Cómo convertirse en un proveedor de red de acceso de OpenRoaming: guía de despliegue

Conviértase en un proveedor de red de acceso OpenRoaming en ocho pasos con los puntos de acceso que ya posee. Solo tiene que añadir un SSID Passpoint (Hotspot 2.0) protegido con IEEE 802.1X, apuntarlo al RADIUS en la nube de Purple y anunciar el identificador del consorcio OpenRoaming. Purple, un intermediario de identidad certificado por la WBA, conecta su establecimiento a la federación de forma gratuita a través de la licencia Connect.

{"slot":"hero","alt":"Un administrador de red revisa un panel de control inalámbrico en un portátil en el vestíbulo de un hotel mientras un teléfono en primer plano muestra que se ha conectado a la red WiFi automáticamente","caption":"Un establecimiento con OpenRoaming: los visitantes con un perfil se conectan a la red WiFi cifrada sin pantalla de inicio de sesión.","prompt":"Fotográfico, luz natural, vestíbulo de un hotel moderno. Un administrador de red en un escritorio con un portátil que muestra un panel de control inalámbrico abstracto, sin texto ni logotipos legibles. En primer plano, un teléfono muestra el icono de WiFi conectado. Paleta tranquila con una suave iluminación de acento en tono Purple, nadie mirando a la cámara, sin marcas comerciales."}

¿Qué aspecto tendrá su establecimiento OpenRoaming cuando termine?

Cada ubicación emitirá un SSID adicional con Passpoint activado. Passpoint, también conocido como Hotspot 2.0, se basa en IEEE 802.11u. Permite que un teléfono busque y se conecte a una red sin que nadie tenga que seleccionarla de una lista.

El SSID anuncia el identificador de organización del consorcio de itinerancia (RCOI) de OpenRoaming, la etiqueta compartida de la federación. Cualquier teléfono que disponga de un perfil coincidente de un proveedor de identidad de OpenRoaming se conecta por sí solo.

El inicio de sesión utiliza IEEE 802.1X, el estándar de autenticación basado en puertos en el que se fundamentan WPA2-Enterprise y WPA3-Enterprise. El tráfico se cifra desde el primer paquete. No hay ningún Captive Portal, esa página web que solicita un correo electrónico o un código promocional antes de conceder acceso.

La autenticación se realiza a través del RADIUS en la nube de Purple. RADIUS (Remote Authentication Dial-In User Service) es el protocolo que utilizan sus puntos de acceso para hacer dos preguntas: ¿debería conectarse este dispositivo y en qué VLAN?

Al final dispondrá de:

• Un SSID Passpoint por ubicación, creado a partir de una plantilla y apuntando al RADIUS en la nube de Purple.
• Una VLAN de visitantes aislada, separada del personal, los puntos de venta y los sistemas del edificio.
• Su SSID de invitados y su Captive Portal actuales, sin cambios, para los visitantes que no dispongan de un perfil.
• Cada inicio de sesión de OpenRoaming registrado en su correspondiente establecimiento dentro de Purple.
• Sus establecimientos incluidos entre los más de 5 millones de puntos de acceso OpenRoaming en todo el mundo.

¿Qué necesita antes de unirse a OpenRoaming?

Confirme cada una de las siguientes filas antes de programar una ventana de cambios. El firmware es el elemento que suele retrasar la mayoría de los despliegues.

