OSU |
| Provisioning basato su App | Membri di programmi fedeltà | L'applicazione mobile installa il profilo Passpoint dopo l'autenticazione |
| Registrazione tramite codice QR | Check-in nel settore alberghiero | Un codice QR fisico avvia l'installazione del profilo |
Passaggio 5: Configurazione delle policy e segmentazione VLAN
Configura il controller WLAN per trasmettere i RCOI OpenRoaming appropriati tramite ANQP. Implementa l'assegnazione dinamica della VLAN tramite gli attributi RADIUS per garantire che il traffico degli ospiti sia isolato dalle reti aziendali. Questo è un requisito non negoziabile per la conformità PCI-DSS negli ambienti del settore Retail e rappresenta la migliore pratica per tutti i settori.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.
Best Practice per la Sicurezza e la Conformità
OpenRoaming migliora radicalmente la sicurezza del WiFi delle strutture, passando da reti aperte e non crittografate a una solida sicurezza di livello aziendale. Per un approfondimento sui meccanismi di autenticazione sottostanti, consulta la guida 802.1X Authentication: Securing Network Access on Modern Devices.
WPA3-Enterprise e Autenticazione 802.1X
A differenza dei Captive Portal in cui il traffico non è crittografato fino al login, OpenRoaming utilizza la crittografia WPA3-Enterprise fin dal primissimo pacchetto. Il processo di autenticazione reciproca 802.1X assicura che il dispositivo dell'utente verifichi crittograficamente l'identità della rete prima di trasmettere qualsiasi credenziale, eliminando il rischio di access point non autorizzati di tipo "Evil Twin" - una vulnerabilità che i Captive Portal tradizionali non possono risolvere.
Privacy e Conformità GDPR
I Captive Portal tradizionali spesso raccolgono un gran numero di dati personali (PII), creando notevoli oneri di conformità GDPR. OpenRoaming autentica gli utenti tramite identificativi pseudonimizzati come l'attributo Chargeable-User-Identity (CUI). La struttura verifica che l'utente sia legittimo senza necessariamente acquisire i suoi dati personali grezzi, in linea con i principi di minimizzazione dei dati del GDPR e riducendo l'ambito dei tuoi obblighi di trattamento dei dati.
Segmentazione della Rete e PCI DSS
Per gli ambienti Retail, la conformità PCI DSS è fondamentale. Il traffico OpenRoaming deve essere rigorosamente segmentato dai sistemi Point of Sale (POS) e dalle reti aziendali. Utilizza l'assegnazione dinamica della VLAN tramite attributi RADIUS per isolare il traffico degli ospiti immediatamente dopo l'autenticazione, inserendolo in un'istanza VRF con una sola rotta internet predefinita e regole di diniego esplicite per tutto lo spazio di indirizzamento interno RFC 1918.
Casi di Studio: OpenRoaming in Produzione
Caso di Studio 1: RAI Amsterdam Convention Centre (Eventi e Congressi)
Il RAI Amsterdam Convention Centre, una delle sedi per eventi più grandi d'Europa che ospita 1,5 milioni di visitatori all'anno, ha implementato il WiFi 6 con WBA OpenRoaming nel 2023. Al Cisco Live Europe, oltre 18.000 partecipanti hanno avuto accesso a una connettività OpenRoaming fluida, consumando più di 77 terabyte di dati in quattro giorni. I partecipanti hanno trascorso in media sei ore sulla rete. L'implementazione ha dimostrato come OpenRoaming elimini il picco di connessioni che si verifica tipicamente all'apertura dei cancelli dell'evento, distribuendo il carico di autenticazione in modo uniforme all'interno della federazione. Per i nodi di Trasporto e i centri congressi, questo caso di studio rappresenta la prova di fattibilità definitiva.
Caso di Studio 2: Catena Retail Delhaize (Retail)
Il gruppo retail belga Delhaize ha implementato OpenRoaming nella sua rete di negozi per migliorare la connettività dei clienti e snellire le operazioni. L'implementazione ha risolto i persistenti problemi legati ai tassi di conversione dei Captive Portal - una sfida che devono affrontare tutti gli operatori del settore Retail poiché i clienti preferiscono sempre più utilizzare i dati mobili anziché interagire con le schermate di accesso manuale. Abilitando una connettività automatica e sicura per gli utenti dell'app fedeltà, Delhaize ha aumentato l'adozione del WiFi e ha migliorato la qualità dei dati di analisi in-store, supportando direttamente le decisioni di merchandising e di utilizzo degli spazi. Ciò si allinea con la tendenza più ampia di integrare il modulo WiFi Analytics con le piattaforme di retail intelligence.
