Diventare un provider di reti di accesso OpenRoaming: guida all'implementazione

Diventa un provider di rete di accesso OpenRoaming in otto passaggi sugli access point già in tuo possesso. È sufficiente aggiungere un SSID Passpoint (Hotspot 2.0) protetto con IEEE 802.1X, indirizzarlo al cloud RADIUS di Purple e pubblicizzare l'identificatore del consorzio OpenRoaming. Purple, un identity broker certificato WBA, connette la tua struttura alla federazione, gratuitamente tramite la licenza Connect.

{"slot":"hero","alt":"Un responsabile di rete esamina una dashboard wireless su un laptop nella hall di un hotel mentre un telefono in primo piano mostra che si è connesso automaticamente al WiFi","caption":"Una struttura OpenRoaming: i visitatori con un profilo si connettono al WiFi crittografato senza schermata di accesso.","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

Come si presenterà la tua struttura OpenRoaming al termine?

Ogni sede trasmetterà un SSID aggiuntivo con Passpoint attivato. Passpoint, chiamato anche Hotspot 2.0, è basato sullo standard IEEE 802.11u. Consente a uno smartphone di individuare e connettersi a una rete senza che l'utente debba selezionarla da un elenco.

L'SSID pubblicizza l'organizzazione consortium identifier (RCOI) di OpenRoaming, il tag condiviso della federazione. Qualsiasi telefono in possesso di un profilo corrispondente fornito da un identity provider OpenRoaming si connette autonomamente.

L'autenticazione utilizza IEEE 802.1X, lo standard di autenticazione basato su porte alla base di WPA2-Enterprise e WPA3-Enterprise. Il traffico viene crittografato fin dal primo pacchetto. Non è presente alcun Captive Portal, la pagina web che richiede un'e-mail o un coupon prima di concedere l'accesso.

L'autenticazione viene eseguita tramite il cloud RADIUS di Purple. RADIUS (Remote Authentication Dial-In User Service) è il protocollo utilizzato dai tuoi access point per porre due domande: questo dispositivo deve accedere e su quale VLAN?

Al termine avrai:

• Un SSID Passpoint per sede, creato da un modello e indirizzato al cloud RADIUS di Purple.
• Una VLAN visitatori isolata, separata dal personale, dai punti vendita (POS) e dagli impianti dell'edificio.
• Il tuo SSID guest esistente e il Captive Portal, invariati, per i visitatori privi di un profilo.
• Ogni accesso OpenRoaming registrato per la relativa struttura all'interno di Purple.
• Le tue strutture elencate tra gli oltre 5 milioni di hotspot OpenRoaming in tutto il mondo.

Di cosa hai bisogno prima di aderire a OpenRoaming?

Conferma ogni riga sottostante prima di pianificare una finestra di modifica. Il firmware è l'elemento che ritarda la maggior parte delle implementazioni.

{"caption":"Requisiti per una sede OpenRoaming","asOf":"2026-06-10","columns":[{"key":"item","label":"Requisito"},{"key":"why","label":"Perché è importante"},{"key":"check","label":"Come verificare"}],"rows":[["Licenza Purple Connect","OpenRoaming è incluso gratuitamente con Connect","Verifica il piano in ciascuna sede nel tuo account Purple"],["Access point compatibili con Passpoint","Gli AP devono inviare il beacon dell'elemento di interworking e rispondere alle query ANQP","Scheda tecnica del produttore per ciascun modello"],["Firmware Hotspot 2.0","Il supporto spesso viene fornito tramite firmware, non hardware","Verifica della versione eseguita rispetto alle note di rilascio del produttore"],["WPA2- o WPA3-Enterprise","OpenRoaming si autentica con IEEE 802.1X","Enterprise viene visualizzato nelle opzioni di sicurezza dell'SSID"],["Diritti di amministratore per dashboard o controller","Si aggiunge un server RADIUS e un SSID","Apri le impostazioni SSID con il tuo account"],["RADIUS in uscita verso Purple","Gli AP o i controller devono raggiungere il cloud RADIUS di Purple","Revisione del firewall rispetto ai valori forniti da Purple"],["VLAN dedicata ai visitatori","Mantiene i visitatori separati dalla rete del personale e dei pagamenti","VLAN sui trunk degli switch e uno scope DHCP con margine libero"],["Dispositivo di prova con un profilo","Dimostra la connessione end-to-end","Profilo elencato nelle impostazioni WiFi del dispositivo"]],"footnote":"Il supporto per Hotspot 2.0 varia in base al modello e alla versione del firmware. Verificalo sulla documentazione del produttore prima di pianificare l'intervento.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

I valori da inserire

Purple fornisce tutti i valori di federazione durante la fase di onboarding. Non copiare i valori RCOI o realm da post sui forum. Un singolo numero errato impedisce a qualsiasi telefono con profilo di associarsi alla tua rete.

