O Guia Definitivo para Arquitetura e Autenticação OpenRoaming
Este guia fornece uma referência técnica autoritativa sobre a arquitetura WBA OpenRoaming, cobrindo a base Passpoint, federação RADIUS, segurança RadSec mTLS e orientação de implantação passo a passo para locais corporativos. Ele capacita gerentes de TI, arquitetos de rede e operadores de locais com o conhecimento para substituir Captive Portals por conectividade WiFi contínua, segura e em conformidade que entrega um ROI mensurável.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Guia de WiFi para Visitantes →
Resumo Executivo
O modelo tradicional de Captive Portal para WiFi de convidados está ultrapassado. Durante décadas, os estabelecimentos dependeram de telas de login manual que frustram os usuários, oferecem baixa segurança e geram uma carga significativa de suporte. O WBA OpenRoaming representa uma mudança arquitetônica fundamental, substituindo a autenticação manual por uma federação global de conexões seguras e automáticas integradas à tecnologia Passpoint (Hotspot 2.0) e Autenticação 802.1X: Protegendo o Acesso à Rede em Dispositivos Modernos.
Para gerentes de TI e arquitetos de rede, implantar o OpenRoaming não é mais apenas uma questão de melhorar a experiência do usuário - é um imperativo estratégico para aprimorar a segurança da rede, reduzir chamados de suporte e gerar um ROI mensurável por meio de uma maior utilização da rede. Este guia fornece uma referência técnica abrangente para implementar a arquitetura OpenRoaming, navegar pela federação RADIUS e garantir a conformidade com os padrões modernos de segurança em ambientes corporativos, de Varejo e de Hospitalidade.
Análise Técnica Detalhada: A Arquitetura OpenRoaming
A arquitetura OpenRoaming opera por meio de uma federação de confiança gerenciada pela Wireless Broadband Alliance (WBA). Ela faz a ponte entre os Provedores de Identidade (IDPs) que emitem credenciais e os Provedores de Rede de Acesso (ANPs) que operam a infraestrutura WiFi.
A Base do Passpoint
No núcleo do OpenRoaming está o padrão Passpoint da Wi-Fi Alliance (baseado no IEEE 802.11u). O Passpoint permite que os dispositivos descubram e se autentiquem em redes WiFi automaticamente. Quando um dispositivo entra em um local habilitado para OpenRoaming, ele usa o Access Network Query Protocol (ANQP) para consultar o ponto de acesso sobre os Roaming Consortium Organisation Identifiers (RCOIs) suportados antes de se associar. Essa descoberta pré-associação é totalmente invisível para o usuário - o dispositivo determina silenciosamente se possui credenciais válidas para a rede antes de iniciar qualquer tentativa de conexão.
A Federação RADIUS e o RadSec
O roaming WiFi tradicional de operadoras depende de tabelas estáticas de roteamento RADIUS preenchidas por meio de acordos bilaterais, protegidas por túneis IPSec. Esse modelo não é escalável para uma federação global e aberta. O OpenRoaming resolve isso utilizando a descoberta dinâmica de pares baseada em DNS (RFC 7585) e o RadSec (RADIUS sobre TLS, RFC 6614).
Quando um ponto de acesso recebe uma solicitação de autenticação, o proxy RADIUS local realiza uma busca DNS NAPTR no domínio do usuário para descobrir dinamicamente o servidor RadSec do provedor de identidade (IDP). A sinalização é protegida usando TLS mútuo (mTLS) com certificados emitidos pela Infraestrutura de Chaves Públicas (PKI) de quatro níveis da WBA, garantindo segurança de ponta a ponta entre a Rede de Acesso e o Provedor de Identidade sem a necessidade de acordos bilaterais pré-estabelecidos.
Identificadores Organizacionais de Consórcio de Roaming (RCOIs)
O OpenRoaming usa RCOIs específicos para transmitir controles de política e modelos de liquidação. Estes são anunciados no beacon 802.11 e via ANQP:
| Valor do RCOI | Modelo | Descrição |
|---|---|---|
| 5A-03-BA | Livre de Liquidação | O ANP fornece conectividade sem custo para o IDP. Modelo dominante para empresas, varejo e hospitalidade. |
| BA-A2-D0 | Liquidado | O ANP espera compensação financeira. Usado para cenários de conectividade premium. |
Os 12 bits mais significativos do RCOI também podem ser usados para definir políticas de Grupo de Acesso Fechado (CAG), permitindo que ANPs e IDPs negociem níveis de Qualidade de Serviço, níveis de comprovação de identidade e requisitos de privacidade em um nível granular.
