Cómo convertirse en un proveedor de red de acceso OpenRoaming: guía de implementación

Conviértase en un proveedor de red de acceso OpenRoaming en ocho pasos en los puntos de acceso que ya posee. Solo agregue un SSID Passpoint (Hotspot 2.0) protegido con IEEE 802.1X, apúntelo al RADIUS en la nube de Purple y anuncie el identificador del consorcio OpenRoaming. Purple, un agente de identidad certificado por la WBA, conecta su establecimiento a la federación, de forma gratuita a través de la licencia Connect.

{"slot":"hero","alt":"Un administrador de red revisa un panel inalámbrico en una laptop en el lobby de un hotel mientras un teléfono en primer plano muestra que se ha unido a la red WiFi automáticamente","caption":"Un establecimiento OpenRoaming: los visitantes con un perfil se unen a la red WiFi encriptada sin pantalla de inicio de sesión.","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

¿Cómo se verá su establecimiento OpenRoaming cuando termine?

Cada sitio transmitirá un SSID adicional con Passpoint activado. Passpoint, también llamado Hotspot 2.0, está creado sobre IEEE 802.11u. Permite que un teléfono busque y se una a una red sin que nadie lo seleccione de una lista.

El SSID anuncia el identificador de organización del consorcio de roaming (RCOI) de OpenRoaming, la etiqueta compartida de la federación. Cualquier teléfono que tenga un perfil coincidente de un proveedor de identidad OpenRoaming se une por sí solo.

El inicio de sesión utiliza IEEE 802.1X, el estándar de autenticación basado en puertos detrás de WPA2-Enterprise y WPA3-Enterprise. El tráfico se encripta desde el primer paquete. No hay Captive Portal, la página web que solicita un correo electrónico o un cupón antes de otorgar acceso.

La autenticación se realiza a través del RADIUS en la nube de Purple. RADIUS (Remote Authentication Dial-In User Service) es el protocolo que utilizan sus puntos de acceso para hacer dos preguntas: ¿debería conectarse este dispositivo y en qué VLAN?

Al final tendrá:

• Un SSID Passpoint por sitio, creado a partir de una plantilla y apuntado al RADIUS en la nube de Purple.
• Una VLAN de visitantes aislada, separada del personal, punto de venta y sistemas del edificio.
• Su SSID de invitados y Captive Portal existentes, sin cambios, para visitantes sin un perfil.
• Cada inicio de sesión de OpenRoaming registrado en su establecimiento en Purple.
• Sus establecimientos listados entre los más de 5 millones de puntos de acceso OpenRoaming en todo el mundo.

¿Qué necesita antes de unirse a OpenRoaming?

Confirme cada fila a continuación antes de programar una ventana de cambio. El firmware es el elemento que retrasa la mayoría de las implementaciones.

{"caption":"Requisitos previos para un lugar con OpenRoaming","asOf":"2026-06-10","columns":[{"key":"item","label":"Requisito previo"},{"key":"why","label":"Por qué es importante"},{"key":"check","label":"Cómo confirmar"}],"rows":[["Licencia de Purple Connect","OpenRoaming se incluye de forma gratuita con Connect","Verifique el plan de cada lugar en su cuenta de Purple"],["Puntos de acceso compatibles con Passpoint","Los AP deben emitir el elemento de interfuncionamiento y responder a las consultas ANQP","Hoja de datos del proveedor para cada modelo"],["Firmware Hotspot 2.0","El soporte suele llegar en el firmware, no en el hardware","Versión en ejecución frente a las notas de lanzamiento del proveedor"],["WPA2- o WPA3-Enterprise","OpenRoaming se autentica con IEEE 802.1X","Enterprise aparece en las opciones de seguridad del SSID"],["Derechos de administración en el panel o controlador","Agregará un servidor RADIUS y un SSID","Abra la configuración del SSID con su propia cuenta"],["RADIUS saliente a Purple","Los AP o controladores deben comunicarse con el RADIUS en la nube de Purple","Revisión del firewall frente a los valores proporcionados por Purple"],["VLAN dedicada para visitantes","Mantiene a los visitantes fuera de las redes del personal y de pagos","VLAN en trunks de switch y un alcance DHCP con margen suficiente"],["Dispositivo de prueba con un perfil","Demuestra la conexión de extremo a extremo","Perfil listado en la configuración de WiFi del dispositivo"]],"footnote":"El soporte de Hotspot 2.0 varía según el modelo y la versión de firmware. Confírmelo con la documentación de su proveedor antes de programar el trabajo.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

Los valores que ingresará

Purple proporciona cada valor de federación durante el proceso de integración. No copie valores RCOI o de dominio desde publicaciones en foros. Un solo dígito incorrecto evita que todos los teléfonos con perfil coincidan con su red.

