O Guia Definitivo para a Arquitetura e Autenticação OpenRoaming
Este guia fornece uma referência técnica autoritária sobre a arquitetura WBA OpenRoaming, abrangendo a base Passpoint, federação RADIUS, segurança RadSec mTLS e orientações de implementação passo a passo para espaços empresariais. Equipas de gestão de TI, arquitetura de rede e operação de espaços dispõem agora do conhecimento necessário para substituir os portais cativos por uma conectividade WiFi fluida, segura e em conformidade que gera um ROI mensurável.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Guia de WiFi para Visitantes →
Resumo Executivo
O modelo tradicional de captive portal para WiFi de convidados está ultrapassado. Durante décadas, os locais dependeram de ecrãs de início de sessão manuais que frustram os utilizadores, oferecem uma segurança fraca e geram custos significativos de suporte. O WBA OpenRoaming representa uma mudança arquitetónica fundamental, substituindo a autenticação manual por uma federação global de ligações seguras e automáticas integradas na tecnologia Passpoint (Hotspot 2.0) e na 802.1X Authentication: Securing Network Access on Modern Devices.
Para gestores de TI e arquitetos de rede, a implementação do OpenRoaming já não serve apenas para melhorar a experiência do utilizador - é um imperativo estratégico para reforçar a segurança da rede, reduzir os pedidos de suporte e gerar um ROI mensurável através de uma maior utilização da rede. Este guia fornece uma referência técnica abrangente para implementar a arquitetura OpenRoaming, navegar na federação RADIUS e garantir a conformidade com as normas de segurança modernas em ambientes empresariais, de Retail e de Hospitality.
Análise Técnica Detalhada: A Arquitetura OpenRoaming
A arquitetura OpenRoaming funciona através de uma federação de confiança gerida pela Wireless Broadband Alliance (WBA). Estabelece a ligação entre os Fornecedores de Identidade (IDPs) que emitem credenciais e os Fornecedores de Redes de Acesso (ANPs) que operam a infraestrutura de WiFi.
A Base do Passpoint
No núcleo do OpenRoaming está a norma Passpoint da Wi-Fi Alliance (baseada em IEEE 802.11u). O Passpoint permite que os dispositivos descubram e se autentiquem em redes WiFi automaticamente. Quando um dispositivo entra num local com suporte para OpenRoaming, utiliza o Access Network Query Protocol (ANQP) para consultar o ponto de acesso sobre os Roaming Consortium Organisation Identifiers (RCOIs) suportados antes da associação. Esta descoberta pré-associação é inteiramente invisível para o utilizador - o dispositivo determina silenciosamente se possui credenciais válidas para a rede antes de iniciar qualquer tentativa de ligação.
A Federação RADIUS e o RadSec
O roaming tradicional de operadores de WiFi baseia-se em tabelas de encaminhamento RADIUS estáticas preenchidas através de acordos bilaterais, protegidas por túneis IPSec. Este modelo não é escalável para uma federação global e aberta. O OpenRoaming resolve este problema utilizando a descoberta dinâmica de pares baseada em DNS (RFC 7585) e o RadSec (RADIUS over TLS, RFC 6614).
Quando um ponto de acesso recebe um pedido de autenticação, o proxy RADIUS local realiza uma pesquisa DNS NAPTR no domínio do utilizador para descobrir dinamicamente o servidor RadSec do IDP. A sinalização é protegida usando TLS mútuo (mTLS) com certificados emitidos pela Infraestrutura de Chaves Públicas (PKI) de quatro níveis da WBA, garantindo segurança de ponta a ponta entre a Rede de Acesso e o Provedor de Identidade sem a necessidade de acordos bilaterais pré-estabelecidos.
Identificadores de Organização do Consórcio de Roaming (RCOIs)
O OpenRoaming utiliza RCOIs específicos para transmitir controlos de políticas e modelos de liquidação. Estes são anunciados no beacon 802.11 e via ANQP:
| Valor RCOI | Modelo | Descrição |
|---|---|---|
| 5A-03-BA | Sem liquidação | O ANP fornece conectividade sem custos para o IDP. Modelo dominante para empresas, retalho e hotelaria. |
| BA-A2-D0 | Liquidado | O ANP espera compensação financeira. Utilizado para cenários de conectividade premium. |
Os 12 bits mais significativos do RCOI também podem ser utilizados para definir políticas de Grupo de Acesso Fechado (CAG), permitindo que ANPs e IDPs negociem níveis de Qualidade de Serviço, níveis de comprovação de identidade e requisitos de privacidade a um nível granular.
