O Guia Definitivo de Arquitetura e Autenticação OpenRoaming
Este guia fornece uma referência técnica autoritativa sobre a arquitetura WBA OpenRoaming, abrangendo a base Passpoint, federação RADIUS, segurança RadSec mTLS e orientações de implantação passo a passo para locais corporativos. Ele capacita gerentes de TI, arquitetos de rede e operadores de locais com o conhecimento para substituir Captive Portals por conectividade Wi-Fi contínua, segura e em conformidade que entrega ROI mensurável.
🎧 Ouça este Guia
Ver Transcrição
Resumo Executivo
O modelo tradicional de Captive Portal para Wi-Fi de convidados está ultrapassado. Por décadas, os locais dependeram de telas de login manual que frustram os usuários, oferecem baixa segurança e geram uma sobrecarga significativa de suporte. O WBA OpenRoaming representa uma mudança arquitetônica fundamental, substituindo a autenticação manual por uma federação global de conexões seguras e automáticas baseadas na tecnologia Passpoint (Hotspot 2.0) e na Autenticação 802.1X: Protegendo o Acesso à Rede em Dispositivos Modernos .
Para gerentes de TI e arquitetos de rede, implantar o OpenRoaming não se trata mais apenas de melhorar a experiência do usuário — é um imperativo estratégico para aumentar a segurança da rede, reduzir tickets de suporte e impulsionar um ROI mensurável por meio de uma maior utilização da rede. Este guia fornece uma referência técnica abrangente para implementar a arquitetura OpenRoaming, navegar pela federação RADIUS e garantir a conformidade com os padrões modernos de segurança em ambientes corporativos, de Varejo e Hospitalidade .
Mergulho Técnico: A Arquitetura OpenRoaming
A arquitetura OpenRoaming opera por meio de uma federação de confiança gerenciada pela Wireless Broadband Alliance (WBA). Ela preenche a lacuna entre os Provedores de Identidade (IDPs) que emitem credenciais e os Provedores de Rede de Acesso (ANPs) que operam a infraestrutura Wi-Fi.
A Base Passpoint
No cerne do OpenRoaming está o padrão Wi-Fi Alliance Passpoint (baseado no IEEE 802.11u). O Passpoint permite que os dispositivos descubram e se autentiquem em redes Wi-Fi automaticamente. Quando um dispositivo entra em um local habilitado para OpenRoaming, ele usa o Access Network Query Protocol (ANQP) para consultar o ponto de acesso sobre os Identificadores de Organização de Consórcio de Roaming (RCOIs) suportados antes de se associar. Essa descoberta pré-associação é inteiramente invisível para o usuário — o dispositivo determina silenciosamente se possui credenciais válidas para a rede antes de iniciar qualquer tentativa de conexão.
A Federação RADIUS e RadSec
O roaming Wi-Fi de operadoras tradicionais depende de tabelas de roteamento RADIUS estáticas preenchidas por meio de acordos bilaterais, protegidas via túneis IPSec. Este modelo não escala para uma federação global e aberta. O OpenRoaming resolve isso utilizando descoberta dinâmica de pares baseada em DNS (RFC 7585) e RadSec (RADIUS sobre TLS, RFC 6614).
Quando um ponto de acesso recebe uma solicitação de autenticação, o proxy RADIUS local realiza uma consulta DNS NAPTR no realm do usuário para descobrir dinamicamente o servidor RadSec do IDP. A sinalização é protegida usando TLS mútuo (mTLS) com certificados emitidos pela Infraestrutura de Chaves Públicas (PKI) de quatro níveis da WBA, garantindo segurança de ponta a ponta entre a Rede de Acesso e o Provedor de Identidade sem exigir acordos bilaterais pré-estabelecidos.