Valor	De dónde proviene	A dónde va
Hosts y puertos del servidor RADIUS	Su paquete de integración de Purple	Configuración de RADIUS del controlador o panel
Secreto compartido de RADIUS	Su paquete de integración de Purple	La misma configuración de RADIUS
Valores RCOI	Purple, coincidiendo con la especificación de WBA OpenRoaming	Configuración de Hotspot 2.0 del SSID
Dominio NAI	Su paquete de integración de Purple	Configuración de Hotspot 2.0 del SSID
Nombre del lugar, grupo y tipo	Usted	Información del lugar en Hotspot 2.0
ID de VLAN para visitantes	Su equipo de red	Configuración de VLAN del SSID o política de RADIUS

¿Cómo funciona un proveedor de red de acceso de OpenRoaming?

OpenRoaming es una federación administrada por la Wireless Broadband Alliance (WBA). Cuenta con dos roles. Un proveedor de red de acceso (ANP) opera las radios, y ese es usted. Un proveedor de identidad (IDP) emite y verifica las credenciales del visitante. Los proveedores de identidad típicos son operadores móviles, fabricantes de dispositivos y editores de aplicaciones.

Un inicio de sesión sigue seis etapas:

1. Su punto de acceso emite un elemento de interfuncionamiento que transporta el RCOI de OpenRoaming.
2. Un teléfono con un perfil coincidente envía una consulta del Access Network Query Protocol (ANQP). Lee los detalles de su lugar, dominio y consorcio antes de asociarse.
3. El teléfono se asocia e inicia 802.1X. Su método EAP (Extensible Authentication Protocol) depende del proveedor de identidad.
4. Su punto de acceso envía la solicitud a Purple cloud RADIUS.
5. Purple la reenvía a través de la federación por medio de RadSec, que es RADIUS transportado dentro de TLS (RFC 6614). OpenRoaming encuentra el proveedor de identidad correcto mediante el descubrimiento dinámico de pares basado en DNS (RFC 7585).
6. El proveedor de identidad acepta la credencial. Purple aplica la política de su establecimiento, incluyendo la VLAN, y el punto de acceso instala las claves de cifrado.

Purple gestiona el tramo de la federación. Los certificados WBA, las sesiones RadSec y el enrutamiento de dominio (realm) residen en Purple cloud RADIUS, no en su controlador. La credencial del visitante es verificada por su proveedor de identidad dentro del intercambio EAP, por lo que su establecimiento nunca la almacena. La guía del proveedor de identidad explica cómo se establece esa relación de confianza.

{"kind":"flow","direction":"lr","caption":"Cómo un inicio de sesión de OpenRoaming atraviesa su red","alt":"Flujo desde un dispositivo de visitante a través de su punto de acceso y Purple cloud RADIUS hacia la federación de OpenRoaming y el proveedor de identidad del visitante, finalizando con el dispositivo conectado a internet en la VLAN de visitantes.","nodes":[{"id":"a","label":"Dispositivo del visitante","sub":"Contiene un perfil de OpenRoaming","tone":"neutral"},{"id":"b","label":"Su punto de acceso","sub":"Emite el RCOI y responde ANQP","tone":"brand"},{"id":"c","label":"Purple cloud RADIUS","sub":"Recibe 802.1X y aplica la política del establecimiento","tone":"brand"},{"id":"d","label":"Federación OpenRoaming","sub":"RadSec sobre TLS con certificados WBA","tone":"neutral"},{"id":"e","label":"Proveedor de identidad","sub":"Verifica la credencial del visitante","tone":"neutral"},{"id":"f","label":"Conectado en la VLAN de visitantes","sub":"Cifrado, sin Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"Consulta ANQP","style":"solid"},{"from":"b","to":"c","label":"802.1X mediante RADIUS","style":"solid"},{"from":"c","to":"d","label":"Búsqueda de dominio","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN asignada","style":"solid"}]}

¿Cómo configurar OpenRoaming paso a paso?

Siga los pasos en orden con su panel de control abierto. Cada paso cuenta con una verificación y no debe avanzar hasta que la haya superado. Las diferencias entre proveedores se analizan en la sección posterior a la siguiente.

