Devenir un fournisseur de réseau d'accès OpenRoaming : un guide de déploiement

Devenez un fournisseur de réseau d'accès OpenRoaming en huit étapes sur les points d'accès que vous possédez déjà. Il vous suffit d'ajouter un SSID Passpoint (Hotspot 2.0) sécurisé avec la norme IEEE 802.1X, de le pointer vers le RADIUS cloud de Purple et d'annoncer l'identifiant du consortium OpenRoaming. Purple, un courtier d'identité certifié par la WBA, connecte votre établissement à la fédération, gratuitement grâce à la licence Connect.

{"slot":"hero","alt":"Un responsable réseau consulte un tableau de bord sans fil sur un ordinateur portable dans le hall d'un hôtel, tandis qu'un téléphone au premier plan indique qu'il a rejoint le WiFi automatiquement","caption":"Un établissement OpenRoaming : les visiteurs possédant un profil rejoignent un réseau WiFi chiffré sans écran de connexion.","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

À quoi ressemblera votre établissement OpenRoaming une fois terminé ?

Chaque site diffusera un SSID supplémentaire avec Passpoint activé. Passpoint, également appelé Hotspot 2.0, repose sur la norme IEEE 802.11u. Il permet à un téléphone de détecter et de rejoindre un réseau sans que personne ne doive le sélectionner dans une liste.

Le SSID annonce l'identifiant d'organisation du consortium d'itinérance OpenRoaming (RCOI), la balise partagée de la fédération. Tout téléphone possédant un profil correspondant provenant d'un fournisseur d'identité OpenRoaming se connecte de lui-même.

L'authentification utilise la norme IEEE 802.1X, le standard d'authentification basé sur les ports derrière WPA2-Enterprise et WPA3-Enterprise. Le trafic est chiffré dès le premier paquet. Il n'y a pas de Captive Portal, cette page web qui demande un e-mail ou un coupon avant d'accorder l'accès.

L'authentification passe par le RADIUS cloud de Purple. RADIUS (Remote Authentication Dial-In User Service) est le protocole utilisé par vos points d'accès pour poser deux questions : cet appareil doit-il accéder au réseau, et sur quel VLAN ?

À la fin, vous disposerez de :

• Un SSID Passpoint par site, créé à partir d'un modèle et pointé vers le RADIUS cloud de Purple.
• Un VLAN visiteur isolé, maintenu séparé du personnel, des points de vente et des systèmes du bâtiment.
• Votre SSID invité et votre Captive Portal existants, inchangés, pour les visiteurs sans profil.
• Chaque connexion OpenRoaming enregistrée au niveau de son établissement dans Purple.
• Vos établissements répertoriés parmi plus de 5 millions de points d'accès OpenRoaming dans le monde.

Que vous faut-il avant de rejoindre OpenRoaming ?

Confirmez chaque ligne ci-dessous avant de planifier une fenêtre de changement. Le firmware est l'élément qui retarde la plupart des déploiements.

{"caption":"Prérequis pour un site OpenRoaming","asOf":"2026-06-10","columns":[{"key":"item","label":"Prérequis"},{"key":"why","label":"Pourquoi c'est important"},{"key":"check","label":"Comment confirmer"}],"rows":[["Licence Purple Connect","OpenRoaming est inclus gratuitement avec Connect","Vérifiez le forfait de chaque site sur votre compte Purple"],["Points d'accès compatibles Passpoint","Les AP doivent émettre l'élément d'interfonctionnement et répondre aux requêtes ANQP","Fiche technique du fabricant pour chaque modèle"],["Firmware Hotspot 2.0","La prise en charge est souvent apportée par le firmware, pas le matériel","Version en cours d'exécution par rapport aux notes de version du fabricant"],["WPA2- ou WPA3-Enterprise","OpenRoaming s'authentifie avec IEEE 802.1X","Enterprise apparaît dans les options de sécurité de l'SSID"],["Droits d'administration du tableau de bord ou du contrôleur","Vous ajoutez un serveur RADIUS et un SSID","Ouvrez les paramètres SSID avec votre propre compte"],["RADIUS sortant vers Purple","Les AP ou contrôleurs doivent joindre le cloud RADIUS de Purple","Examen du pare-feu par rapport aux valeurs fournies par Purple"],["VLAN visiteur dédié","Isole les visiteurs des réseaux du personnel et de paiement","VLAN sur les trunks du commutateur et plage DHCP avec de la marge"],["Mobile de test avec un profil","Prouve l'association de bout en bout","Profil répertorié dans les paramètres WiFi du mobile"]],"footnote":"La prise en charge de Hotspot 2.0 varie selon le modèle et la version du firmware. Confirmez-la avec la documentation de votre fabricant avant de planifier l'intervention.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