Identificadores de Organização de Consórcio de Roaming (RCOIs)
O OpenRoaming usa RCOIs específicos para transmitir controles de política e modelos de liquidação. Estes são anunciados no beacon 802.11 e via ANQP:
| Valor RCOI | Modelo | Descrição |
|---|---|---|
| 5A-03-BA | Sem Liquidação | O ANP fornece conectividade sem custo para o IDP. Modelo dominante para empresas, varejo e hospitalidade. |
| BA-A2-D0 | Liquidado | O ANP espera compensação financeira. Usado para cenários de conectividade premium. |
Os 12 bits mais significativos do RCOI também podem ser usados para definir políticas de Grupo de Acesso Fechado (CAG), permitindo que ANPs e IDPs negociem níveis de Qualidade de Serviço, níveis de prova de identidade e requisitos de privacidade em um nível granular.
Guia de Implementação
A implantação do OpenRoaming requer coordenação entre hardware de rede, infraestrutura RADIUS e gerenciamento de identidade. Para uma visão abrangente dos requisitos de hardware, consulte nosso guia sobre Definição de Pontos de Acesso Sem Fio: Seu Guia Definitivo para 2026 .
Passo 1: Avaliação de Prontidão da Infraestrutura
Verifique se seus pontos de acesso e controladores de LAN sem fio suportam Passpoint/Hotspot 2.0 (IEEE 802.11u). A maioria dos equipamentos de nível corporativo fabricados após 2018 inclui suporte nativo. Configure um SSID dedicado protegido com WPA3-Enterprise (ou WPA2-Enterprise para compatibilidade com dispositivos legados). Este SSID transportará o tráfego OpenRoaming e deve ser configurado com as definições ANQP apropriadas para transmitir seu RCOI.
Passo 2: Associação à WBA e Engajamento de Broker
Para participar da federação OpenRoaming, sua organização deve se associar à WBA diretamente ou contratar um broker autorizado pela WBA. O broker atribuirá à sua organização um WBA Identity (WBAID), emitirá seus certificados RadSec sob a PKI da WBA e configurará seus registros DNS NAPTR/SRV para permitir a descoberta dinâmica. Este é o passo fundamental que conecta sua infraestrutura à federação global.
Passo 3: Configuração da Infraestrutura RADIUS
Seu servidor RADIUS deve ser configurado para rotear solicitações de autenticação para a federação OpenRoaming. Isso envolve configurar o RadSec para estabelecer conexões mTLS usando seus certificados emitidos pela WBA. O proxy RADIUS deve ser capaz de realizar consultas DNS NAPTR para resolver dinamicamente os endpoints do IDP. Soluções RADIUS baseadas em nuvem podem simplificar significativamente este passo ao abstrair os complexos processos de descoberta de DNS e gerenciamento de certificados.
Passo 4: Estratégia de Provisionamento de Dispositivos
Colocar perfis Passpoint nos dispositivos dos usuários é a principal consideração operacional. Quatro abordagens estão disponíveis:
| Método | Melhor Para | Mecanismo |
|---|---|---|
| Push de MDM | Dispositivos corporativos gerenciados | Intune, Jamf ou Workspace ONE enviam perfis automaticamente |
| Inscrição Online (OSU) | Implantações voltadas ao consumidor | Autoinscrição padronizada via protocolo Passpoint OSU |
| Provisionamento via App | Membros de programas de fidelidade | Aplicativo móvel instala perfil Passpoint pós-autenticação |
| Inscrição via QR Code | Check-in em hospitalidade | QR Code físico aciona a instalação do perfil |
Passo 5: Configuração de Políticas e Segmentação de VLAN
Configure seu controlador WLAN para transmitir os RCOIs OpenRoaming apropriados via ANQP. Implemente a atribuição dinâmica de VLAN via atributos RADIUS para garantir que o tráfego de convidados seja isolado das redes corporativas. Isso é inegociável para a conformidade com PCI DSS em ambientes de Varejo e uma prática recomendada em todos os setores.