Guia de Implementação
A implantação do OpenRoaming exige coordenação entre o hardware de rede, a infraestrutura RADIUS e o gerenciamento de identidades. Para uma visão geral abrangente dos requisitos de hardware, consulte o nosso guia sobre Wireless Access Points Definition Your Ultimate 2026 Guide.
Passo 1: Avaliação de Preparação da Infraestrutura
Verifique se os seus pontos de acesso e controladores de LAN sem fio suportam Passpoint/Hotspot 2.0 (IEEE 802.11u). A maioria dos equipamentos de classe empresarial fabricados após 2018 inclui suporte nativo. Configure um SSID dedicado protegido com WPA3-Enterprise (ou WPA2-Enterprise para compatibilidade com dispositivos legados). Este SSID transmitirá o tráfego do OpenRoaming e deve ser configurado com as configurações ANQP apropriadas para transmitir o seu RCOI.
Passo 2: Associação à WBA e Engajamento com Broker
Para participar da federação OpenRoaming, sua organização deve se associar diretamente à WBA ou contratar um broker autorizado da WBA. O broker atribuirá à sua organização uma Identidade WBA (WBAID), emitirá seus certificados RadSec sob a PKI da WBA e configurará seus registros DNS NAPTR/SRV para permitir a descoberta dinâmica. Este é o passo fundamental que conecta sua infraestrutura à federação global.
Passo 3: Configuração da Infraestrutura RADIUS
Seu servidor RADIUS deve ser configurado para rotear solicitações de autenticação para a federação OpenRoaming. Isso envolve a configuração do RadSec para estabelecer conexões mTLS usando seus certificados emitidos pela WBA. O proxy RADIUS deve ser capaz de realizar consultas DNS NAPTR para resolver dinamicamente os endpoints de IDP. As soluções RADIUS baseadas em nuvem podem simplificar significativamente essa etapa, abstraindo os complexos processos de descoberta de DNS e gerenciamento de certificados.
Passo 4: Estratégia de Provisionamento de Dispositivos
Inserir perfis Passpoint nos dispositivos dos usuários é a principal consideração operacional. Quatro abordagens estão disponíveis:
| Método | Ideal para | Mecanismo |
|---|---|---|
| Envio por MDM | Dispositivos corporativos gerenciados | Intune, Jamf ou Workspace ONE enviam perfis automaticamente |
| Inscrição Online (OSU) | Implantações voltadas para o consumidor | Auto-registro padronizado por meio do protocolo Passpoint OSU |
| Provisionamento via Aplicativo | Membros de programas de fidelidade | O aplicativo móvel instala o perfil Passpoint após a autenticação |
| Registro por QR Code | Check-in em hospitalidade | Um QR code físico aciona a instalação do perfil |
Passo 5: Configuração de Políticas e Segmentação de VLAN
Configure seu controlador de WLAN para transmitir os RCOIs do OpenRoaming apropriados via ANQP. Implemente a atribuição dinâmica de VLAN via atributos RADIUS para garantir que o tráfego de convidados seja isolado das redes corporativas. Isso é inegociável para a conformidade com PCI-DSS em ambientes de Varejo e uma prática recomendada em todos os setores.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Melhores Práticas para Segurança e Conformidade
O OpenRoaming melhora fundamentalmente a postura de segurança do WiFi do local, mudando de redes abertas e não criptografadas para uma segurança robusta de nível empresarial. Para uma análise mais aprofundada dos mecanismos de autenticação subjacentes, consulte Autenticação 802.1X: Protegendo o Acesso à Rede em Dispositivos Modernos.