{"caption":"Requisitos previos para una ubicación de OpenRoaming","asOf":"2026-06-10","columns":[{"key":"item","label":"Requisito previo"},{"key":"why","label":"Por qué es importante"},{"key":"check","label":"Cómo confirmarlo"}],"rows":[["Licencia de Purple Connect","OpenRoaming se incluye de forma gratuita con Connect","Comprueba el plan en cada ubicación en tu cuenta de Purple"],["Puntos de acceso compatibles con Passpoint","Los AP deben emitir el elemento de interfuncionalidad y responder a las consultas ANQP","Ficha técnica del fabricante para cada modelo"],["Firmware Hotspot 2.0","El soporte suele llegar mediante firmware, no por hardware","Compara la versión en ejecución con las notas de la versión del fabricante"],["WPA2- o WPA3-Enterprise","OpenRoaming se autentica con IEEE 802.1X","Enterprise aparece en las opciones de seguridad del SSID"],["Derechos de administración en el panel de control o controlador","Debes añadir un servidor RADIUS y un SSID","Abre la configuración del SSID con tu propia cuenta"],["RADIUS saliente a Purple","Los AP o controladores deben llegar al RADIUS en la nube de Purple","Revisión del cortafuegos con respecto a los valores proporcionados por Purple"],["VLAN dedicada para visitantes","Mantiene a los visitantes fuera de las redes de empleados y de pagos","VLAN en los enlaces troncales de los switches y un rango DHCP con espacio suficiente"],["Dispositivo de prueba con un perfil","Demuestra la conexión de extremo a extremo","Perfil listado en la configuración de WiFi del dispositivo"]],"footnote":"El soporte de Hotspot 2.0 varía según el modelo y la versión del firmware. Confírmalo con la documentación de tu fabricante antes de programar el trabajo.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

Los valores que introducirás

Purple proporciona todos los valores de federación durante el proceso de incorporación. No copies valores de RCOI o de dominio desde publicaciones de foros. Un solo dígito erróneo impedirá que cualquier teléfono con perfil coincida con tu red.

Valor	De dónde procede	A dónde va
Puertos y hosts del servidor RADIUS	Tu paquete de incorporación de Purple	Configuración de RADIUS del controlador o panel de control
Secreto compartido de RADIUS	Tu paquete de incorporación de Purple	La misma configuración de RADIUS
Valores RCOI	Purple, coincidiendo con la especificación de WBA OpenRoaming	La configuración de Hotspot 2.0 del SSID
Dominio NAI	Tu paquete de incorporación de Purple	La configuración de Hotspot 2.0 del SSID
Nombre, grupo y tipo de ubicación	Tú	Información de la ubicación en Hotspot 2.0
ID de VLAN para visitantes	Tu equipo de redes	Configuración de VLAN del SSID o directiva RADIUS

¿Cómo funciona un proveedor de red de acceso de OpenRoaming?

OpenRoaming es una federación gestionada por la Wireless Broadband Alliance (WBA). Cuenta con dos roles. Un proveedor de red de acceso (ANP) opera las antenas, y ese eres tú. Un proveedor de identidad (IDP) emite y verifica la credencial del visitante. Los proveedores de identidad habituales son operadores móviles, fabricantes de dispositivos y desarrolladores de aplicaciones.

Un inicio de sesión consta de seis etapas:

1. Tu punto de acceso emite un elemento de interfuncionalidad que contiene el RCOI de OpenRoaming.
2. Un teléfono con un perfil compatible envía una consulta ANQP (Access Network Query Protocol). Lee los detalles de tu ubicación, dominio y consorcio antes de asociarse.
3. El teléfono se asocia e inicia 802.1X. Su método EAP (Protocolo de Autenticación Extensible) depende del proveedor de identidad.
4. Su punto de acceso envía la solicitud al cloud RADIUS de Purple.
5. Purple la reenvía a través de la federación mediante RadSec, que es RADIUS transportado dentro de TLS (RFC 6614). OpenRoaming encuentra el proveedor de identidad adecuado mediante el descubrimiento dinámico de pares basado en DNS (RFC 7585).
6. El proveedor de identidad acepta la credencial. Purple aplica la política de su recinto, incluida la VLAN, y el punto de acceso instala las claves de cifrado.

Purple gestiona el tramo de la federación. Los certificados WBA, las sesiones RadSec y el enrutamiento de dominio residen en el cloud RADIUS de Purple, no en su controlador. La credencial del visitante es verificada por su proveedor de identidad dentro del intercambio EAP, por lo que su recinto nunca la almacena. La guía del proveedor de identidad explica cómo se establece esa relación de confianza.

