Aruba ClearPass vs Cisco ISE: Enterprise NAC Plattform-Vergleich
Vergleichen Sie Aruba ClearPass Policy Manager und Cisco ISE. Evaluieren Sie Multi-Vendor RADIUS AAA, 802.1X Policy Engines, Lizenzkosten und die Integration von Gäste WiFi.
Video overview
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Teil unserer Kernserie: Enterprise WiFi Security Leitfaden →
Executive Summary
Network Access Control (NAC) ist das Rückgrat von Zero-Trust-Netzwerkarchitekturen in Unternehmen. Da Unternehmen eine wachsende Anzahl von Firmen-Laptops, Mobilgeräten, IoT-Hardware und Besucherdatenverkehr verwalten, entscheidet die Wahl der richtigen Policy Engine über das Sicherheitsniveau, den betrieblichen Aufwand und die Gesamtbetriebskosten.
Die beiden unbestrittenen Marktführer im Bereich Network Access Control für Unternehmen sind Aruba ClearPass Policy Manager (CPPM) und Cisco Identity Services Engine (Cisco ISE). Während beide Plattformen IEEE 802.1X Authentifizierung der Enterprise-Klasse, RADIUS/TACACS+ Services, Endgeräte-Profiling und Statusüberprüfung (Posture Validation) bieten, verkörpern sie grundlegend unterschiedliche Designphilosophien:
- Aruba ClearPass legt den Fokus auf herstellerunabhängige Richtlinien-Orchestrierung, unkomplizierte Lizenzierung und offene Interoperabilität für heterogene Umgebungen.
- Cisco ISE bietet eine tiefe, proprietäre Integration mit Cisco Switching, Routing, Wireless Controllern, DNA Center / Catalyst Center und Cisco TrustSec Mikrosegmentierung.
Dieser technische Leitfaden bietet einen umfassenden Architekturvergleich zwischen Aruba ClearPass und Cisco ISE in Bezug auf Bereitstellungsmodelle, Funktionsmatrizen, Lizenzstrukturen, Multi-Vendor-Support und die Integration von Gast-WiFi.
Purple integriert sich nativ in die Infrastrukturen von Cisco ISE und HPE Aruba ClearPass, um Captive Portals für Gäste, die Identitäts-Orchestrierung von Besuchern und WiFi-Analysen an über 80.000 Live-Standorten zu automatisieren.
Enterprise WiFi Sicherheitsleitfaden entdecken →Architektur-Übersicht: ClearPass vs. Cisco ISE
Das Verständnis des strukturellen Aufbaus beider Plattformen ist entscheidend für die Planung von Rechenkapazität, Hochverfügbarkeit und Netzwerk-Topologie.
+-----------------------------------------------------------------------------------+
| ENTERPRISE NAC-ARCHITEKTUR |
+-----------------------------------------------------------------------------------+
| |
| +-----------------------------------+ +-----------------------------------+ |
| | ARUBA CLEARPASS CLUSTER | | CISCO ISE-DEPLOYMENT | |
| | | | | |
| | [Publisher (Konfig & Schreib-DB)]| | [Primär / Sekundär PAN (Admin)] | |
| | | | | [Primär / Sekundär MnT (Logs)] | |
| | +--------------+--------------+ | | | | |
| | | | | | +--------------+--------------+ | |
| | v v | | | | | | |
| | [Subscriber 1] [Subscriber 2] | | v v v | |
| | (RADIUS / AAA) (RADIUS / AAA) | | [PSN-Node 1] [PSN-Node 2] [PSN 3] | |
| +-----------------------------------+ +-----------------------------------+ |
| | | |
| +----------------------+----------------------+ |
| | |
| v |
| +---------------------------------------+ |
| | NETZWERKZUGANGSGERÄTE (NADs) | |
| | Cisco / Aruba / Ruckus / Fortinet | |
| | Switches, WLCs & Firewalls | |
| +---------------------------------------+ |
+-----------------------------------------------------------------------------------+
Aruba ClearPass Cluster-Architektur
ClearPass nutzt ein Publisher / Subscriber Cluster-Modell:
- Publisher Node: Das zentrale Repository für alle Richtlinienkonfigurationen, Gast-Konten und Datenbank-Schreibvorgänge. Alle administrativen Aktualisierungen erfolgen auf dem Publisher und werden auf die Subscriber repliziert.
