Pular para o conteúdo principal
Português (Brasil)

O Futuro da Conectividade Sem Fio: Passpoint e OpenRoaming Explicados

Este guia de referência técnica fornece insights práticos para líderes de TI sobre a transição de Captive Portals tradicionais para Passpoint e OpenRoaming. Ele detalha os padrões subjacentes IEEE 802.11u e WPA3, fluxos de autenticação seguros e estratégias de implantação no mundo real para melhorar a conectividade contínua, aumentar a segurança e gerar ROI mensurável em ambientes corporativos.

📖 5 min de leitura📝 1,207 palavras🔧 2 exemplos práticos❓ 3 questões práticas📚 8 definições principais

Ouça este guia

Ver transcrição do podcast
Bem-vindo ao Purple Technical Briefing. Eu sou o seu anfitrião e hoje estamos analisando uma mudança crítica no design de redes corporativas: a transição dos tradicionais Captive Portals para o Passpoint e OpenRoaming. Se você é um gerente de TI, arquiteto de rede ou diretor de operações de locais físicos, este briefing de dez minutos fornecerá a inteligência prática necessária para avaliar e implantar essas tecnologias. Vamos começar com o contexto. Nos últimos quinze anos, o WiFi para convidados dependeu de Captive Portals. O usuário entra em um local, seleciona um SSID, aguarda uma splash page, insere um endereço de e-mail, aceita os termos e, finalmente, conecta-se. Esse ponto de atrito não é apenas um incômodo para o visitante; é uma oportunidade perdida para o estabelecimento. Vemos altas taxas de abandono, o que significa que você perde a chance de engajar esse usuário ou coletar dados analíticos. Além disso, os Captive Portals transmitem tráfego não criptografado até o login, criando uma superfície de ataque significativa. O Passpoint, também conhecido como Hotspot 2.0, muda fundamentalmente esse paradigma. Baseado no padrão IEEE 802.11u, o Passpoint permite a descoberta e autenticação de rede automáticas e seguras. Quando um dispositivo entra em um local habilitado para Passpoint, ele usa o Access Network Query Protocol, ou ANQP, para interrogar silenciosamente a rede. Ele verifica se a rede suporta seu provedor de identidade. Se houver uma correspondência, o dispositivo se conecta automaticamente usando autenticação EAP-TLS ou EAP-TTLS de nível corporativo. O usuário não faz absolutamente nada. Simplesmente funciona, exatamente como o roaming de celular. Agora, onde o OpenRoaming se encaixa? O OpenRoaming é construído sobre o Passpoint. Enquanto o Passpoint fornece a tecnologia subjacente, o OpenRoaming, gerenciado pela Wireless Broadband Alliance, cria a federação global. Ele conecta provedores de acesso — como hotéis, estádios e lojas de varejo — a provedores de identidade, como Apple, Google, operadoras de celular e sistemas de identidade corporativa. Isso significa que um visitante pode se autenticar no seu estabelecimento usando sua identidade confiável existente, sem que você precise gerenciar uma infraestrutura RADIUS complexa ou negociar acordos de roaming individuais. Vamos nos aprofundar na arquitetura técnica. O ecossistema possui quatro camadas. Primeiro, os dispositivos dos usuários finais. Segundo, os provedores de acesso — que é o hardware do seu local. Terceiro, o intermediário do ecossistema, que é a federação RADIUS do OpenRoaming. E quarto, os provedores de identidade. Quando um dispositivo tenta se conectar, a solicitação de autenticação é enviada de forma segura via proxy através da federação para o provedor de identidade do usuário. Crucialmente, essa comunicação é protegida usando RadSec, que é RADIUS sobre TLS, garantindo que o tráfego de autenticação não possa ser interceptado. Do ponto de vista da segurança, as vantagens são profundas. Com o OpenRoaming, a criptografia WPA3 é estabelecida desde o primeiríssimo pacote. Há autenticação mútua; o dispositivo verifica o certificado da rede antes de se conectar, eliminando completamente o risco de ataques do tipo "evil twin". E como ele utiliza autenticação EAP, as credenciais do usuário nunca saem do provedor de identidade. O local simplesmente recebe um token anonimizado. Então, como você implementa isso no mundo real? Vamos analisar um cenário de hotelaria. Uma rede global de hotéis deseja melhorar a conectividade dos hóspedes e, ao mesmo tempo, impulsionar a adoção de seu aplicativo de fidelidade. A abordagem tradicional seria um Captive Portal integrado ao seu sistema de gestão de propriedades. A abordagem moderna é implantar o Passpoint