Valore	Da dove proviene	Dove inserirlo
Host e porte del server RADIUS	Il tuo pacchetto di onboarding Purple	Impostazioni RADIUS del controller o della dashboard
RADIUS shared secret	Il tuo pacchetto di onboarding Purple	Le stesse impostazioni RADIUS
Valori RCOI	Purple, in conformità con la specifica WBA OpenRoaming	Impostazioni Hotspot 2.0 dell'SSID
Realm NAI	Il tuo pacchetto di onboarding Purple	Impostazioni Hotspot 2.0 dell'SSID
Nome, gruppo e tipo di sede	Tu	Informazioni sulla sede Hotspot 2.0
ID VLAN visitatori	Il tuo team di rete	Impostazione VLAN dell'SSID o policy RADIUS

Come funziona un access network provider OpenRoaming?

OpenRoaming è una federazione gestita dalla Wireless Broadband Alliance (WBA). Prevede due ruoli. Un access network provider (ANP) gestisce gli apparati radio, e questo ruolo spetta a te. Un identity provider (IDP) emette e verifica le credenziali del visitatore. Gli identity provider tipici sono operatori di rete mobile, produttori di dispositivi ed editori di app.

Un accesso segue sei fasi:

1. Il tuo access point trasmette un elemento di interworking contenente l'RCOI OpenRoaming.
2. Un telefono con un profilo corrispondente invia una query ANQP (Access Network Query Protocol). Legge i dettagli della sede, del realm e del consorzio prima di associarsi.
3. Il telefono si associa e avvia l'autenticazione 802.1X. Il relativo metodo EAP (Extensible Authentication Protocol) dipende dall'identity provider.
4. Il tuo access point invia la richiesta al cloud RADIUS di Purple.
5. Purple la inoltra attraverso la federazione tramite RadSec, che è RADIUS veicolato all'interno di TLS (RFC 6614). OpenRoaming individua l'identity provider corretto tramite il rilevamento dinamico dei peer basato su DNS (RFC 7585).
6. L'identity provider accetta le credenziali. Purple applica la politica della tua struttura, inclusa la VLAN, e l'access point installa le chiavi di crittografia.

Purple gestisce la parte relativa alla federazione. I certificati WBA, le sessioni RadSec e l'instradamento dei realm risiedono nel cloud RADIUS di Purple, non sul tuo controller. Le credenziali del visitatore vengono verificate dal relativo identity provider all'interno dello scambio EAP, pertanto la tua struttura non le memorizza mai. La guida agli identity provider spiega come viene stabilita tale relazione di fiducia.

{"kind":"flow","direction":"lr","caption":"Come un accesso OpenRoaming attraversa la tua rete","alt":"Flusso da un dispositivo visitatore attraverso l'access point e il cloud RADIUS di Purple fino alla federazione OpenRoaming e all'identity provider del visitatore, per finire con il dispositivo online sulla VLAN visitatori.","nodes":[{"id":"a","label":"Dispositivo visitatore","sub":"Contiene un profilo OpenRoaming","tone":"neutral"},{"id":"b","label":"Il tuo access point","sub":"Trasmette l'RCOI e risponde ad ANQP","tone":"brand"},{"id":"c","label":"Cloud RADIUS di Purple","sub":"Riceve 802.1X e applica le politiche della struttura","tone":"brand"},{"id":"d","label":"Federazione OpenRoaming","sub":"RadSec su TLS con certificati WBA","tone":"neutral"},{"id":"e","label":"Identity provider","sub":"Verifica le credenziali del visitatore","tone":"neutral"},{"id":"f","label":"Online su VLAN visitatori","sub":"Crittografato, senza Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"Query ANQP","style":"solid"},{"from":"b","to":"c","label":"802.1X via RADIUS","style":"solid"},{"from":"c","to":"d","label":"Ricerca realm","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN assegnata","style":"solid"}]}

Come si configura OpenRoaming, passo dopo passo?

Esegui i passaggi in ordine mantenendo aperta la tua dashboard. Ogni passaggio include una verifica: non proseguire finché non viene superata. Le differenze tra i vari vendor sono trattate nella sezione successiva a quella che segue.

