Tornar-se um fornecedor de rede de acesso OpenRoaming: um guia de implementação

Torne-se um fornecedor de rede de acesso OpenRoaming em oito passos nos pontos de acesso que já possui. Adiciona um SSID Passpoint (Hotspot 2.0) protegido com IEEE 802.1X, aponta-o para o RADIUS em nuvem da Purple e anuncia o identificador do consórcio OpenRoaming. A Purple, um mediador de identidade certificado pela WBA, liga o seu local à federação, gratuitamente através da licença Connect.

{"slot":"hero","alt":"Um gestor de rede analisa um painel de controlo sem fios num portátil no átrio de um hotel, enquanto um telemóvel em primeiro plano mostra que se ligou ao WiFi automaticamente","caption":"Um local OpenRoaming: os visitantes com um perfil ligam-se a WiFi encriptado sem ecrã de início de sessão.","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

Como será o seu local OpenRoaming quando terminar?

Cada local transmitirá um SSID adicional com o Passpoint ativado. O Passpoint, também chamado Hotspot 2.0, é baseado no IEEE 802.11u. Permite que um telemóvel encontre e se ligue a uma rede sem que ninguém o escolha numa lista.

O SSID anuncia o identificador de organização do consórcio de roaming (RCOI) do OpenRoaming, a etiqueta partilhada da federação. Qualquer telemóvel que possua um perfil correspondente de um fornecedor de identidade OpenRoaming liga-se autonomamente.

O início de sessão utiliza o IEEE 802.1X, o padrão de autenticação baseado em portas por trás do WPA2-Enterprise e do WPA3-Enterprise. O tráfego é encriptado desde o primeiro pacote. Não há qualquer Captive Portal, a página web que solicita um e-mail ou código antes de conceder acesso.

A autenticação é executada através do RADIUS em nuvem da Purple. O RADIUS (Remote Authentication Dial-In User Service) é o protocolo que os seus pontos de acesso utilizam para fazer duas perguntas: este dispositivo deve entrar e em que VLAN?

No final terá:

• Um SSID Passpoint por local, criado a partir de um modelo e apontado para o RADIUS em nuvem da Purple.
• Uma VLAN de visitantes isolada, mantida à parte dos funcionários, pontos de venda e sistemas do edifício.
• O seu SSID de convidado e Captive Portal existentes, inalterados, para visitantes sem perfil.
• Cada início de sessão OpenRoaming registado no respetivo local na Purple.
• Os seus locais listados entre mais de 5 milhões de hotspots OpenRoaming em todo o mundo.

Do que precisa antes de se juntar ao OpenRoaming?

Confirme cada linha abaixo antes de agendar uma janela de alteração. O firmware é o item que mais atraiçoa a calendarização das implementações.

{"caption":"Pré-requisitos para um local OpenRoaming","asOf":"2026-06-10","columns":[{"key":"item","label":"Pré-requisito"},{"key":"why","label":"Porque é importante"},{"key":"check","label":"Como confirmar"}],"rows":[["Licença Purple Connect","O OpenRoaming está incluído gratuitamente no Connect","Verifique o plano de cada local na sua conta Purple"],["Pontos de acesso compatíveis com Passpoint","Os APs devem emitir o elemento de interfuncionamento e responder a consultas ANQP","Ficha técnica do fornecedor para cada modelo"],["Firmware Hotspot 2.0","O suporte chega frequentemente via firmware, não hardware","Versão em execução comparada com as notas de lançamento do fornecedor"],["WPA2- ou WPA3-Enterprise","O OpenRoaming autentica com IEEE 802.1X","Enterprise aparece nas opções de segurança do SSID"],["Direitos de administração no painel ou controlador","Adiciona um servidor RADIUS e um SSID","Abra as definições do SSID com a sua própria conta"],["RADIUS de saída para a Purple","Os APs ou controladores devem alcançar o RADIUS na nuvem da Purple","Revisão da firewall comparada com os valores fornecidos pela Purple"],["VLAN dedicada para visitantes","Mantém os visitantes fora das redes de funcionários e de pagamentos","VLAN em trunks de switch e um escopo DHCP com margem"],["Telemóvel de teste com perfil","Comprova a ligação de ponta a ponta","Perfil listado nas definições de WiFi do telemóvel"]],"footnote":"O suporte a Hotspot 2.0 varia consoante o modelo e a versão do firmware. Confirme-o com a documentação do seu fornecedor antes de agendar o trabalho.","download":{"filename":"openroaming-anp-prerequisites.csv"}}

Os valores que irá introduzir

A Purple fornece todos os valores da federação durante a integração. Não copie valores de RCOI ou de domínio de posts em fóruns. Um único dígito incorreto impede que todos os telemóveis com perfil coincidam com a sua rede.