- Subscriber Nodes: Regionale Richtlinien-Entscheidungspunkte, die die Live-RADIUS-Authentifizierung, TACACS+ Accounting und das Device Profiling übernehmen. Wenn der Publisher nicht erreichbar ist, authentifizieren Subscriber die Endpunkte weiterhin über ihre synchronisierte, lokale Read-Only-Datenbank, ohne dass der Betrieb unterbrochen wird.
- Standby Publisher: Übernimmt automatisch die Rolle des aktiven Publishers, wenn der primäre Publisher ausfällt.
Cisco ISE-Knotenarchitektur
Cisco ISE verteilt Funktionen auf spezialisierte Persona-Rollen:
- Policy Administration Node (PAN): Verwaltet Konfigurationen und verteilt Richtlinien. Bereitgestellt als primäres und sekundäres Paar für Active-Standby-Redundanz.
- Monitoring and Troubleshooting Node (MnT): Erfasst Syslog-Daten, Authentifizierungsprotokolle und generiert Berichte. Bereitgestellt als Primary und Secondary.
- Policy Service Node (PSN): Führt Authentifizierung, Autorisierung, Profiling, Posture-Prüfungen und SGT-Zuweisung aus. Mehrere PSN-Knoten werden über Rechenzentren und Niederlassungen hinweg hinter Load Balancern verteilt.
- pxGrid-Knoten: Teilt Kontext und Telemetriedaten bidirektional mit Sicherheitsplattformen von Drittanbietern (Firewalls, SIEMs und Schwachstellenscannern).
Matrix zum Vergleich der Kernfunktionen
| Architektur-Bereich | Aruba ClearPass Policy Manager (CPPM) | Cisco Identity Services Engine (ISE) | Evaluierungs- & Auswahlorientierung |
|---|---|---|---|
| Multi-Vendor-Unterstützung | Native, offene Anbieter-Verzeichnisunterstützung für mehr als 50 Netzwerk-Hardwarehersteller | Unterstützt RFC-Standards; erweiterte Funktionen optimiert für Cisco-Hardware | ClearPass gewinnt in heterogenen Umgebungen; ISE glänzt in reinen Cisco-Netzwerken |
| Richtlinien-Engine-Logik | Servicebasierte Kontextregeln, Richtliniensimulation und Live Access Tracker | Regelbasierte Policy Sets mit zustandsbasierter Authentifizierung und Autorisierung | ClearPass bietet eine einfachere Fehlerbehebung; ISE bietet granulare Bedingungsverknüpfungen |
| Geräteverwaltung (AAA) | Vollständiges TACACS+ und RADIUS in der Basis-Access-Lizenz enthalten | Vollständiges TACACS+ und RADIUS in die Richtlinien-Engine integriert (erfordert Device Admin-Lizenz) | Beide bieten Autorisierung von Unternehmensbefehlen und Sitzungsabrechnung |
| Endpunkt-Profiling | DHCP-Snooping, HTTP-User-Agent, SNMP, MAC-OUI, NetFlow | DHCP, HTTP, RADIUS-Probes, Cisco Device Sensor, NVM-Agenten-Telemetrie | Cisco ISE liefert tiefere Telemetriedaten in Kombination mit Cisco-Switches und Secure Client |
| Posture-Bewertung | ClearPass OnGuard (persistenter oder temporärer Agent) | Cisco Secure Client (ehemals AnyConnect) Posture-Modul | Cisco ISE bietet eine tiefere OS-Fehlerbehebung und VPN-Posture-Integration |
| BYOD-Zertifikatsregistrierung | ClearPass Onboard (integrierte CA und SCEP / EST-Gateway) | ISE BYOD-Portal mit interner CA und EST/SCEP-Integration | Beide bieten eine automatisierte 802.1X-Zertifikatsbereitstellung für Mobilgeräte |
| Mikrosegmentierung | Dynamische Rollenzuweisung und Downloadable User Roles (DUR) | Cisco TrustSec Security Group Tags (SGT) Hardware-Tagging | TrustSec bietet Hardware-Tagging in Leitungsgeschwindigkeit; DUR bietet flexible Switch-ACLs |
Multi-Vendor-Interoperabilität und Hardware-Support
Ein wesentliches Entscheidungskriterium für Enterprise-Architekten ist die Frage, ob ihre Netzwerk-Hardware-Flotte homogen ist oder von verschiedenen Herstellern stammt.
