So werden Sie zum Zugangsnetzwerk-Anbieter von OpenRoaming: Leitfaden für die Bereitstellung

Werden Sie in acht Schritten zum OpenRoaming Access Network Provider auf den Access Points, die Sie bereits besitzen. Sie fügen eine mit IEEE 802.1X gesicherte Passpoint (Hotspot 2.0) SSID hinzu, richten diese auf die Cloud-RADIUS von Purple aus und werben für die Kennung des OpenRoaming-Konsortiums. Purple, ein zertifizierter WBA-Identitätsbroker, verbindet Ihren Standort kostenlos über die Connect-Lizenz mit der Föderation.

{"slot":"hero","alt":"Ein Netzwerkmanager überprüft ein WLAN-Dashboard auf einem Laptop in einer Hotellobby, während ein Telefon im Vordergrund anzeigt, dass es automatisch mit dem WiFi verbunden ist","caption":"Ein OpenRoaming-Standort: Besucher mit einem Profil verbinden sich ohne Anmeldebildschirm mit verschlüsseltem WiFi.","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

Wie wird Ihr OpenRoaming-Standort nach dem Abschluss aussehen?

Jeder Standort sendet eine zusätzliche SSID mit aktivierter Passpoint-Funktion aus. Passpoint, auch Hotspot 2.0 genannt, basiert auf IEEE 802.11u. Es ermöglicht einem Telefon, ein Netzwerk zu finden und ihm beizutreten, ohne dass jemand es aus einer Liste auswählen muss.

Die SSID wirbt für den OpenRoaming Roaming Consortium Organisation Identifier (RCOI), das gemeinsame Tag der Föderation. Jedes Telefon, das ein passendes Profil von einem OpenRoaming Identity Provider besitzt, tritt selbstständig bei.

Die Anmeldung nutzt IEEE 802.1X, den portbasierten Authentifizierungsstandard hinter WPA2-Enterprise und WPA3-Enterprise. Der Datenverkehr ist vom ersten Paket an verschlüsselt. Es gibt kein Captive Portal, die Webseite, die vor dem Gewähren des Zugriffs nach einer E-Mail oder einem Gutschein fragt.

Die Authentifizierung läuft über die Cloud-RADIUS von Purple. RADIUS (Remote Authentication Dial-In User Service) ist das Protokoll, das Ihre Access Points verwenden, um zwei Fragen zu stellen: Soll dieses Gerät Zugang erhalten und auf welchem VLAN?

Am Ende verfügen Sie über:

• Eine Passpoint SSID pro Standort, die aus einer Vorlage erstellt und auf die Purple Cloud-RADIUS ausgerichtet ist.
• Ein isoliertes Besucher-VLAN, das von Mitarbeitern, Kassensystemen und Gebäudetechnik getrennt ist.
• Ihre bestehende Gäste-SSID und das Captive Portal, unverändert, für Besucher ohne Profil.
• Jede OpenRoaming-Anmeldung protokolliert für den jeweiligen Standort in Purple.
• Ihre Standorte gelistet unter mehr als 5 Millionen OpenRoaming Hotspots weltweit.

Was benötigen Sie, bevor Sie OpenRoaming beitreten?

Bestätigen Sie jede Zeile unten, bevor Sie ein Wartungsfenster buchen. Die Firmware ist das Element, das die meisten Rollouts verzögert.