Risoluzione dei Problemi e Mitigazione dei Rischi
Sebbene OpenRoaming semplifichi l'esperienza dell'utente finale, l'infrastruttura sottostante è complessa. Gli architetti di rete devono mitigare proattivamente i problemi di malfunzionamento più comuni:
La scadenza del certificato RadSec rappresenta il rischio operativo più critico. Le connessioni mTLS si affidano ai certificati WBA PKI. Un certificato scaduto interromperà immediatamente il routing di federazione, causando errori di autenticazione silenziosi. Implementa un monitoraggio con almeno 60 giorni di preavviso e un processo di rinnovo definito.
I guasti di risoluzione DNS sono la seconda causa più comune di interruzioni di OpenRoaming. Il dynamic peer discovery dipende da una risoluzione DNS affidabile dei record NAPTR e SRV. Assicurati che i proxy RADIUS abbiano forwarder DNS ridondanti e ad alte prestazioni configurati e testa la risoluzione DNS come parte dei controlli regolari dello stato della rete.
La compatibilità con i dispositivi legacy deve essere pianificata durante la transizione. Mentre i dispositivi moderni iOS, Android, Windows e macOS supportano nativamente Passpoint, i dispositivi più vecchi non lo fanno. Mantieni una rete WiFi ospiti tradizionale parallela durante il periodo di transizione per garantire una copertura universale.
La configurazione errata del proxy RADIUS può causare errori di routing basati sul realm. Assicurati che il tuo proxy gestisca correttamente il realm EAP-Identity e che i record DNS NAPTR siano formattati correttamente per il discovery RFC 7585. Effettua test con più realm IDP prima del lancio.
-
ROI e impatto sul business
Il business case per OpenRoaming va ben oltre l'eleganza tecnica. I gestori delle location possono aspettarsi ritorni misurabili su diversi fronti:
| Metrica | Risultato tipico | Fonte |
|---|---|---|
| Riduzione dei ticket di supporto WiFi | Diminuzione del 70-80% | Report di implementazione WBA |
| Incremento del tasso di adozione WiFi | Aumento del 40-50% | Dati di implementazione WBA negli aeroporti |
| Consumo dati per utente | Significativamente più alto rispetto al captive portal | Caso di studio RAI Amsterdam |
| Rischio di conformità PII | Sostanzialmente ridotto | Modello ID pseudonimo GDPR |
Adottando OpenRoaming, le location offrono le Soluzioni WiFi moderne per l'hospitality che i tuoi ospiti meritano, trasformando il WiFi da un servizio frustrante in un fattore abilitante, invisibile e fluido dell'esperienza digitale. L'integrazione con le piattaforme di WiFi Analytics diventa più preziosa poiché tassi di associazione più elevati producono set di dati più ricchi e rappresentativi. Per le organizzazioni che esplorano il quadro più ampio della modernizzazione della rete, l'articolo sui Vantaggi principali di SD WAN per le aziende moderne fornisce un contesto complementare su come OpenRoaming si inserisca all'interno di una moderna architettura di rete definita dal software.
Anche il settore Sanitario trarrà un vantaggio significativo, con OpenRoaming che consente una connettività sicura e automatica per i medici in visita e i dispositivi IoT medici, senza i rischi di conformità delle reti ospiti aperte o i costi operativi della gestione dei Captive Portal per singolo dispositivo.
Definizioni chiave
Passpoint (Hotspot 2.0)
Un programma di certificazione della WiFi Alliance basato su IEEE 802.11u che consente ai dispositivi di scoprire e autenticarsi automaticamente alle reti WiFi senza l'intervento dell'utente, utilizzando credenziali pre-configurate.
La tecnologia fondamentale che rende possibile l'esperienza fluida di OpenRoaming sul dispositivo dell'utente finale. Senza il supporto Passpoint sia sull'AP che sul dispositivo, OpenRoaming non può funzionare.
RadSec
Un protocollo (RFC 6614) che trasporta i pacchetti RADIUS su una connessione TCP e TLS, fornendo una trasmissione crittografata, affidabile e autenticata dei segnali di autenticazione.
Utilizzato per proteggere il traffico di autenticazione che attraversa l'internet pubblica tra il proxy RADIUS della sede e la federazione globale OpenRoaming. Sostituisce il modello legacy con tunnel IPSec.
RCOI (Roaming Consortium Organisation Identifier)
Un identificatore a 3 o 5 ottetti trasmesso dagli access point nei beacon 802.11 e nelle risposte ANQP per indicare quali federazioni di roaming e politiche di compensazione sono supportate dalla rete.