Aruba ClearPass in Multi-Vendor-Netzwerken
ClearPass wurde von Grund auf als herstellerunabhängige AAA-Engine entwickelt. Sie enthält nativ umfassende RADIUS-Attributverzeichnisse für:
- Cisco Systems (Catalyst, Nexus, Meraki, AireOS, Catalyst 9800)
- HPE Aruba Networking (AOS-S, AOS-CX, Aruba Central, Instant APs)
- Ruckus Networks / CommScope (SmartZone, Unleashed, ICX switches)
- Juniper Networks / Mist AI
- Fortinet (FortiGate, FortiSwitch, FortiAP)
- Extreme Networks, Arista und Ubiquiti UniFi
ClearPass ermöglicht es Netzwerktechnikern, eine einzige, einheitliche Zugriffsrichtlinie zu konfigurieren, die dynamisch herstellerspezifische Attribute (VSAs) - wie Cisco AV-Pairs, Aruba User Roles oder standardmäßige RFC 2868 VLAN-Tunnel - basierend auf dem anfragenden Network Access Server (NAS)-Hersteller zurückgibt.
+----------------------------------------+
| ARUBA CLEARPASS POLICY MANAGER |
+----------------------------------------+
|
+------------------------+------------------------+
| | |
v v v
[Cisco Catalyst WLC] [Aruba CX Switch] [Ruckus SmartZone AP]
Gibt zurück: Cisco-AVPair Gibt zurück: Aruba-User-Role Gibt zurück: Ruckus-VLAN-ID
"air-acl-up=GUEST-ACL" "employee-secure" "VLAN 100"
Cisco ISE in Multi-Vendor-Netzwerken
Cisco ISE unterstützt standardmäßiges RFC 2865 RADIUS, RFC 5176 CoA und standardmäßiges MAC Authentication Bypass (MAB). Switches und Access Points von Drittanbietern können über Network Device Profiles integriert werden.
Erweiterte ISE-Funktionen basieren jedoch auf herstellerspezifischen Hardware-Funktionen von Cisco:
- Cisco Device Sensor: Switches analysieren DHCP-, CDP- und LLDP-Pakete in der Hardware und leiten diese über RADIUS-Accounting zur Profilerstellung ohne Mirror-Ports an die ISE weiter.
- Cisco TrustSec (SGT): Erfordert Cisco ASIC-Hardwareunterstützung in Catalyst-Switches und Cisco Firepower-Firewalls, um 16-Bit-SGT-Tags in Paket-Header einzufügen und zu filtern.
- DNA Center / Catalyst Center Integration: Die Synchronisierung von Software-Defined Access (SD-Access)-Richtlinien erfordert Cisco ISE als zugrunde liegende Identity-Engine.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.
Lizenzierungsmodelle und Total Cost of Ownership (TCO)
Die Lizenzierungsstrukturen weisen deutliche Unterschiede zwischen ClearPass und Cisco ISE auf.
+-----------------------------------------------------------------------------------+
| NAC-LIZENZIERUNG IM VERGLEICH |
+-----------------------------------------------------------------------------------+
| |
| ARUBA CLEARPASS: MODELL FÜR GLEICHZEITIGE ENDPUNKTE |
| +-----------------------------------------------------------------------------+ |
| | ClearPass Access (Basis) -> Core-RADIUS, TACACS+, Profiling, Guest | |
| | ClearPass Onboard (Add-on)-> Automatisierte PKI-Zertifikatsbereitstellung | |
| | ClearPass OnGuard (Add-on)-> Permanenter / temporärer Endpunkt-Status-Check| |
| +-----------------------------------------------------------------------------+ |
| |
| CISCO ISE: GESTUFTES ABONNEMENT-MODELL |
| +-----------------------------------------------------------------------------+ |
| | ISE Essentials Tier -> Basis-802.1X, RADIUS, MAB, Basis-Guest | |
| | ISE Advantage Tier -> Full Profiling, TrustSec SGT, MDM/pxGrid, BYOD| |
| | ISE Premier Tier -> Erweiterter Status-Check (Secure Client) | |
| | Device Admin License -> Dedizierte TACACS+ Netzwerkgeräte-Steuerung | |
| +-----------------------------------------------------------------------------+ |
+-----------------------------------------------------------------------------------+
Aruba ClearPass Lizenzierung
ClearPass wird auf Basis von gleichzeitig aktiven Sitzungen lizenziert:
- ClearPass Access: Die Basislizenz. Ermöglicht RADIUS AAA, TACACS+ Geräteverwaltung, grundlegendes Endpunkt-Profiling und Guest-Zugriff. Wenn 5.000 Geräte gleichzeitig authentifiziert sind, werden 5.000 Access-Lizenzen verbraucht.