{"title":"Conviértase en un proveedor de red de acceso OpenRoaming","steps":[{"title":"Habilite OpenRoaming en Purple","body":"Confirme que su licencia de Connect cubra cada lugar incluido en el alcance y acepte los términos de OpenRoaming. Purple, un agente de identidad certificado por la WBA, completa la incorporación a la federación.","check":"Purple muestra OpenRoaming habilitado para cada lugar dentro del alcance."},{"title":"Audite el firmware de los puntos de acceso","body":"Enumere cada modelo y su firmware en ejecución. Verifique las notas de la versión del proveedor para confirmar la compatibilidad con Hotspot 2.0 y resuelva cualquier falta de compatibilidad primero.","check":"Cada modelo en su lista de inventario está marcado como listo para Passpoint."},{"title":"Agregue RADIUS en la nube de Purple","body":"Agregue los hosts, puertos y secreto compartido de RADIUS de su paquete de incorporación de Purple. Permítalos hacia el exterior en su firewall.","check":"Una autenticación de prueba recibe respuesta, no un tiempo de espera agotado."},{"title":"Cree el SSID de OpenRoaming","body":"Cree un nuevo SSID con seguridad WPA2- o WPA3-Enterprise (802.1X), dirigido al RADIUS de Purple. No adjunte una página de bienvenida.","check":"Un escaneo muestra el SSID como una red Enterprise."},{"title":"Active Passpoint","body":"Habilite Hotspot 2.0 en el SSID. Ingrese los valores de RCOI y dominio NAI que proporciona Purple, luego el nombre del lugar, el tipo de lugar y el acceso a internet.","check":"Un analizador de WiFi muestra el elemento de interconexión y el RCOI en la baliza."},{"title":"Configure la VLAN y el aislamiento","body":"Mapee el SSID a la VLAN de visitantes o acepte la VLAN que devuelva Purple. Active el aislamiento de clientes y un límite de velocidad por dispositivo.","check":"Un dispositivo de prueba obtiene una dirección del alcance DHCP de visitantes."},{"title":"Realice una prueba piloto en un sitio","body":"Acerque al alcance un teléfono con un perfil de OpenRoaming. Debería unirse sin solicitudes ni portales.","check":"Purple registra la autenticación en el lugar piloto."},{"title":"Implemente mediante plantilla","body":"Envíe el SSID mediante plantillas de sitio o grupos de red, una región a la vez. Repita las verificaciones piloto en una muestra de sitios.","check":"Cada sitio registra autenticaciones de OpenRoaming en Purple."}]}

¿SSID independiente o uno existente?

Cree un nuevo SSID para OpenRoaming. Su red de personal confía en su propio proveedor de identidades. OpenRoaming confía en cada proveedor de identidades dentro de la federación. Mezclar ambos en un solo SSID combina sus políticas predeterminadas.

{"tone":"warning","title":"Nunca agregue Passpoint a su SSID de personal","text":"Un visitante de OpenRoaming puede autenticarse a través de cualquier proveedor de identidades de la federación. En un SSID de personal sin una política de VLAN independiente, ese visitante terminará en su red de personal."}

¿WPA2 o WPA3-Enterprise?

Elija WPA3-Enterprise si todos los clientes y modelos de puntos de acceso lo admiten. De lo contrario, utilice el modo mixto WPA2 y WPA3 que ofrezca su proveedor. No recurra a WPA2-Personal, ya que Passpoint requiere 802.1X.

{"tone":"tip","text":"Asigne al SSID de Passpoint un nombre que su personal reconozca en un escaneo y no lo modifique. Los dispositivos con perfil coinciden con el RCOI y el dominio, no con el nombre del SSID, por lo que cambiar el nombre más adelante no interrumpirá el inicio de sesión."}

¿Cómo verificar que OpenRoaming funcione?

Verifique en tres capas: radio, autenticación y directivas. Un fallo en una capa inferior oculta todo lo que está por encima, así que trabaje de abajo hacia arriba.

La capa de radio es la primera. Utilice un analizador de WiFi para confirmar que el elemento de interworking y el RCOI aparezcan en el beacon. Luego confirme que el punto de acceso responda a ANQP. Una laptop con Linux ejecutando wpa_supplicant con soporte de interworking puede leer la respuesta ANQP directamente. Reemplace el nombre de la interfaz y el BSSID por los suyos.

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

La salida debe listar el nombre de su establecimiento, los valores RCOI y el NAI realm proporcionados por Purple. Si el campo de roaming consortium está vacío, regrese al paso 5.