{"caption":"Voraussetzungen für einen OpenRoaming-Standort","asOf":"2026-06-10","columns":[{"key":"item","label":"Voraussetzung"},{"key":"why","label":"Warum es wichtig ist"},{"key":"check","label":"So überprüfen Sie es"}],"rows":[["Purple Connect-Lizenz","OpenRoaming ist kostenlos in Connect enthalten","Prüfen Sie den Tarif für jeden Standort in Ihrem Purple-Konto"],["Passpoint-fähige Access Points","APs müssen das Interworking Element aussenden und ANQP-Anfragen beantworten","Hersteller-Datenblatt für jedes Modell"],["Hotspot 2.0-Firmware","Unterstützung erfolgt oft über Firmware, nicht Hardware","Installierte Version mit den Release Notes des Herstellers abgleichen"],["WPA2- oder WPA3-Enterprise","OpenRoaming authentifiziert sich mit IEEE 802.1X","Enterprise erscheint in den SSID-Sicherheitsoptionen"],["Dashboard- oder Controller-Admin-Rechte","Sie fügen einen RADIUS-Server und eine SSID hinzu","SSID-Einstellungen mit Ihrem eigenen Konto öffnen"],["Ausgehender RADIUS zu Purple","APs oder Controller müssen die Purple-Cloud-RADIUS erreichen","Firewall-Prüfung anhand der von Purple bereitgestellten Werte"],["Dediziertes Besucher-VLAN","Trennt Besucher vom Personal- und Zahlungsnetzwerk","VLAN auf Switch-Trunks und ein DHCP-Bereich mit ausreichend Kapazität"],["Test-Smartphone mit Profil","Weist die durchgängige Verbindung nach","Profil ist in den WiFi-Einstellungen des Smartphones aufgeführt"]],"footnote":"Die Unterstützung von Hotspot 2.0 variiert je nach Modell und Firmware-Release. Überprüfen Sie dies anhand der Dokumentation Ihres Herstellers, bevor Sie Arbeiten planen.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

Die Werte, die Sie eingeben werden

Purple stellt alle Federation-Werte während des Onboardings bereit. Kopieren Sie keine RCOI- oder Realm-Werte aus Forum-Beiträgen. Eine einzige falsche Ziffer verhindert, dass jedes mit einem Profil versehene Smartphone Ihr Netzwerk erkennt.

Wert	Woher er stammt	Wohin er gehört
RADIUS-Server-Hosts und -Ports	Ihr Purple-Onboarding-Paket	Controller- oder Dashboard-RADIUS-Einstellungen
Shared Secret für RADIUS	Ihr Purple-Onboarding-Paket	Die gleichen RADIUS-Einstellungen
RCOI-Werte	Purple, entsprechend der WBA OpenRoaming-Spezifikation	Die Hotspot 2.0-Einstellungen der SSID
NAI-Realm	Ihr Purple-Onboarding-Paket	Die Hotspot 2.0-Einstellungen der SSID
Name, Gruppe und Typ des Standorts	Sie	Hotspot 2.0-Standortinformationen
Besucher-VLAN-ID	Ihr Netzwerk-Team	SSID-VLAN-Einstellung oder RADIUS-Richtlinie

Wie funktioniert ein OpenRoaming Access Network Provider?

OpenRoaming ist eine Federation, die von der Wireless Broadband Alliance (WBA) betrieben wird. Sie umfasst zwei Rollen. Ein Access Network Provider (ANP) betreibt die Access Points - das sind Sie. Ein Identity Provider (IDP) stellt die Anmeldeinformationen des Besuchers aus und überprüft diese. Typische Identity Provider sind Mobilfunkbetreiber, Gerätehersteller und App-Publisher.

Ein Anmeldevorgang läuft in sechs Phasen ab:

1. Ihr Access Point sendet ein Interworking Element aus, das die OpenRoaming RCOI enthält.
2. Ein Smartphone mit einem passenden Profil sendet eine ANQP-Anfrage (Access Network Query Protocol). Es liest die Details zu Ihrem Standort, Realm und Konsortium aus, bevor es die Verbindung herstellt.
3. Das Smartphone verbindet sich und startet 802.1X. Seine EAP-Methode (Extensible Authentication Protocol) hängt vom Identity Provider ab.
4. Ihr Access Point sendet die Anfrage an die Purple Cloud-RADIUS.
5. Purple leitet sie über RadSec durch die Federation weiter - dabei handelt es sich um RADIUS innerhalb von TLS (RFC 6614). OpenRoaming findet den richtigen Identity Provider durch DNS-basierte dynamische Peer-Discovery (RFC 7585).
6. Der Identity Provider akzeptiert die Anmeldeinformationen. Purple wendet Ihre Standort-Richtlinie an, einschließlich des VLANs, und der Access Point installiert die Verschlüsselungsschlüssel.