Valor	De onde vem	Para onde vai
Anfitriões e portas do servidor RADIUS	O seu pacote de integração da Purple	Definições RADIUS do controlador ou painel
Segredo partilhado RADIUS	O seu pacote de integração da Purple	As mesmas definições RADIUS
Valores RCOI	Purple, correspondendo à especificação WBA OpenRoaming	Definições de Hotspot 2.0 do SSID
Domínio NAI	O seu pacote de integração da Purple	Definições de Hotspot 2.0 do SSID
Nome, grupo e tipo de local	Você	Informação de local do Hotspot 2.0
ID da VLAN de visitantes	A sua equipa de rede	Definição de VLAN do SSID ou política RADIUS

Como funciona um fornecedor de rede de acesso OpenRoaming?

O OpenRoaming é uma federação gerida pela Wireless Broadband Alliance (WBA). Tem duas funções. Um fornecedor de rede de acesso (ANP) opera os rádios, e esse papel é o seu. Um fornecedor de identidade (IDP) emite e verifica as credenciais do visitante. Os fornecedores de identidade típicos são operadores móveis, fabricantes de dispositivos e editores de aplicações.

Um início de sessão segue seis etapas:

1. O seu ponto de acesso emite um elemento de interfuncionamento que transporta o RCOI do OpenRoaming.
2. Um telemóvel com um perfil correspondente envia uma consulta ANQP (Access Network Query Protocol). Lê os detalhes do seu local, domínio e consórcio antes de se associar.
3. O telemóvel associa-se e inicia o 802.1X. O seu método EAP (Extensible Authentication Protocol) depende do fornecedor de identidade.
4. O seu ponto de acesso envia o pedido para o RADIUS na nuvem da Purple.
5. A Purple encaminha-o através da federação via RadSec, que é o RADIUS transportado dentro do TLS (RFC 6614). O OpenRoaming encontra o fornecedor de identidade correto através de descoberta dinâmica de pares baseada em DNS (RFC 7585).
6. O fornecedor de identidade aceita a credencial. A Purple aplica a política do seu espaço, incluindo a VLAN, e o ponto de acesso instala as chaves de encriptação.

A Purple gere a etapa de federação. Os certificados WBA, as sessões RadSec e o encaminhamento de domínios residem no RADIUS na nuvem da Purple, não no seu controlador. A credencial do visitante é verificada pelo respetivo fornecedor de identidade dentro da troca EAP, pelo que o seu espaço nunca a armazena. O guia do fornecedor de identidade explica como essa confiança é estabelecida.

{"kind":"flow","direction":"lr","caption":"Como um início de sessão OpenRoaming atravessa a sua rede","alt":"Fluxo a partir do dispositivo de um visitante através do seu ponto de acesso e do RADIUS na nuvem da Purple até à federação OpenRoaming e ao fornecedor de identidade do visitante, terminando com o dispositivo online na VLAN de visitantes.","nodes":[{"id":"a","label":"Dispositivo do visitante","sub":"Possui um perfil OpenRoaming","tone":"neutral"},{"id":"b","label":"O seu ponto de acesso","sub":"Emite o RCOI e responde ao ANQP","tone":"brand"},{"id":"c","label":"RADIUS na nuvem da Purple","sub":"Recebe 802.1X e aplica a política do espaço","tone":"brand"},{"id":"d","label":"Federação OpenRoaming","sub":"RadSec sobre TLS com certificados WBA","tone":"neutral"},{"id":"e","label":"Fornecedor de identidade","sub":"Verifica a credencial do visitante","tone":"neutral"},{"id":"f","label":"Online na VLAN de visitantes","sub":"Encriptado, sem Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"Consulta ANQP","style":"solid"},{"from":"b","to":"c","label":"802.1X via RADIUS","style":"solid"},{"from":"c","to":"d","label":"Pesquisa de domínio","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"VLAN atribuída","style":"solid"}]}

Como configurar o OpenRoaming, passo a passo?

Siga os passos por ordem com o seu painel de controlo aberto. Cada passo tem uma verificação e não deve avançar até que esta seja concluída com sucesso. As diferenças entre fornecedores são abordadas na secção a seguir à próxima.