La autenticación es el siguiente paso. Acerque un dispositivo con perfil instalado al alcance con su WiFi activado. Debería conectarse sin solicitar ninguna acción. Purple registrará entonces una autenticación aceptada para ese establecimiento. Un dispositivo sin perfil no debería conectarse al SSID de Passpoint. Ese es el comportamiento correcto, no una falla.

Las directivas son lo último. Verifique la dirección, el aislamiento y el alcance de un dispositivo conectado.

{"title":"Verificaciones de puesta en marcha de OpenRoaming","groups":[{"heading":"Radio","items":[{"text":"SSID visible en cada punto de acceso del sitio"},{"text":"Elemento de interworking y RCOI presentes en el beacon"},{"text":"ANQP devuelve el nombre del establecimiento, el roaming consortium y el NAI realm"}]},{"heading":"Autenticación","items":[{"text":"El dispositivo con perfil se conecta sin solicitar nada"},{"text":"Purple registra una autenticación aceptada para el establecimiento"},{"text":"El dispositivo sin perfil se mantiene en el SSID de invitados","why":"Confirma que las dos redes son independientes"}]},{"heading":"Directivas","items":[{"text":"La dirección del dispositivo se ubica en el alcance DHCP de visitantes"},{"text":"El dispositivo no puede alcanzar a otro cliente en el SSID"},{"text":"El dispositivo no puede alcanzar las subredes del personal o de pagos","why":"Evidencia para la segmentación PCI-DSS"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

¿En qué se diferencian los pasos en Meraki, Aruba, Ruckus, Mist y UniFi?

Los ocho pasos son los mismos en todas las plataformas. Lo que cambia es la ubicación de Hotspot 2.0 dentro de cada consola. Siga la documentación de su proveedor para su versión de firmware e ingrese los valores que suministra Purple.

{"title":"Passpoint por plataforma de punto de acceso","tabs":[{"label":"Cisco Meraki","body":"Meraki expone Hotspot 2.0 como una configuración por SSID en modelos y firmware compatibles.","bullets":["Establezca la seguridad Enterprise con Purple RADIUS en el SSID","Etiquete la VLAN de visitantes en el SSID o acepte una VLAN asignada por RADIUS","Utilice plantillas de configuración para despliegues en múltiples sitios","Detalle: [Passpoint en Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba gestiona Passpoint desde las configuraciones de Hotspot 2.0 y ANQP vinculadas a la WLAN, junto a las configuraciones del servidor 802.1X.","bullets":["Confirme si los sitios operan bajo Aruba Central o controladores, ya que la ruta varía","Vincule los valores de RCOI y dominio (realm) a las configuraciones de Hotspot 2.0 de la WLAN","Mapee la VLAN de visitantes en la WLAN"]},{"label":"Ruckus","body":"En SmartZone, Passpoint utiliza un perfil de operador Hotspot 2.0 vinculado a un perfil de proveedor de identidad y a la WLAN.","bullets":["Ingrese el RCOI y el dominio (realm) en el perfil del proveedor de identidad","Adjunte Purple RADIUS como el servicio de autenticación","Aplique a través de plantillas de zona para múltiples sitios"]},{"label":"Juniper Mist","body":"Mist configura Hotspot 2.0 en la WLAN junto con la seguridad Enterprise.","bullets":["Cree la WLAN en una plantilla WLAN para que cada sitio la herede","Ingrese los valores de RCOI, dominio (realm) y recinto (venue) proporcionados por Purple","Establezca la VLAN de visitantes en la WLAN"]},{"label":"Ubiquiti UniFi","body":"El soporte de Hotspot 2.0 depende de su aplicación UniFi Network y del firmware del punto de acceso.","bullets":["Confirme que las configuraciones de Hotspot 2.0 estén presentes antes de planificar las fechas","Apunte la WLAN a Purple RADIUS con seguridad Enterprise","Asigne la VLAN de visitantes en la WLAN"]}]}

¿Qué falla con más frecuencia y cómo se soluciona?

La mayoría de las fallas se deben a una de siete causas. Identifique el síntoma y corrija la causa antes de volver a probar.