Les valeurs que vous allez saisir

Purple fournit chaque valeur de fédération lors de la phase d'intégration. Ne copiez pas les valeurs RCOI ou de domaine depuis des posts de forums. Un seul chiffre incorrect empêche chaque téléphone configuré de correspondre à votre réseau.

Valeur	Origine	Destination
Hôtes et ports du serveur RADIUS	Votre pack d'intégration Purple	Paramètres RADIUS du contrôleur ou du tableau de bord
Secret partagé RADIUS	Votre pack d'intégration Purple	Les mêmes paramètres RADIUS
Valeurs RCOI	Purple, conformément à la spécification WBA OpenRoaming	Paramètres Hotspot 2.0 du SSID
Domaine NAI	Votre pack d'intégration Purple	Paramètres Hotspot 2.0 du SSID
Nom, groupe et type de site	Vous	Informations de site Hotspot 2.0
ID du VLAN visiteur	Votre équipe réseau	Paramètre VLAN du SSID ou politique RADIUS

Comment fonctionne un fournisseur de réseau d'accès OpenRoaming ?

OpenRoaming est une fédération gérée par la Wireless Broadband Alliance (WBA). Elle comporte deux rôles. Un fournisseur de réseau d'accès (ANP) exploite les équipements radio, et c'est votre rôle. Un fournisseur d'identité (IDP) délivre et vérifie l'identifiant du visiteur. Les fournisseurs d'identité typiques sont les opérateurs mobiles, les fabricants d'appareils et les éditeurs d'applications.

Une connexion se déroule en six étapes :

1. Votre point d'accès émet un élément d'interfonctionnement qui transporte l'RCOI OpenRoaming.
2. Un téléphone doté d'un profil correspondant envoie une requête ANQP (Access Network Query Protocol). Il lit les détails de votre site, de votre domaine et du consortium avant de s'associer.
3. Le téléphone s'associe et démarre le 802.1X. Sa méthode EAP (Extensible Authentication Protocol) dépend du fournisseur d'identité.
4. Votre point d'accès envoie la demande au RADIUS cloud de Purple.
5. Purple la transmet à la fédération via RadSec, qui est du RADIUS transporté dans du TLS (RFC 6614). OpenRoaming trouve le bon fournisseur d'identité grâce à la découverte dynamique de pairs basée sur le DNS (RFC 7585).
6. Le fournisseur d'identité accepte l'identifiant. Purple applique la politique de votre établissement, y compris le VLAN, et le point d'accès installe les clés de chiffrement.

Purple gère la partie fédération. Les certificats WBA, les sessions RadSec et le routage de domaine résident dans le RADIUS cloud de Purple, pas sur votre contrôleur. L'identifiant du visiteur est vérifié par son fournisseur d'identité au sein de l'échange EAP, afin que votre établissement ne le stocke jamais. Le guide du fournisseur d'identité explique comment cette relation de confiance est établie.

