O que é ePDG em telecom?
Na arquitetura 4G, o ePDG é o ponto de entrada para o acesso não 3GPP não confiável, cujo caso típico é o Wi-Fi público ou residencial. A operadora não controla essas redes, então o tráfego vindo delas não pode ser tratado como o tráfego das suas próprias estações rádio base. O ePDG fica na fronteira: o celular cria um túnel criptografado até ele, a operadora verifica quem é o assinante e só então a sessão é encaminhada ao núcleo.
O resultado prático são as chamadas por Wi-Fi (VoWiFi): voz e SMS no número do próprio assinante por qualquer rede Wi-Fi, sem um aplicativo separado. Segundo o glossário da VAS Experts, o VoWiFi sobre Wi-Fi não confiável não pode ser implementado corretamente em uma arquitetura LTE sem um ePDG. Para a definição resumida, veja o verbete de ePDG no glossário.
As operadoras implantam um ePDG por vários motivos: serviço de voz onde a cobertura celular é fraca ou inexistente (residências em áreas remotas, bairros novos, prédios altos, grandes escritórios e shoppings), menor custo de tráfego para MVNOs e roaming via Wi-Fi.
Como funciona o serviço ePDG
Um serviço ePDG funciona em uma sequência de quatro etapas:
- O celular se conecta a uma rede Wi-Fi disponível.
- Ele estabelece um túnel seguro até o ePDG. O celular faz isso com um mecanismo integrado, e o túnel é transparente para o ponto de acesso Wi-Fi local.
- O assinante é autenticado pelo SIM junto ao servidor AAA da operadora.
- A voz e o tráfego do usuário entram no núcleo da operadora e trafegam pelo EPC de forma muito parecida com uma sessão LTE.
As chamadas podem passar entre Wi-Fi e LTE (handover) com interrupção mínima ou nenhuma. VoWiFi e VoLTE funcionam sobre a mesma rede core e usam os mesmos codecs HD.
Arquitetura do ePDG
Um ePDG é um gateway entre três grupos de nós.
Do lado do assinante. O celular (UE) se conecta por qualquer ponto de acesso Wi-Fi. O ePDG termina o túnel IPsec, usando IKEv2 para a negociação de chaves. Um túnel separado é criado para cada sessão de rede de dados por pacotes (PDN).
Do lado da autenticação. O ePDG depende do servidor 3GPP AAA da operadora, que verifica o SIM. A autenticação usa EAP-AKA, então a identificação fica vinculada ao SIM da mesma forma que na rede móvel. Os dados do AAA também podem alimentar as decisões de QoS.
Do lado do núcleo. Após a autenticação, o ePDG estabelece a sessão com o gateway de pacotes (PGW), e o tráfego segue pelo EPC. As regras de política e tarifação normalmente são aplicadas pelo PGW e pelo PCRF, e não apenas pelo ePDG. No caso da voz, a sessão chega ao subsistema IMS da mesma forma que uma sessão VoLTE.
O IPsec consome muitos recursos: o nó criptografa e descriptografa cada túnel, por isso vale testar logo no início a vazão e a latência sob carga de criptografia, em vez de presumi-las.
Uma confusão comum é a diferença entre ePDG e PGW. O PGW conecta o núcleo móvel às redes IP externas e à internet. O ePDG oferece ao assinante acesso seguro a esse núcleo via Wi-Fi e outras redes não 3GPP. O PGW cuida da conexão de saída para as redes de dados, e o ePDG cuida do acesso de entrada seguro por meios alternativos. A VAS Experts também desenvolve um PGW, e os dois nós trabalham juntos em uma cadeia VoWiFi.