{"title":"Torne-se um fornecedor de rede de acesso OpenRoaming","steps":[{"title":"Ativar o OpenRoaming no Purple","body":"Confirme que a sua licença Connect cobre todos os locais abrangidos e aceite os termos do OpenRoaming. O Purple, um agente de identidade certificado pela WBA, conclui a integração da federação.","check":"O Purple mostra o OpenRoaming ativado para cada local abrangido."},{"title":"Auditar o firmware dos pontos de acesso","body":"Liste todos os modelos e o respetivo firmware em execução. Verifique as notas de lançamento do fabricante relativas ao suporte para Hotspot 2.0 e elimine eventuais lacunas primeiro.","check":"Todos os modelos da sua folha de inventário estão marcados como preparados para Passpoint."},{"title":"Adicionar o RADIUS na nuvem do Purple","body":"Adicione os anfitriões, portas e segredo partilhado do RADIUS do seu pacote de integração do Purple. Permita o tráfego de saída deles na sua firewall.","check":"Uma autenticação de teste recebe uma resposta e não um tempo limite excedido."},{"title":"Criar o SSID OpenRoaming","body":"Crie um novo SSID com segurança WPA2- ou WPA3-Enterprise (802.1X), apontado para o RADIUS do Purple. Não associe uma página de entrada.","check":"Uma verificação mostra o SSID como uma rede Enterprise."},{"title":"Ativar o Passpoint","body":"Ative o Hotspot 2.0 no SSID. Introduza os valores de RCOI e domínio NAI fornecidos pelo Purple e, em seguida, o nome do local, o tipo de local e o acesso à Internet.","check":"Um analisador de WiFi mostra o elemento de interfuncionamento e o RCOI no beacon."},{"title":"Definir a VLAN e o isolamento","body":"Mapeie o SSID para a VLAN de visitantes ou aceite a VLAN devolvida pelo Purple. Ative o isolamento de clientes e um limite de largura de banda por dispositivo.","check":"Um dispositivo de teste obtém um endereço a partir do escopo DHCP de visitantes."},{"title":"Fazer um piloto num local","body":"Aproxime um dispositivo móvel com um perfil OpenRoaming do alcance da rede. Este deverá ligar-se sem pedir dados e sem portal.","check":"O Purple regista a autenticação no local do piloto."},{"title":"Implementar por modelo","body":"Envie o SSID através de modelos de local ou grupos de rede, uma região de cada vez. Repita as verificações do piloto numa amostra de locais.","check":"Cada local regista autenticações OpenRoaming no Purple."}]}

SSID separado ou um existente?

Crie um novo SSID para o OpenRoaming. A rede dos seus colaboradores confia no seu próprio fornecedor de identidade. O OpenRoaming confia em todos os fornecedores de identidade da federação. Misturar os dois num único SSID misturar os seus regulamentos predefinidos.

{"tone":"warning","title":"Nunca adicione o Passpoint ao SSID dos colaboradores","text":"Um visitante do OpenRoaming pode autenticar-se através de qualquer fornecedor de identidade da federação. Num SSID de colaboradores sem um regulamento de VLAN separado, esse visitante irá aceder à sua rede interna."}

WPA2 ou WPA3-Enterprise?

Escolha WPA3-Enterprise quando todos os modelos de cliente e ponto de acesso o suportarem. Caso contrário, utilize o modo misto WPA2 e WPA3 oferecido pelo seu fabricante. Não recorra ao WPA2-Personal, pois o Passpoint exige 802.1X.

{"tone":"tip","text":"Atribua ao SSID Passpoint um nome que a sua equipa reconheça numa verificação e, depois, não o altere. Os dispositivos com perfil correspondem ao RCOI e ao domínio, não ao nome do SSID, pelo que uma alteração posterior do nome não interrompe o início de sessão."}

Como verificar se o OpenRoaming funciona?

Verifique em três camadas: rádio, autenticação e política. Uma falha numa camada inferior oculta tudo o que está acima, por isso trabalhe de baixo para cima.

A camada de rádio vem em primeiro lugar. Utilize um analisador de WiFi para confirmar que o elemento de interfuncionamento e o RCOI aparecem no beacon. Em seguida, confirme se o ponto de acesso responde ao ANQP. Um portátil Linux com wpa_supplicant com suporte para interfuncionamento pode ler a resposta ANQP diretamente. Substitua o nome da interface e o BSSID pelos seus próprios dados.

