O Guia Definitivo para Arquitetura e Autenticação OpenRoaming
Este guia fornece uma referência técnica autoritativa sobre a arquitetura WBA OpenRoaming, cobrindo a base Passpoint, federação RADIUS, segurança RadSec mTLS e orientações passo a passo de implantação para locais corporativos. Ele capacita gerentes de TI, arquitetos de rede e operadores de locais com o conhecimento necessário para substituir Captive Portals por uma conectividade Wi-Fi contínua, segura e em conformidade, que entrega um ROI mensurável.
Ouça este guia
Ver transcrição do podcast
Resumo Executivo
O modelo tradicional de Captive Portal para Wi-Fi de convidados está ultrapassado. Há décadas, os estabelecimentos dependem de telas de login manual que frustram os usuários, oferecem baixa segurança e geram uma sobrecarga significativa de suporte. O WBA OpenRoaming representa uma mudança arquitetônica fundamental, substituindo a autenticação manual por uma federação global de conexões seguras e automáticas baseadas na tecnologia Passpoint (Hotspot 2.0) e na 802.1X Authentication: Securing Network Access on Modern Devices .
Para gerentes de TI e arquitetos de rede, implantar o OpenRoaming não é mais apenas uma questão de melhorar a experiência do usuário — é um imperativo estratégico para aprimorar a segurança da rede, reduzir chamados de suporte e gerar um ROI mensurável por meio de uma maior utilização da rede. Este guia fornece uma referência técnica abrangente para implementar a arquitetura OpenRoaming, navegar pela federação RADIUS e garantir a conformidade com os padrões modernos de segurança em ambientes corporativos, de Retail e de Hospitality .
Análise Técnica Detalhada: A Arquitetura OpenRoaming
A arquitetura OpenRoaming opera por meio de uma federação de confiança gerenciada pela Wireless Broadband Alliance (WBA). Ela faz a ponte entre os Provedores de Identidade (IDPs) que emitem credenciais e os Provedores de Rede de Acesso (ANPs) que operam a infraestrutura de Wi-Fi.
A Base do Passpoint
No núcleo do OpenRoaming está o padrão Passpoint da Wi-Fi Alliance (baseado no IEEE 802.11u). O Passpoint permite que os dispositivos descubram e se autentiquem em redes Wi-Fi de forma automática. Quando um dispositivo entra em um local habilitado para OpenRoaming, ele usa o Access Network Query Protocol (ANQP) para consultar o ponto de acesso sobre os Roaming Consortium Organization Identifiers (RCOIs) suportados antes de se associar. Essa descoberta pré-associação é totalmente invisível para o usuário — o dispositivo determina silenciosamente se possui credenciais válidas para a rede antes de iniciar qualquer tentativa de conexão.
A Federação RADIUS e o RadSec
O roaming de Wi-Fi de operadoras tradicional depende de tabelas de roteamento RADIUS estáticas preenchidas por meio de acordos bilaterais, protegidas via túneis IPSec. Esse modelo não é escalável para uma federação global e aberta. O OpenRoaming resolve isso utilizando descoberta dinâmica de pares baseada em DNS (RFC 7585) e RadSec (RADIUS sobre TLS, RFC 6614).
Quando um ponto de acesso recebe uma solicitação de autenticação, o proxy RADIUS local realiza uma consulta DNS NAPTR no realm do usuário para descobrir dinamicamente o servidor RadSec do IDP. A sinalização é protegida usando TLS mútuo (mTLS) com certificados emitidos pela Infraestrutura de Chaves Públicas (PKI) de quatro níveis da WBA, garantindo segurança de ponta a ponta entre a Rede de Acesso e o Provedor de Identidade sem a necessidade de acordos bilaterais pré-estabelecidos.
Identificadores de Organização de Consórcio de Roaming (RCOIs)
O OpenRoaming usa RCOIs específicos para transmitir controles de política e modelos de liquidação. Estes são anunciados no beacon 802.11 e via ANQP:
| Valor RCOI | Modelo | Descrição |
|---|---|---|
| 5A-03-BA | Livre de Liquidação | O ANP fornece conectividade sem custo para o IDP. Modelo dominante para empresas, varejo e hospitalidade. |
| BA-A2-D0 | Liquidado | O ANP espera compensação financeira. Usado para cenários de conectividade premium. |
Os 12 bits mais significativos do RCOI também podem ser usados para definir políticas de Grupo de Acesso Fechado (CAG), permitindo que ANPs e IDPs negociem níveis de Qualidade de Serviço, níveis de comprovação de identidade e requisitos de privacidade em um nível granular.