WPA3-Enterprise e Autenticação 802.1X
Ao contrário dos portais cativos onde o tráfego não é criptografado até o login, o OpenRoaming utiliza a criptografia WPA3-Enterprise desde o primeiro pacote. O processo de autenticação mútua 802.1X garante que o dispositivo do usuário verifique criptograficamente a identidade da rede antes de transmitir qualquer credencial, eliminando o risco de pontos de acesso maliciosos do tipo "Evil Twin" - uma vulnerabilidade que os portais cativos tradicionais não conseguem resolver.
Privacidade e Conformidade com a GDPR GDPR
Os Captive Portals tradicionais frequentemente coletam informações de identificação pessoal (PII) detalhadas, criando grandes encargos de conformidade com a GDPR. O OpenRoaming autentica os usuários por meio de identificadores pseudônimos, como o atributo Chargeable-User-Identity (CUI). O estabelecimento verifica se o usuário é legítimo sem a necessidade de ingerir suas PII brutas, alinhando-se aos princípios de minimização de dados da GDPR e reduzindo o escopo de suas obrigações de processamento de dados.
Segmentação de Rede e PCI DSS
Para ambientes de Varejo, a conformidade com o PCI DSS é crítica. O tráfego do OpenRoaming deve ser estritamente segmentado dos sistemas de Ponto de Venda (POS) e das redes corporativas. Utilize atribuição dinâmica de VLAN por meio de atributos RADIUS para isolar o tráfego de convidados imediatamente após a autenticação, posicionando-o em uma instância VRF apenas com uma rota padrão de internet e regras explícitas de negação para todo o espaço de endereço interno RFC 1918.
Estudos de Caso: OpenRoaming em Produção
Estudo de Caso 1: Centro de Convenções RAI Amsterdam (Eventos e Conferências)
O Centro de Convenções RAI Amsterdam, um dos maiores locais de eventos da Europa que recebe 1,5 milhão de convidados anualmente, implantou Wi-Fi 6 com WBA OpenRoaming em 2023. No Cisco Live Europe, mais de 18.000 participantes tiveram acesso à conectividade OpenRoaming integrada, consumindo mais de 77 terabytes de dados ao longo de quatro dias. Os participantes passaram uma média de seis horas na rede. A implantação demonstrou como o OpenRoaming elimina o pico de conexões que normalmente ocorre quando os portões do evento se abrem, distribuindo a carga de autenticação uniformemente pela federação. Para hubs de Transporte e centros de conferências, este estudo de caso é a prova de conceito definitiva.
Estudo de Caso 2: Rede de Varejo Delhaize (Varejo)
O grupo de varejo belga Delhaize implantou o OpenRoaming em toda a sua rede de lojas para melhorar a conectividade dos clientes e otimizar as operações. A implantação resolveu problemas persistentes com as taxas de conversão de Captive Portal - um desafio enfrentado por todos os operadores de Varejo, já que os clientes utilizam cada vez mais os dados móveis por padrão em vez de interagir com telas de login manual. Ao permitir uma conectividade automática e segura para os usuários do aplicativo de fidelidade, a Delhaize aumentou a adoção do WiFi e melhorou a qualidade dos dados de análise na loja, apoiando diretamente as decisões de merchandising e aproveitamento de espaço. Isso se alinha com a tendência mais ampla de integrar o WiFi Analytics com plataformas de inteligência de varejo.
Solução de Problemas e Mitigação de Riscos
Embora o OpenRoaming simplifique a experiência do usuário final, a infraestrutura subjacente é complexa. Os arquitetos de rede devem mitigar proativamente os modos de falha comuns:
Expiração do Certificado RadSec é o risco operacional mais crítico. As conexões mTLS dependem de certificados WBA PKI. Um certificado expirado interromperá imediatamente o roteamento da federação, causando falhas silenciosas de autenticação. Implemente o monitoramento com pelo menos 60 dias de aviso prévio e um processo de renovação definido.
Falhas de Resolução DNS são a segunda causa mais comum de interrupções no OpenRoaming. A descoberta dinâmica de pares depende de uma resolução de DNS confiável dos registros NAPTR e SRV. Certifique-se de que seus proxies RADIUS tenham encaminhadores de DNS redundantes e de alto desempenho configurados e teste a resolução de DNS como parte de suas verificações regulares de integridade de rede.