Guia de Implementação
A implementação do OpenRoaming exige a coordenação entre o hardware de rede, a infraestrutura RADIUS e a gestão de identidades. Para uma visão geral abrangente dos requisitos de hardware, consulte o nosso guia sobre Wireless Access Points Definition Your Ultimate 2026 Guide.
Passo 1: Avaliação de Prontidão da Infraestrutura
Verifique se os seus pontos de acesso e controladores LAN sem fios suportam Passpoint/Hotspot 2.0 (IEEE 802.11u). A maioria dos equipamentos de classe empresarial fabricados após 2018 inclui suporte nativo. Configure um SSID dedicado protegido com WPA3-Enterprise (ou WPA2-Enterprise para compatibilidade com dispositivos legados). Este SSID transportará o tráfego OpenRoaming e deve ser configurado com as definições ANQP adequadas para transmitir o seu RCOI.
Passo 2: Adesão à WBA e Envolvimento de Broker
Para participar na federação OpenRoaming, a sua organização deve juntar-se diretamente à WBA ou contratar um broker autorizado da WBA. O broker atribuirá à sua organização um WBA Identity (WBAID), emitirá os seus certificados RadSec sob a PKI da WBA e configurará os seus registos DNS NAPTR/SRV para permitir a descoberta dinâmica. Este é o passo fundamental que liga a sua infraestrutura à federação global.
Passo 3: Configuração da Infraestrutura RADIUS
O seu servidor RADIUS deve estar configurado para encaminhar pedidos de autenticação para a federação OpenRoaming. Isto envolve a configuração de RadSec para estabelecer ligações mTLS utilizando os seus certificados emitidos pela WBA. O proxy RADIUS deve ser capaz de realizar pesquisas DNS NAPTR para resolver dinamicamente os endpoints do IDP. As soluções RADIUS baseadas na nuvem podem simplificar significativamente este passo ao abstrair os processos complexos de descoberta de DNS e gestão de certificados.
Passo 4: Estratégia de Provisionamento de Dispositivos
A colocação de perfis Passpoint nos dispositivos dos utilizadores é a principal consideração operacional. Estão disponíveis quatro abordagens:
| Método | Ideal Para | Mecanismo |
|---|---|---|
| Envio por MDM | Dispositivos corporativos geridos | O Intune, Jamf ou Workspace ONE enviam perfis automaticamente |
| Registo Online (OSU) | Implementações voltadas para o consumidor | Inscrição autónoma padronizada através do protocolo Passpoint OSU |
| Provisionamento via Aplicação | Membros de programas de fidelização | A aplicação móvel instala o perfil Passpoint após a autenticação |
| Inscrição por Código QR | Check-in na hotelaria | O código QR físico despoleta a instalação do perfil |
Passo 5: Configuração de Políticas e Segmentação de VLAN
Configure o seu controlador WLAN para transmitir os RCOIs de OpenRoaming adequados via ANQP. Implemente a atribuição dinâmica de VLAN através de atributos RADIUS para garantir que o tráfego de convidados é isolado das redes corporativas. Isto é inegociável para a conformidade com PCI-DSS em ambientes de Retalho e é uma boa prática em todos os setores.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Boas Práticas de Segurança e Conformidade
O OpenRoaming melhora fundamentalmente a postura de segurança do WiFi do local, passando de redes abertas e não encriptadas para uma segurança robusta de nível empresarial. Para uma análise mais aprofundada dos mecanismos de autenticação subjacentes, consulte Autenticação 802.1X: Proteger o Acesso à Rede em Dispositivos Modernos.