integrado ao OpenRoaming. A implantação ocorre em fases. Primeiro, você configura seu controlador de LAN sem fio para transmitir o identificador organizacionalmente exclusivo, ou OUI, do OpenRoaming. Em seguida, estabelece um túnel RadSec seguro para um provedor RADIUS em nuvem que faça parte da federação WBA. Uma vez configurado, qualquer hóspede com um perfil OpenRoaming em seu dispositivo se conecta instantaneamente. Mas é aqui que o retorno sobre o investimento se materializa. O hotel pode provisionar perfis Passpoint diretamente por meio de seu aplicativo de fidelidade. Quando um hóspede baixa o aplicativo, o perfil é instalado. A partir desse momento, sempre que ele entrar em qualquer propriedade da rede, se conectará automaticamente. Isso fornece ao local dados de localização persistentes e anonimizados, permitindo o engajamento por proximidade. Se um hóspede caminhar perto do spa, você pode disparar uma oferta direcionada pelo aplicativo. Para ambientes de varejo, os benefícios são igualmente atraentes. Captive Portals com alto nível de fricção frequentemente fazem com que os compradores abandonem a conexão WiFi, o que significa que o varejista perde análises valiosas de fluxo de visitantes. Com o OpenRoaming, a conexão é contínua, aumentando drasticamente a taxa de adesão. Isso fornece dados precisos sobre tempo de permanência, visitas recorrentes e a jornada do cliente pela loja, que podem ser correlacionados com dados do ponto de venda para medir o real impacto do layout da loja e das promoções. Quais são as armadilhas comuns a serem evitadas durante a implantação? O problema mais frequente que vemos é a má gestão de certificados. Como o OpenRoaming depende fortemente de EAP-TLS e autenticação mútua, sua Infraestrutura de Chaves Públicas deve ser robusta. Certifique-se de usar certificados de autoridades confiáveis e de que seus processos de renovação automatizados estejam funcionando corretamente. Outra armadilha é negligenciar a experiência de integração de usuários não federados. Embora o OpenRoaming gerencie usuários com perfis existentes, você ainda precisa de uma maneira sem fricção para integrar novos usuários. É aqui que entra um servidor de Cadastro Online, ou OSU, permitindo que os usuários provisionem um perfil com segurança em sua primeira visita. Vamos passar para um Perguntas e Respostas rápido baseado nas dúvidas mais comuns que recebemos de arquitetos de rede. Pergunta um: O OpenRoaming substitui meu Captive Portal por completo? Resposta: Não imediatamente. A maioria dos locais adota um modelo híbrido durante a transição. Você transmite o seu SSID aberto legado com o Captive Portal ao lado do SSID habilitado para Passpoint. Com o tempo, à medida que mais dispositivos suportarem o OpenRoaming nativamente, você poderá descontinuar a rede aberta. Pergunta dois: De qual hardware eu preciso? Resposta: A boa notícia é que a maioria dos pontos de acesso de nível empresarial lançados nos últimos cinco anos suporta Passpoint e 802.11u. Provavelmente, você não precisará de uma atualização de hardware com substituição total. As mudanças ocorrem principalmente na configuração do controlador e no backend do RADIUS. Pergunta três: Os dados de localização estão em conformidade com a GDPR? Resposta: Sim, desde que você os gerencie corretamente. O OpenRoaming utiliza identificadores anonimizados. O local não recebe o e-mail ou número de telefone pessoal do usuário por parte do provedor de identidade, apenas um token persistente. Isso, na verdade, simplifica a conformidade em comparação com o armazenamento de dados pessoais coletados por meio de um Captive Portal. Para resumir, o Passpoint e o OpenRoaming representam o futuro do WiFi corporativo. Eles eliminam o atrito dos Captive Portals, melhoram drasticamente a segurança por meio de WPA3 e autenticação mútua, e liberam um valor comercial significativo por meio de taxas de adesão mais altas e melhores análises. Seus próximos passos devem ser auditar sua infraestrutura sem fio atual para verificar a compatibilidade com o Passpoint, avaliar provedores de RADIUS em nuvem que suportem a federação WBA OpenRoaming e executar uma implantação piloto em um ambiente controlado, como uma única filial de varejo ou uma ala de conferências de um hotel. Obrigado por ouvir este Informativo Técnico da Purple. Para guias de implementação mais detalhados e diagramas de arquitetura, consulte o guia escrito abrangente que acompanha este podcast.