Melhores Práticas para Segurança e Conformidade
O OpenRoaming melhora fundamentalmente a postura de segurança do Wi-Fi do local, passando de redes abertas e não criptografadas para uma segurança robusta de nível corporativo. Para um mergulho mais profundo nos mecanismos de autenticação subjacentes, revise a Autenticação 802.1X: Protegendo o Acesso à Rede em Dispositivos Modernos .
WPA3-Enterprise e Autenticação 802.1X
Ao contrário dos Captive Portals, onde o tráfego não é criptografado até o login, o OpenRoaming utiliza criptografia WPA3-Enterprise desde o primeiro pacote. O processo de autenticação mútua 802.1X garante que o dispositivo do usuário verifique criptograficamente a identidade da rede antes de transmitir qualquer credencial, eliminando o risco de pontos de acesso falsos "Evil Twin" — uma vulnerabilidade que os Captive Portals tradicionais não conseguem resolver.
Privacidade e Conformidade com a GDPR
Os Captive Portals tradicionais frequentemente coletam extensas Informações de Identificação Pessoal (PII), criando encargos significativos de conformidade com a GDPR. O OpenRoaming autentica usuários via identificadores pseudônimos, como o atributo Chargeable-User-Identity (CUI). O local verifica se o usuário é legítimo sem necessariamente ingerir suas PII brutas, alinhando-se aos princípios de minimização de dados da GDPR e reduzindo o escopo de suas obrigações de processamento de dados.
Segmentação de Rede e PCI DSS
Para ambientes de Varejo , a conformidade com PCI DSS é crítica. O tráfego OpenRoaming deve ser estritamente segmentado dos sistemas de Ponto de Venda (POS) e das redes corporativas. Utilize a atribuição dinâmica de VLAN via atributos RADIUS para isolar o tráfego de convidados imediatamente após a autenticação, colocando-o em uma instância VRF apenas com uma rota de internet padrão e regras de negação explícitas para todo o espaço de endereçamento interno RFC 1918.
Estudos de Caso: OpenRoaming em Produção
Estudo de Caso 1: Centro de Convenções RAI Amsterdam (Eventos e Conferências)
O Centro de Convenções RAI Amsterdam, um dos maiores locais de eventos da Europa, recebendo 1,5 milhão de convidados anualmente, implantou Wi-Fi 6 com WBA OpenRoaming em 2023. No Cisco Live Europe, mais de 18.000 participantes tiveram acesso à conectividade contínua do OpenRoaming, consumindo mais de 77 terabytes de dados em quatro dias. Os participantes passaram uma média de seis horas na rede. A implantação demonstrou como o OpenRoaming elimina o pico de conexão que normalmente ocorre quando os portões do evento abrem, distribuindo a carga de autenticação uniformemente pela federação. Para hubs de Transporte e centros de conferência, este estudo de caso é a prova de conceito definitiva.
Estudo de Caso 2: Rede de Varejo Delhaize (Varejo)
O grupo de varejo belga Delhaize implantou o OpenRoaming em sua rede de lojas para melhorar a conectividade dos clientes e otimizar as operações. A implantação resolveu problemas persistentes com as taxas de conversão de Captive Portal — um desafio enfrentado por todos os operadores de Varejo , já que os clientes optam cada vez mais por dados móveis em vez de interagir com telas de login manual. Ao permitir conectividade automática e segura para usuários do aplicativo de fidelidade, a Delhaize aumentou a adoção do Wi-Fi e melhorou a qualidade dos dados analíticos na loja, apoiando diretamente as decisões de merchandising e utilização de espaço. Isso se alinha com a tendência mais ampla de integrar WiFi Analytics com plataformas de inteligência de varejo.