Purple übernimmt den Federation-Teil. Die WBA-Zertifikate, RadSec-Sitzungen und das Realm-Routing befinden sich in der Cloud-RADIUS von Purple, nicht auf Ihrem Controller. Die Anmeldeinformationen des Besuchers werden von dessen Identity Provider innerhalb des EAP-Austauschs überprüft, sodass Ihr Standort diese niemals speichert. Der Identity Provider Leitfaden erklärt, wie diese Vertrauensstellung aufgebaut wird.

{"kind":"flow","direction":"lr","caption":"Wie eine OpenRoaming-Anmeldung Ihr Netzwerk durchläuft","alt":"Ablauf von einem Besuchergerät über Ihren Access Point und die Purple Cloud-RADIUS zur OpenRoaming-Federation und dem Identity Provider des Besuchers, der damit endet, dass das Gerät im Besucher-VLAN online ist.","nodes":[{"id":"a","label":"Besuchergerät","sub":"Enthält ein OpenRoaming-Profil","tone":"neutral"},{"id":"b","label":"Ihr Access Point","sub":"Sendet RCOI-Beacons und antwortet auf ANQP","tone":"brand"},{"id":"c","label":"Purple Cloud-RADIUS","sub":"Empfängt 802.1X und wendet Standort-Richtlinien an","tone":"brand"},{"id":"d","label":"OpenRoaming-Federation","sub":"RadSec über TLS mit WBA-Zertifikaten","tone":"neutral"},{"id":"e","label":"Identity Provider","sub":"Prüft die Anmeldeinformationen des Besuchers","tone":"neutral"},{"id":"f","label":"Online im Besucher-VLAN","sub":"Verschlüsselt, kein Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"ANQP-Abfrage","style":"solid"},{"from":"b","to":"c","label":"802.1X über RADIUS","style":"solid"},{"from":"c","to":"d","label":"Realm-Suche","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN zugewiesen","style":"solid"}]}

Wie richten Sie OpenRoaming Schritt für Schritt ein?

Gehen Sie die Schritte der Reihe nach durch, während Ihr Dashboard geöffnet ist. Jeder Schritt enthält eine Überprüfung, und Sie sollten erst fortfahren, wenn diese erfolgreich war. Unterschiede zwischen verschiedenen Herstellern werden im übernächsten Abschnitt behandelt.

{"title":"Werden Sie ein OpenRoaming Access Network Provider","steps":[{"title":"OpenRoaming in Purple aktivieren","body":"Bestätigen Sie, dass Ihre Connect-Lizenz alle betroffenen Standorte abdeckt, und akzeptieren Sie die OpenRoaming-Bedingungen. Purple, ein zertifizierter WBA Identity Broker, schließt das Föderations-Onboarding ab.","check":"Purple zeigt OpenRoaming für jeden betroffenen Standort als aktiviert an."},{"title":"Access Point Firmware überprüfen","body":"Listen Sie jedes Modell und seine aktuelle Firmware auf. Prüfen Sie die Release Notes der Hersteller auf Hotspot 2.0-Unterstützung und schließen Sie zuerst etwaige Lücken.","check":"Jedes Modell auf Ihrer Inventarliste ist als Passpoint-ready markiert."},{"title":"Purple Cloud RADIUS hinzufügen","body":"Fügen Sie die RADIUS-Hosts, Ports und das Shared Secret aus Ihrem Purple-Onboarding-Paket hinzu. Erlauben Sie diesen ausgehenden Verkehr auf Ihrer Firewall.","check":"Eine Test-Authentifizierung erhält eine Antwort und keinen Timeout."},{"title":"Die OpenRoaming SSID erstellen","body":"Erstellen Sie eine neue SSID mit WPA2- oder WPA3-Enterprise (802.1X) Sicherheit, die auf Purple RADIUS verweist. Verknüpfen Sie keine Splash Page.","check":"Ein Scan zeigt die SSID als Enterprise-Netzwerk an."},{"title":"Passpoint einschalten","body":"Aktivieren Sie Hotspot 2.0 auf der SSID. Geben Sie die von Purple bereitgestellten RCOI- und NAI-Realm-Werte sowie Standortname, Standorttyp und Internetzugang ein.","check":"Ein WiFi-Analysator zeigt das Interworking-Element und RCOI im Beacon an."},{"title":"VLAN und Isolierung festlegen","body":"Ordnung Sie die SSID dem Besucher-VLAN zu oder akzeptieren Sie das von Purple zurückgegebene VLAN. Aktivieren Sie die Client-Isolierung und ein Ratenlimit pro Gerät.","check":"Ein Testgerät erhält eine Adresse aus dem Besucher-DHCP-Bereich."},{"title":"Pilotbetrieb an einem Standort","body":"Bringen Sie ein Mobilgerät mit einem OpenRoaming-Profil in Reichweite. Es sollte sich ohne Aufforderung und ohne Portal verbinden.","check":"Purple protokolliert die Authentifizierung für den Pilot-Standort."},{"title":"Rollout per Vorlage","body":"Übertragen Sie die SSID über Standortvorlagen oder Netzwerkgruppen, eine Region nach der anderen. Wiederholen Sie die Pilotprüfungen an einer Stichprobe von Standorten.","check":"Jeder Standort verzeichnet OpenRoaming-Authentifizierungen in Purple."}]}