Compatibilidade com Dispositivos Legados deve ser planejada durante a transição. Embora dispositivos modernos iOS, Android, Windows e macOS ofereçam suporte nativo ao Passpoint, os dispositivos mais antigos não oferecem. Mantenha uma rede tradicional de Guest WiFi paralela durante o período de transição para garantir a cobertura universal.
Desconfiguração do Proxy RADIUS pode causar falhas de roteamento baseadas em realm. Certifique-se de que seu proxy manipule corretamente o realm EAP-Identity e que seus registros DNS NAPTR estejam formatados corretamente para a descoberta RFC 7585. Teste com múltiplos realms IDP antes de entrar em operação.
-
ROI e Impacto nos Negócios
O caso de negócios para o OpenRoaming vai muito além da elegância técnica. Os operadores de locais podem esperar retornos mensuráveis em vários vetores:
| Métrica | Resultado Típico | Fonte |
|---|---|---|
| Redução de chamados de suporte de WiFi | Queda de 70-80% | Relatórios de implantação da WBA |
| Aumento na taxa de adoção de WiFi | Aumento de 40-50% | Dados de implantação em aeroportos da WBA |
| Consumo de dados por usuário | Significativamente maior vs. Captive Portal | Estudo de caso da RAI Amsterdam |
| Risco de conformidade de PII | Substancialmente reduzido | Modelo de ID pseudônimo do GDPR |
Ao adotar o OpenRoaming, os locais oferecem as Modern Hospitality WiFi Solutions Your Guests Deserve, transformando o WiFi de um serviço utilitário frustrante em um facilitador invisível e perfeito da experiência digital. A integração com plataformas de WiFi Analytics torna-se mais valiosa à medida que taxas de adesão mais altas produzem conjuntos de dados mais ricos e representativos. Para organizações que exploram o cenário mais amplo de modernização de rede, o artigo The Core SD WAN Benefits for Modern Businesses fornece um contexto complementar sobre como o OpenRoaming se encaixa em uma arquitetura de rede moderna e definida por software.
O setor de Healthcare também se beneficia significativamente, com o OpenRoaming permitindo conectividade segura e automática para médicos visitantes e dispositivos IoT médicos - sem os riscos de conformidade de redes de convidados abertas ou a sobrecarga operacional do gerenciamento de Captive Portal por dispositivo.
Definições principais
Passpoint (Hotspot 2.0)
Um programa de certificação da WiFi Alliance baseado no IEEE 802.11u que permite que os dispositivos descubram e se autentiquem automaticamente em redes WiFi sem a intervenção do usuário, usando credenciais pré-provisionadas.
A tecnologia fundamental que torna possível a experiência contínua do OpenRoaming no dispositivo do usuário final. Sem o suporte ao Passpoint tanto no AP quanto no dispositivo, o OpenRoaming não pode funcionar.
RadSec
Um protocolo (RFC 6614) que transporta pacotes RADIUS sobre uma conexão TCP e TLS, fornecendo entrega criptografada, confiável e autenticada de sinalização de autenticação.
Usado para proteger o tráfego de autenticação que atravessa a internet pública entre o proxy RADIUS do local e a federação global OpenRoaming. Substitui o modelo legado de túnel IPSec.
RCOI (Roaming Consortium Organisation Identifier)
Um identificador de 3 ou 5 octetos transmitido por pontos de acesso em beacons 802.11 e respostas ANQP para indicar quais federações de roaming e políticas de liquidação a rede suporta.
Os dispositivos leem o RCOI para determinar se possuem credenciais válidas para se conectar antes de tentar a autenticação. O RCOI livre de liquidação (5A-03-BA) é o padrão para implantações corporativas.
ANQP (Access Network Query Protocol)
Um protocolo IEEE 802.11 usado por dispositivos para consultar pontos de acesso sobre informações de rede - incluindo RCOIs suportados, nome do local e lista de domínios NAI - antes da associação.
Permite que os dispositivos avaliem silenciosamente se uma rede suporta suas credenciais, sem interromper o usuário ou iniciar uma tentativa de conexão.