WPA3-Enterprise e Autenticação 802.1X
Ao contrário dos portais cativos onde o tráfego não é encriptado até ao início de sessão, o OpenRoaming utiliza encriptação WPA3-Enterprise desde o primeiro pacote. O processo de autenticação mútua 802.1X garante que o dispositivo do utilizador verifica criptograficamente a identidade da rede antes de transmitir quaisquer credenciais, eliminando o risco de pontos de acesso falsificados "Evil Twin" - uma vulnerabilidade que os portais cativos tradicionais não conseguem resolver.
Privacidade e Conformidade com o GDPR
Os portais captivos tradicionais recolhem frequentemente Informações de Identificação Pessoal (PII) extensas, criando encargos significativos de conformidade com o GDPR. O OpenRoaming autentica os utilizadores através de identificadores pseudónimos, tais como o atributo Chargeable-User-Identity (CUI). O local verifica se o utilizador é legítimo sem necessariamente recolher as suas PII em bruto, alinhando-se com os princípios de minimização de dados do GDPR e reduzindo o âmbito das suas obrigações de processamento de dados.
Segmentação de Rede e PCI-DSS
Para ambientes de Retail, a conformidade com o PCI-DSS é crítica. O tráfego de OpenRoaming deve ser estritamente segmentado dos sistemas de Ponto de Venda (POS) e das redes corporativas. Utilize a atribuição dinâmica de VLAN através de atributos RADIUS para isolar o tráfego de convidados imediatamente após a autenticação, colocando-o numa instância VRF apenas com uma rota de internet padrão e regras de negação explícitas para todo o espaço de endereçamento interno RFC 1918.
Casos de Estudo: OpenRoaming em Produção
Caso de Estudo 1: Centro de Convenções RAI Amsterdam (Eventos e Conferências)
O Centro de Convenções RAI Amsterdam, um dos maiores locais de eventos da Europa que acolhe 1,5 milhões de visitantes anualmente, implementou WiFi 6 com WBA OpenRoaming em 2023. No Cisco Live Europe, mais de 18 000 participantes tiveram acesso a conectividade OpenRoaming contínua, consumindo mais de 77 terabytes de dados ao longo de quatro dias. Os participantes passaram uma média de seis horas na rede. A implementação demonstrou como o OpenRoaming elimina o pico de ligações que normalmente ocorre quando as portas do evento se abrem, distribuindo a carga de autenticação uniformemente pela federação. Para interfaces de Transport e centros de conferências, este caso de estudo é a prova de conceito definitiva.
Caso de Estudo 2: Cadeia de Retalho Delhaize (Retail)
O grupo de retalho belga Delhaize implementou o OpenRoaming em toda a sua rede de lojas para melhorar a conectividade dos clientes e otimizar as operações. A implementação resolveu problemas persistentes com as taxas de conversão do Captive Portal - um desafio que todos os operadores de Retail enfrentam, uma vez que os clientes optam cada vez mais por dados móveis em vez de utilizarem ecrãs de início de sessão manual. Ao permitir uma conectividade automática e segura para os utilizadores da aplicação de fidelização, a Delhaize aumentou a adoção de WiFi e melhorou a qualidade dos dados de análise em loja, apoiando diretamente as decisões de merchandising e utilização do espaço. Isto alinha-se com a tendência mais ampla de integração de WiFi Analytics com plataformas de inteligência de retalho.
Resolução de Problemas e Mitigação de Riscos
Embora o OpenRoaming simplifique a experiência do utilizador final, a infraestrutura subjacente é complexa. Os arquitetos de rede devem mitigar proativamente os modos de falha comuns:
Expiração de Certificado RadSec é o risco operacional mais crítico. As ligações mTLS dependem de certificados WBA PKI. Um certificado expirado irá interromper imediatamente o encaminhamento de federação, causando falhas de autenticação silenciosas. Implemente a monitorização com pelo menos 60 dias de aviso prévio e um processo de renovação definido.
Falhas de Resolução de DNS são a segunda causa mais comum de interrupções de OpenRoaming. A descoberta dinâmica de pares depende de uma resolução de DNS fiável de registos NAPTR e SRV. Certifique-se de que os seus proxies RADIUS têm encaminhadores DNS redundantes e de elevado desempenho configurados e teste a resolução de DNS como parte das suas verificações regulares de integridade de rede.