Guia de Implementação
A implantação do OpenRoaming exige coordenação entre o hardware de rede, a infraestrutura RADIUS e o gerenciamento de identidade. Para uma visão geral abrangente dos requisitos de hardware, consulte nosso guia sobre Wireless Access Points Definition Your Ultimate 2026 Guide .
Passo 1: Avaliação de Prontidão da Infraestrutura
Verifique se seus pontos de acesso e controladores de LAN sem fio suportam Passpoint/Hotspot 2.0 (IEEE 802.11u). A maioria dos equipamentos de classe empresarial fabricados após de 2018 inclui suporte nativo. Configure um SSID dedicado protegido com WPA3-Enterprise (ou WPA2-Enterprise para compatibilidade com dispositivos legados). Este SSID transportará o tráfego do OpenRoaming e deve ser configurado com as definições de ANQP apropriadas para transmitir seu RCOI.
Passo 2: Associação à WBA e Engajamento de Broker
Para participar da federação OpenRoaming, sua organização deve se associar diretamente à WBA ou contratar um broker autorizado da WBA. O broker atribuirá à sua organização uma Identidade WBA (WBAID), emitirá seus certificados RadSec sob a PKI da WBA e configurará seus registros DNS NAPTR/SRV para permitir a descoberta dinâmica. Este é o passo fundamental que conecta sua infraestrutura à federação global.
Passo 3: Configuração da Infraestrutura RADIUS
Seu servidor RADIUS deve ser configurado para rotear solicitações de autenticação para a federação OpenRoaming. Isso envolve a configuração do RadSec para estabelecer conexões mTLS usando seus certificados emitidos pela WBA. O proxy RADIUS deve ser capaz de realizar consultas DNS NAPTR para resolver dinamicamente os endpoints do IDP. Soluções RADIUS baseadas em nuvem podem simplificar significativamente esta etapa, abstraindo os complexos processos de descoberta de DNS e gerenciamento de certificados.
Passo 4: Estratégia de Provisionamento de Dispositivos
Levar os perfis Passpoint para os dispositivos dos usuários é a principal consideração operacional. Quatro abordagens estão disponíveis:
| Método | Ideal Para | Mecanismo |
|---|---|---|
| Envio via MDM | Dispositivos corporativos gerenciados | O Intune, Jamf ou Workspace ONE enviam perfis automaticamente |
| Inscrição Online (OSU) | Implantações voltadas para o consumidor | Auto-enrolment padronizado via protocolo Passpoint OSU |
| Provisionamento via Aplicativo | Membros de programas de fidelidade | O aplicativo móvel instala o perfil Passpoint pós-autenticação |
| Inscrição via QR Code | Check-in em hotelaria | O QR code físico inicia a instalação do perfil |
Passo 5: Configuração de Políticas e Segmentação de VLAN
Configure seu controlador WLAN para transmitir os RCOIs OpenRoaming apropriados via ANQP. Implemente a atribuição dinâmica de VLAN via atributos RADIUS para garantir que o tráfego de visitantes seja isolado das redes corporativas. Isso é inegociável para a conformidade com o PCI DSS em ambientes de Varejo e é uma prática recomendada em todos os setores.
Melhores Práticas para Segurança e Conformidade
O OpenRoaming melhora fundamentalmente a postura de segurança do Wi-Fi do local, mudando de redes abertas e não criptografadas para uma segurança robusta de nível empresarial. Para uma análise mais detalhada dos mecanismos de autenticação subjacentes, consulte Autenticação 802.1X: Protegendo o Acesso à Rede em Dispositivos Modernos .
WPA3-Enterprise e Autenticação 802.1X
Ao contrário dos portais cativos onde o tráfego não é criptografado até o login, o OpenRoaming utiliza criptografia WPA3-Enterprise desde o primeiro pacote. O processo de autenticação mútua 802.1X garante que o dispositivo do usuário verifique criptograficamente a identidade da rede antes de transmitir qualquer credencial, eliminando o risco de pontos de acesso falsos "Evil Twin" — uma vulnerabilidade que os portais cativos tradicionais não conseguem resolver.