Interfaces do ePDG
A tabela lista os principais pontos de referência de um ePDG. Os nomes vêm das especificações 3GPP.
| Interface | Conecta | Finalidade |
| SWu | UE e ePDG | Túnel IPsec/IKEv2 a partir do celular; transporta a troca EAP-AKA |
| SWm | ePDG e servidor 3GPP AAA | Autenticação e autorização do assinante, além dos dados de assinatura |
| S2b | ePDG e PGW | Leva a sessão do assinante do ePDG até o núcleo de pacotes (o 3GPP define variantes baseadas em GTP e em PMIPv6; verifique qual delas o fornecedor suporta) |
| S6b | PGW e servidor 3GPP AAA | Autenticação e autorização relacionadas à mobilidade para acesso não 3GPP. O PGW informa o servidor AAA sobre a sessão e pode obter um perfil de QoS estático quando o controle dinâmico de políticas não é usado. O ePDG não usa a S6b diretamente, mas ela faz parte da cadeia VoWiFi. O PGW também registra seu endereço no servidor AAA e no HSS pela S6b, de modo que, após uma mudança de Wi-Fi para LTE, a rede seleciona o mesmo PGW e o celular mantém seu endereço IP. |
| SWn | Acesso IP não 3GPP não confiável e ePDG | Caminho entre a rede de acesso Wi-Fi não confiável e o ePDG. O tráfego de um túnel iniciado pelo celular precisa ser direcionado obrigatoriamente ao ePDG, que o termina |
Duas observações sobre a tabela. O servidor AAA, por sua vez, consulta a base de dados de assinantes (HSS) pela interface SWx, de modo que a verificação do SIM termina nos dados da própria operadora. Além disso, na arquitetura 3GPP padrão, a sinalização IMS não termina no ePDG. Ela passa pelo túnel e pelo PGW até o núcleo IMS, e é por isso que a integração com o IMS é uma questão de toda a cadeia, e não apenas do ePDG.
Integração do ePDG com o núcleo IMS
O VoWiFi, assim como o VoLTE, é um serviço IMS. O ePDG oferece o acesso seguro; o núcleo IMS cuida do registro, do controle de chamadas e do próprio serviço de voz. Para uma operadora, integrar-se ao núcleo IMS significa verificar vários pontos ao mesmo tempo:
- Integração com o core e o IMS. O ePDG normalmente é integrado ao EPC, ao subsistema IMS e aos nós de roaming.
- Paridade de voz com o VoLTE. A mesma rede core e os mesmos codecs HD, para que o assinante não perceba qual acesso está em uso.
- Handover. As chamadas passam entre Wi-Fi e LTE sem interrupção.
- Chamadas de emergência. Se não houver cobertura celular, o celular pode encaminhar a chamada de emergência pelo Wi-Fi, e o assinante ainda deve conseguir falar com os serviços de emergência locais.
- Configuração do SIM. O SIM deve conter as configurações corretas para os serviços IMS, incluindo o domínio do ePDG.
Muitas operadoras lançam o VoWiFi quando o VoLTE já está em operação, porque a infraestrutura e os processos de implantação são semelhantes. O ePDG também é implantado em locais sem nenhuma cobertura 2G/3G/LTE, como forma de oferecer serviço de voz onde a expansão celular está incompleta.
Como é um lançamento real
O gateway é a parte que dá para testar em laboratório. Os celulares, o SIM e o domínio são mais difíceis. O estudo de caso da VAS Experts com a MVNO Miatel, que no início de 2025 se tornou a primeira operadora a lançar comercialmente chamadas por Wi-Fi com o Stingray ePDG, mostra onde o tempo foi gasto:
- O domínio do ePDG. Obter o domínio do serviço ePDG junto à GSMA levou muito tempo e exigiu acompanhamento insistente.
- O certificado de segurança. No início ele não funcionou corretamente, e a operadora e o fornecedor tiveram que resolver os detalhes juntos.
- O SIM e o celular. Depois que o SIM foi configurado, o celular não reconhecia o novo domínio gravado no SIM e se recusava a conectar. A solução exigiu analisar o Android, as configurações dos fabricantes e o modem do celular.
- Configurações por aparelho. Alguns modelos de celular podem ser configurados e outros não. Não existe um método universal, então cada modelo precisa de uma abordagem própria, e trabalhar diretamente com os fabricantes de celulares é o caminho viável.
A lição para o planejamento: monte o cronograma de VoWiFi em torno do SIM, do domínio e da lista de aparelhos, e não apenas do gateway.
Como escolher um fornecedor de ePDG
As listas de recursos são parecidas entre os fornecedores, já que a maioria suporta o básico do 3GPP. As perguntas que os diferenciam são práticas. Use este checklist e peça a cada fornecedor evidências, não promessas.