I dispositivi leggono l'RCOI per determinare se possiedono credenziali valide per connettersi prima di tentare l'autenticazione. L'RCOI senza costi di compensazione (5A-03-BA) è lo standard per le distribuzioni aziendali.
ANQP (Access Network Query Protocol)
Un protocollo IEEE 802.11 utilizzato dai dispositivi per interrogare gli access point alla ricerca di informazioni di rete - inclusi gli RCOI supportati, il nome della sede e l'elenco dei realm NAI - prima dell'associazione.
Consente ai dispositivi di valutare silenziosamente se una rete supporta le loro credenziali senza disturbare l'utente o avviare un tentativo di connessione.
Identity Provider (IDP)
Un'organizzazione che gestisce le identità degli utenti ed emette le credenziali Passpoint (certificati o profili) utilizzate per l'autenticazione OpenRoaming.
Gli operatori mobili, i dipartimenti IT aziendali e i programmi di fidelizzazione fungono da IDP. L'IDP autentica l'utente e segnala il risultato all'ANP tramite la federazione RADIUS.
Access Network Provider (ANP)
La sede o l'organizzazione che gestisce l'infrastruttura fisica WiFi, trasmette gli RCOI OpenRoaming e applica le politiche di accesso locali.
Hotel, stadi, negozi al dettaglio e uffici aziendali fungono da ANP. L'ANP controlla a cosa possono accedere gli utenti autenticati, indipendentemente dall'IDP che li ha autenticati.
WBA PKI
La Public Key Infrastructure a quattro livelli gestita dalla Wireless Broadband Alliance, utilizzata per emettere i certificati mTLS necessari per le connessioni RadSec tra i partecipanti alla federazione.
Fornisce la fiducia crittografica fondamentale che consente a migliaia di reti indipendenti di federarsi in modo sicuro senza accordi bilaterali prestabiliti.
802.1X
Uno standard IEEE per il controllo dell'accesso alla rete basato su porta che fornisce un meccanismo di autenticazione per i dispositivi che desiderano connettersi a una LAN o WLAN, utilizzando metodi EAP (Extensible Authentication Protocol).
Il robusto framework di sicurezza alla base di OpenRoaming. Impedisce l'accesso non autorizzato e consente la crittografia WPA3-Enterprise fin dal primo pacchetto di dati.
Chargeable-User-Identity (CUI)
Un attributo RADIUS (RFC 4372) che fornisce un identificatore pseudonimizzato e stabile per un utente attraverso sessioni multiple, senza esporre la sua identità reale alla rete di accesso.
Consente alle sedi di tracciare i visitatori unici a fini analitici riducendo al minimo la raccolta di PII, supportando direttamente la conformità alla minimizzazione dei dati del GDPR.
Esempi pratici
Un hotel di lusso con 500 camere utilizza attualmente un Captive Portal che richiede agli ospiti di accedere con il numero di camera e il cognome. L'hotel registra un elevato volume di richieste di assistenza e bassi punteggi di soddisfazione degli ospiti riguardo al WiFi. Desidera implementare OpenRoaming ma teme di perdere la possibilità di scaglionale la larghezza di banda per gli ospiti VIP e i membri del programma fedeltà.
L'hotel dovrebbe implementare OpenRoaming utilizzando il RCOI senza compensazione (5A-03-BA), con l'app fedeltà dell'hotel che funge da Identity Provider. Quando un membro fedeltà VIP si autentica, la risposta RADIUS Access-Accept dell'IDP include Vendor-Specific Attributes (VSA) che indicano al controller WLAN dell'hotel di assegnare l'utente a un profilo QoS premium e a una VLAN dedicata ad alta larghezza di banda. Gli ospiti standard autenticati tramite un IDP di terze parti (ad esempio, il loro operatore di telefonia mobile) ricevono il profilo QoS predefinito. Il server RADIUS dell'hotel funge da punto di applicazione delle policy, traducendo gli attributi di identità forniti dall'IDP in policy di rete locali.
Una grande catena di vendita al dettaglio con 200 negozi desidera implementare OpenRoaming per migliorare la connettività dei clienti e alimentare la propria piattaforma di WiFi Analytics con dati di affluenza più ricchi. Il team di sicurezza è preoccupato per la conformità PCI-DSS e per il rischio che i dispositivi degli ospiti accedano alla rete aziendale o ai sistemi dei punti vendita.