{"title":"Diventa un access network provider OpenRoaming","steps":[{"title":"Abilita OpenRoaming in Purple","body":"Conferma che la tua licenza Connect copra ogni sede interessata e accetta i termini di OpenRoaming. Purple, un broker di identità certificato WBA, completa l'onboarding nella federazione.","check":"Purple mostra OpenRoaming abilitato per ciascuna sede interessata."},{"title":"Esegui l'audit del firmware degli access point","body":"Elenca ogni modello e il relativo firmware in uso. Controlla le note di rilascio del produttore per il supporto a Hotspot 2.0 e risolvi prima eventuali problemi.","check":"Ogni modello nel tuo inventario è contrassegnato come pronto per Passpoint."},{"title":"Aggiungi il cloud RADIUS di Purple","body":"Aggiungi gli host RADIUS, le porte e la chiave condivisa presenti nel pacchetto di onboarding di Purple. Consentili in uscita sul tuo firewall.","check":"Un'autenticazione di prova riceve una risposta, non un timeout."},{"title":"Crea l'SSID OpenRoaming","body":"Crea un nuovo SSID con sicurezza WPA2- o WPA3-Enterprise (802.1X), puntato al RADIUS di Purple. Non collegare alcuna pagina splash.","check":"Una scansione mostra l'SSID come rete Enterprise."},{"title":"Attiva Passpoint","body":"Abilita Hotspot 2.0 sull'SSID. Inserisci i valori RCOI e NAI realm forniti da Purple, quindi il nome della sede, il tipo di sede e l'accesso a Internet.","check":"Un analizzatore WiFi mostra l'elemento di interworking e l'RCOI nel beacon."},{"title":"Imposta la VLAN e l'isolamento","body":"Mappa l'SSID sulla VLAN ospiti, oppure accetta la VLAN restituita da Purple. Attiva l'isolamento dei client e un limite di velocità per dispositivo.","check":"Un dispositivo di test ottiene un indirizzo dallo scope DHCP ospiti."},{"title":"Fai un pilot su un sito","body":"Porta un dispositivo mobile con un profilo OpenRoaming nel raggio di copertura. Dovrebbe connettersi senza alcuna richiesta e senza portal.","check":"Purple registra l'autenticazione per la sede del pilot."},{"title":"Distribuisci tramite template","body":"Applica l'SSID tramite template di sito o gruppi di rete, una regione alla volta. Ripeti i controlli del pilot su un campione di siti.","check":"Ogni sito registra le autenticazioni OpenRoaming in Purple."}]}

SSID separato o uno esistente?

Crea un nuovo SSID per OpenRoaming. La rete del tuo personale si fida del tuo identity provider interno. OpenRoaming si fida di ogni identity provider della federazione. Unire i due elementi su un unico SSID mescola le relative policy predefinite.

{"tone":"warning","title":"Non aggiungere mai Passpoint all'SSID del personale","text":"Un visitatore OpenRoaming può autenticarsi tramite qualsiasi identity provider della federazione. Su un SSID del personale privo di una policy VLAN separata, quel visitatore accederà alla rete del personale."}

WPA2 o WPA3-Enterprise?

Scegli WPA3-Enterprise laddove tutti i modelli di client e access point lo supportino. In caso contrario, utilizza la modalità mista WPA2 e WPA3 offerta dal tuo produttore. Non passare a WPA2-Personal, poiché Passpoint richiede 802.1X.

{"tone":"tip","text":"Assegna all'SSID Passpoint un nome che il personale possa riconoscere durante una scansione, quindi non modificarlo. I dispositivi con profilo si collegano in base all'RCOI e al realm, non al nome dell'SSID, quindi una successiva rinomina non interromperà l'accesso."}

Come verificare che OpenRoaming funzioni?

Verifica su tre livelli: radio, autenticazione e policy. Un errore in un livello inferiore nasconde tutto ciò che sta sopra, quindi procedi dal basso verso l'alto.

Il livello radio viene per primo. Utilizza un analizzatore WiFi per confermare che l'elemento di interworking e l'RCOI compaiano nel beacon. Quindi conferma che l'access point risponda all'ANQP. Un laptop Linux con wpa_supplicant con supporto interworking può leggere direttamente la risposta ANQP. Sostituisci il nome dell'interfaccia e il BSSID con i tuoi.

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

L'output dovrebbe elencare il nome della tua sede, i valori RCOI e il NAI realm fornito da Purple. Se il campo roaming consortium è vuoto, torna al passaggio 5.