Compatibilidade com Dispositivos Legados deve ser planeada durante a transição. Embora os dispositivos modernos iOS, Android, Windows e macOS suportem Passpoint nativamente, os dispositivos mais antigos não o fazem. Mantenha uma rede de WiFi de Convidados tradicional paralela durante o período de transição para garantir uma cobertura universal.
Configuração Incorreta do Proxy RADIUS pode causar falhas de encaminhamento baseadas em domínios. Certifique-se de que o seu proxy lida corretamente com o domínio EAP-Identity e que os seus registos DNS NAPTR estão formatados corretamente para a descoberta RFC 7585. Teste com múltiplos domínios de IDP antes de entrar em produção.
ROI e Impacto no Negócio
O caso de negócio para o OpenRoaming vai muito além da elegância técnica. Os operadores de recintos podem esperar retornos mensuráveis através de vários vetores:
| Métrica | Resultado Típico | Fonte |
|---|---|---|
| Redução de pedidos de suporte de WiFi | Decréscimo de 70-80% | Relatórios de implementação da WBA |
| Aumento da taxa de adoção de WiFi | Aumento de 40-50% | Dados de implementação em aeroportos da WBA |
| Consumo de dados por utilizador | Significativamente maior vs. Captive Portal | Estudo de caso da RAI Amesterdão |
| Risco de conformidade de PII | Substancialmente reduzido | Modelo de ID pseudónimo do GDPR |
Ao adotar o OpenRoaming, os recintos fornecem as Modern Hospitality WiFi Solutions Your Guests Deserve, transformando o WiFi de um serviço público frustrante num facilitador invisível e contínuo da experiência digital. A integração com plataformas de WiFi Analytics torna-se mais valiosa à medida que taxas de adesão mais elevadas produzem conjuntos de dados mais ricos e representativos. Para as organizações que exploram o panorama mais amplo da modernização da rede, o artigo The Core SD WAN Benefits for Modern Businesses fornece um contexto complementar sobre como o OpenRoaming se enquadra numa arquitetura de rede moderna e definida por software.
O setor da Saúde também beneficiará significativamente, com o OpenRoaming a permitir uma conectividade segura e automática para médicos visitantes e dispositivos IoT médicos - sem os riscos de conformidade das redes abertas de convidados ou a sobrecarga operacional da gestão de Captive Portal por dispositivo.
Definições Principais
Passpoint (Hotspot 2.0)
Um programa de certificação da WiFi Alliance baseado em IEEE 802.11u que permite aos dispositivos detetar e autenticar-se automaticamente em redes WiFi sem intervenção do utilizador, utilizando credenciais pré-configuradas.
A tecnologia fundamental que torna possível a experiência fluida de OpenRoaming no dispositivo do utilizador final. Sem suporte Passpoint tanto no AP como no dispositivo, o OpenRoaming não funciona.
RadSec
Um protocolo (RFC 6614) que transporta pacotes RADIUS através de uma ligação TCP e TLS, fornecendo uma entrega encriptada, fiável e autenticada de sinalização de autenticação.
Utilizado para proteger o tráfego de autenticação que atravessa a internet pública entre o proxy RADIUS do local e a federação global OpenRoaming. Substitui o modelo legado de túnel IPSec.
RCOI (Roaming Consortium Organisation Identifier)
Um identificador de 3 ou 5 octetos transmitido pelos pontos de acesso em beacons 802.11 e respostas ANQP para indicar quais as federações de roaming e políticas de liquidação que a rede suporta.
Os dispositivos leem o RCOI para determinar se possuem credenciais válidas para se ligarem antes de tentarem a autenticação. O RCOI livre de liquidação financeira (5A-03-BA) é o padrão para implementações empresariais.
ANQP (Access Network Query Protocol)
Um protocolo IEEE 802.11 utilizado pelos dispositivos para consultar pontos de acesso sobre informações de rede - incluindo RCOIs suportados, nome do local e lista de domínios NAI - antes da associação.
Permite que os dispositivos avaliem silenciosamente se uma rede suporta as suas credenciais sem interromper o utilizador ou iniciar uma tentativa de ligação.
Identity Provider (IDP)
Uma organização que gere as identidades dos utilizadores e emite as credenciais Passpoint (certificados ou perfis) utilizadas para a autenticação OpenRoaming.