Privacidade e Conformidade com a GDPR
Os portais cativos tradicionais (Captive Portals) frequentemente coletam informações de identificação pessoal (PII) extensas, criando encargos significativos de conformidade com a GDPR. O OpenRoaming autentica os usuários por meio de identificadores pseudônimos, como o atributo Chargeable-User-Identity (CUI). O estabelecimento verifica se o usuário é legítimo sem necessariamente ingerir suas PII brutas, alinhando-se com os princípios de minimização de dados da GDPR e reduzindo o escopo de suas obrigações de processamento de dados.
Segmentação de Rede e PCI DSS
Para ambientes de Varejo , a conformidade com o PCI DSS é crítica. O tráfego do OpenRoaming deve ser estritamente segmentado dos sistemas de Ponto de Venda (POS) e das redes corporativas. Utilize a atribuição dinâmica de VLAN via atributos RADIUS para isolar o tráfego de convidados imediatamente após a autenticação, colocando-o em uma instância VRF com apenas uma rota de internet padrão e regras de negação explícitas para todo o espaço de endereço interno RFC 1918.
Estudos de Caso: OpenRoaming em Produção
Estudo de Caso 1: Centro de Convenções RAI Amsterdam (Eventos e Conferências)
O Centro de Convenções RAI Amsterdam, um dos maiores locais de eventos da Europa, que recebe 1,5 milhão de visitantes anualmente, implantou Wi-Fi 6 com WBA OpenRoaming em 2023. No Cisco Live Europe, mais de 18.000 participantes tiveram acesso à conectividade OpenRoaming contínua, consumindo mais de 77 terabytes de dados ao longo de quatro dias. Os participantes passaram uma média de six hours na rede. A implantação demonstrou como o OpenRoaming elimina o pico de conexão que normalmente ocorre quando os portões do evento se abrem, distribuindo a carga de autenticação uniformemente pela federação. Para hubs de Transporte e centros de conferências, este estudo de caso é a prova de conceito definitiva.
Estudo de Caso 2: Rede de Varejo Delhaize (Varejo)
O grupo de varejo belga Delhaize implantou o OpenRoaming em sua rede de lojas para melhorar a conectividade dos clientes e otimizar as operações. A implantação resolveu problemas persistentes com as taxas de conversão de Captive Portals — um desafio enfrentado por todos os operadores de Varejo , já que os clientes utilizam cada vez mais os dados móveis por padrão em vez de interagir com telas de login manual. Ao permitir uma conectividade automática e segura para os usuários do aplicativo de fidelidade, a Delhaize aumentou a adoção do Wi-Fi e melhorou a qualidade dos dados de análise na loja, apoiando diretamente as decisões de merchandising e utilização de espaço. Isso se alinha com a tendência mais ampla de integrar o WiFi Analytics com plataformas de inteligência de varejo.
Solução de Problemas e Mitigação de Riscos
Embora o OpenRoaming simplifique a experiência do usuário final, a infraestrutura subjacente é complexa. Os arquitetos de rede devem mitigar proativamente os modos de falha comuns:
RadSec Certificate Expiry is the most critical operational risk. The mTLS connections rely on WBA PKI certificates. A lapsed certificate will immediately break federation routing, causing silent authentication failures. Implement monitoring with at least 60 days' advance warning and a defined renewal process.
DNS Resolution Failures are the second most common cause of OpenRoaming outages. Dynamic peer discovery depends on reliable DNS resolution of NAPTR and SRV records. Ensure your RADIUS proxies have redundant, high-performance DNS forwarders configured and test DNS resolution as part of your regular network health checks.
Legacy Device Compatibility must be planned for during transition. While modern iOS, Android, Windows, and macOS devices natively support Passpoint, older devices do not. Maintain a parallel traditional Guest WiFi network during the transition period to ensure universal coverage.
RADIUS Proxy Misconfiguration can cause realm-based routing failures. Ensure your proxy correctly handles the EAP-Identity realm and that your DNS NAPTR records are correctly formatted for RFC 7585 discovery. Test with multiple IDP realms before go-live.