{"kind":"flow","direction":"lr","caption":"Comment une connexion OpenRoaming traverse votre réseau","alt":"Flux depuis un appareil visiteur à travers votre point d'accès et le RADIUS cloud Purple vers la fédération OpenRoaming et le fournisseur d'identité du visiteur, se terminant avec l'appareil en ligne sur le VLAN visiteur.","nodes":[{"id":"a","label":"Appareil visiteur","sub":"Détient un profil OpenRoaming","tone":"neutral"},{"id":"b","label":"Votre point d'accès","sub":"Émet le RCOI et répond à l'ANQP","tone":"brand"},{"id":"c","label":"RADIUS cloud Purple","sub":"Reçoit le 802.1X et applique la politique de l'établissement","tone":"brand"},{"id":"d","label":"Fédération OpenRoaming","sub":"RadSec sur TLS avec certificats WBA","tone":"neutral"},{"id":"e","label":"Fournisseur d'identité","sub":"Vérifie l'identifiant du visiteur","tone":"neutral"},{"id":"f","label":"En ligne sur le VLAN visiteur","sub":"Chiffré, sans Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"Requête ANQP","style":"solid"},{"from":"b","to":"c","label":"802.1X via RADIUS","style":"solid"},{"from":"c","to":"d","label":"Recherche de domaine","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN attribué","style":"solid"}]}

Comment configurer OpenRoaming, étape par étape ?

Exécutez les étapes dans l'ordre avec votre tableau de bord ouvert. Chaque étape comporte une vérification et vous ne devez pas passer à la suivante tant qu'elle n'est pas validée. Les différences selon les fournisseurs sont traitées dans la section suivante.

{"title":"Devenir un fournisseur de réseau d'accès OpenRoaming","steps":[{"title":"Activer OpenRoaming dans Purple","body":"Confirmez que votre licence Connect couvre chaque site concerné et acceptez les conditions OpenRoaming. Purple, un courtier d'identité certifié WBA, finalise l'intégration à la fédération.","check":"Purple indique qu'OpenRoaming est activé pour chaque site concerné."},{"title":"Auditer le firmware des points d'accès","body":"Listez chaque modèle et le firmware actuellement exécuté. Vérifiez les notes de version du fournisseur pour la prise en charge de Hotspot 2.0 et comblez les lacunes au préalable.","check":"Chaque modèle de votre inventaire est marqué comme prêt pour Passpoint."},{"title":"Ajouter le RADIUS cloud de Purple","body":"Ajoutez les hôtes RADIUS, les ports et le secret partagé fournis dans votre kit d'intégration Purple. Autorisez-les en sortie sur votre pare-feu.","check":"Une authentification de test reçoit une réponse sans dépassement de délai."},{"title":"Créer l'SSID OpenRoaming","body":"Créez un nouvel SSID avec la sécurité WPA2- ou WPA3-Enterprise (802.1X), pointant vers le RADIUS Purple. Ne joignez aucune page de capture.","check":"Une analyse montre que l'SSID apparaît comme un réseau d'entreprise."},{"title":"Activer Passpoint","body":"Activez Hotspot 2.0 sur l'SSID. Saisissez les valeurs RCOI et NAI realm fournies par Purple, puis le nom du site, le type de site et l'accès Internet.","check":"Un analyseur WiFi montre l'élément d me d'interfonctionnement et le RCOI dans la balise."},{"title":"Définir le VLAN et l'isolation","body":"Associez l'SSID au VLAN visiteur, ou acceptez le VLAN renvoyé par Purple. Activez l'isolation des clients et une limite de débit par appareil.","check":"Un appareil de test obtient une adresse à partir de la plage DHCP visiteur."},{"title":"Piloter un premier site","body":"Approchez un terminal équipé d'un profil OpenRoaming. Il doit se connecter sans demande d'interaction ni portail.","check":"Purple enregistre l'authentification sur le site pilote."},{"title":"Déployer par modèle","body":"Déployez l'SSID via des modèles de site ou des groupes de réseaux, une région à la fois. Répétez les vérifications pilotes sur un échantillon de sites.","check":"Chaque site enregistre les authentifications OpenRoaming dans Purple."}]}

SSID séparé ou existant ?