# Portátil Linux com wpa_supplicant compilado com suporte para interfuncionamento
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Solicitar nome do local (258), consórcio de roaming (261) e domínio NAI (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

A saída deve listar o nome do seu local, os valores de RCOI e o domínio NAI fornecidos pela Purple. Se o campo do consórcio de roaming estiver vazio, regresse ao passo 5.

A autenticação vem a seguir. Traga um dispositivo móvel com perfil configurado para dentro do alcance com o WiFi ligado. Este deverá ligar-se sem qualquer solicitação. A Purple deverá então registar uma autenticação aceite para esse local. Um dispositivo sem perfil não se deve ligar ao SSID Passpoint. Isso é o comportamento correto, não uma falha.

A política vem em último lugar. Verifique o endereço, o isolamento e o alcance de um dispositivo ligado.

{"title":"Verificações de entrada em funcionamento do OpenRoaming","groups":[{"heading":"Rádio","items":[{"text":"SSID visível em todos os pontos de acesso no local"},{"text":"Elemento de interfuncionamento e RCOI presentes no beacon"},{"text":"ANQP devolve o nome do local, consórcio de roaming e domínio NAI"}]},{"heading":"Autenticação","items":[{"text":"Dispositivo com perfil liga-se sem qualquer solicitação"},{"text":"Purple regista uma autenticação aceite para o local"},{"text":"Dispositivo sem perfil permanece no SSID de convidados","why":"Confirma que as duas redes são independentes"}]},{"heading":"Política","items":[{"text":"Endereço do dispositivo situa-se no âmbito DHCP de visitantes"},{"text":"Dispositivo não consegue alcançar outro cliente no SSID"},{"text":"Dispositivo não consegue alcançar sub-redes de funcionários ou pagamentos","why":"Evidência para segmentação PCI-DSS"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

Como é que os passos diferem no Meraki, Aruba, Ruckus, Mist e UniFi?

Os oito passos são os mesmos em todas as plataformas. O que muda é a localização do Hotspot 2.0 em cada consola. Siga a documentação do seu fabricante para a sua versão de firmware e insira os valores fornecidos pela Purple.

{"title":"Passpoint por plataforma de ponto de acesso","tabs":[{"label":"Cisco Meraki","body":"A Meraki disponibiliza o Hotspot 2.0 como uma definição por SSID nos modelos e firmware suportados.","bullets":["Defina a segurança Enterprise com o Purple RADIUS no SSID","Identifique a VLAN de visitante no SSID ou aceite uma VLAN atribuída por RADIUS","Utilize modelos de configuração para implementação em múltiplos locais","Detalhe: [Passpoint na Cisco Meraki](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"A Aruba estrutura o Passpoint a partir de definições de Hotspot 2.0 e ANQP associadas à WLAN, ao lado das definições do servidor 802.1X.","bullets":["Confirme se os locais são geridos através do Aruba Central ou de controladores, pois o caminho difere","Associe os valores de RCOI e realm às definições de Hotspot 2.0 da WLAN","Mapeie a VLAN de visitante na WLAN"]},{"label":"Ruckus","body":"No SmartZone, o Passpoint utiliza um perfil de operador Hotspot 2.0 associado a um perfil de fornecedor de identidade e à WLAN.","bullets":["Introduza o RCOI e o realm no perfil do fornecedor de identidade","Anexe o Purple RADIUS como o serviço de autenticação","Aplique através de modelos de zona para múltiplos locais"]},{"label":"Juniper Mist","body":"A Mist define o Hotspot 2.0 na WLAN em conjunto com a segurança Enterprise.","bullets":["Crie a WLAN num modelo de WLAN para que todos os locais a herdem","Introduza os valores de RCOI, realm e venue fornecidos pela Purple","Defina a VLAN de visitante na WLAN"]},{"label":"Ubiquiti UniFi","body":"O suporte para Hotspot 2.0 depende da sua aplicação UniFi Network e do firmware dos pontos de acesso.","bullets":["Confirme que as definições do Hotspot 2.0 estão presentes antes de agendar datas","Aponte a WLAN para o Purple RADIUS com segurança Enterprise","Atribua a VLAN de visitante na WLAN"]}]}

O que falha com mais frequência e como resolver?

A maioria das falhas deve-se a uma de sete causas. Identifique o sintoma e corrija a causa antes de testar novamente.