As operadoras móveis, departamentos de TI corporativos e programas de fidelização atuam como IDPs. O IDP autentica o utilizador e sinaliza o resultado ao ANP através da federação RADIUS.
Access Network Provider (ANP)
O local ou organização que opera a infraestrutura física de WiFi, transmite RCOIs OpenRoaming e aplica as políticas de acesso locais.
Hotéis, estádios, lojas de retalho e escritórios corporativos atuam como ANPs. O ANP controla o que os utilizadores autenticados podem aceder, independentemente de qual IDP os autenticou.
WBA PKI
A infraestrutura de chaves públicas (PKI) de quatro níveis gerida pela Wireless Broadband Alliance, utilizada para emitir os certificados mTLS necessários para ligações RadSec entre os participantes da federação.
Fornece a confiança criptográfica fundamental que permite a milhares de redes independentes federarem-se de forma segura sem acordos bilaterais pré-estabelecidos.
802.1X
Uma norma IEEE para controlo de acesso à rede baseado em portas que fornece um mecanismo de autenticação para dispositivos que se desejam ligar a uma LAN ou WLAN, utilizando métodos EAP (Extensible Authentication Protocol).
A estrutura de segurança robusta que sustenta o OpenRoaming. Evita o acesso não autorizado e permite a encriptação WPA3-Enterprise desde o primeiro pacote de dados.
Chargeable-User-Identity (CUI)
Um atributo RADIUS (RFC 4372) que fornece um identificador pseudónimo e estável para um utilizador em múltiplas sessões, sem expor a sua identidade real à rede de acesso.
Permite aos locais monitorizar visitantes únicos para fins analíticos, minimizando a recolha de PII, apoiando diretamente a conformidade com a minimização de dados do GDPR.
Exemplos Práticos
Um hotel de luxo de 500 quartos utiliza atualmente um portal cativo que exige que os hóspedes iniciem sessão com o número do quarto e o apelido. Estão a registar um volume elevado de pedidos de suporte e pontuações baixas de satisfação dos hóspedes relativamente ao WiFi. Desejam implementar o OpenRoaming, mas temem perder a capacidade de escalonar a largura de banda para hóspedes VIP e membros do programa de fidelização.
O hotel deve implementar o OpenRoaming utilizando o RCOI sem liquidação (5A-03-BA), com a aplicação de fidelização do hotel a funcionar como Provedor de Identidade (IDP). Quando um membro de fidelização VIP se autentica, a resposta RADIUS Access-Accept do IDP inclui Atributos Específicos do Fabricante (VSAs) que instruem o controlador WLAN do hotel a atribuir o utilizador a um perfil de QoS premium e a uma VLAN dedicada de alta largura de banda. Os hóspedes padrão autenticados através de um IDP de terceiros (por exemplo, o seu operador móvel) recebem o perfil de QoS predefinido. O servidor RADIUS do hotel atua como o ponto de aplicação de políticas, traduzindo os atributos de identidade fornecidos pelo IDP em políticas de rede locais.
Uma grande cadeia de retalho com 200 lojas quer implementar o OpenRoaming para melhorar a conectividade dos clientes e alimentar a sua plataforma de WiFi Analytics com dados de tráfego de visitantes mais ricos. A sua equipa de segurança está preocupada com a conformidade PCI-DSS e com o risco de os dispositivos dos visitantes acederem à rede corporativa ou aos sistemas de ponto de venda.
A cadeia de retalho deve implementar uma segmentação de rede rigorosa como pré-requisito para a implementação. O SSID OpenRoaming tem de ser mapeado para uma VLAN de visitantes isolada na camada de acesso (o AP ou switch de distribuição). O servidor RADIUS deve aplicar a atribuição dinâmica de VLAN, garantindo que todos os utilizadores autenticados por OpenRoaming sejam colocados numa instância VRF apenas com uma rota predefinida para a internet e regras ACL de negação explícitas para todo o espaço de endereçamento interno RFC 1918. O proxy RADIUS OpenRoaming deve ser implementado numa DMZ, sem rota de encaminhamento direta para a rede corporativa. Um teste de intrusão trimestral deve verificar se o limite de segmentação se mantém eficaz.