Separate SSID oder eine bestehende nutzen?

Erstellen Sie eine neue SSID für OpenRoaming. Ihr Mitarbeiter-Netzwerk vertraut Ihrem eigenen Identitätsanbieter. OpenRoaming vertraut jedem Identitätsanbieter in der Föderation. Die Zusammenführung beider auf einer SSID vermischt deren Standardrichtlinien.

{"tone":"warning","title":"Fügen Sie Passpoint niemals zu Ihrer Mitarbeiter-SSID hinzu","text":"Ein OpenRoaming-Besucher kann sich über jeden Identitätsanbieter in der Föderation authentifizieren. Auf einer Mitarbeiter-SSID ohne separate VLAN-Richtlinie landet dieser Besucher in Ihrem Mitarbeiter-Netzwerk."}

WPA2 oder WPA3-Enterprise?

Wählen Sie WPA3-Enterprise, wenn jedes Client- und Access Point-Modell dies unterstützt. Nutzen Sie andernfalls den vom Hersteller angebotenen gemischten WPA2- und WPA3-Modus. Weichen Sie nicht auf WPA2-Personal aus, da Passpoint 802.1X erfordert.

{"tone":"tip","text":"Geben Sie der Passpoint-SSID einen Namen, den Ihre Mitarbeiter bei einem Scan wiedererkennen, und ändern Sie ihn danach nicht mehr. Geräte mit Profil stimmen mit der RCOI und der Realm überein, nicht mit dem SSID-Namen - eine spätere Umbenennung führt also nicht zu Problemen bei der Anmeldung."}

Wie prüfen Sie, ob OpenRoaming funktioniert?

Prüfen Sie auf drei Ebenen: Funknetz, Authentifizierung und Richtlinie. Ein Fehler auf einer unteren Ebene verdeckt alles darüber – arbeiten Sie sich daher von unten nach oben vor.

Die Funknetzebene kommt zuerst. Verwenden Sie einen WiFi-Analysator, um zu bestätigen, dass das Interworking-Element und die RCOI im Beacon erscheinen. Bestätigen Sie anschließend, dass der Access Point auf ANQP antwortet. Ein Linux-Laptop mit wpa_supplicant und Interworking-Unterstützung kann die ANQP-Antwort direkt auslesen. Ersetzen Sie den Schnittstellennamen und die BSSID durch Ihre eigenen Daten.

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

Die Ausgabe sollte Ihren Standortnamen, die RCOI-Werte und den von Purple bereitgestellten NAI-Realm auflisten. Wenn das Feld für das Roaming-Konsortium leer ist, gehen Sie zurück zu Schritt 5.