Síntoma	Causa probable	Solución
SSID visible, los teléfonos con perfil nunca se conectan	RCOI faltante o mal escrito	Ingrese nuevamente los valores de RCOI de Purple y vuelva a verificar el beacon
Sin elemento de interfuncionamiento en el beacon	El modelo o el firmware carecen de Hotspot 2.0	Actualice el firmware o excluya ese modelo del SSID
El teléfono intenta conectarse, pero falla	Incompatibilidad de secreto compartido o RADIUS bloqueado	Ingrese nuevamente el secreto y abra la regla del firewall de salida
El teléfono se conecta pero no obtiene dirección	VLAN no entroncada o ámbito DHCP lleno	Entronque la VLAN a los puertos del switch del AP y amplíe el ámbito
Los visitantes pueden ver los dispositivos de los demás	Aislamiento de clientes desactivado	Habilite el aislamiento en el SSID
La prueba piloto funciona, algunos sitios fallan	Plantilla no aplicada o firmware más antiguo	Compare el sitio con fallas contra la plantilla y la lista de firmware
El teléfono de prueba sin perfil no puede conectarse	Comportamiento esperado	Instale un perfil o utilice el SSID de visitantes

La falla de RCOI es la más común, porque nada parece estar roto. El SSID se transmite y los radios se ven saludables, pero ningún teléfono coincide. Siempre ejecute la verificación ANQP antes de culpar al dispositivo.

Los fallos de Firewall se muestran como tiempos de espera agotados en lugar de rechazos en Purple. Un rechazo significa que la solicitud llegó y la credencial falló. Un tiempo de espera agotado significa que la solicitud nunca llegó, por lo que debe verificar la ruta de la red primero.

Si un paso aún falla después de estas correcciones, revise la configuración de Passpoint en Cisco Meraki para seguir la secuencia detallada de verificación. El mismo orden de comprobaciones se aplica a todos los proveedores.

Dónde se ubica OpenRoaming en su red segura

Purple Access ejecuta tres redes en los puntos de acceso que usted posee. La red abierta gestiona el inicio de sesión del Captive Portal y la incorporación de BYOD. La red segura gestiona EAP-TLS, proveedores de identidad, Passpoint y RADIUS en la nube. La red xPSK le da a cada dispositivo o residente su propia clave. En las tres, la identidad define la VLAN.

OpenRoaming pertenece a la red segura. El personal dentro de la misma plataforma usa EAP-TLS con certificados vinculados a Microsoft Entra ID, Okta o Google Workspace. Ambos grupos se autentican a través del RADIUS en la nube de Purple, en SSID separados y VLAN separadas. El pilar de red segura cubre los certificados, la identidad y Passpoint en conjunto. El resumen general de red segura muestra cómo se acoplan las tres redes.

Hay dos complementos adicionales junto a este trabajo. El marketing de visitantes desde su Captive Portal se ejecuta en Engage, cubierto en la guía de guest WiFi. El filtrado DNS para el tráfico de visitantes se ejecuta en Shield.

Escenario práctico: una red para toda la ciudad en Newcastle

La situación: los estudiantes se desplazaban entre el campus, el centro de la ciudad y los tranvías. Cada lugar implicaba una red diferente y un inicio de sesión distinto.

Lo que se hizo: Purple convirtió a Newcastle en la primera red OpenRoaming para toda una ciudad a nivel mundial. Purple actuó como agente de identidad a lo largo de la federación.

El resultado: más de 53,000 estudiantes ahora navegan sin interrupciones entre el campus, la ciudad y los tranvías sin tener que volver a iniciar sesión.

{"tone":"proof","title":"Newcastle","text":"Purple opera en Newcastle, la primera red OpenRoaming para toda una ciudad en el mundo. Más de 53,000 estudiantes se desplazan entre el campus, la ciudad y los tranvías conectados a ella."}

Escenario práctico: un grupo hotelero ilustrativo de 40 propiedades en Cisco Meraki

La situación: los huéspedes encontraban un Captive Portal en cada hotel y debían repetir el proceso en cada estancia. El departamento de TI quería un inicio de sesión cifrado sin comprar hardware adicional.

Lo que se hizo: el equipo ejecutó la auditoría de firmware del paso 2 en los 40 hoteles. Crearon un SSID Passpoint en una plantilla de configuración de Meraki. La VLAN de visitantes se mantuvo aislada de los sistemas de gestión de la propiedad y de los sistemas de pago. El SSID y portal de visitantes existente se mantuvo para aquellos huéspedes sin un perfil instalado.

El resultado: 40 hoteles operan con una sola plantilla, con un nuevo SSID por hotel y cero puntos de acceso nuevos. Los huéspedes con un perfil OpenRoaming se conectan de forma cifrada sin pasar por un portal.