Sintoma	Causa provável	Correção
SSID visível, telemóveis com perfil nunca se associam	RCOI em falta ou com erro de digitação	Reintroduza os valores de RCOI fornecidos pela Purple e volte a verificar o beacon
Nenhum elemento de interfuncionamento no beacon	O modelo ou o firmware não suporta Hotspot 2.0	Atualize o firmware ou exclua esse modelo do SSID
O telemóvel tenta, mas falha	Divergência no segredo partilhado ou RADIUS bloqueado	Reintroduza o segredo e abra a regra de saída no firewall
O telemóvel associa-se mas não obtém endereço	VLAN sem trunking ou âmbito DHCP esgotado	Efetue o trunking da VLAN para as portas de switch dos AP e alargue o âmbito
Os visitantes conseguem ver os dispositivos uns dos outros	Isolamento de cliente desativado	Ative o isolamento no SSID
O piloto funciona, mas alguns locais falham	Modelo não aplicado ou firmware antigo	Compare o local com falha com o modelo e com a lista de firmware
O telemóvel de teste sem perfil não se consegue associar	Comportamento esperado	Instale um perfil ou utilize o SSID de visitante

A falha no RCOI é a mais comum, porque nada parece avariado. O SSID transmite e os rádios parecem operacionais, mas nenhum telemóvel faz a correspondência. Execute sempre a verificação ANQP antes de culpar o dispositivo móvel.

Falhas de firewall aparecem como timeouts em vez de rejeições no Purple. Uma rejeição significa que o pedido chegou e a credencial falhou. Um timeout significa que o pedido nunca chegou, por isso verifique primeiro o caminho da rede.

Se um passo continuar a falhar após estas correções, siga a configuração de Passpoint na Cisco Meraki para obter a sequência detalhada de verificação. A mesma ordem de verificações aplica-se a todos os fornecedores.

Onde o OpenRoaming se situa na sua rede segura

O Purple Access executa três redes nos pontos de acesso que possui. A rede aberta carrega o início de sessão no Captive Portal e a integração de BYOD. A rede segura carrega EAP-TLS, fornecedores de identidade, Passpoint e RADIUS na nuvem. A rede xPSK dá a cada dispositivo ou residente a sua própria chave. Em todas as três, a identidade define a VLAN.

O OpenRoaming pertence à rede segura. Os funcionários na mesma plataforma usam EAP-TLS com certificados vinculados ao Microsoft Entra ID, Okta ou Google Workspace. Ambos os grupos autenticam-se através do RADIUS na nuvem do Purple, em SSIDs separados e VLANs separadas. O pilar da rede segura cobre certificados, identidade e Passpoint em conjunto. A visão geral da rede segura mostra como as três redes se encaixam.

Dois suplementos situam-se ao lado deste trabalho. O marketing de convidados do seu Captive Portal é executado no Engage, coberto no guia de guest WiFi. O filtragem de DNS para o tráfego de visitantes é executado no Shield.

Cenário prático: uma rede à escala da cidade em Newcastle

A situação: os estudantes deslocavam-se entre o campus, o centro da cidade e os elétricos. Cada local significava uma rede diferente e um início de sessão diferente.

O que foi feito: o Purple transformou Newcastle na primeira rede OpenRoaming à escala da cidade do mundo. O Purple atuou como mediador de identidade em toda a federação.

O resultado: mais de 53 000 estudantes agora fazem roaming entre o campus, a cidade e os elétricos sem voltar a iniciar sessão.

{"tone":"proof","title":"Newcastle","text":"O Purple opera Newcastle, a primeira rede OpenRoaming à escala da cidade do mundo. Mais de 53 000 estudantes fazem roaming entre o campus, a cidade e os elétricos nela."}

Cenário prático: um grupo hoteleiro ilustrativo de 40 locais na Cisco Meraki

A situação: os hóspedes encontravam um Captive Portal em cada hotel e repetiam o processo em todas as estadias. A equipa de TI queria um início de sessão encriptado sem comprar hardware.

O que foi feito: a equipa executou a auditoria de firmware do passo 2 em todos os 40 hotéis. Criaram um SSID Passpoint num modelo de configuração da Meraki. A VLAN de visitantes foi mantida separada dos sistemas de gestão da propriedade e de pagamentos. O SSID de convidados e o portal existentes mantiveram-se ativos para hóspedes sem perfil.

O resultado: 40 hotéis funcionam com base num único modelo, com um novo SSID por hotel e zero novos pontos de acesso. Os hóspedes com um perfil OpenRoaming ligam-se de forma encriptada sem portal.