Als Nächstes folgt die Authentifizierung. Bringen Sie ein profiliertes Endgerät mit aktiviertem WiFi in Reichweite. Es sollte sich ohne Aufforderung verbinden. Purple sollte dann eine akzeptierte Authentifizierung für diesen Standort protokollieren. Ein Endgerät ohne Profil sollte sich nicht mit der Passpoint SSID verbinden. Das ist das korrekte Verhalten und kein Fehler.

Zuletzt kommt die Richtlinie. Überprüfen Sie die Adresse, die Isolation und die Reichweite eines verbundenen Geräts.

{"title":"OpenRoaming-Go-Live-Prüfungen","groups":[{"heading":"Funknetz","items":[{"text":"SSID auf jedem Access Point am Standort sichtbar"},{"text":"Interworking-Element und RCOI im Beacon vorhanden"},{"text":"ANQP gibt Standortname, Roaming-Konsortium und NAI-Realm zurück"}]},{"heading":"Authentifizierung","items":[{"text":"Profiliertes Endgerät verbindet sich ohne Aufforderung"},{"text":"Purple protokolliert eine akzeptierte Authentifizierung für den Standort"},{"text":"Endgerät ohne Profil bleibt in der Gäste-SSID","why":"Bestätigt, dass die zwei Netzwerke unabhängig sind"}]},{"heading":"Richtlinie","items":[{"text":"Geräteadresse liegt im Besucher-DHCP-Bereich"},{"text":"Gerät kann keinen anderen Client in der SSID erreichen"},{"text":"Gerät kann keine Mitarbeiter- oder Zahlungs-Subnetze erreichen","why":"Nachweis für PCI-DSS-Segmentierung"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

Wie unterscheiden sich die Schritte bei Meraki, Aruba, Ruckus, Mist und UniFi?

Die acht Schritte sind auf jeder Plattform identisch. Der einzige Unterschied liegt darin, wo sich Hotspot 2.0 in der jeweiligen Konsole befindet. Befolgen Sie die Dokumentation Ihres Herstellers für Ihre Firmware-Version und geben Sie die von Purple bereitgestellten Werte ein.

{"title":"Passpoint nach Access-Point-Plattform","tabs":[{"label":"Cisco Meraki","body":"Meraki stellt Hotspot 2.0 als Einstellung pro SSID auf unterstützten Modellen und Firmware-Versionen bereit.","bullets":["Richten Sie Enterprise-Sicherheit mit Purple RADIUS auf der SSID ein","Taggen Sie das Besucher-VLAN auf der SSID oder akzeptieren Sie ein via RADIUS zugewiesenes VLAN","Verwenden Sie Konfigurationsvorlagen für den Rollout an mehreren Standorten","Detail: [Passpoint auf Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba stellt Passpoint aus Hotspot 2.0- und ANQP-Einstellungen zusammen, die an das WLAN gebunden sind, direkt neben den 802.1X-Servereinstellungen.","bullets":["Prüfen Sie, ob Standorte unter Aruba Central oder Controllern laufen, da sich der Pfad unterscheidet","Binden Sie die RCOI- und Realm-Werte an die Hotspot 2.0-Einstellungen des WLANs","Mappen Sie das Besucher-VLAN auf dem WLAN"]},{"label":"Ruckus","body":"Auf SmartZone verwendet Passpoint ein Hotspot 2.0-Betreiberprofil, das mit einem Identity-Provider-Profil und dem WLAN verknüpft ist.","bullets":["Geben Sie RCOI und Realm im Identity-Provider-Profil ein","Fügen Sie Purple RADIUS als Authentifizierungsdienst hinzu","Wenden Sie die Einstellungen über Zone-Templates für mehrere Standorte an"]},{"label":"Juniper Mist","body":"Mist stellt Hotspot 2.0 auf dem WLAN neben der Enterprise-Sicherheit ein.","bullets":["Erstellen Sie das WLAN in einer WLAN-Vorlage, damit jeder Standort es erbt","Geben Sie die von Purple bereitgestellten RCOI-, Realm- und Venue-Werte ein","Legen Sie das Besucher-VLAN auf dem WLAN fest"]},{"label":"Ubiquiti UniFi","body":"Die Unterstützung von Hotspot 2.0 hängt von Ihrer UniFi Network-Anwendung und der Access-Point-Firmware ab.","bullets":["Bestätigen Sie das Vorhandensein der Hotspot 2.0-Einstellungen, bevor Sie Termine planen","Richten Sie das WLAN auf Purple RADIUS mit Enterprise-Sicherheit aus","Weisen Sie das Besucher-VLAN auf dem WLAN zu"]}]}