Padrões e segurança
- Ele suporta IPsec/IKEv2 no lado SWu e autenticação EAP-AKA, com um túnel por sessão PDN?
- Quais releases e interfaces 3GPP (SWu, SWm, S2b) ele implementa, e existe um datasheet que os liste?
Integração
- Ele já foi integrado a um núcleo IMS e a um EPC como os seus, e com quais nós AAA e PCRF?
- Como funciona o handover entre Wi-Fi e LTE, e são usados os mesmos codecs HD do VoLTE?
- Como as chamadas de emergência são tratadas?
Desempenho e escalabilidade
- Como ele escala e qual é a carga de criptografia por nó? Peça resultados de testes com o seu perfil de tráfego, e não apenas um número de destaque.
- Ele pode rodar em hardware padrão ou precisa de uma plataforma proprietária?
Controle operacional
- É possível restringir a conexão a hotspots Wi-Fi específicos ou deixar a escolha para o assinante?
- Quais parâmetros de QoS podem ser controlados a partir dos dados do AAA?
Implantação e comprovação
- O fornecedor consegue mostrar uma implantação comercial em uma operadora do seu tipo (MNO ou MVNO) e descrever o que deu errado ao longo do caminho?
- Quem cuida da configuração do SIM, da solicitação do domínio do ePDG, do certificado e dos testes aparelho por aparelho, e que experiência o fornecedor tem com fabricantes de celulares que respondem devagar às solicitações de uma operadora pequena?
- É possível testar o produto nos seus próprios equipamentos antes de assinar um contrato?
Continuidade do fornecedor
- O produto está em desenvolvimento ativo? Verifique o histórico de versões e a documentação datada, e não apenas a página do produto.
- Como serão o suporte e o roadmap nos próximos três a cinco anos?
Um plano de testes curto ajuda nesse ponto. Peça um teste nos seus próprios equipamentos, execute o registro IMS e o handover com a lista real de modelos de celular-alvo e só depois compare as condições comerciais.
ePDG da VAS Experts
A VAS Experts desenvolve seu próprio ePDG em software, o Stingray ePDG, como parte de sua oferta para operadoras e MVNOs. A página do produto descreve a autenticação do SIM por EAP-AKA, os túneis IPsec/IKEv2 por sessão PDN, QoS baseada em informações do AAA, handover entre Wi-Fi e LTE e o controle da operadora sobre a seleção de hotspots Wi-Fi. A solução VoLTE e VoWiFi acrescenta a integração com o IMS e a experiência em configuração de SIM. O datasheet e a visão geral do produto estão disponíveis para download, e o produto pode ser testado nos equipamentos da própria operadora, com contrato apenas após um teste bem-sucedido.
Perguntas frequentes
O que é ePDG, em termos simples?
É um gateway seguro entre um celular conectado via Wi-Fi e a rede móvel da operadora. Ele permite que os assinantes usem serviços de voz e SMS com segurança em qualquer rede Wi-Fi.
Quais protocolos e que autenticação um ePDG usa?
O IPsec protege o túnel e o IKEv2 negocia as chaves. Os assinantes são autenticados com EAP-AKA, que se baseia nos dados do SIM.
Um ePDG exige que o VoLTE já esteja implantado?
O ePDG trabalha com o EPC (e com o 5GC por meio de um SMF/PGW-C combinado) e com o subsistema IMS, e não com as estações rádio base. Muitas operadoras ainda lançam o VoWiFi sobre uma implantação VoLTE existente porque a infraestrutura é semelhante, mas o que o VoWiFi realmente precisa é de um núcleo IMS, então confirme com seu fornecedor o projeto IMS pretendido.
Qual é a diferença entre ePDG e PGW?
O PGW conecta o núcleo móvel às redes IP externas e à internet. O ePDG oferece acesso seguro a esse núcleo a partir do Wi-Fi e de outras redes não 3GPP. Em uma sessão VoWiFi, o tráfego passa pelos dois.
O ePDG é só para grandes operadoras?
Não. Uma MVNO de porte local, a Miatel, foi a primeira operadora a lançar comercialmente chamadas por Wi-Fi com o Stingray ePDG.