Perguntas de Prática
Q1. O seu local está a registar falhas frequentes de autenticação silenciosa para um subconjunto de utilizadores OpenRoaming. As capturas de pacotes confirmam que a resposta EAP-Identity é recebida pelo AP, mas nenhum RADIUS Access-Request chega ao Identity Provider. Qual é o ponto de falha arquitetónico mais provável e como o diagnosticaria?
Dica: Considere os passos necessários para que o proxy RADIUS localize o destino correto para o domínio específico do utilizador antes de poder encaminhar o pedido de autenticação.
Ver resposta modelo
O ponto de falha mais provável é a resolução de DNS no proxy RADIUS. O OpenRoaming baseia-se na descoberta dinâmica (RFC 7585), exigindo que o proxy execute uma consulta DNS NAPTR/SRV no domínio fornecido no EAP-Identity. Se o DNS falhar, o proxy não consegue determinar o endereço IP do servidor RadSec do IDP, resultando numa falha silenciosa. Diagnostique executando uma consulta manual NAPTR a partir do proxy RADIUS para o domínio afetado, verificando se os registos SRV corretos são devolvidos e se o IP do servidor RadSec está acessível na porta 2083.
Q2. O diretor de TI de um hospital deseja implementar o OpenRoaming para melhorar a conectividade dos médicos visitantes e dos dispositivos IoT médicos, mas exige que todo o tráfego de convidados seja encriptado por via aérea a partir do momento da ligação para cumprir a política de segurança interna. Atualmente, utilizam um Captive Portal com WPA2-Personal (PSK). O OpenRoaming satisfaz este requisito e como difere o modelo de encriptação?
Dica: Compare o tempo de encriptação dos portais cativos em comparação com a autenticação baseada em 802.1X e considere o que acontece ao tráfego antes de o início de sessão no Captive Portal ser concluído.
Ver resposta modelo
Sim, o OpenRoaming satisfaz plenamente este requisito. Com um Captive Portal, o tráfego não é encriptado por via aérea até que o utilizador conclua o processo de início de sessão - criando uma janela de vulnerabilidade. O OpenRoaming utiliza autenticação 802.1X e WPA3-Enterprise (ou WPA2-Enterprise), o que estabelece uma sessão encriptada única e criptograficamente segura através de um handshake de 4 vias imediatamente após a autenticação bem-sucedida, antes de qualquer dado do utilizador ser transmitido. Cada sessão utiliza uma PMK única derivada da troca EAP, garantindo uma encriptação por sessão muito mais forte do que o modelo de PSK partilhada.
Q3. Está a configurar o controlador WLAN para uma nova implementação num estádio que irá participar na federação OpenRoaming sem liquidação (settlement-free). Um colega sugere também a transmissão do RCOI liquidado para maximizar a compatibilidade. Quais são as implicações de transmitir ambos os RCOIs em simultâneo e qual é a sua recomendação?
Dica: Considere as implicações comerciais e operacionais do RCOI liquidado e a forma como os dispositivos priorizam a correspondência de RCOI.
Ver resposta modelo
A transmissão do RCOI liquidado (BA-A2-D0) juntamente com o RCOI sem liquidação (5A-03-BA) é tecnicamente possível, mas acarreta um risco comercial significativo. O RCOI liquidado sinaliza aos Fornecedores de Identidade que o ANP espera compensação financeira pela conectividade. Isto pode dissuadir os IDPs de permitir a ligação dos seus utilizadores, uma vez que incorreriam em custos. Para um estádio que procura a máxima adoção por parte dos utilizadores e uma conectividade contínua, a transmissão exclusiva do RCOI sem liquidação é a abordagem correta. O RCOI liquidado só deve ser utilizado quando existir um acordo de liquidação comercial específico com os IDPs relevantes.
Perguntas frequentes
O que é o WBA OpenRoaming e de que forma substitui os captive portals tradicionais?
O Wireless Broadband Alliance (WBA) OpenRoaming é uma federação global de WiFi assente em Passpoint (Hotspot 2.0 / IEEE 802.11u) e RadSec (RFC 6614). Permite que os dispositivos móveis descubram e se autentiquem em redes WiFi empresariais de forma automática, utilizando credenciais pré-instaladas, certificados ou perfis de operador, ignorando por completo os Captive Portals do navegador.