Provedor de Identidade (IDP)
Uma organização que mantém identidades de usuários e emite as credenciais Passpoint (certificados ou perfis) usadas para a autenticação OpenRoaming.
Operadoras de telefonia móvel, departamentos de TI corporativos e programas de fidelidade agem como IDPs. O IDP autentica o usuário e sinaliza o resultado para o ANP por meio da federação RADIUS.
Provedor de Rede de Acesso (ANP)
O local ou organização que opera a infraestrutura física de WiFi, transmite RCOIs OpenRoaming e aplica políticas de acesso locais.
Hotéis, estádios, lojas de varejo e escritórios corporativos agem como ANPs. O ANP controla o que os usuários autenticados podem acessar, independentemente de qual IDP os autenticou.
WBA PKI
A infraestrutura de chave pública de quatro níveis gerenciada pela Wireless Broadband Alliance, usada para emitir os certificados mTLS necessários para conexões RadSec entre os participantes da federação.
Fornece a confiança criptográfica fundamental que permite a milhares de redes independentes se federarem com segurança, sem acordos bilaterais pré-estabelecidos.
802.1X
Um padrão IEEE para controle de acesso à rede baseado em porta que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN, usando métodos EAP (Extensible Authentication Protocol).
A robusta estrutura de segurança que serve de base para o OpenRoaming. Ela impede o acesso não autorizado e permite a criptografia WPA3-Enterprise a partir do primeiro pacote de dados.
Chargeable-User-Identity (CUI)
Um atributo RADIUS (RFC 4372) que fornece um identificador pseudônimo e estável para um usuário em várias sessões, sem expor sua identidade real para a rede de acesso.
Permite que os locais rastreiem visitantes únicos para fins de análise, ao mesmo tempo em que minimiza a coleta de PII, apoiando diretamente a conformidade com a minimização de dados do GDPR.
Exemplos práticos
Um hotel de luxo com 500 quartos atualmente utiliza um Captive Portal que exige que os hóspedes façam login com o número do quarto e o sobrenome. Eles estão enfrentando altos volumes de suporte e baixas pontuações de satisfação dos hóspedes em relação ao WiFi. Eles querem implementar o OpenRoaming, mas estão preocupados em perder a capacidade de escalonar a largura de banda para hóspedes VIP e membros do programa de fidelidade.
O hotel deve implantar o OpenRoaming usando o RCOI sem custo de liquidação (5A-03-BA), com o aplicativo de fidelidade do hotel atuando como Provedor de Identidade. Quando um membro VIP do programa de fidelidade se autentica, a resposta RADIUS Access-Accept do IDP inclui Atributos Específicos do Fornecedor (VSAs) que instruem o controlador WLAN do hotel a atribuir o usuário a um perfil de QoS premium e a uma VLAN dedicada de alta largura de banda. Hóspedes padrão autenticados por meio de um IDP de terceiros (por exemplo, sua operadora de celular) recebem o perfil de QoS padrão. O servidor RADIUS do hotel atua como o ponto de aplicação de políticas, traduzindo os atributos de identidade fornecidos pelo IDP em políticas de rede local.
Uma grande rede de varejo com 200 lojas quer implantar o OpenRoaming para melhorar a conectividade dos clientes e alimentar sua plataforma de WiFi Analytics com dados de fluxo de visitantes mais ricos. Sua equipe de segurança está preocupada com a conformidade com o PCI-DSS e com o risco de dispositivos de visitantes acessarem a rede corporativa ou os sistemas de ponto de venda.
A rede de varejo deve implementar uma segmentação de rede rigorosa como pré-requisito para a implantação. O SSID do OpenRoaming deve ser mapeado para uma VLAN de visitantes isolada na camada de acesso (no AP ou switch de distribuição). O servidor RADIUS deve aplicar a atribuição dinâmica de VLAN, garantindo que todos os usuários autenticados pelo OpenRoaming sejam colocados em uma instância de VRF apenas com uma rota padrão para a internet e regras de negação explícitas de ACL para todo o espaço de endereço interno RFC 1918. O proxy RADIUS do OpenRoaming deve ser implantado em uma DMZ, sem rota direta para a rede corporativa. Um teste de invasão trimestral deve verificar se o limite de segmentação se mantém.