header_image.png

Resumo Executivo

Na última década, o WiFi de convidados dependeu de Captive Portals — um modelo com muito atrito que frustra os usuários, degrada a experiência da marca e introduz vulnerabilidades de segurança significativas. À medida que os estabelecimentos nos setores de Hospitalidade , Varejo e público exigem taxas de adesão mais altas para alimentar o WiFi Analytics e serviços baseados em localização, o setor está migrando para uma conectividade contínua, semelhante à rede celular.

O Passpoint (Hotspot 2.0) e o OpenRoaming representam o futuro definitivo do acesso sem fio corporativo. Construído sobre o padrão IEEE 802.11u e gerenciado pela Wireless Broadband Alliance (WBA), este ecossistema permite autenticação segura (WPA3) e sem toque (zero-touch). Ao federar provedores de identidade (como Apple, Google e operadoras de celular) com redes de acesso, os estabelecimentos podem integrar convidados automaticamente, sem a necessidade de seleção manual de SSID ou páginas de login (splash pages). Este guia fornece um roteiro prático e neutro em relação a fornecedores para que gerentes de TI e arquitetos de rede avaliem, projetem e implantem o Passpoint e o OpenRoaming, transformando o WiFi de convidados de um centro de custo em um ativo seguro e rico em dados.

Aprofundamento Técnico

A Arquitetura Passpoint e OpenRoaming

Para entender essa mudança, devemos distinguir entre a tecnologia subjacente e a federação que a dimensiona.

Passpoint (Hotspot 2.0) é uma certificação da Wi-Fi Alliance baseada no padrão IEEE 802.11u. Ela define o mecanismo para que os dispositivos descubram e se autentiquem em redes de forma automática. O protocolo principal é o Access Network Query Protocol (ANQP), que permite que um dispositivo cliente interrogue um Access Point (AP) antes de se associar. O dispositivo verifica os Roaming Consortium Organizationally Unique Identifiers (OUIs) anunciados pelo AP em relação aos seus perfis provisionados localmente. Se uma correspondência for encontrada, o dispositivo inicia uma conexão Extensible Authentication Protocol (EAP) (normalmente EAP-TLS ou EAP-TTLS).

OpenRoaming é a federação global construída sobre o Passpoint. Enquanto o Passpoint lida com a interação local entre o dispositivo e o AP, o OpenRoaming fornece a infraestrutura de proxy RADIUS que conecta milhões de APs a milhares de Provedores de Identidade (IdPs). Isso elimina a necessidade de os estabelecimentos negociarem acordos de roaming individuais ou gerenciarem uma infraestrutura de chave pública (PKI) complexa para convidados externos.

architecture_overview.png

Mudança no Paradigma de Segurança

As redes abertas tradicionais com Captive Portals transmitem dados de forma não criptografada até que o usuário conclua o processo de login. Isso expõe os usuários a ataques de "evil twin", onde agentes maliciosos falsificam o SSID do estabelecimento para coletar credenciais.

O Passpoint altera fundamentalmente esse perfil de risco. Como a autenticação ocorre via 802.1X, a conexão é protegida com criptografia WPA2-Enterprise ou WPA3-Enterprise desde o primeiríssimo pacote. Além disso, a autenticação mútua inerente ao EAP-TLS significa que o dispositivo verifica o certificado da rede antes de enviar qualquer credencial, neutralizando de forma eficaz as vulnerabilidades de evil twin. Conforme detalhado em nosso guia sobre Device Posture Assessment for Network Access Control , estabelecer a confiança do dispositivo é fundamental, e o Passpoint impõe isso na borda.

comparison_chart.png

Guia de Implementação

A implantação do OpenRoaming exige coordenação entre seu Wireless LAN Controller (WLC), sua infraestrutura RADIUS e a federação WBA. As etapas neutras de fornecedor a seguir descrevem uma implantação empresarial padrão.