Qual é a diferença entre um Access Network Provider (ANP) e um Identity Provider (IdP)?
Um Access Network Provider (ANP) é um local ou operador de rede que fornece o acesso sem fios físico e transmite os RCOIs (Roaming Consortium OIs) do OpenRoaming. Um Identity Provider (IdP) é uma organização - como um operador móvel, universidade, empresa tecnológica ou programa de fidelização - que emite credenciais aos utilizadores e valida os pedidos de autenticação reencaminhados pelo ANP através da federação.
Quais são os Roaming Consortium Organization Identifiers (RCOIs) utilizados para o OpenRoaming?
O RCOI principal do WBA OpenRoaming é 5A-03-BA-00-00, que designa acesso recíproco e sem liquidação financeira. O descarregamento de tráfego de operadores comerciais com liquidação financeira utiliza o 5A-03-BA-01-00. Os locais também podem transmitir o RCOI legado 00-40-96 do Cisco OpenRoaming ou o RCOI 00-1B-C5 da eduroam para ambientes de dupla federação.
Porque é que o OpenRoaming exige o RadSec sobre a porta TCP 2083 em vez do RADIUS padrão?
O RADIUS padrão funciona através de UDP não encriptado (portas 1812/1813), o que expõe as identidades e credenciais dos utilizadores quando encaminhado através de backbones de internet pública. O OpenRoaming exige o RadSec (RFC 6614), encapsulando pacotes RADIUS em encriptação TLS 1.3 sobre a porta TCP 2083 com validação mútua de certificados X.509 (mTLS) para proteger a federação entre domínios.
De que forma é que a Purple permite que os locais empresariais implementem o OpenRoaming em conjunto com a análise de dados de convidados?
A Purple atua como um parceiro de federação WBA OpenRoaming de confiança, gerindo a conectividade de brokers RadSec, o aprovisionamento automatizado de perfis e os ciclos de vida dos certificados X.509 em hardware empresarial, incluindo Cisco, HPE Aruba, Ruckus e Mist. Os locais mantêm a análise de fluxo de visitantes em tempo real, a monitorização do tempo de permanência e a conformidade com o GDPR, enquanto oferecem aos convidados uma ligação WiFi simples e sem interrupções.
Continue a ler esta série
India DPDP Act: Conformidade de WiFi para Convidados em Espaços na Índia
Este guia técnico de referência oficial detalha a lei Digital Personal Data Protection (DPDP) Act 2023 para espaços na Índia que disponibilizam WiFi para convidados. Apresenta estratégias de conformidade acionáveis, considerações de arquitetura para Captive Portal e modelos práticos para retenção de dados e transferências transfronteiriças.
LGPD do Brasil e WiFi para Visitantes: Um Guia de Conformidade
Este guia de referência técnica detalha como a LGPD do Brasil se aplica a implementações empresariais de WiFi para visitantes, focando na conformidade do Captive Portal, bases legais para processamento e a interseção com o Marco Civil da Internet. Fornece orientações de implementação práticas para líderes de TI e arquitetos de rede para mitigar riscos regulatórios, mantendo a utilidade da rede.
Regulamento da UE sobre IA e Guest WiFi: O Que os Profissionais de Marketing Precisam de Saber
O Regulamento da UE sobre IA (Regulamento 2024/1689) introduz uma estrutura baseada no risco que afeta diretamente a forma como os operadores de espaços implementam marketing de WiFi baseado em IA, Captive Portals e análise de dados de visitantes. Este guia mapeia os quatro níveis de risco do Regulamento face a casos de uso reais de Guest WiFi, identifica práticas proibidas, incluindo a inferência de emoções e a classificação social, e fornece passos de conformidade práticos para equipas de TI e diretores de marketing que operam nos setores da hotelaria, retalho, eventos e ambientes do setor público. Compreender onde a sua implementação se posiciona no espetro de risco - e implementar as obrigações de transparência do Artigo 50 para chatbots de IA e portais conversacionais - já não é opcional: a aplicação das proibições de práticas começou em fevereiro de 2025.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.