Solução de Problemas e Mitigação de Riscos
Embora o OpenRoaming simplifique a experiência do usuário final, a infraestrutura subjacente é complexa. Os arquitetos de rede devem mitigar proativamente os modos de falha comuns:
A Expiração do Certificado RadSec é o risco operacional mais crítico. As conexões mTLS dependem de certificados PKI da WBA. Um certificado vencido interromperá imediatamente o roteamento da federação, causando falhas de autenticação silenciosas. Implemente o monitoramento com pelo menos 60 dias de aviso prévio e um processo de renovação definido.
Falhas de Resolução de DNS são a segunda causa mais comum de interrupções no OpenRoaming. A descoberta dinâmica de pares depende de uma resolução DNS confiável de registros NAPTR e SRV. Certifique-se de que seus proxies RADIUS tenham encaminhadores DNS redundantes e de alto desempenho configurados e teste a resolução DNS como parte de suas verificações regulares de integridade da rede.
A Compatibilidade com Dispositivos Legados deve ser planejada durante a transição. Embora dispositivos modernos iOS, Android, Windows e macOS suportem nativamente o Passpoint, dispositivos mais antigos não o fazem. Mantenha uma rede Guest WiFi tradicional paralela durante o período de transição para garantir cobertura universal.
A Má Configuração do Proxy RADIUS pode causar falhas de roteamento baseadas em realm. Certifique-se de que seu proxy manipule corretamente o realm EAP-Identity e que seus registros DNS NAPTR estejam formatados corretamente para a descoberta RFC 7585. Teste com múltiplos realms de IDP antes do go-live.
ROI e Impacto nos Negócios
O caso de negócio para o OpenRoaming vai muito além da elegância técnica. Os operadores de locais podem esperar retornos mensuráveis em vários vetores:
| Métrica | Resultado Típico | Fonte |
|---|---|---|
| Redução de tickets de suporte Wi-Fi | Diminuição de 70–80% | Relatórios de implantação WBA |
| Aumento da taxa de adoção de Wi-Fi | Aumento de 40–50% | Dados de implantação em aeroportos WBA |
| Consumo de dados por usuário | Significativamente maior vs. Captive Portal | Estudo de caso RAI Amsterdam |
| Risco de conformidade PII | Substancialmente reduzido | Modelo de ID pseudônimo GDPR |
Ao adotar o OpenRoaming, os locais fornecem as Soluções Modernas de Wi-Fi para Hospitalidade que Seus Convidados Merecem , transformando o Wi-Fi de um utilitário frustrante em um facilitador invisível e contínuo da experiência digital. A integração com plataformas de WiFi Analytics torna-se mais valiosa à medida que taxas de conexão mais altas produzem conjuntos de dados mais ricos e representativos. Para organizações que exploram o cenário mais amplo de modernização de rede, o guia Os Principais Benefícios do SD WAN para Negócios Modernos fornece um contexto complementar sobre como o OpenRoaming se encaixa em uma arquitetura de rede moderna definida por software.
O setor de Saúde também deve se beneficiar significativamente, com o OpenRoaming permitindo conectividade segura e automática para médicos visitantes e dispositivos IoT médicos — sem os riscos de conformidade de redes de convidados abertas ou a sobrecarga operacional do gerenciamento de Captive Portal por dispositivo.
Termos-Chave e Definições
Passpoint (Hotspot 2.0)
A Wi-Fi Alliance certification programme based on IEEE 802.11u that enables devices to automatically discover and authenticate to Wi-Fi networks without user intervention, using pre-provisioned credentials.
The foundational technology that makes the seamless OpenRoaming experience possible on the end-user device. Without Passpoint support on both the AP and the device, OpenRoaming cannot function.
RadSec
A protocol (RFC 6614) that transports RADIUS packets over a TCP and TLS connection, providing encrypted, reliable, and authenticated delivery of authentication signalling.
Used to secure authentication traffic traversing the public internet between the venue's RADIUS proxy and the global OpenRoaming federation. Replaces the legacy IPSec tunnel model.
RCOI (Roaming Consortium Organization Identifier)
A 3-octet or 5-octet identifier broadcast by access points in 802.11 beacons and ANQP responses to indicate which roaming federations and settlement policies the network supports.