La catena di vendita al dettaglio deve implementare una rigida segmentazione della rete come prerequisito per l'implementazione. L'SSID di OpenRoaming deve essere mappato su una VLAN ospite isolata a livello di accesso (l'AP o lo switch di distribuzione). Il server RADIUS deve imporre l'assegnazione dinamica della VLAN, garantendo che tutti gli utenti autenticati con OpenRoaming siano inseriti in un'istanza VRF con una sola rotta predefinita verso Internet e regole ACL esplicite di diniego per tutto lo spazio di indirizzamento interno RFC 1918. Il proxy RADIUS di OpenRoaming deve essere implementato in una DMZ, senza un percorso di instradamento diretto verso la rete aziendale. Un penetration test trimestrale deve verificare che il confine di segmentazione sia efficace.
Domande di esercitazione
Q1. La tua sede riscontra frequenti errori di autenticazione silenziosa per un sottoinsieme di utenti OpenRoaming. Le acquisizioni di pacchetti confermano che la risposta EAP-Identity viene ricevuta dall'AP, ma nessun Access-Request RADIUS raggiunge mai l'Identity Provider. Qual è il punto di guasto architetturale più probabile e come lo diagnosticheresti?
Suggerimento: Considera i passaggi necessari affinché il proxy RADIUS individui la destinazione corretta per il realm dello specifico utente prima di poter inoltrare la richiesta di autenticazione.
Visualizza risposta modello
Il punto di guasto più probabile è la risoluzione DNS sul proxy RADIUS. OpenRoaming si basa sulla scoperta dinamica (RFC 7585), che richiede al proxy di eseguire una query DNS NAPTR/SRV sul realm fornito nell'EAP-Identity. Se il DNS fallisce, il proxy non può determinare l'indirizzo IP del server RadSec dell'IDP, con conseguente errore silenzioso. Diagnostica eseguendo una ricerca NAPTR manuale dal proxy RADIUS per il realm interessato, verificando che vengano restituiti i record SRV corretti e che l'IP del server RadSec sia raggiungibile sulla porta 2083.
Q2. Il direttore IT di un ospedale desidera distribuire OpenRoaming per migliorare la connettività dei medici in visita e dei dispositivi IoT medicali, ma impone che tutto il traffico ospite sia cifrato via etere dal momento della connessione per rispettare la politica di sicurezza interna. Attualmente utilizzano un Captive Portal con WPA2-Personal (PSK). OpenRoaming soddisfa questo requisito e in cosa si differenzia il modello di cifratura?
Suggerimento: Confronta la tempistica di cifratura dei Captive Portal con l'autenticazione basata su 802.1X e considera cosa accade al traffico prima che venga completato l'accesso al Captive Portal.
Visualizza risposta modello
Sì, OpenRoaming soddisfa pienamente questo requisito. Con un Captive Portal, il traffico non è cifrato via etere finché l'utente non completa il processo di accesso - creando una finestra di vulnerabilità. OpenRoaming utilizza l'autenticazione 802.1X e WPA3-Enterprise (o WPA2-Enterprise), che stabilisce una sessione cifrata unica e crittograficamente sicura tramite un handshake a 4 vie immediatamente dopo l'avvenuta autenticazione, prima della trasmissione di qualsiasi dato utente. Ciascuna sessione utilizza una chiave PMK unica derivata dallo scambio EAP, garantendo una cifratura per sessione molto più forte rispetto al modello PSK condiviso.
Q3. Si sta configurando il controller WLAN per l'implementazione in un nuovo stadio che parteciperà alla federazione OpenRoaming settlement-free. Un collega suggerisce di trasmettere anche l'RCOI settled per massimizzare la compatibilità. Quali sono le implicazioni della trasmissione simultanea di entrambi gli RCOI e quale decisione si consiglia di prendere?
Suggerimento: Considera le implicazioni commerciali e operative dell'RCOI settled e il modo in cui i dispositivi danno priorità alla corrispondenza RCOI.
Visualizza risposta modello
La trasmissione dell'RCOI settled (BA-A2-D0) insieme all'RCOI settlement-free (5A-03-BA) è tecnicamente possibile ma comporta un rischio commerciale significativo. L'RCOI settled segnala agli Identity Provider che l'ANP si aspetta un compenso finanziario per la connettività. Ciò potrebbe dissuadere gli IDP dal consentire la connessione dei propri utenti, poiché incorrerebbero in costi. Per uno stadio che mira alla massima adozione da parte degli utenti e a una connettività fluida, la trasmissione del solo RCOI settlement-free rappresenta l'approccio corretto. L'RCOI settled dovrebbe essere utilizzato solo quando è in vigore uno specifico accordo di regolamento commerciale con gli IDP interessati.
Domande frequenti
Che cos'è il WBA OpenRoaming e in che modo sostituisce i tradizionali captive portal?