{"kind":"flow","direction":"lr","caption":"Cómo atraviesa su red un inicio de sesión de OpenRoaming","alt":"Flujo desde un dispositivo visitante a través de su punto de acceso y el cloud RADIUS de Purple hacia la federación OpenRoaming y el proveedor de identidad del visitante, finalizando con el dispositivo conectado en la VLAN de visitantes.","nodes":[{"id":"a","label":"Dispositivo visitante","sub":"Contiene un perfil de OpenRoaming","tone":"neutral"},{"id":"b","label":"Su punto de acceso","sub":"Emite el RCOI y responde a ANQP","tone":"brand"},{"id":"c","label":"Cloud RADIUS de Purple","sub":"Recibe 802.1X y aplica la política del recinto","tone":"brand"},{"id":"d","label":"Federación OpenRoaming","sub":"RadSec sobre TLS con certificados WBA","tone":"neutral"},{"id":"e","label":"Proveedor de identidad","sub":"Verifica la credencial del visitante","tone":"neutral"},{"id":"f","label":"Conectado en la VLAN de visitantes","sub":"Cifrado, sin Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"Consulta ANQP","style":"solid"},{"from":"b","to":"c","label":"802.1X vía RADIUS","style":"solid"},{"from":"c","to":"d","label":"Búsqueda de dominio","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN asignada","style":"solid"}]}

¿Cómo configurar OpenRoaming paso a paso?

Siga los pasos en orden con su panel de control abierto. Cada paso incluye una comprobación y no debe avanzar al siguiente hasta superarla. Las diferencias entre proveedores se tratan en la sección subsiguiente.

{"title":"Conviértase en un proveedor de red de acceso OpenRoaming","steps":[{"title":"Habilite OpenRoaming en Purple","body":"Confirme que su licencia de Connect cubre cada ubicación incluida en el alcance y acepte los términos de OpenRoaming. Purple, un agente de identidad certificado por la WBA, completa la incorporación en la federación.","check":"Purple muestra OpenRoaming habilitado para cada ubicación dentro del alcance."},{"title":"Audite el firmware de los puntos de acceso","body":"Enumere cada modelo y su firmware en ejecución. Consulte las notas de lanzamiento del fabricante para verificar la compatibilidad con Hotspot 2.0 y solucione cualquier carencia primero.","check":"Todos los modelos de su lista de inventario están marcados como preparados para Passpoint."},{"title":"Añada el RADIUS en la nube de Purple","body":"Añada los hosts RADIUS, los puertos y el secreto compartido de su paquete de incorporación de Purple. Permita su salida en su firewall.","check":"Una autenticación de prueba recibe respuesta y no se agota el tiempo de espera."},{"title":"Cree el SSID de OpenRoaming","body":"Cree un nuevo SSID con seguridad WPA2- o WPA3-Enterprise (802.1X), orientado al RADIUS de Purple. No adjunte ninguna página de bienvenida.","check":"Un escaneo muestra el SSID como una red Enterprise."},{"title":"Active Passpoint","body":"Habilite Hotspot 2.0 en el SSID. Introduzca los valores de RCOI y dominio NAI facilitados por Purple, además del nombre de la ubicación, el tipo de ubicación y el acceso a internet.","check":"Un analizador de WiFi muestra el elemento de interfuncionamiento y el RCOI en la baliza."},{"title":"Establezca la VLAN y el aislamiento","body":"Asigne el SSID a la VLAN de visitantes o acepte la VLAN devuelta por Purple. Active el aislamiento de clientes y un límite de velocidad por dispositivo.","check":"Un dispositivo de prueba obtiene una dirección del alcance DHCP de visitantes."},{"title":"Realice una prueba piloto en un centro","body":"Acerque un teléfono móvil con un perfil de OpenRoaming a la zona de cobertura. Debería conectarse sin avisos y sin portal.","check":"Purple registra la autenticación en la ubicación piloto."},{"title":"Despliegue mediante plantilla","body":"Aplique el SSID a través de plantillas de centro o grupos de red, una región a la vez. Repita las comprobaciones piloto en una muestra de centros.","check":"Cada centro registra autenticaciones de OpenRoaming en Purple."}]}

¿Un SSID independiente o uno existente?