Créez un nouvel SSID dédié à OpenRoaming. Votre réseau personnel fait confiance à votre propre fournisseur d'identité. OpenRoaming fait confiance à chaque fournisseur d'identité de la fédération. Mélanger les deux sur un même SSID revient à mélanger leurs politiques par défaut.

{"tone":"warning","title":"N'ajoutez jamais Passpoint à l'SSID de votre personnel","text":"Un visiteur OpenRoaming peut s'authentifier via n'importe quel fournisseur d'identité de la fédération. Sur un SSID réservé au personnel sans politique VLAN séparée, ce visiteur accédera à votre réseau interne."}

WPA2 ou WPA3-Enterprise ?

Choisissez WPA3-Enterprise lorsque chaque modèle de client et de point d'accès le prend en charge. Sinon, utilisez le mode mixte WPA2 et WPA3 proposé par votre fournisseur. Ne vous rabattez pas sur WPA2-Personal, car Passpoint nécessite le 802.1X.

{"tone":"tip","text":"Donnez à l'SSID Passpoint un nom que votre personnel reconnaît lors d'une recherche, puis n'y touchez plus. Les appareils configurés correspondent au RCOI et au domaine (realm), et non au nom de l'SSID ; un changement de nom ultérieur ne rompra donc pas la connexion."}

Comment vérifier qu'OpenRoaming fonctionne ?

Vérifiez sur trois niveaux : radio, authentification et politique. Une défaillance dans un niveau inférieur masque tout ce qui se trouve au-dessus, alors procédez du bas vers le haut.

Le niveau radio vient en premier. Utilisez un analyseur WiFi pour me confirmer que l'élément d'interfonctionnement et le RCOI apparaissent dans la balise (beacon). Confirmez ensuite que le point d'accès répond à l'ANQP. Un ordinateur portable Linux exécutant wpa_supplicant avec prise en charge de l'interfonctionnement peut lire directement la réponse ANQP. Remplacez le nom de l'interface et le BSSID par les vôtres.

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

La sortie doit répertorier le nom de votre établissement, les valeurs RCOI et le domaine NAI fournis par Purple. Si le champ du consortium de itinérance est vide, revenez à l'étape 5.

L'authentification vient ensuite. Approchez un téléphone configuré avec un profil à portée, avec son WiFi activé. Il doit se connecter sans demande d'intervention. Purple doit alors enregistrer une authentification acceptée pour cet établissement. Un téléphone sans profil ne doit pas rejoindre l'SSID Passpoint. C'est un comportement correct, pas une erreur.

La politique vient en dernier. Vérifiez l'adresse, l'isolation et la portée d'un appareil connecté.

{"title":"Vérifications avant mise en service d'OpenRoaming","groups":[{"heading":"Radio","items":[{"text":"SSID visible sur chaque point d'accès du site"},{"text":"Élément d'interfonctionnement et RCOI présents dans la balise"},{"text":"ANQP renvoie le nom de l'établissement, le consortium de roaming et le domaine NAI"}]},{"heading":"Authentification","items":[{"text":"Le téléphone avec profil se connecte sans sollicitation"},{"text":"Purple enregistre une authentification acceptée pour l'établissement"},{"text":"Le téléphone sans profil reste sur l'SSID invité","why":"Confirme que les deux réseaux sont indépendants"}]},{"heading":"Politique","items":[{"text":"L'adresse de l'appareil se situe dans la plage DHCP visiteur"},{"text":"L'appareil ne peut pas atteindre un autre client sur l'SSID"},{"text":"L'appareil ne peut pas atteindre les sous-réseaux du personnel ou de paiement","why":"Preuve de segmentation PCI-DSS"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

En quoi les étapes diffèrent-elles sur Meraki, Aruba, Ruckus, Mist et UniFi ?

Les huit étapes sont les mêmes sur chaque plateforme. Ce qui change, c'est l'emplacement d'Hotspot 2.0 dans chaque console. Suivez la documentation de votre fournisseur pour la version de votre firmware et saisissez les valeurs fournies par Purple.