L'autenticazione viene subito dopo. Porta un dispositivo dotato di profilo nel raggio d'azione con il WiFi attivo. Dovrebbe connettersi senza richiedere alcuna azione. Purple dovrebbe quindi registrare un'autenticazione accettata per quella sede. Un dispositivo senza profilo non dovrebbe connettersi all'SSID Passpoint. Questo è il comportamento corretto, non un errore.

La policy viene per ultima. Verifica l'indirizzo, l'isolamento e la raggiungibilità di un dispositivo connesso.

{"title":"Controlli di go-live OpenRoaming","groups":[{"heading":"Radio","items":[{"text":"SSID visibile su ogni access point del sito"},{"text":"Elemento di interworking e RCOI presenti nel beacon"},{"text":"ANQP restituisce nome della sede, roaming consortium e NAI realm"}]},{"heading":"Autenticazione","items":[{"text":"Il dispositivo con profilo si connette senza prompt"},{"text":"Purple registra un'autenticazione accettata per la sede"},{"text":"Il dispositivo senza profilo rimane sull'SSID guest","why":"Conferma che le due reti sono indipendenti"}]},{"heading":"Policy","items":[{"text":"L'indirizzo del dispositivo rientra nello scope DHCP visitatori"},{"text":"Il dispositivo non può raggiungere un altro client sull'SSID"},{"text":"Il dispositivo non può raggiungere le sottoreti dello staff o di pagamento","why":"Prova per la segmentazione PCI-DSS"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

In cosa differiscono i passaggi su Meraki, Aruba, Ruckus, Mist e UniFi?

I otto passaggi sono gli stessi su ogni piattaforma. Ciò che cambia è dove si trova Hotspot 2.0 all'interno di ciascuna console. Segui la documentazione del tuo fornitore per la versione del firmware in uso e inserisci i valori forniti da Purple.

{"title":"Passpoint per piattaforma di access point","tabs":[{"label":"Cisco Meraki","body":"Meraki espone Hotspot 2.0 come impostazione per singolo SSID sui modelli e firmware supportati.","bullets":["Imposta la sicurezza Enterprise con Purple RADIUS sull'SSID","Tagga la VLAN ospiti sull'SSID o accetta una VLAN assegnata da RADIUS","Utilizza modelli di configurazione per il rilascio multi-sito","Dettaglio: [Passpoint su Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba compone Passpoint dalle impostazioni Hotspot 2.0 e ANQP collegate alla WLAN, accanto alle impostazioni del server 802.1X.","bullets":["Conferma se i siti funzionano tramite Aruba Central o controller, poiché il percorso varia","Collega i valori RCOI e realm alle impostazioni Hotspot 2.0 della WLAN","Mappa la VLAN ospiti sulla WLAN"]},{"label":"Ruckus","body":"Su SmartZone, Passpoint utilizza un profilo operatore Hotspot 2.0 collegato a un profilo identity provider e alla WLAN.","bullets":["Inserisci l'RCOI e il realm nel profilo identity provider","Collega Purple RADIUS come servizio di autenticazione","Applica tramite modelli di zona per ambienti multi-sito"]},{"label":"Juniper Mist","body":"Mist imposta Hotspot 2.0 sulla WLAN insieme alla sicurezza Enterprise.","bullets":["Crea la WLAN in un modello WLAN in modo che ogni sito la erediti","Inserisci i valori RCOI, realm e venue forniti da Purple","Imposta la VLAN ospiti sulla WLAN"]},{"label":"Ubiquiti UniFi","body":"Il supporto per Hotspot 2.0 dipende dall'applicazione UniFi Network e dal firmware degli access point.","bullets":["Conferma che le impostazioni Hotspot 2.0 siano presenti prima di pianificare le date","Punta la WLAN a Purple RADIUS con sicurezza Enterprise","Assegna la VLAN ospiti sulla WLAN"]}]}

Quali sono i problemi più frequenti e come si risolvono?

La maggior parte degli errori è riconducibile a una di sette cause. Individua il sintomo, quindi risolvi la causa prima di ripetere il test.