Devices read the RCOI to determine if they hold valid credentials to connect before attempting authentication. The settlement-free RCOI (5A-03-BA) is the standard for enterprise deployments.
ANQP (Access Network Query Protocol)
An IEEE 802.11 protocol used by devices to query access points for network information — including supported RCOIs, venue name, and NAI realm list — prior to association.
Enables devices to silently evaluate whether a network supports their credentials without disrupting the user or initiating a connection attempt.
Identity Provider (IDP)
An organisation that maintains user identities and issues the Passpoint credentials (certificates or profiles) used for OpenRoaming authentication.
Mobile carriers, corporate IT departments, and loyalty programmes act as IDPs. The IDP authenticates the user and signals the result to the ANP via the RADIUS federation.
Access Network Provider (ANP)
The venue or organisation that operates the physical Wi-Fi infrastructure, broadcasts OpenRoaming RCOIs, and enforces local access policies.
Hotels, stadiums, retail stores, and enterprise offices act as ANPs. The ANP controls what authenticated users can access, regardless of which IDP authenticated them.
WBA PKI
The four-level Public Key Infrastructure managed by the Wireless Broadband Alliance, used to issue the mTLS certificates required for RadSec connections between federation participants.
Provides the foundational cryptographic trust that allows thousands of independent networks to securely federate without pre-established bilateral agreements.
802.1X
An IEEE standard for port-based network access control that provides an authentication mechanism for devices wishing to attach to a LAN or WLAN, using EAP (Extensible Authentication Protocol) methods.
The robust security framework underpinning OpenRoaming. It prevents unauthorised access and enables WPA3-Enterprise encryption from the first data packet.
Chargeable-User-Identity (CUI)
A RADIUS attribute (RFC 4372) that provides a pseudonymous, stable identifier for a user across multiple sessions, without exposing their actual identity to the access network.
Enables venues to track unique visitors for analytics purposes while minimising PII collection, directly supporting GDPR data minimisation compliance.
Estudos de Caso
A 500-room luxury hotel currently uses a captive portal requiring guests to log in with their room number and last name. They are experiencing high support volumes and poor guest satisfaction scores regarding Wi-Fi. They want to implement OpenRoaming but are concerned about losing the ability to tier bandwidth for VIP guests and loyalty programme members.
The hotel should deploy OpenRoaming using the settlement-free RCOI (5A-03-BA), with the hotel's loyalty app acting as an Identity Provider. When a VIP loyalty member authenticates, the IDP's RADIUS Access-Accept response includes Vendor-Specific Attributes (VSAs) that instruct the hotel's WLAN controller to assign the user to a premium QoS profile and a dedicated high-bandwidth VLAN. Standard guests authenticated via a third-party IDP (e.g., their mobile carrier) receive the default QoS profile. The hotel's RADIUS server acts as the policy enforcement point, translating IDP-supplied identity attributes into local network policies.
A large retail chain with 200 stores wants to deploy OpenRoaming to improve customer connectivity and feed their WiFi Analytics platform with richer footfall data. Their security team is concerned about PCI DSS compliance and the risk of guest devices accessing the corporate network or point-of-sale systems.
The retail chain must implement strict network segmentation as a prerequisite to deployment. The OpenRoaming SSID must be mapped to an isolated guest VLAN at the access layer (the AP or distribution switch). The RADIUS server should enforce dynamic VLAN assignment, ensuring all OpenRoaming-authenticated users are placed into a VRF instance with only a default route to the internet and explicit ACL deny rules for all RFC 1918 internal address space. The OpenRoaming RADIUS proxy should be deployed in a DMZ, with no direct routing path to the corporate network. A quarterly penetration test should verify that the segmentation boundary holds.