Was geht am häufigsten schief und wie beheben Sie es?

Die meisten Fehler lassen sich auf eine von sieben Ursachen zurückführen. Identifizieren Sie das Symptom und beheben Sie die Ursache, bevor Sie erneut testen.

Symptom	Wahrscheinliche Ursache	Behebung
SSID sichtbar, profilierte Smartphones verbinden sich nie	RCOI fehlt oder falsch eingegeben	Geben Sie die RCOI-Werte von Purple erneut ein und überprüfen Sie den Beacon
Kein Interworking-Element im Beacon	Modell oder Firmware unterstützt kein Hotspot 2.0	Aktualisieren Sie die Firmware oder schließen Sie dieses Modell von der SSID aus
Smartphone versucht Verbindung, schlägt dann fehl	Shared Secret stimmt nicht überein oder RADIUS blockiert	Geben Sie das Secret erneut ein und öffnen Sie die ausgehende Firewall-Regel
Smartphone verbindet sich, erhält aber keine Adresse	VLAN nicht getrunkt oder DHCP-Bereich voll	Trunkieren Sie das VLAN zu den AP-Switch-Ports und erweitern Sie den Bereich
Besucher können die Geräte anderer sehen	Client-Isolierung ausgeschaltet	Aktivieren Sie die Isolierung auf der SSID
Pilotprojekt funktioniert, einige Standorte schlagen fehl	Vorlage nicht angewendet oder ältere Firmware	Vergleichen Sie den fehlerhaften Standort mit der Vorlage und der Firmware-Liste
Test-Smartphone ohne Profil kann sich nicht verbinden	Erwartetes Verhalten	Installieren Sie ein Profil oder nutzen Sie die Gäste-SSID

Der RCOI-Fehler kommt am häufigsten vor, da nichts defekt aussieht. Die SSID sendet aus und die Funkmodule wirken einsatzbereit, aber kein Smartphone findet eine Übereinstimmung. Führen Sie immer die ANQP-Prüfung durch, bevor Sie die Ursache beim Endgerät suchen.

Firewall-Fehler werden in Purple als Zeitüberschreitungen und nicht als Ablehnungen angezeigt. Eine Ablehnung bedeutet, dass die Anfrage angekommen ist und die Anmeldeinformationen fehlerhaft waren. Eine Zeitüberschreitung bedeutet, dass die Anfrage nie angekommen ist. Überprüfen Sie daher zuerst den Netzwerkpfad.

Wenn ein Schritt nach diesen Korrekturen immer noch fehlschlägt, gehen Sie die Passpoint-Konfiguration auf Cisco Meraki für die detaillierte Prüfsequenz durch. Die gleiche Reihenfolge der Prüfungen gilt für jeden Anbieter.

Wo OpenRoaming in Ihrem sicheren Netzwerk angesiedelt ist

Purple Access führt drei Netzwerke auf den Access Points aus, die Sie besitzen. Das offene Netzwerk übernimmt die Anmeldung über das Captive Portal und das BYOD-Onboarding. Das sichere Netzwerk überträgt EAP-TLS, Identitätsanbieter, Passpoint und Cloud-RADIUS. Das xPSK-Netzwerk gibt jedem Gerät oder Bewohner seinen eigenen Schlüssel. In allen drei Netzwerken legt die Identität das VLAN fest.