Para dispositivos corporativos geridos, envie perfis através do seu MDM; consulte implantar um perfil Passpoint com o Intune. Os detalhes de licenciamento e funcionalidades estão na página de produtos Passpoint e OpenRoaming.

Perguntas frequentes

Quanto custa tornar-se um fornecedor de rede de acesso OpenRoaming?

O OpenRoaming está incluído gratuitamente na licença do Purple Connect. Se os seus pontos de acesso já suportarem o Hotspot 2.0 no firmware, também não precisa de comprar novo hardware. O seu custo principal é o tempo da equipa: a auditoria do firmware, um SSID por local e um projeto-piloto num espaço. Os suplementos de segurança, como o SecurePass, o Verify e o Shield, são escolhas separadas. Adicione-os apenas se a sua avaliação de risco o exigir.

O OpenRoaming funcionará nos pontos de acesso que já possuímos?

Sim, se os seus modelos e firmware suportarem o Passpoint. O Purple é agnóstico em relação ao hardware e é executado como uma sobreposição na nuvem no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. O suporte para Hotspot 2.0 depende do modelo e da versão do firmware. Execute a auditoria do passo 2 antes de se comprometer com datas. Os modelos mais antigos sem suporte continuam a servir os seus outros SSIDs.

Ainda precisamos de um portal cativo?

Sim, mantenha-o. O OpenRoaming serve apenas dispositivos que já possuem um perfil de um fornecedor de identidade de federação. Todos os outros visitantes continuam a precisar da sua rede SSID aberta para convidados com um portal cativo ou um fluxo de integração BYOD. Execute ambos em paralelo nos mesmos pontos de acesso. O guia Passpoint vs. portal cativo aborda quando cada início de sessão é a escolha certa.

Precisamos da nossa própria adesão à WBA para aderir ao OpenRoaming?

Não. O Purple é um corretor de identidade certificado pela WBA, pelo que os seus espaços aderem à federação através da sua conta Purple. Aceita os termos do OpenRoaming ao ativá-lo no passo 1. O RADIUS na nuvem do Purple detém os certificados de federação e lida com o encaminhamento RadSec. Os seus controladores e painéis de controlo nunca armazenam certificados da WBA, pelo que não há nada adicional para renovar do seu lado.

Como é que o OpenRoaming afeta as nossas auditorias de GDPR e PCI DSS?

Fornece-lhe evidências para ambas, em vez de um certificado de conformidade. As credenciais dos visitantes são verificadas pelo seu fornecedor de identidade dentro da troca EAP, pelo que o seu espaço não as armazena. Isolar o OpenRoaming na sua própria VLAN, fora do ambiente de dados do titular do cartão, serve de evidência para o âmbito do PCI DSS. O Purple possui certificação ISO 27001 e Cyber Essentials, o que apoia a sua diligência devida de fornecedores.

O OpenRoaming pode ser executado em paralelo com a nossa rede 802.1X de colaboradores?

Sim, numa SSID separada. Os colaboradores mantêm o EAP-TLS com certificados vinculados ao Microsoft Entra ID, Okta ou Google Workspace, e a identidade define a respetiva VLAN. Os visitantes do OpenRoaming juntam-se à SSID do Passpoint e entram na VLAN de visitantes. Ambos se autenticam através do RADIUS na nuvem do Purple, permitindo-lhe monitorizá-los num único local. Nunca funda os dois SSIDs para poupar tempo de transmissão.

Quanto tempo demora uma implementação de OpenRoaming numa propriedade com múltiplas localizações?

A auditoria do firmware dita o ritmo, não a configuração. A criação das definições de SSID e Passpoint num único local piloto realiza-se numa única janela de alteração. Assim que o piloto passar todos os testes, os modelos ou grupos de rede aplicam as mesmas definições aos restantes locais. As propriedades com firmware misto devem primeiro agendar as atualizações região a região e, em seguida, adicionar a SSID.

Que dispositivos se podem ligar a um espaço com OpenRoaming?

Qualquer dispositivo que suporte Passpoint e possua um perfil de OpenRoaming de um fornecedor de identidade de federação pode ligar-se. As versões atuais do iOS e do Android suportam Passpoint, pelo que a maioria dos telemóveis modernos é elegível assim que o perfil for instalado. Para dispositivos corporativos geridos, envie o perfil através do seu MDM. Os dispositivos sem perfil utilizam a sua SSID de convidados, sem qualquer alteração na sua experiência.