Cree un nuevo SSID para OpenRoaming. Su red corporativa confía en su propio proveedor de identidad. OpenRoaming confía en cada proveedor de identidad dentro de la federación. Mezcarlos en un solo SSID combina sus directivas predeterminadas.

{"tone":"warning","title":"Nunca añada Passpoint a su SSID de personal","text":"Un visitante de OpenRoaming puede autenticarse a través de cualquier proveedor de identidad de la federación. En un SSID de personal sin una directiva de VLAN independiente, ese visitante accederá a su red corporativa."}

¿WPA2 o WPA3-Enterprise?

Elija WPA3-Enterprise cuando todos los modelos de cliente y punto de acceso lo admitan. De lo contrario, utilice el modo mixto WPA2 y WPA3 que ofrezca su fabricante. No recurra a WPA2-Personal, ya que Passpoint requiere 802.1X.

{"tone":"tip","text":"Asigne al SSID de Passpoint un nombre que su personal reconozca al escanear y no lo cambie. Los dispositivos con perfil coinciden con el RCOI y el dominio, no con el nombre del SSID, por lo que cambiar el nombre más adelante no interrumpirá el inicio de sesión."}

¿Cómo comprobar que OpenRoaming funciona?

Realice la comprobación en tres capas: radio, autenticación y directivas. Un fallo en una capa inferior oculta todo lo que está por encima, así que trabaje de abajo a arriba.

La capa de radio es la primera. Utilice un analizador de WiFi para confirmar que el elemento de interfuncionamiento (interworking) y el RCOI aparecen en el beacon. A continuación, confirme que el punto de acceso responde a ANQP. Un portátil Linux con wpa_supplicant y compatibilidad con interworking puede leer la respuesta ANQP directamente. Sustituya el nombre de la interfaz y el BSSID por los suyos propios.

# Portátil Linux con wpa_supplicant compilado con soporte de interworking
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Solicitar el nombre del recinto (258), consorcio de roaming (261) y reino NAI (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

La salida debería listar el nombre del recinto, los valores RCOI y el reino NAI facilitado por Purple. Si el campo del consorcio de roaming está vacío, vuelva al paso 5.

La autenticación es lo siguiente. Acerque un dispositivo con perfil dentro del alcance con su WiFi activado. Debería conectarse sin solicitar ninguna confirmación. A continuación, Purple debería registrar una autenticación aceptada para ese recinto. Un dispositivo sin perfil no debería conectarse al SSID de Passpoint. Ese es el comportamiento correcto, no un fallo.

Las directivas van al final. Compruebe la dirección, el aislamiento y el alcance de un dispositivo conectado.

{"title":"Comprobaciones de puesta en marcha de OpenRoaming","groups":[{"heading":"Radio","items":[{"text":"SSID visible en todos los puntos de acceso del sitio"},{"text":"Elemento de interfuncionamiento y RCOI presentes en el beacon"},{"text":"ANQP devuelve el nombre del recinto, el consorcio de roaming y el reino NAI"}]},{"heading":"Autenticación","items":[{"text":"El dispositivo con perfil se conecta sin solicitar nada"},{"text":"Purple registra una autenticación aceptada para el recinto"},{"text":"El dispositivo sin perfil se mantiene en el SSID de invitados","why":"Confirma que las dos redes son independientes"}]},{"heading":"Directiva","items":[{"text":"La dirección del dispositivo se encuentra en el ámbito DHCP de visitantes"},{"text":"El dispositivo no puede alcanzar a otro cliente en el SSID"},{"text":"El dispositivo no puede alcanzar subredes de personal o de pagos","why":"Prueba documental para la segmentación PCI-DSS"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

¿En qué se diferencian los pasos en Meraki, Aruba, Ruckus, Mist y UniFi?