- ClearPass Onboard: Add-on-Lizenz pro bereitgestelltem Gerätezertifikat.
- ClearPass OnGuard: Add-on-Lizenz pro aktivem Gerät, das einer Konformitätsprüfung für den Endpunkt-Status unterzogen wird.
Cisco ISE Lizenzierung
Cisco ISE arbeitet mit einem gestuften Abonnement-Modell:
- ISE Essentials: Umfasst Standard-802.1X, grundlegendes RADIUS-Accounting und grundlegenden Guest-Zugriff.
- ISE Advantage: Erweitert den Funktionsumfang um erweitertes Endpunkt-Profiling, Cisco TrustSec SGT-Verwaltung, BYOD-Onboarding-Prozesse und pxGrid-Systemintegrationen.
- ISE Premier: Bündelt alle Advantage-Funktionen plus umfassende Endpunkt-Status-Prüfung über Cisco Secure Client.
- Device Administration: Separate unbefristete oder befristete Lizenz erforderlich, um die TACACS+-Funktionalität auf Netzwerk-Switches und -Routern zu aktivieren.
Guest WiFi Zugriff und Captive Portal Auslagerung
Einer der größten versteckten betrieblichen und finanziellen Kostenfaktoren bei NAC-Bereitstellungen in Unternehmen ist der temporäre Guest WiFi Datenverkehr.
Der Engpass bei der Guest-Lizenzierung
Wenn sich ein Besucher mit einem Enterprise-Gastnetzwerk verbindet, initiiert sein Smartphone oder Laptop eine RADIUS-Sitzung mit der NAC-Appliance. In typischen hochfrequentierten Umgebungen (Unternehmenszentralen, Universitätsgelände, Einkaufszentren, Krankenhäuser und Stadien) wechseln Besuchergeräte schnell:
- Eine Universität mit 10.000 Studierenden verzeichnet möglicherweise 25.000 Besucher-Verbindungen pro Woche.
- Ein Gesundheitsnetzwerk mit 5.000 Mitarbeitern verzeichnet möglicherweise 40.000 eindeutige Patienten- und Gastverbindungen pro Monat.
Das Routing aller Captive Portal-Authentifizierungen von Besuchern über zentrale ClearPass- oder Cisco ISE-Appliances führt zu zwei kritischen Herausforderungen:
- Lizenzerschöpfung: Flüchtige Gastgeräte verbrauchen teure ClearPass Access- oder Cisco ISE Advantage-Sitzungslizenzen, die für dauerhafte Unternehmens-Endgeräte reserviert sein sollten.
- Eingeschränkte Funktionen: Native NAC-Gästoportale bieten keine modernen Funktionen zur Kundenbindung, wie Social-Media-Authentifizierung, mehrsprachiges Branding, DSGVO/CCPA-Compliance-Self-Service, SMS-Gateway-Integrationen und Analysen zur Besucherfrequenz.
+-----------------------------------------------------------------------------------+
| ENTERPRISE GUEST OFFLOAD ARCHITECTURE |
+-----------------------------------------------------------------------------------+
| |
| UNTERNEHMENS-ENDGERÄTE (Mitarbeiter & BYOD) GÄSTE- & BESUCHERGERÄTE |
| | | |
| v v |
| [802.1X EAP-TLS / PEAP] [Captive Portal Weiterleitung] |
| | | |
| v v |
| +-------------------------------+ +---------------------------------+ |
| | CORE NAC (ClearPass / ISE) | | PURPLE CLOUD WIFI PLATFORM | |
| | - Mitarbeiter 802.1X Auth | | - Mandantenfähige Splash Pages | |
| | - Unternehmenseigene PKI-Zert.| | - Social & SMS OTP Logins | |
| | - SGT / Dynamische VLAN-Rollen| | - DSGVO / Datenschutz-Compliance| |
| | - Zero-Trust-Mikrosegment. | | - Frequenz- & Standortanalysen | |
| +-------------------------------+ +---------------------------------+ |
| | | |
| +----------------------+----------------------+ |
| | RADIUS RFC 5176 CoA |
| v |
| +---------------------------------+ |
| | WIRELESS ACCESS CONTROLLER | |
| | Cisco Catalyst / Aruba / Meraki| |
| +---------------------------------+ |
+-----------------------------------------------------------------------------------+
Wie Purple mit ClearPass und Cisco ISE integriert wird
Purple fungiert als spezialisiertes Cloud Captive Portal und WiFi Intelligence Overlay, das sowohl Cisco ISE als auch Aruba ClearPass ergänzt:
- Schonung der Gast-Lizenzen: Gast-Authentifizierungen enden direkt beim Purple Cloud RADIUS, wodurch der Verbrauch von Gast-Lizenzen auf lokalen ClearPass- oder ISE-Knoten entfällt.