{"title":"Passpoint par plateforme de points d'accès","tabs":[{"label":"Cisco Meraki","body":"Meraki expose Hotspot 2.0 sous la forme d'un paramètre par SSID sur les modèles et versions de firmware pris en charge.","bullets":["Définissez la sécurité Enterprise avec Purple RADIUS sur le SSID","Marquez le VLAN visiteur sur le SSID ou acceptez un VLAN attribué par RADIUS","Utilisez des modèles de configuration pour un déploiement multi-sites","Détails : [Passpoint sur Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba assemble Passpoint à partir des paramètres Hotspot 2.0 et ANQP liés au WLAN, à côté des paramètres du serveur 802.1X.","bullets":["Confirmez si les sites fonctionnent sous Aruba Central ou des contrôleurs, car le parcours diffère","Liez les valeurs RCOI et de domaine aux paramètres Hotspot 2.0 du WLAN","Associez le VLAN visiteur sur le WLAN"]},{"label":"Ruckus","body":"Sur SmartZone, Passpoint utilise un profil d'opérateur Hotspot 2.0 lié à un profil de fournisseur d'identité et au WLAN.","bullets":["Saisissez le RCOI et le domaine dans le profil du fournisseur d'identité","Associez Purple RADIUS comme service d'authentification","Appliquez via des modèles de zone pour le multi-site"]},{"label":"Juniper Mist","body":"Mist configure Hotspot 2.0 sur le WLAN parallèlement à la sécurité Enterprise.","bullets":["Créez le WLAN dans un modèle WLAN afin que chaque site en hérite","Saisissez les valeurs de RCOI, de domaine et de lieu fournies par Purple","Définissez le VLAN visiteur sur le WLAN"]},{"label":"Ubiquiti UniFi","body":"Prise en charge de Hotspot 2.0 dépend de votre application UniFi Network et du firmware de vos points d'accès.","bullets":["Confirmez que les paramètres Hotspot 2.0 sont présents avant de planifier les dates","Pointez le WLAN vers Purple RADIUS avec la sécurité Enterprise","Attribuez le VLAN visiteur sur le WLAN"]}]}

Quels sont les problèmes les plus fréquents et comment les résoudre ?

La plupart des échecs proviennent de l'une de ces sept causes. Identifiez le symptôme, puis corrigez la cause avant de tester à nouveau.

Symptôme	Cause probable	Solution
SSID visible, les téléphones avec profil ne se connectent jamais	RCOI manquant ou mal saisi	Saisissez à nouveau les valeurs RCOI de Purple, puis vérifiez à nouveau le beacon
Aucun élément d'interfonctionnement dans le beacon	Le modèle ou le firmware ne gère pas Hotspot 2.0	Mettez à jour le firmware ou excluez ce modèle du SSID
Le téléphone tente de se connecter, puis échoue	Discordance du secret partagé ou RADIUS bloqué	Saisissez à nouveau le secret et ouvrez la règle de pare-feu sortant
Le téléphone se connecte mais n'obtient pas d'adresse	VLAN non trunké ou plage DHCP pleine	Trunkez le VLAN vers les ports de commutateur AP et élargissez la plage
Les visiteurs peuvent voir les appareils des autres	Isolation des clients désactivée	Activez l'isolation sur le SSID
Le pilote fonctionne, certains sites échouent	Modèle non appliqué ou firmware plus ancien	Comparez le site en échec par rapport au modèle et à la liste des firmwares
Le téléphone de test sans profil ne peut pas se connecter	Comportement attendu	Installez un profil ou utilisez le SSID invité

L'erreur RCOI est la plus courante, car rien ne semble cassé. Le SSID diffuse et les radios semblent fonctionnelles, mais aucun téléphone ne correspond. Exécutez toujours la vérification ANQP avant de mettre en cause le téléphone.

Les erreurs de pare-feu apparaissent sous forme de dépassements de délai plutôt que de rejets dans Purple. Un rejet signifie que la demande est arrivée et que l'identifiant a échoué. Un dépassement de délai signifie que la demande n'est jamais arrivée - vérifiez donc le chemin réseau en premier.