Los ocho pasos son los mismos en todas las plataformas. Lo que cambia es dónde se encuentra Hotspot 2.0 en cada consola. Siga la documentación de su proveedor para la versión de firmware correspondiente e introduzca los valores que facilita Purple.

{"title":"Passpoint por plataforma de punto de acceso","tabs":[{"label":"Cisco Meraki","body":"Meraki expone Hotspot 2.0 como una configuración por SSID en los modelos y firmware compatibles.","bullets":["Establezca la seguridad Enterprise con Purple RADIUS en el SSID","Etiquete la VLAN de visitantes en el SSID o acepte una VLAN asignada por RADIUS","Utilice plantillas de configuración para despliegues multi-sitio","Detalle: [Passpoint en Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba configura Passpoint a partir de los ajustes de Hotspot 2.0 y ANQP vinculados a la WLAN, junto a la configuración del servidor 802.1X.","bullets":["Confirme si los sitios funcionan con Aruba Central o controladores, ya que la ruta varía","Vincule los valores de RCOI y dominio a los ajustes de Hotspot 2.0 de la WLAN","Mapee la VLAN de visitantes en la WLAN"]},{"label":"Ruckus","body":"En SmartZone, Passpoint utiliza un perfil de operador Hotspot 2.0 vinculado a un perfil de proveedor de identidad y a la WLAN.","bullets":["Introduzca el RCOI y el dominio en el perfil del proveedor de identidad","Adjunte Purple RADIUS como servicio de autenticación","Aplique mediante plantillas de zona para múltiples sitios"]},{"label":"Juniper Mist","body":"Mist configura Hotspot 2.0 en la WLAN junto con la seguridad Enterprise.","bullets":["Cree la WLAN en una plantilla WLAN para que todos los sitios la hereden","Introduzca los valores de RCOI, dominio y ubicación que proporciona Purple","Establezca la VLAN de visitantes en la WLAN"]},{"label":"Ubiquiti UniFi","body":"La compatibilidad con Hotspot 2.0 depende de su aplicación UniFi Network y del firmware del punto de acceso.","bullets":["Confirme que los ajustes de Hotspot 2.0 estén presentes antes de planificar las fechas","Apunte la WLAN a Purple RADIUS con seguridad Enterprise","Asigne la VLAN de visitantes en la WLAN"]}]}

¿Qué es lo que suele fallar más a menudo y cómo se soluciona?

La mayoría de los fallos se deben a una de estas siete causas. Localice el síntoma y corrija la causa antes de volver a probar.

Síntoma	Causa probable	Solución
SSID visible, los teléfonos con perfil nunca se conectan	RCOI no introducido o mal escrito	Vuelva a introducir los valores RCOI de Purple y revise de nuevo el beacon
Sin elemento de interfuncionamiento en el beacon	El modelo o el firmware carece de Hotspot 2.0	Actualice el firmware o excluya ese modelo del SSID
El teléfono lo intenta pero falla	Error de coincidencia en el secreto compartido o RADIUS bloqueado	Vuelva a introducir el secreto y abra la regla del firewall saliente
El teléfono se conecta pero no obtiene dirección	VLAN no configurada en modo trunk o alcance DHCP lleno	Configure la VLAN en modo trunk hacia los puertos del switch del AP y amplíe el alcance
Los visitantes pueden ver los dispositivos de los demás	Aislamiento de clientes desactivado	Active el aislamiento en el SSID
La prueba piloto funciona, algunos sitios fallan	Plantilla no aplicada o firmware más antiguo	Compare el sitio con errores con la plantilla y la lista de firmware
El teléfono de prueba sin perfil no puede conectarse	Comportamiento esperado	Instale un perfil o utilice el SSID de invitados

El fallo del RCOI es el más habitual porque nada parece roto. El SSID emite y las radios parecen correctas, pero ningún teléfono llega a coincidir. Ejecute siempre la comprobación ANQP antes de echar la culpa al dispositivo móvil.