Questões práticas
Q1. Seu local está enfrentando falhas frequentes de autenticação silenciosa para um subconjunto de usuários do OpenRoaming. As capturas de pacotes confirmam que a resposta EAP-Identity é recebida pelo AP, mas nenhuma solicitação Access-Request do RADIUS chega ao Provedor de Identidade. Qual é o ponto de falha de arquitetura mais provável e como você o diagnosticaria?
Dica: Considere as etapas necessárias para que o proxy RADIUS localize o destino correto para o domínio do usuário específico antes de poder encaminhar a solicitação de autenticação.
Ver resposta modelo
O ponto de falha mais provável é a resolução DNS no proxy RADIUS. O OpenRoaming depende da descoberta dinâmica (RFC 7585), exigindo que o proxy execute uma consulta DNS NAPTR/SRV no domínio fornecido no EAP-Identity. Se o DNS falhar, o proxy não conseguirá determinar o endereço IP do servidor RadSec do IDP, resultando em uma falha silenciosa. Diagnostique executando uma consulta manual NAPTR a partir do proxy RADIUS para o domínio afetado, verificando se os registros SRV corretos são retornados e se o IP do servidor RadSec está acessível na porta 2083.
Q2. O diretor de TI de um hospital deseja implantar o OpenRoaming para melhorar a conectividade de médicos visitantes e dispositivos IoT médicos, mas exige que todo o tráfego de convidados seja criptografado por rádio a partir do momento da conexão para cumprir a política de segurança interna. Atualmente, eles usam um Captive Portal com WPA2-Personal (PSK). O OpenRoaming atende a esse requisito e como o modelo de criptografia difere?
Dica: Compare o tempo de criptografia de um Captive Portal em relação à autenticação baseada em 802.1X e considere o que acontece com o tráfego antes que o login no Captive Portal seja concluído.
Ver resposta modelo
Sim, o OpenRoaming atende totalmente a esse requisito. Com um Captive Portal, o tráfego não é criptografado por rádio até que o usuário conclua o processo de login - criando uma janela de vulnerabilidade. O OpenRoaming usa autenticação 802.1X e WPA3-Enterprise (ou WPA2-Enterprise), que estabelece uma sessão criptografada exclusiva e criptograficamente segura por meio de um handshake de 4 vias imediatamente após a autenticação bem-sucedida, antes que qualquer dado do usuário seja transmitido. Cada sessão usa uma PMK exclusiva derivada da troca EAP, garantindo uma criptografia por sessão muito mais forte do que o modelo PSK compartilhado.
Q3. Você está configurando o controlador WLAN para uma nova implantação em um estádio que participará da federação OpenRoaming sem liquidação (settlement-free). Um colega sugere transmitir também o RCOI liquidado para maximizar a compatibilidade. Quais são as implicações de transmitir ambos os RCOIs simultaneamente e qual é a sua recomendação?
Dica: Considere as implicações comerciais e operacionais do RCOI liquidado e como os dispositivos priorizam a correspondência de RCOI.
Ver resposta modelo
Transmitir o RCOI liquidado (BA-A2-D0) junto com o RCOI sem liquidação (5A-03-BA) é tecnicamente possível, mas traz um risco comercial significativo. O RCOI liquidado sinaliza aos provedores de identidade (IDPs) que o ANP espera compensação financeira pela conectividade. Isso pode desencorajar os IDPs de permitir que seus usuários se conectem, pois incorreriam em cobranças. Para um estádio que busca a máxima adoção dos usuários e uma conectividade contínua, transmitir apenas o RCOI sem liquidação é a abordagem correta. O RCOI liquidado só deve ser usado quando houver um acordo de liquidação comercial específico em vigor com os IDPs relevantes.
Perguntas frequentes
O que é o WBA OpenRoaming e como ele substitui os Captive Portals tradicionais?
O Wireless Broadband Alliance (WBA) OpenRoaming é uma federação global de WiFi construída sobre Passpoint (Hotspot 2.0 / IEEE 802.11u) e RadSec (RFC 6614). Ele permite que dispositivos móveis descubram e se autentiquem em redes WiFi corporativas de forma automática usando credenciais pré-instaladas, certificados ou perfis de operadoras, ignorando completamente os Captive Portals de navegadores.