Fase 1: Avaliação de Prontidão da Infraestrutura

Antes da configuração, verifique se o hardware existente suporta os padrões exigidos. A maioria dos APs corporativos (por exemplo, Cisco, Aruba, Ruckus) lançados nos últimos cinco anos oferece suporte nativo a 802.11u e Passpoint. Certifique-se de que o firmware do seu WLC esteja atualizado para suportar WPA3 e Protected Management Frames (PMF), que são obrigatórios para o Passpoint Release 3.

Fase 2: Integração de RADIUS e Federação

O ponto crítico de integração é conectar sua rede local à federação OpenRoaming. Isso é alcançado estabelecendo uma conexão proxy RADIUS segura.

  1. Selecione um Provedor de Cloud RADIUS: Escolha um provedor que seja um OpenRoaming Ecosystem Broker certificado (por exemplo, IronWiFi, Cisco Spaces).
  2. Estabeleça Túneis RadSec: Configure seu WLC para encaminhar solicitações de autenticação para o servidor RADIUS na nuvem usando RadSec (RADIUS sobre TLS). Isso protege o tráfego de autenticação pela internet. Para uma configuração detalhada, consulte RadSec : Sécurisation du trafic d'authentification RADIUS avec TLS .
  3. Configure o Roteamento de Realm: Defina regras de roteamento no servidor RADIUS para encaminhar solicitações que correspondam aos domínios OpenRoaming (por exemplo, apple.openroaming.net) para a federação WBA.

Fase 3: Configuração de WLAN

Configure o SSID específico em seu WLC para transmitir os elementos ANQP necessários.

  1. Habilite o 802.11u: Ative os recursos Hotspot 2.0/Passpoint para a WLAN de destino.
  2. Defina os OUIs do Roaming Consortium: Adicione os OUIs específicos fornecidos pela WBA (por exemplo, 5A-03-BA para OpenRoaming-Settlement-Free) ao beacon do AP.
  3. Configure a Segurança: Defina a segurança de Camada 2 para WPA2/WPA3-Enterprise com autenticação 802.1X.

Fase 4: Estratégia de Onboarding de Usuários

Embora os usuários federados (por exemplo, aqueles com perfis da Apple ou Google) se conectem automaticamente, você deve planejar para os usuários que não possuem perfis pré-existentes. Implemente um servidor de Cadastro Online (OSU) ou integre o provisionamento de perfil ao aplicativo móvel do seu estabelecimento. Isso permite que os usuários baixem um perfil Passpoint durante a primeira visita, garantindo conectividade contínua em todas as visitas subsequentes.

Boas Práticas

  • Mantenha uma Abordagem Híbrida Durante a Transição: Não desative imediatamente o seu Captive Portal legado. Execute o SSID habilitado para Passpoint simultaneamente com a sua rede aberta de Guest WiFi para acomodar dispositivos legados e usuários sem perfis. Monitore as taxas de adesão para determinar quando a rede aberta pode ser desativada com segurança.
  • Priorize o RadSec: Nunca transmita tráfego RADIUS pela internet sem criptografia. Sempre use RadSec para proteger a comunicação entre o seu WLC e o provedor de RADIUS na nuvem.
  • Aproveite a Integração com Aplicativos: Para estabelecimentos de hospitalidade e varejo, incorpore o provisionamento de perfil Passpoint ao aplicativo de fidelidade da sua marca. Isso garante que o usuário seja autenticado com segurança, vinculando diretamente a presença na rede ao seu perfil de cliente.
  • Monitore as Expirações de Certificados: O Passpoint depende muito de PKI. Implemente monitoramento e alertas automatizados para todos os certificados de servidores web e RADIUS para evitar falhas repentinas de autenticação.

Solução de Problemas e Mitigação de Riscos

Ao implantar o Passpoint, as equipes de TI normalmente encontram modos de falha específicos. Compreender esses riscos é crucial para uma implementação tranquila.