Sintomo	Causa probabile	Soluzione
SSID visibile, i telefoni profilati non si connettono mai	RCOI mancante o digitato in modo errato	Reinserisci i valori RCOI forniti da Purple, quindi ricontrolla il beacon
Nessun elemento di interworking nel beacon	Il modello o il firmware non supporta Hotspot 2.0	Aggiorna il firmware o escludi quel modello dall'SSID
Il telefono tenta la connessione, poi fallisce	Discrepanza nel shared secret o RADIUS bloccato	Reinserisci il secret e apri la regola del firewall in uscita
Il telefono si connette ma non riceve l'indirizzo	VLAN non configurata in trunking o scope DHCP esaurito	Configura la VLAN in trunking sulle porte dello switch degli AP e amplia lo scope
Gli ospiti possono vedere i dispositivi altrui	Isolamento client disattivato	Abilita l'isolamento sull'SSID
Il pilot funziona, alcuni siti falliscono	Modello non applicato o firmware obsoleto	Confronta il sito non funzionante con il modello e l'elenco dei firmware
Il telefono di test senza profilo non riesce a connettersi	Comportamento previsto	Installa un profilo o utilizza l'SSID ospiti

L'errore relativo all'RCOI è il più comune, perché apparentemente nulla sembra guasto. L'SSID trasmette e le radio appaiono operative, ma nessun telefono trova corrispondenza. Esegui sempre il controllo ANQP prima di imputare il problema allo smartphone.

I guasti del firewall appaiono come timeout anziché come rifiuti in Purple. Un rifiuto indica che la richiesta è arrivata e la credenziale è fallita. Un timeout indica che la richiesta non è mai arrivata, quindi verificare prima il percorso di rete.

Se un passaggio continua a fallire dopo queste correzioni, seguire la configurazione Passpoint su Cisco Meraki per la sequenza dettagliata dei controlli. Lo stesso ordine di controllo si applica a ciascun produttore.

Posizionamento di OpenRoaming nella rete sicura

Purple Access esegue tre reti sugli access point di tua proprietà. La rete aperta gestisce l'accesso tramite Captive Portal e l'onboarding BYOD. La rete sicura gestisce EAP-TLS, i provider di identità, Passpoint e RADIUS-as-a-Service nel cloud. La rete xPSK assegna a ciascun dispositivo o residente una chiave dedicata. Su tutte e tre le reti, l'identità determina la VLAN.

OpenRoaming appartiene alla rete sicura. Il personale sulla stessa piattaforma utilizza EAP-TLS con certificati collegati a Microsoft Entra ID, Okta o Google Workspace. Entrambi i gruppi si autenticano tramite Purple cloud RADIUS, su SSID distinti e VLAN distinte. Il pilastro della rete sicura include certificati, identità e Passpoint. La panoramica della rete sicura mostra come si integrano le tre reti.

Due componenti aggiuntivi completano questa struttura. Il marketing per gli ospiti da Captive Portal viene eseguito su Engage, descritto nella guida WiFi per ospiti. Il filtraggio DNS per il traffico dei visitatori viene eseguito su Shield.

Scenario reale: una rete cittadina a Newcastle

La situazione: gli studenti si spostavano tra il campus, il centro città e i tram. Ogni luogo richiedeva una rete diversa e un accesso diverso.

Azione intrapresa: Purple ha integrato Newcastle nella prima rete OpenRoaming dell'intera città al mondo. Purple ha agito come broker di identità nell'ambito della federazione.

Il risultato: oltre 53.000 studenti ora utilizzano il roaming tra campus, città e tram senza doversi autenticare di nuovo.

{"tone":"proof","title":"Newcastle","text":"Purple gestisce Newcastle, la prima rete OpenRoaming al mondo per l'intera città. Oltre 53.000 studenti la utilizzano in roaming tra campus, città e tram."}

Scenario reale: un gruppo alberghiero d'esempio con 40 sedi su Cisco Meraki

La situazione: gli ospiti trovavano un Captive Portal in ogni hotel, ripetendo l'accesso ad ogni soggiorno. Il team IT desiderava un accesso crittografato senza acquistare nuovo hardware.

Azione intrapresa: il team ha eseguito l'audit del firmware del passaggio 2 in tutti i 40 hotel. Ha creato un unico SSID Passpoint in un modello di configurazione Meraki. La VLAN per i visitatori è stata mantenuta separata dai sistemi di gestione della struttura e di pagamento. L'SSID per gli ospiti e il portale esistenti sono stati mantenuti per gli ospiti privi di profilo.

Il risultato: 40 hotel operano su un unico modello, con un nuovo SSID per hotel e zero nuovi access point. Gli ospiti con un profilo OpenRoaming si connettono in modalità crittografata senza passare dal portale.

Per i dispositivi aziendali gestiti, distribuire i profili tramite il proprio MDM; consultare la guida per distribuire un profilo Passpoint con Intune. I dettagli sulle licenze e sulle funzionalità sono disponibili nella pagina del prodotto Passpoint e OpenRoaming.