Qual é a diferença entre um Provedor de Rede de Acesso (ANP) e um Provedor de Identidade (IdP)?
Um Provedor de Rede de Acesso (ANP) é um local ou operador de rede que fornece acesso sem fio físico e transmite os OIs do Consórcio de Roaming (RCOIs) do OpenRoaming. Um Provedor de Identidade (IdP) é uma organização - como uma operadora de celular, universidade, empresa de tecnologia ou programa de fidelidade - que emite credenciais para os usuários e valida solicitações de autenticação encaminhadas pelo ANP através da federação.
Quais Identificadores de Organização de Consórcio de Roaming (RCOIs) são usados para o OpenRoaming?
O RCOI principal do WBA OpenRoaming é 5A-03-BA-00-00, que designa acesso recíproco e sem liquidação financeira. O descarregamento de tráfego de operadoras comerciais com liquidação financeira usa 5A-03-BA-01-00. Os locais também podem transmitir o RCOI legado da Cisco OpenRoaming 00-40-96 ou o RCOI do eduroam 00-1B-C5 para ambientes de federação dupla.
Por que o OpenRoaming exige RadSec na porta TCP 2083 em vez do RADIUS padrão?
O RADIUS padrão opera em UDP não criptografado (portas 1812/1813), o que expõe as identidades e credenciais dos usuários quando roteado por backbones públicos de internet. O OpenRoaming exige o RadSec (RFC 6614), que envolve os pacotes RADIUS em criptografia TLS 1.3 sobre a porta TCP 2083 com validação mútua de certificados X.509 (mTLS) para proteger a federação entre domínios.
Como a Purple permite que locais corporativos implantem o OpenRoaming junto com análises de visitantes?
A Purple atua como uma parceira confiável da federação WBA OpenRoaming, gerenciando a conectividade do broker RadSec, o provisionamento automatizado de perfis e os ciclos de vida dos certificados X.509 em hardwares corporativos, incluindo Cisco, HPE Aruba, Ruckus e Mist. Os locais mantêm análises de fluxo de visitantes em tempo real, rastreamento de tempo de permanência e conformidade com a GDPR, enquanto oferecem aos convidados uma conexão WiFi integrada e sem atrito.
Continue a ler esta série
Lei DPDP da Índia: Conformidade de WiFi para Visitantes em Estabelecimentos Indianos
Este guia de referência técnica autoritativo detalha a lei Digital Personal Data Protection (DPDP) Act 2023 para estabelecimentos indianos que operam WiFi para visitantes. Ele fornece estratégias de conformidade acionáveis, considerações de arquitetura para Captive Portal e frameworks práticos para retenção de dados e transferências internacionais.
LGPD do Brasil e WiFi para Visitantes: Um Guia de Conformidade
Este guia de referência técnica detalha como a LGPD do Brasil se aplica a implantações de WiFi para visitantes em empresas, concentrando-se na conformidade do Captive Portal, bases legais para processamento e a interseção com o Marco Civil da Internet. Ele fornece orientações práticas de implementação para líderes de TI e arquitetos de rede para mitigar riscos regulatórios, mantendo a utilidade da rede.
Lei de IA da UE e WiFi para Visitantes: O que os Profissionais de Marketing Precisam Saber
A Lei de IA da UE (Regulamento 2024/1689) introduz uma estrutura baseada em riscos que afeta diretamente como os operadores de locais implementam marketing por WiFi baseado em IA, Captive Portals e análise de visitantes. Este guia mapeia os quatro níveis de risco da Lei em relação a casos de uso reais de WiFi para Visitantes, identifica práticas proibidas, incluindo inferência de emoções e pontuação social, e fornece etapas de conformidade acionáveis para equipes de TI e diretores de marketing que atuam nos setores de hotelaria, varejo, eventos e ambientes públicos. Entender onde sua implantação se enquadra no espectro de risco - e implementar as obrigações de transparência do Artigo 50 para chatbots de IA e portais de conversação - não é mais opcional: a aplicação para práticas proibidas começou em fevereiro de 2025.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.