Il WBA OpenRoaming (Wireless Broadband Alliance) è una federazione WiFi globale basata su Passpoint (Hotspot 2.0 / IEEE 802.11u) e RadSec (RFC 6614). Consente ai dispositivi mobili di rilevare e autenticarsi sulle reti WiFi aziendali in modo automatico utilizzando credenziali preinstallate, certificati o profili dell'operatore, aggirando completamente i Captive Portal del browser.
Qual è la differenza tra un Access Network Provider (ANP) e un Identity Provider (IdP)?
Un Access Network Provider (ANP) è un gestore di rete o una sede che fornisce l'accesso wireless fisico e trasmette gli OpenRoaming Roaming Consortium OI (RCOI). Un Identity Provider (IdP) è un'organizzazione - come un operatore di telefonia mobile, un'università, un'azienda tecnologica o un programma di fidelizzazione - che rilascia credenziali agli utenti e convalida le richieste di autenticazione inoltrate dall'ANP attraverso la federazione.
Quali Roaming Consortium Organization Identifier (RCOI) vengono utilizzati per OpenRoaming?
L'RCOI primario di WBA OpenRoaming è 5A-03-BA-00-00, che designa l'accesso reciproco e senza costi di regolamento. L'offload degli operatori commerciali con regolamento finanziario utilizza 5A-03-BA-01-00. Le sedi possono anche trasmettere il legacy Cisco OpenRoaming RCOI 00-40-96 o eduroam RCOI 00-1B-C5 per ambienti a doppia federazione.
Perché OpenRoaming impone RadSec sulla porta TCP 2083 invece del RADIUS standard?
Il protocollo RADIUS standard opera su UDP non crittografato (porte 1812/1813), il che espone le identità e le credenziali degli utenti quando vengono instradate attraverso le dorsali internet pubbliche. OpenRoaming impone l'uso di RadSec (RFC 6614), che incapsula i pacchetti RADIUS nella crittografia TLS 1.3 su porta TCP 2083 con validazione reciproca del certificato X.509 (mTLS) per proteggere la federazione cross-realm.
In che modo Purple consente alle sedi aziendali di distribuire OpenRoaming insieme alla guest analytics?
Purple agisce come partner fidato della federazione WBA OpenRoaming, gestendo la connettività del broker RadSec, il provisioning automatico dei profili e il ciclo di vita dei certificati X.509 su hardware aziendale tra cui Cisco, HPE Aruba, Ruckus e Mist. Le sedi mantengono analisi delle presenze in tempo reale, monitoraggio dei tempi di permanenza e conformità al GDPR offrendo al contempo agli ospiti una connessione WiFi fluida e senza interruzioni.
Continua a leggere questa serie
India DPDP Act: conformità del guest WiFi per le strutture in India
Questa guida di riferimento tecnico autorevole analizza il Digital Personal Data Protection (DPDP) Act 2023 per le strutture in India che gestiscono servizi di guest WiFi. Fornisce strategie di conformità applicabili, considerazioni sull'architettura dei Captive Portal e framework pratici per la conservazione dei dati e i trasferimenti transfrontalieri.
LGPD in Brasile e guest WiFi: guida alla conformità
Questa guida di riferimento tecnica descrive dettagliatamente come l'LGPD brasiliano si applica alle distribuzioni di guest WiFi aziendali, concentrandosi sulla conformità del captive portal, sulle basi giuridiche per il trattamento e sull'intersezione con il Marco Civil da Internet. Fornisce indicazioni pratiche di implementazione per i responsabili IT e gli architetti di rete per mitigare i rischi normativi mantenendo al contempo l'utilità della rete.
EU AI Act e Guest WiFi: cosa devono sapere i marketer
L'EU AI Act (Regolamento 2024/1689) introduce un quadro basato sul rischio che influisce direttamente sul modo in cui i gestori di location distribuiscono il marketing WiFi basato sull'intelligenza artificiale, i Captive Portal e la guest analytics. Questa guida mappa i quattro livelli di rischio della normativa rispetto ai casi d'uso reali del Guest WiFi, identifica le pratiche vietate, tra cui l'inferenza delle emozioni e il social scoring, e fornisce passaggi di conformità pratici per i team IT e i direttori marketing che operano nei settori dell'ospitalità, del retail, degli eventi e degli ambienti pubblici. Capire dove si colloca la tua installazione nello spettro dei rischi - e implementare gli obblighi di trasparenza dell'Articolo 50 per i chatbot AI e i portali conversazionali - non è più facoltativo: l'applicazione delle pratiche vietate è iniziata a febbraio 2025.
Hai domande sulla tua configurazione specifica?
Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.