Domande frequenti

Quanto costa diventare un provider di reti di accesso OpenRoaming?

OpenRoaming è incluso gratuitamente con la licenza Purple Connect. Se i punti di accesso supportano già Hotspot 2.0 nel firmware, non occorre acquistare alcun nuovo hardware. Il costo principale è rappresentato dal tempo del personale: l'audit del firmware, una SSID per sede e un progetto pilota presso una struttura. I componenti aggiuntivi di sicurezza come SecurePass, Verify e Shield sono opzioni separate. Possono essere aggiunti solo se la valutazione dei rischi lo richiede.

OpenRoaming funzionerà sui punti di accesso già in nostro possesso?

Sì, a condizione che i modelli e il firmware supportino Passpoint. Purple è indipendente dall'hardware e funziona come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Il supporto per Hotspot 2.0 dipende dal modello e dalla versione del firmware. Si consiglia di eseguire l'audit della fase 2 prima di impegnarsi con delle date. I modelli più datati privi di supporto continueranno a servire gli altri SSID.

Abbiamo ancora bisogno di un portale captive?

Sì, è necessario mantenerlo. OpenRoaming serve solo i dispositivi che possiedono già un profilo fornito da un identity provider della federazione. Tutti gli altri visitatori richiedono comunque la SSID ospiti aperta con un portale captive o un flusso di onboarding BYOD. Eseguire entrambi affiancati sugli stessi punti di accesso. La guida comparativa tra Passpoint e portale captive illustra quando ogni modalità di accesso rappresenta la scelta corretta.

È necessaria una membership WBA propria per aderire a OpenRoaming?

No. Purple è un identity broker certificato WBA, pertanto le strutture aderiscono alla federazione tramite il proprio account Purple. Gli utenti accettano i termini di OpenRoaming quando lo abilitano nella fase 1. Il server RADIUS cloud di Purple conserva quindi i certificati della federazione e gestisce l'instradamento RadSec. I controller e le dashboard non memorizzano mai certificati WBA, pertanto non vi è nulla di aggiuntivo da rinnovare da parte dell'utente.

In che modo OpenRoaming influisce sui nostri audit GDPR e PCI DSS?

Fornisce prove relative a entrambi, piuttosto che un certificato di conformità. Le credenziali dei visitatori vengono verificate dal loro identity provider all'interno dello scambio EAP, pertanto la struttura non le memorizza. L'isolamento di OpenRoaming sulla propria VLAN, al di fuori dell'ambiente dei dati dei titolari di carta, costituisce una prova ai fini della definizione dell'ambito PCI DSS. Purple detiene le certificazioni ISO 27001 e Cyber Essentials, a supporto della due diligence dei fornitori.

OpenRoaming può essere eseguito affiancato alla nostra rete 802.1X del personale?

Sì, su una SSID separata. Il personale mantiene la rete EAP-TLS con certificati collegati a Microsoft Entra ID, Okta o Google Workspace, e l'identità imposta la loro VLAN. I visitatori OpenRoaming accedono alla SSID Passpoint e atterrano sulla VLAN visitatori. Entrambi effettuano l'autenticazione tramite il server RADIUS cloud di Purple, consentendo di monitorarli in un unico luogo. Non unire mai i due SSID per risparmiare tempo di trasmissione.

Quanto tempo richiede l'implementazione di OpenRoaming in una proprietà multisito?

La verifica del firmware determina il ritmo, non la configurazione. La creazione delle impostazioni per SSID e Passpoint in un sito pilota rientra in un'unica finestra di modifica. Una volta che il pilota supera ogni controllo, i modelli o i gruppi di rete applicano le stesse impostazioni ai siti rimanenti. Le proprietà con firmware misto dovrebbero prima pianificare gli aggiornamenti regione per regione, per poi aggiungere SSID.

Quali dispositivi possono accedere a una sede OpenRoaming?

Può accedere qualsiasi dispositivo che supporti Passpoint e disponga di un profilo OpenRoaming fornito da un identity provider federato. Le versioni attuali di iOS e Android supportano Passpoint, pertanto la maggior parte dei telefoni moderni soddisfa i requisiti una volta installato un profilo. Per i dispositivi aziendali gestiti, invii il profilo tramite il Suo MDM. I dispositivi privi di profilo utilizzeranno invece la Sua rete SSID per ospiti, senza alcuna variazione nella loro esperienza d'uso.