OpenRoaming gehört in das sichere Netzwerk. Mitarbeiter auf derselben Plattform nutzen EAP-TLS mit Zertifikaten, die an Microsoft Entra ID, Okta oder Google Workspace gebunden sind. Beide Gruppen authentifizieren sich über Purple Cloud-RADIUS auf separaten SSIDs und separaten VLANs. Die Säule für sichere Netzwerke deckt Zertifikate, Identität und Passpoint zusammen ab. Die Übersicht über sichere Netzwerke zeigt, wie die drei Netzwerke zusammenpassen.

Zwei Add-ons ergänzen diese Einrichtung. Guest Marketing aus Ihrem Captive Portal läuft über Engage, was im Guide für Guest WiFi behandelt wird. DNS-Filtering für Besucher-Traffic läuft über Shield.

Praxisszenario: ein stadtweites Netzwerk in Newcastle

Die Ausgangslage: Studierende bewegten sich zwischen dem Campus, dem Stadtzentrum und den Straßenbahnen. Jeder Ort bedeutete ein anderes Netzwerk und eine erneute Anmeldung.

Was gemacht wurde: Purple hat Newcastle zum weltweit ersten stadtweiten OpenRoaming-Netzwerk ausgebaut. Purple fungierte als Identitäts-Broker über die gesamte Föderation hinweg.

Das Ergebnis: Mehr als 53.000 Studierende wechseln jetzt nahtlos zwischen Campus, Stadt und Straßenbahn, ohne sich erneut anzumelden.

{"tone":"proof","title":"Newcastle","text":"Purple betreibt Newcastle, das weltweit erste stadtweite OpenRoaming-Netzwerk. Mehr als 53.000 Studierende nutzen es für nahtloses Roaming zwischen Campus, Stadt und Straßenbahn."}

Praxisszenario: eine exemplarische Hotelgruppe mit 40 Standorten auf Cisco Meraki

Die Ausgangslage: Gäste stießen in jedem Hotel auf ein Captive Portal und mussten den Vorgang bei jedem Aufenthalt wiederholen. Die IT wünschte sich eine verschlüsselte Anmeldung, ohne neue Hardware kaufen zu müssen.

Was gemacht wurde: Das Team führte das Firmware-Audit aus Schritt 2 über alle 40 Hotels hinweg durch. Es erstellte eine Passpoint-SSID in einer Meraki-Konfigurationsvorlage. Das Besucher-VLAN wurde von den Property-Management- und Zahlungssystemen getrennt gehalten. Die bestehende Gäste-SSID und das Portal blieben für Gäste ohne Profil bestehen.

Das Ergebnis: 40 Hotels laufen auf einer Vorlage, mit einer neuen SSID pro Hotel und null neuen Access Points. Gäste mit einem OpenRoaming-Profil verbinden sich verschlüsselt ohne Portal.

Verteilen Sie Profile für verwaltete Unternehmensgeräte über Ihr MDM; siehe Bereitstellung eines Passpoint-Profils mit Intune. Lizenzierungs- und Funktionsdetails finden Sie auf der Passpoint- und OpenRoaming-Produktseite.

Häufig gestellte Fragen

Wie viel kostet es, ein OpenRoaming-Zugangsnetzwerk-Anbieter zu werden?

OpenRoaming ist kostenlos in der Purple Connect-Lizenz enthalten. Wenn Ihre Access Points Hotspot 2.0 bereits in der Firmware unterstützen, müssen Sie auch keine neue Hardware kaufen. Ihre Hauptkosten bestehen aus Personalaufwand: dem Firmware-Audit, einer SSID pro Standort und einem Pilotprojekt an einem Standort. Sicherheits-Add-ons wie SecurePass, Verify und Shield sind separate Optionen. Fügen Sie diese nur hinzu, wenn Ihre Risikoanalyse dies erfordert.

Funktioniert OpenRoaming auf den Access Points, die wir bereits besitzen?

Ja, sofern Ihre Modelle und Ihre Firmware Passpoint unterstützen. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Die Unterstützung von Hotspot 2.0 hängt vom Modell und der Firmware-Version ab. Führen Sie das Audit aus Schritt 2 durch, bevor Sie sich auf Termine festlegen. Ältere Modelle ohne Unterstützung bedienen weiterhin Ihre anderen SSIDs.