- Bereitstellung von herstellerübergreifenden Captive Portals: Purple stellt dynamische, auf den jeweiligen Standort, die Sprache und das Besucherprofil zugeschnittene Splash-Portale auf Cisco Meraki, Catalyst 9800, Aruba Central, Ruckus SmartZone und Fortinet APs bereit.
- Synchronisierung über RADIUS CoA: Sobald ein Besucher die Portal-Authentifizierung abgeschlossen hat, sendet Purple ein standardmäßiges RADIUS Change of Authorization (CoA RFC 5176)-Paket an den Wireless-Controller, um den Benutzer dynamisch in die autorisierte Gast-Rolle zu überführen.
- Enterprise Analytics & CRM-Integration: Purple erfasst eingewilligte Kundendaten und synchronisiert Besuchererkenntnisse in Echtzeit mit Enterprise CRMs (Salesforce, HubSpot, Microsoft Dynamics).
Entscheidungsrahmen: Die Wahl zwischen ClearPass und Cisco ISE
Nutzen Sie die folgende Entscheidungsmatrix als Orientierungshilfe für Ihre Plattformauswahl:
[START DER BEWERTUNG]
|
v
Besteht Ihr Netzwerk zu 85%+ aus Cisco-Hardware
und erfordert es Cisco TrustSec (SGT)?
/ \
JA NEIN
/ \
v v
[CISCO ISE WÄHLEN] Umfasst Ihr Netzwerk
Hardware verschiedener Hersteller
(Aruba, Ruckus, Juniper)?
/ \
JA NEIN
/ \
v v
[CLEARPASS WÄHLEN] [TCO & PRÄFERENZ
BEWERTEN]
Wählen Sie Aruba ClearPass, wenn:
- Sie ein Multi-Vendor-Netzwerk mit Hardware von Cisco, Aruba, Ruckus, Fortinet oder Juniper betreiben.
- Sie ein planbares Lizenzmodell auf Basis gleichzeitiger Sitzungen wünschen, ohne obligatorische mehrstufige Software-Abonnements.
- Sie möchten eine intuitive Richtlinien-Benutzeroberfläche mit integrierter Richtliniensimulation und Echtzeit-Fehlerbehebung via Access Tracker.
- Sie benötigen eine robuste TACACS+ Geräteadministration, die direkt in Ihrer Basisplattform-Bereitstellung enthalten ist.
Wählen Sie Cisco ISE, wenn:
- Ihr Unternehmen auf Cisco Catalyst Switches, Catalyst 9800 WLCs und eine Cisco Sicherheitsinfrastruktur standardisiert ist.
- Sie Cisco Software-Defined Access (SD-Access) bereitstellen oder eine hardwareerzwingende TrustSec SGT-Mikrosegmentierung vorschreiben.
- Sie Cisco Secure Client (AnyConnect) auf Ihrer gesamten Endgeräteflotte für VPN, Statusprüfungen und Network Visibility Module (NVM) Telemetrie einsetzen.
- Sie über ein bestehendes Cisco Enterprise Agreement (EA) verfügen, das rabattierte ISE-Tarifpakete bietet.
Häufig gestellte Fragen
Kann Aruba ClearPass drahtlose und kabelgebundene Cisco Clients authentifizieren?
Ja. Aruba ClearPass ist vollständig kompatibel mit den Standards IEEE 802.1X, RADIUS (RFC 2865) und RADIUS CoA (RFC 5176). Es unterstützt nativ herstellerspezifische Attribute (VSAs) von Cisco, wodurch es herunterladbare ACLs (dACLs), Air-ACLs und dynamische VLANs von Cisco ohne Einschränkungen an Cisco Catalyst Switches und Wireless LAN Controller zuweisen kann.