Para los dispositivos corporativos administrados, distribuya perfiles mediante su MDM; consulte cómo implementar un perfil de Passpoint con Intune. Los detalles de licencias y características se encuentran en la página del producto Passpoint y OpenRoaming.

Preguntas frecuentes

¿Cuánto cuesta convertirse en un proveedor de red de acceso de OpenRoaming?

OpenRoaming se incluye de forma gratuita con la licencia de Purple Connect. Si sus puntos de acceso ya son compatibles con Hotspot 2.0 en su firmware, tampoco necesitará comprar hardware nuevo. Su costo principal será el tiempo del personal: la auditoría del firmware, un SSID por sitio y una prueba piloto en un establecimiento. Los complementos de seguridad como SecurePass, Verify y Shield son opciones independientes. Agréguelos únicamente si su evaluación de riesgos lo requiere.

¿OpenRoaming funcionará en los puntos de acceso que ya poseemos?

Sí, siempre que sus modelos y firmware sean compatibles con Passpoint. Purple es independiente del hardware y opera como una capa en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. La compatibilidad con Hotspot 2.0 depende del modelo y de la versión del firmware. Realice la auditoría del paso 2 antes de comprometerse con fechas. Los modelos más antiguos sin compatibilidad seguirán prestando servicio a sus otros SSID.

¿Aún necesitamos un portal cautivo?

Sí, manténgalo. OpenRoaming solo atiende a dispositivos que ya cuentan con un perfil de un proveedor de identidad federado. Todos los demás visitantes siguen necesitando su SSID de invitados abierto con un portal cautivo o un flujo de incorporación BYOD. Ejecute ambos en paralelo en los mismos puntos de acceso. La guía de Passpoint frente a portal cautivo explica cuándo cada inicio de sesión es la opción adecuada.

¿Necesitamos nuestra propia membresía de la WBA para unirmos a OpenRoaming?

No. Purple es un agente de identidad certificado por la WBA, por lo que sus establecimientos se unen a la federación a través de su cuenta de Purple. Usted acepta los términos de OpenRoaming al habilitarlo en el paso 1. Luego, el RADIUS en la nube de Purple almacena los certificados de la federación y gestiona el enrutamiento RadSec. Sus controladores y paneles nunca almacenan certificados de la WBA, por lo que no hay nada adicional que deba renovar por su parte.

¿Cómo afecta OpenRoaming a nuestras auditorías de GDPR y PCI DSS?

Le brinda evidencia para ambas, en lugar de un certificado de cumplimiento. El proveedor de identidad del visitante verifica sus credenciales dentro del intercambio EAP, por lo que su establecimiento no las almacena. Aislar OpenRoaming en su propia VLAN, fuera del entorno de datos de cuentahabientes, sirve como evidencia para el alcance de PCI DSS. Purple cuenta con la certificación ISO 27001 y Cyber Essentials, lo cual respalda la debida diligencia de sus proveedores.

¿Puede OpenRoaming funcionar junto con nuestra red 802.1X de empleados?

Sí, en un SSID independiente. El personal conserva EAP-TLS con certificados vinculados a Microsoft Entra ID, Okta o Google Workspace, y su identidad define su VLAN. Los visitantes de OpenRoaming se conectan al SSID de Passpoint y se ubican en la VLAN de visitantes. Ambos se autentican a través del RADIUS en la nube de Purple, de modo que puede monitorearlos en un solo lugar. Nunca combine los dos SSID para ahorrar tiempo de aire.

¿Cuánto tiempo tarda la implementación de OpenRoaming en un conjunto de múltiples sitios?

La auditoría de firmware marca el ritmo, no la configuración. La creación de la configuración de SSID y Passpoint en un sitio piloto se realiza en una sola ventana de cambio. Una vez que el piloto supera cada verificación, las plantillas o grupos de red envían la misma configuración a los sitios restantes. Las propiedades con firmware mixto deben programar primero las actualizaciones región por región y, luego, agregar SSID.

¿Qué dispositivos pueden unirse a una ubicación con OpenRoaming?

Cualquier dispositivo que admita Passpoint y cuente con un perfil de OpenRoaming de un proveedor de identidad federado puede unirse. Las versiones actuales de iOS y Android admiten Passpoint, por lo que la mayoría de los teléfonos modernos son aptos una vez instalado el perfil. Para los dispositivos corporativos administrados, envíe el perfil a través de su MDM. Los dispositivos sin un perfil utilizan en su lugar su SSID de invitados, sin cambios en su experiencia.