Los fallos de firewall se muestran como tiempos de espera agotados en lugar de rechazos en Purple. Un rechazo significa que la solicitud llegó y la credencial falló. Un tiempo de espera agotado significa que la solicitud nunca llegó, por lo que debe comprobar primero la ruta de red.

Si un paso sigue fallando después de estas correcciones, revise la configuración de Passpoint en Cisco Meraki para seguir la secuencia de comprobación detallada. El mismo orden de comprobaciones se aplica a todos los proveedores.

Dónde se ubica OpenRoaming en su red segura

Purple Access ejecuta tres redes en los puntos de acceso de su propiedad. La red abierta gestiona el inicio de sesión en el Captive Portal y la incorporación de BYOD. La red segura gestiona EAP-TLS, proveedores de identidad, Passpoint y RADIUS en la nube. La red xPSK proporciona a cada dispositivo o residente su propia clave. En las tres, la identidad establece la VLAN.

OpenRoaming pertenece a la red segura. El personal de la misma plataforma utiliza EAP-TLS con certificados vinculados a Microsoft Entra ID, Okta o Google Workspace. Ambos grupos se autentican a través del RADIUS en la nube de Purple, en SSIDs y VLANs independientes. El pilar de red segura cubre los certificados, la identidad y Passpoint de forma conjunta. El resumen de la red segura muestra cómo encajan las tres redes.

Hay dos complementos situados junto a este trabajo. El marketing para invitados desde su Captive Portal se ejecuta en Engage, cubierto en la guía de guest WiFi. El filtrado DNS para el tráfico de visitantes se ejecuta en Shield.

Escenario práctico: una red para toda la ciudad en Newcastle

La situación: los estudiantes se desplazaban entre el campus, el centro de la ciudad y los tranvías. Cada lugar implicaba una red diferente y un inicio de sesión distinto.

Qué se hizo: Purple convirtió a Newcastle en la primera red OpenRoaming para toda una ciudad del mundo. Purple actuó como agente de identidad en toda la federación.

El resultado: más de 53 000 estudiantes se desplazan ahora entre el campus, la ciudad y los tranvías sin tener que volver a iniciar sesión.

{"tone":"proof","title":"Newcastle","text":"Purple gestiona Newcastle, la primera red OpenRoaming para toda una ciudad del mundo. Más de 53 000 estudiantes se desplazan por ella entre el campus, la ciudad y los tranvías."}

Escenario práctico: un grupo hotelero ilustrativo de 40 ubicaciones sobre Cisco Meraki

La situación: los huéspedes se encontraban con un Captive Portal en cada hotel y repetían el proceso en cada estancia. El equipo de TI quería un inicio de sesión cifrado sin comprar hardware.

Qué se hizo: el equipo ejecutó la auditoría de firmware del paso 2 en los 40 hoteles. Crearon un SSID de Passpoint en una plantilla de configuración de Meraki. La VLAN de visitantes se mantuvo separada de los sistemas de gestión del establecimiento y de pago. El SSID de invitados y el portal existentes se mantuvieron para los huéspedes sin perfil.

El resultado: 40 hoteles funcionan con una sola plantilla, con un nuevo SSID por hotel y cero puntos de acceso nuevos. Los huéspedes con un perfil de OpenRoaming se conectan de forma cifrada y sin portal.

Para los dispositivos corporativos gestionados, distribuya perfiles a través de su MDM; consulte la sección implementación de un perfil de Passpoint con Intune. Los detalles de licencias y características se encuentran en la página de productos de Passpoint y OpenRoaming.

Preguntas frecuentes

¿Cuánto cuesta convertirse en un proveedor de red de acceso de OpenRoaming?

OpenRoaming se incluye gratis con la licencia de Purple Connect. Si sus puntos de acceso ya admiten Hotspot 2.0 en el firmware, tampoco tendrá que comprar hardware nuevo. Su coste principal es el tiempo del personal: la auditoría del firmware, un SSID por ubicación y un proyecto piloto en un recinto. Los complementos de seguridad como SecurePass, Verify y Shield son opciones independientes. Añádalos solo si su evaluación de riesgos lo requiere.