Unterstützt Cisco ISE Netzwerk-Switches und Access Points von Drittanbietern?
Ja. Cisco ISE unterstützt standardmäßige RADIUS-Authentifizierung, MAC Authentication Bypass (MAB) und RFC 5176 CoA für Netzwerkzugriffsgeräte von Drittanbietern mithilfe von Netzwerkgeräteprofilen. Proprietäre Cisco-Funktionen wie das Cisco Device Sensor-Profiling und das hardwarebasierte TrustSec Security Group Tag (SGT) Tagging erfordern jedoch eine Cisco-Infrastruktur.
Wie handhaben ClearPass und ISE die TACACS+ Geräteadministration?
Beide Plattformen unterstützen TACACS+ zur Zentralisierung der administrativen Authentifizierung, Befehlsautorisierung und Protokollierung für Switches, Router und Firewalls. Aruba ClearPass enthält die volle TACACS+-Funktionalität in seiner Basis-Access-Lizenz. Cisco ISE enthält TACACS+ in seiner Kern-Richtlinien-Engine, erfordert jedoch eine dedizierte Geräteadministrationslizenz.
Was ist der effizienteste Weg, um Gast-WiFi bei der Bereitstellung von ClearPass oder Cisco ISE zu handhaben?
Die Bereitstellung einer externen Cloud-WiFi-Plattform wie Purple zur Verwaltung von Besucher-Captive-Portalen, Splash Pages und der Erfassung von Gästedaten ist die empfohlene Best Practice. Dies entlastet die internen NAC-Knoten von Tausenden von flüchtigen Gästenauthentifizierungen, verhindert die Erschöpfung von Kern-NAC-Lizenzen und bietet umfassende Besucheranalysen über alle Standorte hinweg.
Schlüsseldefinitionen
Aruba ClearPass Policy Manager (CPPM)
Eine herstellerneutrale Network Access Control Plattform, die zentralisiertes AAA (Authentication, Authorization, Accounting) über RADIUS und TACACS+ für Multi-Vendor-Netzwerk-Hardware bereitstellt.
CPPM umfasst integriertes Profiling, Gästeverwaltung, automatisiertes Zertifikats-Onboarding und Richtliniensimulation.
Cisco Identity Services Engine (ISE)
Eine Sicherheits-Richtlinien-Management-Plattform für Unternehmen, die die kontextabhängige Zugriffskontrolle für kabelgebundene, kabellose und VPN-Verbindungen über Cisco- und Drittanbieter-Infrastrukturen hinweg automatisiert.
ISE fungiert als Policy Decision Point (PDP) für Software-Defined Access (SD-Access) und TrustSec Architekturen.
Network Access Control (NAC)
Ein Sicherheitsansatz für Computernetzwerke, der Endpunktsicherheitstechnologie, Benutzerauthentifizierung und die Durchsetzung von Netzwerksicherheitsrichtlinien vor der Gewährung des Netzwerkzugangs vereinheitlicht.
Erzwingt portbasierte IEEE 802.1X Zugriffskontrolle, MAC Authentication Bypass (MAB) und Posture Compliance.
Security Group Tag (SGT / Cisco TrustSec)
Ein in Ethernet-Frames eingefügter 16-Bit-Metadaten-Tag zur Identifizierung von Quell-Endpunktrollen, der eine rollenbasierte Mikrosegmentierung ohne komplexe IP-Subnetz-ACLs ermöglicht.
Wird nativ von Cisco Catalyst Switches und Firewalls erzwungen, die Cisco ISE als Instanz für die Tag-Zuweisung nutzen.
Change of Authorization (CoA RFC 5176)
Eine standardmäßige RADIUS-Protokollerweiterung, die es einem Richtlinienserver ermöglicht, aktive Sitzungsattribute, VLAN-Zuweisungen dynamisch zu ändern oder Sitzungen auf dem Access-Switch oder Controller zu trennen.
Essentiell für die Durchsetzung von Quarantäne, die Neubewertung des Sicherheitszustands und die Rollenaufwertung nach der Authentifizierung am Captive Portal.