Si une étape échoue toujours après ces corrections, suivez la configuration Passpoint sur Cisco Meraki pour la séquence de vérification détaillée. Le même ordre de vérification s'applique à chaque fournisseur.

Où se situe OpenRoaming dans votre réseau sécurisé

Purple Access exploite trois réseaux sur les points d'accès que vous détenez. Le réseau ouvert gère la connexion par Captive Portal et l'intégration BYOD. Le réseau sécurisé achemine EAP-TLS, les fournisseurs d'identité, Passpoint et RADIUS cloud. Le réseau xPSK attribue à chaque appareil ou résident sa propre clé. Sur les trois, l'identité définit le VLAN.

OpenRoaming appartient au réseau sécurisé. Le personnel sur la même plateforme utilise EAP-TLS avec des certificats liés à Microsoft Entra ID, Okta ou Google Workspace. Les deux groupes s'authentifient via Purple RADIUS cloud, sur des SSID séparés et des VLAN séparés. Le pilier du réseau sécurisé couvre les certificats, l'identité et Passpoint ensemble. La présentation du réseau sécurisé montre comment les trois réseaux s'articulent.

Deux extensions accompagnent ce travail. Le marketing client depuis votre Captive Portal s'exécute sur Engage, abordé dans le guide guest WiFi. Le filtrage DNS pour le trafic des visiteurs s'exécute sur Shield.

Scénario concret : un réseau à l'échelle de la ville de Newcastle

La situation : les étudiants se déplaçaient entre le campus, le centre-ville et les tramways. Chaque endroit impliquait un réseau différent et une connexion différente.

Ce qui a été fait : Purple a transformé Newcastle en premier réseau OpenRoaming au monde à l'échelle d'une ville. Purple a agi en tant que courtier d'identité au sein de la fédération.

Le résultat : plus de 53 000 étudiants bénéficient désormais de l'itinérance entre le campus, la ville et les tramways sans avoir à se reconnecter.

{"tone":"proof","title":"Newcastle","text":"Purple exploite Newcastle, le premier réseau OpenRoaming au monde à l'échelle d'une ville. Plus de 53 000 étudiants y bénéficient de l'itinérance entre le campus, la ville et les tramways."}

Scénario concret : un groupe hôtelier illustratif de 40 sites sur Cisco Meraki

La situation : les clients faisaient face à un Captive Portal dans chaque hôtel et devaient recommencer à chaque séjour. L'équipe informatique souhaitait une connexion chiffrée sans acheter de matériel.

Ce qui a été fait : l'équipe a exécuté l'audit de firmware de l'étape 2 sur l'ensemble des 40 hôtels. Elle a créé un SSID Passpoint unique dans un modèle de configuration Meraki. Le VLAN visiteur a été isolé des systèmes de gestion d'établissement et de paiement. Le SSID guest et le portail existants ont été maintenus pour les visiteurs sans profil.

Le résultat : 40 hôtels fonctionnent sur un seul modèle, avec un nouveau SSID par hôtel et zéro nouveau point d'accès. Les clients disposant d'un profil OpenRoaming se connectent de manière chiffrée sans portail.

Pour les appareils d'entreprise gérés, déployez les profils via votre MDM ; consultez le guide déployer un profil Passpoint avec Intune. Les détails des licences et des fonctionnalités se trouvent sur la page produit Passpoint et OpenRoaming.

Foire aux questions

Combien coûte le fait de devenir fournisseur de réseau d'accès OpenRoaming ?

OpenRoaming est inclus gratuitement dans la licence Purple Connect. Si vos points d'accès prennent déjà en charge Hotspot 2.0 au niveau du firmware, vous n'avez aucun matériel supplémentaire à acheter. Votre coût principal réside dans le temps passé par votre équipe : l'audit du firmware, un SSID par site et un projet pilote sur un site. Les options de sécurité complémentaires telles que SecurePass, Verify et Shield constituent des choix distincts. Ne les ajoutez que si votre évaluation des risques l'exige.