  • Problemas de Timeout de ANQP: Se os APs estiverem sobrecarregados ou o controlador estiver lento, as respostas ANQP podem expirar, impedindo que os dispositivos descubram a rede. Mitigação: Certifique-se de que os APs estejam provisionados adequadamente e monitore a utilização da CPU do plano de controle. Para ambientes de alta densidade, considere otimizar os intervalos de beacon.
  • Falhas de Confiança de Certificado: Se o dispositivo cliente não confiar na CA Raiz que assinou o certificado do servidor RADIUS, o handshake EAP-TLS falhará silenciosamente. Mitigação: Sempre use certificados emitidos por Autoridades de Certificação públicas amplamente reconhecidas (por exemplo, DigiCert, Let's Encrypt) para servidores RADIUS voltados para o público. Evite certificados autoassinados para acesso de convidados.
  • Quedas de Conectividade RadSec: Firewalls ou problemas de roteamento intermediário podem romper a conexão TCP necessária para o RadSec. Mitigação: Implemente um monitoramento robusto no status do túnel RadSec e configure servidores RADIUS secundários para failover.

ROI e Impacto nos Negócios

A transição para o Passpoint e OpenRoaming não é apenas uma atualização de TI; é um facilitador de negócios estratégico. Ao remover o atrito dos Captive Portals, os estabelecimentos veem melhorias imediatas nas principais métricas.

  • Aumento nas Taxas de Conexão: Os estabelecimentos geralmente observam um aumento de 40% a 60% no número de dispositivos conectados à rede. Isso expande diretamente o tamanho da amostra para WiFi Analytics e Sensors , fornecendo dados mais precisos de fluxo de pessoas e tempo de permanência.
  • Engajamento do Cliente Aprimorado: No varejo e na hotelaria, a conectividade contínua permite que os estabelecimentos acionem notificações baseadas em localização por meio de seus aplicativos no momento em que o visitante entra, gerando engajamento imediato.
  • Redução de Custos de Suporte: A eliminação de Captive Portals reduz drasticamente os chamados de suporte relacionados a falhas de login, redirecionamentos de navegador e senhas esquecidas, liberando recursos de TI.
  • Monetização de Dados: Ao integrar-se com plataformas de Wayfinding e fidelidade, os estabelecimentos podem correlacionar a presença física com o comportamento de compra, fornecendo insights práticos que justificam o investimento na rede.

Ouça nosso briefing completo sobre este tema:

Definições principais

Passpoint (Hotspot 2.0)

Uma certificação da Wi-Fi Alliance baseada no padrão IEEE 802.11u que permite que os dispositivos descubram e se conectem automaticamente e com segurança a redes Wi-Fi sem a intervenção do usuário.

As equipes de TI implantam o Passpoint para substituir os Captive Portals legados, proporcionando uma experiência de roaming semelhante à rede celular para WiFi corporativo e de visitantes.

OpenRoaming

Uma federação global de roaming gerenciada pela Wireless Broadband Alliance (WBA) que conecta Provedores de Identidade (IdPs) com Redes de Acesso usando a tecnologia Passpoint.

Os locais aderem ao OpenRoaming para permitir que os visitantes se autentiquem usando credenciais existentes (por exemplo, Apple ID, Google, SIM da operadora) sem a necessidade de gerenciar contas locais.

ANQP (Access Network Query Protocol)

Um protocolo de Camada 2 definido no 802.11u que permite que um dispositivo cliente solicite informações de um Access Point (como parceiros de roaming suportados) antes de se associar à rede.

O ANQP é o mecanismo que permite a um smartphone "saber" se pode se conectar a uma rede Passpoint silenciosamente em segundo plano.

RadSec (RADIUS over TLS)

Um protocolo que protege o tráfego de autenticação RADIUS envolvendo-o em um túnel TLS, normalmente usando a porta TCP 2083.

Essencial para implantações de OpenRoaming para garantir que as solicitações de autenticação enviadas do local para o provedor RADIUS na nuvem não possam ser interceptadas.