Ausgearbeitete Beispiele
Ein Universitäts-Campus im Hochschulbereich betreibt 1.400 Wireless Access Points und 220 Edge-Switches, bestehend aus Cisco Catalyst Core-Switches, Aruba APs und älteren Ruckus Wireless Controllern. Der Campus muss eine zertifikatsbasierte 802.1X Authentifizierung für 18.000 Studenten und Mitarbeiter implementieren und gleichzeitig einen Captive Portal Zugang für 8.000 tägliche Gäste bereitstellen. Welche NAC Architektur bietet das kosteneffizienteste Bereitstellungs- und Betriebsmodell?
- Stellen Sie den Aruba ClearPass Policy Manager (CPPM) als primäre AAA-Engine bereit, da er herstellerunabhängige RADIUS-Dictionaries über Hardware von Cisco, Aruba und Ruckus hinweg unterstützt. 2. Implementieren Sie das EAP-TLS Zertifikats-Onboarding über ClearPass Onboard oder eine Microsoft Entra ID Integration für verwaltete und BYOD-Geräte der Studenten. 3. Lagern Sie die 8.000 täglichen Gäste-Sitzungen an Purple Cloud WiFi aus: Purple übernimmt die Weiterleitung zum Captive Portal, Social-Media-Authentifizierung, SMS-OTP sowie die GDPR Compliance und kommuniziert über Standard-RADIUS mit der Wireless-Infrastruktur. Dies verhindert den Verbrauch von 8.000 ClearPass Access-Lizenzen für temporäre Besucher. 4. Konfigurieren Sie RADIUS RFC 5176 CoA über alle Switch- und Controller-Hersteller hinweg, um einen dynamischen Rollenwechsel beim Onboarding zu erzwingen.
Ein globales Finanzunternehmen mit 45 Niederlassungen ist vollständig auf Cisco Catalyst 9300 Switches, Catalyst 9800 WLCs und Cisco ASA/FTD Firewalls standardisiert. Das Sicherheitsteam schreibt eine Mikrosegmentierung mittels Cisco TrustSec Security Group Tags (SGT) und Konformitätsprüfungen der Endpunkte in Echtzeit über den Cisco Secure Client vor. Welche Plattform wird benötigt und wie sollte die Hochverfügbarkeit konzipiert werden?
- Stellen Sie die Cisco Identity Services Engine (ISE) in einer verteilten Multi-Node-Bereitstellung bereit. 2. Konfigurieren Sie dedizierte primäre und sekundäre Policy Administration Nodes (PAN) und Monitoring Nodes (MnT) mit redundanten Policy Service Nodes (PSN), die regional in der Nähe der Niederlassungs-Cluster verteilt sind. 3. Stellen Sie Cisco ISE Premier-Tier-Lizenzen bereit, um die Zustandsbewertung über den Cisco Secure Client zu unterstützen (Überprüfung von Antiviren-Signaturen, OS-Patch-Ständen und Festplattenverschlüsselung). 4. Nutzen Sie Cisco TrustSec SGT-Matrizen innerhalb von ISE, um Matrix-Berechtigungen zwischen Benutzerrollen (wie Finanzen, Entwicklung und externe Mitarbeiter) zu definieren, die auf Switch-Hardware-Ebene ohne ACL-Überlastung erzwungen werden.
Übungsfragen
Q1. Wie unterscheiden sich Aruba ClearPass und Cisco ISE in ihren Lizenzmodellen bei der Abwicklung von hochvolumigen Gast-WiFi-Verbindungen?
Hinweis: Analysieren Sie Lizenzen für gleichzeitige aktive Sitzungen im Vergleich zu benannten Abonnement-Stufen.
Musterlösung anzeigen
Aruba ClearPass-Lizenzen basieren auf gleichzeitig aktiven Endpunkten, die am System authentifiziert sind (ClearPass Access-Lizenzen). Cisco ISE nutzt gestaffelte Abonnement-Lizenzen (Essentials, Advantage, Premier), die pro aktiver gleichzeitiger Endpunktsitzung gezählt werden. Auf beiden Plattformen verbraucht die Verbindung von Tausenden von temporären Gastgeräten Core-NAC-Lizenzen. Unternehmen integrieren häufig spezialisierte Cloud-Gast-Plattformen wie Purple, um die externe Captive Portal-Authentifizierung und das Gast-Datenbankmanagement zu übernehmen und so eine unnötige Skalierung von NAC-Lizenzen zu vermeiden.