¿Funcionará OpenRoaming en los puntos de acceso que ya poseemos?

Sí, siempre que sus modelos y firmware admitan Passpoint. Purple es independiente del hardware y se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. La compatibilidad con Hotspot 2.0 depende del modelo y de la versión del firmware. Realice la auditoría del paso 2 antes de comprometerse con las fechas. Los modelos más antiguos que no dispongan de compatibilidad seguirán dando servicio a sus otros SSID.

¿Seguimos necesitando un portal cautivo?

Sí, manténgalo. OpenRoaming solo da servicio a dispositivos que ya tienen un perfil de un proveedor de identidad federada. Todos los demás visitantes siguen necesitando su SSID de invitados abierta con un portal cautivo o un flujo de incorporación BYOD. Ejecute ambos en paralelo en los mismos puntos de acceso. La guía de Passpoint frente a portal cautivo explica cuándo cada inicio de sesión es la opción adecuada.

¿Necesitamos nuestra propia suscripción a la WBA para unirmos a OpenRoaming?

No. Purple es un agente de identidad certificado por la WBA, por lo que sus recintos se unen a la federación a través de su cuenta de Purple. Usted acepta los términos de OpenRoaming al activarlo en el paso 1. A continuación, el RADIUS en la nube de Purple alberga los certificados de la federación y gestiona el enrutamiento RadSec. Sus controladores y paneles nunca almacenan certificados de la WBA, por lo que no hay nada adicional que renovar por su parte.

¿Cómo afecta OpenRoaming a nuestras auditorías de GDPR y PCI DSS?

Le ofrece evidencias para ambas, en lugar de un certificado de cumplimiento. El proveedor de identidad del visitante verifica sus credenciales dentro del intercambio EAP, por lo que su recinto no las almacena. Aislar OpenRoaming en su propia VLAN, fuera del entorno de datos de los titulares de tarjetas, sirve de evidencia para la definición del alcance del estándar PCI DSS. Purple cuenta con la certificación ISO 27001 y Cyber Essentials, lo que respalda la debida diligencia con respecto a sus proveedores.

¿Puede ejecutarse OpenRoaming junto con nuestra red 802.1X de personal?

Sí, en un SSID independiente. El personal conserva la red EAP-TLS con certificados vinculados a Microsoft Entra ID, Okta o Google Workspace, y su identidad define su VLAN. Los visitantes de OpenRoaming se conectan al SSID de Passpoint y acceden a la VLAN de visitantes. Ambos se autentican a través del RADIUS en la nube de Purple, por lo que puede supervisarlos en un solo lugar. Nunca fusione los dos SSID para ahorrar tiempo de emisión.

¿Cuánto se tarda en desplegar OpenRoaming en un entorno multilocalización?

La auditoría de firmware es la que marca el ritmo, no la configuración. La creación de la configuración del SSID y de Passpoint en una ubicación piloto se realiza en una sola ventana de cambio. Una vez que el piloto supera todas las comprobaciones, las plantillas o los grupos de red aplican la misma configuración al resto de las ubicaciones. Los entornos con firmware mixto deben programar primero las actualizaciones región por región y, a continuación, añadir el SSID.

¿Qué dispositivos pueden conectarse a una ubicación con OpenRoaming?

Cualquier dispositivo compatible con Passpoint que disponga de un perfil de OpenRoaming procedente de un proveedor de identidades federado puede conectarse. Las versiones actuales de iOS y Android son compatibles con Passpoint, por lo que la mayoría de los teléfonos modernos son aptos una vez instalado el perfil. En el caso de los dispositivos corporativos gestionados, instale el perfil a través de su MDM. Los dispositivos sin perfil utilizarán en su lugar su SSID de invitados, sin que su experiencia sufra ningún cambio.