Aruba ClearPass vs. Purple WiFi: Funktionsvergleich und Co-Deployment

Sprechen Sie mit einem selbstbewussten, autoritären und konversationellen Ton. Sie sind ein leitender Netzwerkberater, der einen Kunden informiert. Gemäßigtes Tempo, klare Aussprache, professionell, aber nicht steif. Gelegentliche natürliche Pausen zur Betonung: Willkommen zu diesem technischen Briefing von Purple. Ich bin Ihr Gastgeber, und heute behandeln wir eine Frage, die in fast jedem Enterprise-Wireless-Projekt auftaucht, an dem wir arbeiten: Wenn Sie bereits Aruba ClearPass bereitgestellt haben, wo fügt sich Purple WiFi ein und wie arbeiten die beiden Systeme zusammen? [medium pause] Dies ist keine theoretische Diskussion. Wenn Sie IT-Manager, Netzwerkarchitekt oder Sicherheitsingenieur bei einer Hotelgruppe, einer Einzelhandelskette oder einem Stadionbetreiber sind, ist dies eine Entscheidung, die Sie möglicherweise noch in diesem Quartal treffen müssen. Also legen wir los. [medium pause] Einführung und Kontext. [short pause] Lassen Sie uns zuerst klären, wofür die einzelnen Plattformen eigentlich entwickelt wurden. Der Aruba ClearPass Policy Manager ist eine Network Access Control-Plattform. Seine Aufgabe ist es, Geräte und Benutzer zu authentifizieren, den Endpunkt-Status zu bewerten und Zugriffsrichtlinien im gesamten Netzwerk durchzusetzen. Er verarbeitet 802.1X, den IEEE-Standard für portbasierte Netzwerkzugriffskontrolle, unter Verwendung von EAP-Methoden wie EAP-TLS mit Zertifikaten und PEAP mit Benutzername und Passwort. Er lässt sich in Microsoft Entra ID, Okta und andere Identitätsanbieter integrieren. Er profiliert Geräte, prüft, ob sie Ihren Sicherheitsrichtlinien entsprechen, und weist ihnen die richtige Netzwerkrolle zu. Für Unternehmensgeräte ist ClearPass hervorragend. Es wurde genau für diesen Anwendungsfall entwickelt. [medium pause] Purple WiFi ist etwas völlig anderes. Purple ist eine cloudbasierte Plattform für Gäste-WiFi-Intelligence. Ihre Aufgabe ist es, Besucher über ein gebrandetes Captive Portal zu authentifizieren, First-Party-Daten mit GDPR-konformen Einwilligungsabläufen zu erfassen und diese Daten in Ihren Marketing- und Analyse-Stack einzuspeisen. Purple ist an über 80.000 Standorten weltweit im Einsatz und hat allein im Jahr 2024 440 Millionen Anmeldungen verarbeitet. Es lässt sich in über 400 Konnektoren integrieren, darunter CRMs und Marketing-Automatisierungsplattformen. Für Gästenetzwerke ist Purple der Spezialist. [medium pause] Das Problem, vor dem die meisten Unternehmen stehen, ist, dass sie versuchen, eine einzige Plattform für beide Aufgaben zu nutzen. Entweder verlangen sie von ClearPass, ihr Gäste-Portal zu betreiben – was es zwar kann, aber nicht besonders elegant –, oder sie stellen Purple bereit, ohne darüber nachzudenken, wie es sich in ihre bestehende NAC-Investition einfügt. Die richtige Antwort ist eine Co-Deployment-Architektur, bei der jede Plattform das tut, was sie am besten kann. [medium pause] Technische Tiefenanalyse. [short pause] Lassen Sie mich Sie durch die Architektur führen. In einem Co-Deployment strahlen Ihre Aruba Mobility Controller oder Aruba Instant Access Points mehrere SSIDs aus. Typischerweise drei: eine für Unternehmensgeräte, eine für Gäste und eine für IoT. Weitere Informationen zu diesem SSID-Designmuster finden Sie in dem von Purple veröffentlichten detaillierten Leitfaden „Three SSIDs to rule them all“, den ich Ihnen parallel zu diesem Briefing zur Lektüre empfehle. [medium pause] Die Corporate-SSID verwendet 802.1X mit EAP-TLS. Geräte authentifizieren sich mit Zertifikaten, die über ClearPass Onboard bereitgestellt werden, dem integrierten Zertifikatsregistrierungs- und