OUI (Organizationally Unique Identifier)

Um número de 24 bits que identifica exclusivamente um fornecedor, fabricante ou organização, usado no Passpoint para identificar consórcios de roaming suportados.

Os administradores de rede configuram OUIs específicos em seus WLCs para transmitir quais provedores de identidade ou federações (como o OpenRoaming) são suportados no local.

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

Um framework de autenticação altamente seguro que requer autenticação mútua baseada em certificados entre o cliente e o servidor.

O padrão ouro para autenticação Passpoint, garantindo que tanto o dispositivo do usuário quanto a rede do local verifiquem a identidade um do outro antes de se conectarem.

OSU (Online Sign-Up)

Um mecanismo padronizado no Passpoint Release 2 e posterior que permite que um dispositivo obtenha credenciais de rede e um perfil de forma segura a partir de um servidor de provisionamento.

Usado para integrar novos visitantes que ainda não possuem um perfil Passpoint instalado em seu dispositivo.

Evil Twin Attack

Um ataque sem fio no qual um agente malicioso configura um Access Point invasor transmitindo o mesmo SSID de uma rede legítima para interceptar o tráfego e as credenciais dos usuários.

O Passpoint elimina esse risco ao exigir que a rede apresente um certificado válido (autenticação mútua) antes que o dispositivo se conecte.

Exemplos práticos

Uma rede global de hotéis com 200 propriedades deseja melhorar a conectividade dos hóspedes e aumentar a adoção de seu aplicativo de fidelidade. Atualmente, os hóspedes reclamam de ter que fazer login no Captive Portal todos os dias de sua estadia, e as taxas de adesão são baixas.

O hotel implanta o Passpoint em todas as propriedades. Em vez de um Captive Portal, eles integram o provisionamento de perfil Passpoint em seu aplicativo de fidelidade. Quando um hóspede baixa o aplicativo e faz login, um perfil Passpoint é instalado silenciosamente em seu dispositivo. Os APs são configurados para transmitir o OUI do Roaming Consortium específico do hotel. O WLC usa RadSec para encaminhar solicitações de autenticação para um provedor RADIUS em nuvem. Quando o hóspede chega a qualquer propriedade globalmente, seu dispositivo detecta o OUI, autentica-se via EAP-TLS usando o perfil e conecta-se instantaneamente com criptografia WPA3.

Comentário do examinador: Esta abordagem resolve tanto o atrito de conectividade quanto o objetivo de negócios. Ao vincular o acesso à rede ao aplicativo, o hotel garante uma conexão segura e de alta qualidade, ao mesmo tempo em que garante que o hóspede permaneça engajado com o ecossistema digital da marca. O uso de um OUI específico garante que o dispositivo se conecte apenas à rede confiável do hotel, mitigando riscos de evil twin.

Um grande centro de convenções precisa fornecer WiFi seguro para 10.000 participantes. Gerenciar credenciais temporárias para um evento de 3 dias por meio de um Captive Portal é operacionalmente pesado e inseguro.

O local implementa o OpenRoaming. Eles configuram seu WLC para transmitir os OUIs do WBA OpenRoaming e estabelecem uma conexão RadSec com um OpenRoaming Ecosystem Broker. Os participantes que chegam ao local e já possuem um perfil OpenRoaming (por exemplo, por meio de sua operadora de celular ou de um local anterior) conectam-se automaticamente. Para participantes sem um perfil, o local disponibiliza QR codes pelo saguão que direcionam os usuários a um servidor de Online Sign-Up (OSU) para baixar um perfil temporário do evento.

Comentário do examinador: Isso reduz drasticamente a sobrecarga de TI no gerenciamento de credenciais. Ao aproveitar a federação OpenRoaming, o local transfere a carga de autenticação para os Provedores de Identidade existentes dos participantes. O fallback de QR code/OSU garante que nenhum participante fique sem acesso, mantendo uma experiência contínua.

Questões práticas

Q1. Você é o Diretor de TI de uma rede de varejo. O Marketing deseja rastrear com precisão as visitas recorrentes dos clientes usando WiFi analytics, mas a rede de convidados aberta atual com um Captive Portal tem uma taxa de adesão de 15%. Os clientes reclamam que o login demora muito. Como você redesenharia a estratégia de acesso à rede para atingir os objetivos do Marketing e, ao mesmo tempo, melhorar a experiência do cliente?