OpenRoaming fonctionnera-t-il sur les points d'accès que nous possédons déjà ?

Oui, si vos modèles et vos firmwares prennent en charge Passpoint. Purple est indépendant du matériel et fonctionne sous forme de surcouche cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. La prise en charge de Hotspot 2.0 dépend du modèle et de la version du firmware. Effectuez l'audit de l'étape 2 avant de vous engager sur des dates. Les modèles plus anciens ne le prenant pas en charge continuent de desservir vos autres SSID.

Avons-nous toujours besoin d'un portail captif ?

Oui, conservez-le. OpenRoaming ne dessert que les appareils disposant déjà d'un profil délivré par un fournisseur d'identités de la fédération. Tous les autres visiteurs ont toujours besoin de votre SSID ouvert aux invités avec un portail captif ou un flux d'intégration BYOD. Faites fonctionner les deux en parallèle sur les mêmes points d'accès. Le guide Passpoint vs portail captif explique dans quel cas chaque type de connexion est le plus adapté.

Avons-nous besoin de notre propre adhésion à la WBA pour rejoindre OpenRoaming ?

Non. Purple est un courtier d'identités certifié par la WBA, vos sites rejoignent donc la fédération via votre compte Purple. Vous acceptez les conditions OpenRoaming lorsque vous l'activez à l'étape 1. Le RADIUS cloud de Purple détient alors les certificats de la fédération et gère le routage RadSec. Vos contrôleurs et tableaux de bord ne stockent jamais de certificats WBA, vous n'avez donc rien d'autre à renouveler de votre côté.

Quel est l'impact de OpenRoaming sur nos audits GDPR et PCI DSS ?

Il vous fournit des preuves d'alignement pour les deux, plutôt qu'un certificat de conformité. Les identifiants des visiteurs sont vérifiés par leur fournisseur d'identités au sein de l'échange EAP, afin que votre site ne les stocke pas. Isoler OpenRoaming sur son propre VLAN, en dehors de l'environnement des données du porteur de carte, constitue une preuve pour le périmètre PCI DSS. Purple détient les certifications ISO 27001 et Cyber Essentials, ce qui facilite votre devoir de diligence concernant les fournisseurs.

OpenRoaming peut-il fonctionner en parallèle de notre réseau 802.1X réservé au personnel ?

Oui, sur un SSID séparé. Le personnel conserve l'accès EAP-TLS avec des certificats liés à Microsoft Entra ID, Okta ou Google Workspace, et l'identité définit leur VLAN. Les visiteurs OpenRoaming rejoignent le SSID Passpoint et arrivent sur le VLAN visiteur. Les deux s'authentifient via le RADIUS cloud de Purple, vous les surveillez donc au même endroit. Ne fusionnez jamais les deux SSID pour économiser de la bande passante.

Combien de temps prend le déploiement d'un réseau OpenRoaming sur un domaine multisite ?

C'est l'audit des firmwares qui détermine le rythme, pas la configuration. La création du SSID et des paramètres Passpoint sur un site pilote s'effectue au cours d'une seule fenêtre de tir. Une fois que le pilote a validé chaque contrôle, des modèles ou des groupes de réseaux appliquent ces mêmes paramètres aux sites restants. Les domaines utilisant des firmwares mixtes doivent d'abord planifier des mises à niveau région par région, puis ajouter le SSID.

Quels appareils peuvent rejoindre un site OpenRoaming ?

Tout appareil prenant en charge Passpoint et disposant d'un profil OpenRoaming fourni par un fournisseur d'identité fédérée peut s'y connecter. Les versions actuelles d'iOS et d'Android prennent en charge Passpoint, de sorte que la plupart des téléphones récents sont compatibles dès l'installation d'un profil. Pour les appareils d'entreprise gérés, déployez le profil via votre MDM. Les appareils ne disposant pas de profil utilisent à la place votre SSID invité, sans aucun changement dans leur expérience.