Gerätebereitstellungsmodul von ClearPass. ClearPass überprüft den Gerätestatus, verifiziert das Zertifikat, fragt das Active Directory oder Microsoft Entra ID ab und weist das Gerät dem entsprechenden VLAN zu. Typischerweise VLAN 10 für Unternehmen. Dieser gesamte Ablauf verbleibt in ClearPass. Purple ist daran nicht beteiligt. [medium pause] Bei der Gäste-SSID findet die Integration statt. Wenn sich ein Besucher mit der Gäste-SSID verbindet, fängt der Aruba-Controller seinen HTTP-Datenverkehr ab und leitet seinen Browser zum Captive Portal von Purple weiter. Der Besucher authentifiziert sich über Purple, beispielsweise über Social Login via Google, ein benutzerdefiniertes E-Mail-Formular oder OpenRoaming, wobei Purple als kostenloser Identitätsanbieter unter der Connect-Lizenz fungiert. Sobald Purple den Besucher validiert hat, sendet es eine RADIUS Access-Accept-Nachricht an den Controller zurück, die den Internetzugang freigibt. [medium pause] Die entscheidende architektonische Entscheidung ist nun, ob Sie ClearPass as RADIUS-Proxy zwischen dem Controller und Purple schalten oder ob der Controller direkt mit den RADIUS-Servern von Purple kommuniziert. Für die meisten Enterprise-Bereitstellungen ist das Proxy-Modell die richtige Wahl. Und das aus folgendem Grund. [medium pause] Mit ClearPass als RADIUS-Proxy fließt jedes Authentifizierungsereignis in Ihrem Netzwerk, sowohl für Unternehmen als auch für Gäste, durch ClearPass. Sie erhalten einen einzigen Audit-Trail. Ihr Sicherheits-Team sieht alles an einem zentralen Ort. ClearPass kann seine eigenen Richtlinienattribute anhängen, bevor es die Antwort an den Controller zurücksendet, was eine dynamische VLAN-Zuweisung basierend auf der Rolle ermöglicht. Und Sie behalten die Möglichkeit, zusätzliche Richtlinien für Gästesitzungen durchzusetzen, wie z. B. Bandbreitenbegrenzungen oder zeitbasierte Zugriffsbeschränkungen. Sprechen Sie mit einem selbstbewussten, autoritären und konversationellen Ton. Sie sind ein leitender Netzwerkberater, der einen Kunden informiert. Gemäßigtes Tempo, klare Aussprache, professionell, aber nicht steif: Die Proxy-Konfiguration in ClearPass ist unkompliziert. Sie erstellen eine RADIUS-Routing-Richtlinie, die der Gäste-SSID über den NAS-Identifier oder die Called-Station-ID entspricht. Anfragen, die dieser Richtlinie entsprechen, werden an die Cloud-RADIUS-Server von Purple weitergeleitet. Purple antwortet, ClearPass hängt das herstellerspezifische Attribut `Aruba-User-Role` an und der Controller verschiebt den Gast in das VLAN 20 mit reinem Internetzugang. [medium pause] Für IoT-Geräte verwendet die dritte SSID den MAC-Authentifizierungs-Bypass. ClearPass profiliert das Gerät anhand seiner OUI, den ersten sechs Zeichen der MAC-Adresse, die den Hersteller identifizieren, und weist es der Rolle ROLE_IOT zu, die dem VLAN 30 entspricht. Dieses VLAN hat keinen Internetzugang, sondern nur lokale Konnektivität. Ihre Smart-TVs, Thermostate und Türschlösser sind vollständig vom Unternehmens- und Gästedatenverkehr isoliert. [medium pause] Lassen Sie uns über Compliance sprechen, denn hier macht sich die Architektur bezahlt. Unter PCI-DSS muss jedes Netzwerksegment, das mit Karteninhaberdaten in Berührung kommt, von Gästenetzwerken isoliert sein. Die VLAN-Segmentierung in dieser Architektur erfüllt diese Anforderung. Unter der GDPR übernimmt das Captive Portal von Purple die Erfassung der Einwilligung mit bewussten Opt-ins, was bedeutet, dass Besucher sich aktiv dafür entscheiden, ihre Daten zu teilen, anstatt dass diese standardmäßig erfasst werden. Purple ist ISO 27001-zertifiziert, GDPR-konform und besitzt die Cyber Essentials-Zertifizierung. ClearPass liefert den Audit-Trail, den Ihr