Dica: Considere como você pode vincular a autenticação de rede a um recurso que o cliente já valoriza, eliminando completamente o atrito do Captive Portal.

Ver resposta modelo

Implemente o Passpoint e integre o provisionamento de perfil ao aplicativo móvel de fidelidade já existente do varejista. Quando os clientes baixam ou atualizam o aplicativo, o perfil Passpoint é instalado silenciosamente. Ao entrar em qualquer loja, o dispositivo é autenticado automaticamente via EAP-TLS. Isso elimina o atrito do Captive Portal, aumenta drasticamente a taxa de adesão (fornecendo ao Marketing dados precisos de visitas recorrentes) e protege a conexão com WPA3.

Q2. Durante uma implantação piloto do OpenRoaming em um estádio, a equipe de rede percebe que, embora as solicitações de autenticação estejam chegando ao WLC local, elas não estão alcançando o provedor RADIUS na nuvem. A equipe de firewall confirma que as portas RADIUS padrão (UDP 1812/1813) estão abertas para saída. Qual é a causa mais provável da falha?

Dica: Os Brokers do Ecossistema OpenRoaming exigem comunicação segura para o tráfego de autenticação pela internet.

Ver resposta modelo

O WLC provavelmente está tentando enviar tráfego RADIUS padrão e não criptografado, mas as implantações do OpenRoaming exigem RadSec (RADIUS sobre TLS) para comunicação com o broker na nuvem. A equipe de firewall precisa garantir que a porta TCP 2083 (a porta padrão para RadSec) esteja aberta para saída, e o WLC deve ser configurado para estabelecer o túnel TLS usando os certificados corretos.

Q3. Um hospital deseja implantar o Passpoint para fornecer roaming contínuo para médicos que se deslocam entre o campus principal e as clínicas satélites. No entanto, o Diretor de Segurança da Informação (ISO) está preocupado com ataques de 'evil twin' (gêmeo malvado), onde um agente malicioso pode falsificar o SSID do hospital em uma cafeteria próxima para roubar credenciais. Como o Passpoint aborda essa preocupação específica?

Dica: Foque nos métodos EAP específicos usados no Passpoint e em como o dispositivo cliente verifica a rede antes de transmitir dados.

Ver resposta modelo

O Passpoint mitiga o risco de evil twin por meio de autenticação mútua, normalmente usando EAP-TLS ou EAP-TTLS. Antes que o dispositivo do médico envie qualquer credencial de autenticação, o AP (por meio do servidor RADIUS) deve apresentar um certificado digital válido. O dispositivo verifica esse certificado em relação às suas CAs raiz confiáveis. Se um agente malicioso falsificar o SSID, ele não possuirá a chave privada/certificado válido para o servidor RADIUS do hospital, e o dispositivo abortará silenciosamente a conexão antes que qualquer credencial seja trocada.

Continue a ler esta série

Gerenciamento de WiFi para Hóspedes de Hotel: Integrando PMS, Portais e Padrões de Marca

Este guia técnico detalha como arquitetar redes WiFi de hotel de nível empresarial, focando na segmentação de VLAN, integração de PMS para gerenciamento automatizado de sessões e otimização de Captive Portal para captura de dados em conformidade com a GDPR.

Ler o guia →

How to Set Up Guest WiFi: A Secure Enterprise Configuration Guide

Este guia definitivo oferece aos líderes de TI e arquitetos de rede um modelo definitivo para implantar um guest WiFi corporativo seguro. Ele abrange a arquitetura essencial, migração para WPA3, segmentação de VLAN e integração de Captive Portal para proteger os sistemas internos enquanto captura dados primários em conformidade.

Ler o guia →

Gerenciamento de largura de banda para WiFi de funcionários: Modelagem, QoS e redução de tráfego

Este guia detalha métodos práticos para gerenciar a largura de banda do WiFi de funcionários em ambientes corporativos. Ele aborda modelagem de tráfego, implementação de QoS e como a implantação do Purple Shield reduz a carga da rede sem a necessidade de atualizações de infraestrutura.

Ler o guia →