Q2. Was ist der betriebliche Unterschied zwischen der Cisco TrustSec SGT-Durchsetzung und der dynamischen Rollenzuweisung von Aruba ClearPass?
Hinweis: Überlegen Sie, wie Sicherheits-Tags in Paket-Headern im Vergleich zu herunterladbaren Benutzerrollen (DUR) und der VLAN-ID-Zuweisung abschneiden.
Musterlösung anzeigen
Cisco TrustSec fügt ein 16-Bit-Security Group Tag (SGT) direkt in den Layer-2-Ethernet-Frame oder Layer-3-CMD-Header ein, sodass Switches und Firewalls Zugriffskontrolllisten (SGACLs) basierend auf dem Tag unabhängig vom IP-Subnetz durchsetzen können. Aruba ClearPass nutzt die dynamische Rollenzuweisung (oder Downloadable User Roles - DUR), die über standardmäßige herstellerspezifische RADIUS-Attribute (VSAs) gesendet wird, um Firewall-Regeln, QoS-Profile und VLAN-Zuordnungen direkt auf dem Access-Switch oder Controller-Port nach der Authentifizierung zu konfigurieren.
Q3. Warum ist der Standard-RADIUS Change of Authorization (CoA RFC 5176) bei der Bereitstellung eines Captive Portals eines Drittanbieters für Gäste mit ClearPass oder ISE unerlässlich?
Hinweis: Erklären Sie, wie das Netzwerkzugriffsgerät einen Client von der Weiterleitung vor der Authentifizierung zum vollständigen Internetzugang überführt.
Musterlösung anzeigen
Wenn sich ein Gast mit einer offenen SSID verbindet, versetzt der Access Point oder Controller den Client in eine eingeschränkte Rolle vor der Authentifizierung mit einer Captive-Weiterleitungs-URL. Sobald der Gast die Anmeldung auf der Webanwendung des Captive Portals abschließt, sendet das Portal-Backend eine RADIUS CoA Disconnect- oder CoA Re-Auth-Anfrage an den Wireless-Controller oder NAC. Der Controller bewertet die Client-Sitzung dynamisch neu und weist die authentifizierte Gastrolle mit Internetzugang zu, ohne dass sich das Client-Gerät vom WiFi-Netzwerk trennen muss.
Weiterlesen in dieser Reihe
Beste DNS-Filterung: Ein umfassender Leitfaden für Unternehmen
Dieser technische Leitfaden erklärt, wie DNS-Filterung der Enterprise-Klasse öffentliche Netzwerke sichert, indem bösartige Domains auf der Auflösungsebene blockiert werden - noch bevor eine Verbindung hergestellt wird. Er bietet IT-Leitern, Netzwerkarchitekten und Venue-Operations-Teams die Deployment-Architektur, Firewall-Konfiguration und den Compliance-Kontext, die sie benötigen, um Guest WiFi in der Hotellerie, im Einzelhandel und im öffentlichen Sektor zu schützen. Purple Shield blockiert Malware, Botnets und unangemessene Inhalte auf DNS-Ebene an über 80.000 Live-Standorten.
So implementieren Sie SCEP für die automatisierte WiFi-Zertifikatsregistrierung
Dieser Leitfaden erklärt, wie Sie SCEP (Simple Certificate Enrollment Protocol) für die automatisierte WiFi-Zertifikatsregistrierung in Unternehmensstandorten implementieren. Er deckt den gesamten architektonischen Entwurf ab – vom PKI-Design und der MDM-Integration bis hin zur obligatorischen dreistufigen Bereitstellungssequenz – und zeigt IT-Managern und Netzwerkarchitekten, wie sie gemeinsame Anmeldeinformationen eliminieren, das Lebenszyklusmanagement von Zertifikaten automatisieren und PCI DSS- und GDPR-Anforderungen in großem Maßstab erfüllen.
Cisco SUDI verstehen: Hardware-basierte Geräteidentität in der Netzwerk-Zugriffskontrolle
Dieser Leitfaden beschreibt die technische Architektur von Cisco SUDI und erklärt, wie eine hardware-verankerte Identität die Netzwerk-Zugriffskontrolle sichert. Er bietet praktische Implementierungsschritte für IT-Verantwortliche zur Bereitstellung der 802.1X EAP-TLS Authentifizierung und zur Automatisierung des Zero Touch Provisioning in Unternehmensstandorten.
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.