ROI & Business Impact
The business case for OpenRoaming extends far beyond technical elegance. Venue operators can expect measurable returns across several vectors:
| Metric | Typical Outcome | Source |
|---|---|---|
| Wi-Fi support ticket reduction | 70–80% decrease | WBA deployment reports |
| Wi-Fi adoption rate increase | 40–50% increase | WBA airport deployment data |
| Data consumption per user | Significantly higher vs. captive portal | RAI Amsterdam case study |
| PII compliance risk | Substantially reduced | GDPR pseudonymous ID model |
By adopting OpenRoaming, venues provide the Modern Hospitality WiFi Solutions Your Guests Deserve , transitioning Wi-Fi from a frustrating utility into a seamless, invisible enabler of the digital experience. The integration with WiFi Analytics platforms becomes more valuable as higher attach rates produce richer, more representative data sets. For organisations exploring the broader network modernisation picture, the The Core SD WAN Benefits for Modern Businesses provides complementary context on how OpenRoaming fits within a modern, software-defined network architecture.
The Healthcare sector also stands to benefit significantly, with OpenRoaming enabling secure, automatic connectivity for visiting clinicians and medical IoT devices — without the compliance risks of open guest networks or the operational overhead of per-device captive portal management.
Definições principais
Passpoint (Hotspot 2.0)
Um programa de certificação da Wi-Fi Alliance baseado no IEEE 802.11u que permite que os dispositivos descubram e se autentiquem automaticamente em redes Wi-Fi sem a intervenção do usuário, utilizando credenciais pré-provisionadas.
A tecnologia fundamental que torna possível a experiência contínua de OpenRoaming no dispositivo do usuário final. Sem o suporte ao Passpoint tanto no AP quanto no dispositivo, o OpenRoaming não pode funcionar.
RadSec
Um protocolo (RFC 6614) que transporta pacotes RADIUS sobre uma conexão TCP e TLS, fornecendo entrega criptografada, confiável e autenticada de sinalização de autenticação.
Utilizado para proteger o tráfego de autenticação que atravessa a internet pública entre o proxy RADIUS do local e a federação global OpenRoaming. Substitui o modelo legado de túnel IPSec.
RCOI (Roaming Consortium Organization Identifier)
Um identificador de 3 ou 5 octetos transmitido pelos pontos de acesso em beacons 802.11 e respostas ANQP para indicar quais federações de roaming e políticas de liquidação a rede suporta.
Os dispositivos leem o RCOI para determinar se possuem credenciais válidas para se conectar antes de tentar a autenticação. O RCOI livre de cobrança (5A-03-BA) é o padrão para implantações corporativas.
ANQP (Access Network Query Protocol)
Um protocolo IEEE 802.11 usado por dispositivos para consultar pontos de acesso sobre informações de rede — incluindo RCOIs suportados, nome do local e lista de domínios NAI — antes da associação.
Permite que os dispositivos avaliem silenciosamente se uma rede suporta suas credenciais sem interromper o usuário ou iniciar uma tentativa de conexão.
Identity Provider (IDP)
Uma organização que mantém as identidades dos usuários e emite as credenciais Passpoint (certificados ou perfis) usadas para a autenticação OpenRoaming.
Operadoras de telefonia móvel, departamentos de TI corporativos e programas de fidelidade atuam como IDPs. O IDP autentica o usuário e sinaliza o resultado para o ANP por meio da federação RADIUS.
Access Network Provider (ANP)
O local ou organização que opera a infraestrutura física de Wi-Fi, transmite RCOIs OpenRoaming e aplica políticas de acesso locais.
Hotéis, estádios, lojas de varejo e escritórios corporativos atuam como ANPs. O ANP controla o que os usuários autenticados podem acessar, independentemente de qual IDP os autenticou.
WBA PKI
A Infraestrutura de Chaves Públicas de quatro níveis gerenciada pela Wireless Broadband Alliance, usada para emitir os certificados mTLS necessários para conexões RadSec entre os participantes da federação.
Fornece a confiança criptográfica fundamental que permite que milhares de redes independentes se federem de forma segura sem acordos bilaterais pré-estabelecidos.
802.1X
Um padrão IEEE para controle de acesso à rede baseado em porta que fornece um mecanismo de autenticação para dispositivos que desejam se conectar a uma LAN ou WLAN, usando métodos EAP (Extensible Authentication Protocol).