Análise de Cenário
Q1. Your venue is experiencing frequent silent authentication failures for a subset of OpenRoaming users. Packet captures confirm the EAP-Identity response is received by the AP, but no RADIUS Access-Request ever reaches the Identity Provider. What is the most likely architectural failure point, and how would you diagnose it?
💡 Dica:Consider the steps required for the RADIUS proxy to locate the correct destination for the specific user's realm before it can forward the authentication request.
Mostrar Abordagem Recomendada
The most likely failure point is DNS resolution at the RADIUS proxy. OpenRoaming relies on dynamic discovery (RFC 7585), requiring the proxy to perform a DNS NAPTR/SRV lookup on the realm provided in the EAP-Identity. If DNS fails, the proxy cannot determine the IP address of the IDP's RadSec server, resulting in a silent failure. Diagnose by running a manual NAPTR lookup from the RADIUS proxy for the affected realm, verifying that the correct SRV records are returned and that the RadSec server IP is reachable on port 2083.
Q2. A hospital IT director wants to deploy OpenRoaming to improve connectivity for visiting clinicians and medical IoT devices, but mandates that all guest traffic must be encrypted over the air from the moment of connection to comply with internal security policy. They currently use a captive portal with WPA2-Personal (PSK). Does OpenRoaming satisfy this requirement, and how does the encryption model differ?
💡 Dica:Compare the encryption timing of captive portals versus 802.1X-based authentication, and consider what happens to traffic before the captive portal login is completed.
Mostrar Abordagem Recomendada
Yes, OpenRoaming fully satisfies this requirement. With a captive portal, traffic is unencrypted over the air until the user completes the login process — creating a vulnerability window. OpenRoaming uses 802.1X authentication and WPA3-Enterprise (or WPA2-Enterprise), which establishes a unique, cryptographically secure encrypted session via a 4-way handshake immediately upon successful authentication, before any user data is transmitted. Each session uses a unique PMK derived from the EAP exchange, ensuring per-session encryption that is far stronger than the shared PSK model.
Q3. You are configuring the WLAN controller for a new stadium deployment that will participate in the settlement-free OpenRoaming federation. A colleague suggests also broadcasting the settled RCOI to maximise compatibility. What are the implications of broadcasting both RCOIs simultaneously, and what is your recommendation?
💡 Dica:Consider the commercial and operational implications of the settled RCOI, and how devices prioritise RCOI matching.
Mostrar Abordagem Recomendada
Broadcasting the settled RCOI (BA-A2-D0) alongside the settlement-free RCOI (5A-03-BA) is technically possible but carries significant commercial risk. The settled RCOI signals to Identity Providers that the ANP expects financial compensation for connectivity. This may deter IDPs from allowing their users to connect, as they would incur charges. For a stadium seeking maximum user adoption and seamless connectivity, broadcasting only the settlement-free RCOI is the correct approach. The settled RCOI should only be used when a specific commercial settlement agreement is in place with the relevant IDPs.
Principais Conclusões
- ✓OpenRoaming replaces manual captive portals with automatic, zero-touch Wi-Fi connectivity built on Passpoint (IEEE 802.11u) and 802.1X authentication.
- ✓The global federation scales through dynamic DNS-based peer discovery (RFC 7585) and RadSec mTLS (RFC 6614), eliminating the need for static routing tables or bilateral agreements.
- ✓WPA3-Enterprise encryption is established from the very first packet, and mutual certificate authentication eliminates Evil Twin attack vectors.
- ✓Pseudonymous identifiers (Chargeable-User-Identity) minimise PII collection, directly reducing GDPR compliance obligations for venue operators.
- ✓Venues typically report a 70-80% reduction in Wi-Fi-related support tickets and a 40-50% increase in Wi-Fi adoption rates after deployment.
- ✓Certificate lifecycle management is the single most critical operational task — expired WBA PKI certificates cause silent RadSec failures.
- ✓Dynamic VLAN assignment via RADIUS is mandatory for PCI DSS compliance in retail environments and best practice across all verticals.