Benötigen wir weiterhin ein Captive Portal?

Ja, behalten Sie es bei. OpenRoaming bedient nur Geräte, die bereits ein Profil von einem Federation-Identitätsanbieter besitzen. Jeder andere Besucher benötigt weiterhin Ihr offenes Gäste-SSID mit einem Captive Portal oder BYOD-Onboarding-Prozess. Betreiben Sie beides parallel auf denselben Access Points. Der Leitfaden Passpoint vs. Captive Portal behandelt, wann die jeweilige Anmeldung die richtige Wahl ist.

Benötigen wir eine eigene WBA-Mitgliedschaft, um OpenRoaming zu nutzen?

Nein. Purple ist ein zertifizierter WBA-Identitäts-Broker, sodass Ihre Standorte dem Verbund über Ihr Purple-Konto beitreten. Sie akzeptieren die OpenRoaming-Bedingungen, wenn Sie es in Schritt 1 aktivieren. Die Cloud-RADIUS von Purple verwaltet dann die Verbundzertifikate und übernimmt das RadSec-Routing. Ihre Controller und Dashboards speichern niemals WBA-Zertifikate, sodass auf Ihrer Seite keine zusätzlichen Verlängerungen anfallen.

Wie wirkt sich OpenRoaming auf unsere GDPR- und PCI DSS-Audits aus?

Es liefert Ihnen Nachweise für beides, anstatt eines Konformitätszertifikats. Die Anmeldeinformationen der Besucher werden von ihrem Identitätsanbieter innerhalb des EAP-Austauschs überprüft, sodass Ihr Standort diese nicht speichert. Die Isolierung von OpenRoaming auf einem eigenen VLAN außerhalb der Karteninhaber-Datenumgebung dient als Nachweis für die PCI DSS-Scoping-Beurteilung. Purple verfügt über eine ISO 27001- und Cyber Essentials-Zertifizierung, was Ihre Lieferanten-Due-Diligence unterstützt.

Kann OpenRoaming parallel zu unserem Mitarbeiter-802.1X-Netzwerk betrieben werden?

Ja, auf einer separaten SSID. Mitarbeiter nutzen weiterhin EAP-TLS mit Zertifikaten, die an Microsoft Entra ID, Okta oder Google Workspace gebunden sind, und die Identität bestimmt ihr VLAN. OpenRoaming-Besucher verbinden sich mit der Passpoint-SSID und gelangen auf das Besucher-VLAN. Beide authentifizieren sich über die Cloud-RADIUS von Purple, sodass Sie beide an einem zentralen Ort überwachen. Zusammenführen Sie die beiden SSIDs niemals, um Sendezeit zu sparen.

Wie lange dauert ein OpenRoaming-Rollout über einen Standortverbund hinweg?

Das Firmware-Audit gibt das Tempo vor, nicht die Konfiguration. Die Erstellung der Einstellungen für SSID und Passpoint an einem Pilotstandort passt in ein einzelnes Änderungsfenster. Sobald der Pilotversuch jede Prüfung besteht, übertragen Vorlagen oder Netzwerkgruppen dieselben Einstellungen auf die verbleibenden Standorte. Umgebungen mit gemischter Firmware sollten Upgrades zuerst Region für Region planen und anschließend SSID hinzufügen.

Welche Geräte können einem OpenRoaming-Standort beitreten?

Jedes Gerät, das Passpoint unterstützt und ein OpenRoaming-Profil eines Föderations-Identitätsanbieters besitzt, kann beitreten. Aktuelle iOS- und Android-Versionen unterstützen Passpoint, sodass die meisten modernen Smartphones qualifiziert sind, sobald ein Profil installiert ist. Bei verwalteten Unternehmensgeräten übertragen Sie das Profil über Ihr MDM. Geräte ohne Profil nutzen stattdessen Ihr Gäste-SSID, ohne dass sich deren Nutzungserlebnis ändert.