A estrutura de segurança robusta que sustenta o OpenRoaming. Ela impede o acesso não autorizado e permite a criptografia WPA3-Enterprise desde o primeiro pacote de dados.
Chargeable-User-Identity (CUI)
Um atributo RADIUS (RFC 4372) que fornece um identificador pseudônimo e estável para um usuário em várias sessões, sem expor sua identidade real à rede de acesso.
Permite que os locais rastreiem visitantes únicos para fins de análise, minimizando a coleta de PII, apoiando diretamente a conformidade de minimização de dados do GDPR.
Exemplos práticos
Um hotel de luxo com 500 quartos utiliza atualmente um Captive Portal que exige que os hóspedes façam login com o número do quarto e o sobrenome. Eles estão enfrentando altos volumes de suporte e baixas pontuações de satisfação dos hóspedes em relação ao Wi-Fi. Eles desejam implementar o OpenRoaming, mas estão preocupados em perder a capacidade de segmentar a largura de banda para hóspedes VIP e membros do programa de fidelidade.
O hotel deve implantar o OpenRoaming usando o RCOI livre de liquidação (5A-03-BA), com o aplicativo de fidelidade do hotel atuando como um Provedor de Identidade (IDP). Quando um membro de fidelidade VIP se autentica, a resposta RADIUS Access-Accept do IDP inclui Atributos Específicos do Fornecedor (VSAs) que instruem o controlador WLAN do hotel a atribuir o usuário a um perfil de QoS premium e a uma VLAN dedicada de alta largura de banda. Hóspedes padrão autenticados por meio de um IDP de terceiros (por exemplo, sua operadora de celular) recebem o perfil de QoS padrão. O servidor RADIUS do hotel atua como o ponto de aplicação de políticas, traduzindo os atributos de identidade fornecidos pelo IDP em políticas de rede local.
Uma grande rede de varejo com 200 lojas deseja implantar o OpenRoaming para melhorar a conectividade dos clientes e alimentar sua plataforma de WiFi Analytics com dados de fluxo de pessoas mais ricos. Sua equipe de segurança está preocupada com a conformidade com o PCI DSS e com o risco de dispositivos de convidados acessarem a rede corporativa ou os sistemas de ponto de venda.
A rede de varejo deve implementar uma segmentação de rede rigorosa como pré-requisito para a implantação. O SSID do OpenRoaming deve ser mapeado para uma VLAN de convidados isolada na camada de acesso (o AP ou switch de distribuição). O servidor RADIUS deve aplicar a atribuição dinâmica de VLAN, garantindo que todos os usuários autenticados pelo OpenRoaming sejam colocados em uma instância VRF com apenas uma rota padrão para a internet e regras explícitas de negação de ACL para todo o espaço de endereçamento interno RFC 1918. O proxy RADIUS do OpenRoaming deve ser implantado em uma DMZ, sem rota direta para a rede corporativa. Um teste de invasão trimestral deve verificar se o limite de segmentação se mantém.
Questões práticas
Q1. Seu local está enfrentando falhas frequentes de autenticação silenciosa para um subconjunto de usuários do OpenRoaming. As capturas de pacotes confirmam que a resposta EAP-Identity é recebida pelo AP, mas nenhuma solicitação RADIUS Access-Request chega ao Provedor de Identidade. Qual é o ponto de falha arquitetural mais provável e como você o diagnosticaria?
Dica: Considere as etapas necessárias para que o proxy RADIUS localize o destino correto para o realm do usuário específico antes de poder encaminhar a solicitação de autenticação.
Ver resposta modelo
O ponto de falha mais provável é a resolução de DNS no proxy RADIUS. O OpenRoaming depende da descoberta dinâmica (RFC 7585), exigindo que o proxy execute uma consulta DNS NAPTR/SRV no realm fornecido no EAP-Identity. Se o DNS falhar, o proxy não conseguirá determinar o endereço IP do servidor RadSec do IDP, resultando em uma falha silenciosa. Diagnostique executando uma consulta NAPTR manual a partir do proxy RADIUS para o realm afetado, verificando se os registros SRV corretos são retornados e se o IP do servidor RadSec está acessível na porta 2083.
Q2. Um diretor de TI de um hospital deseja implantar o OpenRoaming para melhorar a conectividade de médicos visitantes e dispositivos IoT médicos, mas exige que todo o tráfego de convidados seja criptografado por transmissão aérea desde o momento da conexão para cumprir a política de segurança interna. Atualmente, eles usam um Captive Portal com WPA2-Personal (PSK). O OpenRoaming atende a esse requisito e como o modelo de criptografia difere?
Dica: Compare o tempo de criptografia dos Captive Portals em relação à autenticação baseada em 802.1X e considere o que acontece com o tráfego antes que o login do Captive Portal seja concluído.
Ver resposta modelo
Sim, o OpenRoaming atende totalmente a esse requisito. Com um Captive Portal, o tráfego não é criptografado por transmissão aérea até que o usuário conclua o processo de login — criando uma janela de vulnerabilidade. O OpenRoaming usa autenticação 802.1X e WPA3-Enterprise (ou WPA2-Enterprise), que estabelece uma sessão criptografada exclusiva e criptograficamente segura por meio de um handshake de 4 vias imediatamente após a autenticação bem-sucedida, antes que qualquer dado do usuário seja transmitido. Cada sessão usa uma PMK exclusiva derivada da troca EAP, garantindo uma criptografia por sessão que é muito mais forte do que o modelo PSK compartilhado.
Q3. Você está configurando o controlador WLAN para uma nova implantação em um estádio que participará da federação OpenRoaming livre de liquidação (settlement-free). Um colega sugere transmitir também o RCOI liquidado para maximizar a compatibilidade. Quais são as implicações de transmitir ambos os RCOIs simultaneamente e qual é a sua recomendação?
Dica: Considere as implicações comerciais e operacionais do RCOI liquidado (settled) e como os dispositivos priorizam a correspondência de RCOI.
Ver resposta modelo
Transmitir o RCOI liquidado (BA-A2-D0) junto com o RCOI livre de liquidação (5A-03-BA) é tecnicamente possível, mas acarreta um risco comercial significativo. O RCOI liquidado sinaliza aos Provedores de Identidade que o ANP espera compensação financeira pela conectividade. Isso pode desencorajar os IDPs de permitir que seus usuários se conectem, pois eles incorreriam em cobranças. Para um estádio que busca a máxima adoção dos usuários e conectividade contínua, transmitir apenas o RCOI livre de liquidação é a abordagem correta. O RCOI liquidado só deve ser usado quando houver um acordo de liquidação comercial específico em vigor com os IDPs relevantes.
Continue a ler esta série
Como Configurar o SCEP para Registro Automatizado de Certificados de WiFi Corporativo
Este guia explica como configurar o SCEP (Simple Certificate Enrollment Protocol) para o registro automatizado de certificados de WiFi corporativo, cobrindo toda a arquitetura, desde PKI e NDES até a implantação de perfis MDM e validação RADIUS. Destina-se a gerentes de TI, arquitetos de rede e CTOs de hotéis, redes de varejo, estádios, centros de convenções e organizações do setor público que precisam ir além das chaves pré-compartilhadas e implementar a autenticação 802.1X EAP-TLS escalável e baseada em identidade. A plataforma de sobreposição em nuvem da Purple, independente de hardware, integra-se diretamente a essa arquitetura, fornecendo a camada de WiFi para convidados e BYOD que opera em conjunto com a rede de funcionários autenticada por certificado.
O Guia Corporativo para SCEP: Implantando o Simple Certificate Enrollment Protocol para Segurança Automatizada de WiFi em Campus
Este guia de referência técnica fornece um modelo arquitetônico definitivo e uma estratégia de implementação passo a passo para a implantação de certificados WiFi corporativos usando SCEP. Ele aborda as diferenças críticas entre SCEP e PKCS, a sequência exata de implantação necessária para o sucesso e estratégias reais de mitigação de riscos para líderes de TI.
Como implementar SCEP para registro automatizado de certificados WiFi
Este guia explica como implementar o SCEP (Simple Certificate Enrollment Protocol) para registro automatizado de certificados WiFi em locais corporativos. Ele abrange o projeto arquitetônico completo - desde o design de PKI e integração com MDM até a sequência obrigatória de implantação em três etapas - e mostra aos gerentes de TI e arquitetos de rede como eliminar credenciais compartilhadas, automatizar o gerenciamento do ciclo de vida dos certificados e atender aos requisitos do PCI DSS e GDPR em escala.