Sicherheitsteam für Compliance-Berichte benötigt. [medium pause] Implementierungsempfehlungen und Fallstricke. [short pause] Lassen Sie mich Ihnen die fünf Dinge nennen, die bei dieser Bereitstellung am häufigsten schiefgehen, und wie Sie sie vermeiden können. [medium pause] Nummer eins: der Walled Garden. Bevor sich ein Besucher authentifiziert, lässt der Aruba-Controller nur Datenverkehr zu einer vordefinierten Liste von Zielen zu. Wenn die Portal-Domänen von Purple, seine CDN-Endpunkte und die Domänen der Social-Login-Anbieter nicht in dieser Liste enthalten sind, wird das Portal nicht geladen. Sie müssen star dot purple dot ai, star dot cloudfront dot net und die OAuth-Domänen für die von Ihnen aktivierten Social-Login-Anbieter aufnehmen. Google, Facebook, Apple und Microsoft Entra ID haben alle ihre eigenen Domänen. Betrachten Sie den Walled Garden als eine dynamische Konfiguration, da Social-Login-Anbieter ihre CDN-Domänen regelmäßig ändern. [medium pause] Nummer zwei: RADIUS-Timeouts. Das standardmäßige RADIUS-Timeout auf den meisten Aruba-Controllern beträgt drei Sekunden. In einer Proxy-Architektur reist die Anfrage vom Access Point zum Controller, zu ClearPass, über das Internet zu Purples Cloud-RADIUS und zurück. In einem überlasteten Netzwerk kann diese Roundtrip-Zeit drei Sekunden überschreiten. Stellen Sie Ihr Timeout auf mindestens zehn Sekunden ein und konfigurieren Sie eine Wiederholungslogik mit mindestens zwei Versuchen. [medium pause] Nummer drei: Abweichende Shared Secrets. Das Shared Secret zwischen dem Aruba-Controller und ClearPass muss exakt übereinstimmen. Das Shared Secret zwischen ClearPass und den RADIUS-Servern von Purple muss ebenfalls exakt übereinstimmen. Ein einziger Zeichenunterschied führt zu lautlosen Authentifizierungsfehlern ohne aussagekräftige Fehlermeldung für den Besucher. Überprüfen Sie diese immer Zeichen für Zeichen. [medium pause] Nummer vier: Groß-/Kleinschreibung bei Rollennamen. Das von ClearPass zurückgegebenen Attribut `Aruba-User-Role` muss exakt mit dem auf dem Aruba-Controller definierten Rollennamen übereinstimmen, einschließlich der Groß-/Kleinschreibung. Wenn ClearPass `guest-authenticated` zurückgibt, auf dem Controller jedoch `Guest-Authenticated` definiert ist, fällt der Besucher auf die Standard-Anmelderolle zurück und erhält keinen Internetzugang. [medium pause] Nummer fünf: RADIUS-Accounting. Viele Bereitstellungen konfigurieren das Authentifizierungs-Proxying korrekt, vergessen aber, auch das Accounting per Proxy weiterzuleiten. Purple verwendet RADIUS-Accounting-Daten, um die Sitzungsdauer und die Datennutzung zu verfolgen und seine Analyse-Dashboards zu füllen. Wenn das Accounting nicht an Purple fließt, sind Ihre Besucheranalysen und Berichte zur Verweildauer unvollständig. [medium pause] Häufig gestellte Fragen. [short pause] Kann ich dies auf Aruba Instant anstelle eines vollwertigen Mobility Controllers ausführen? Ja. Aruba Instant unterstützt externe RADIUS-Server und Captive Portal-Weiterleitungen. Die Konfiguration unterscheidet sich geringfügig, aber die Prinzipien sind identisch. [medium pause] Unterstützt Purple Change of Authorisation? Ja. CoA ermöglicht es dem Controller, die Sitzung eines Besuchers dynamisch zu aktualisieren, ohne dass er sich erneut verbinden muss. Dies ist nützlich für zeitlich begrenzten Zugriff oder Stufen-Upgrades. [medium pause] Funktioniert das mit WPA3? Ja. WPA3-SAE für persönliche Netzwerke und WPA3-Enterprise für 802.1X werden beide unterstützt. Für Gästenetzwerke, die Captive Portals verwenden, sind WPA3-SAE oder eine offene SSID mit Opportunistic Wireless Encryption die typische Wahl. [medium pause] Kann ich eine einzige SSID sowohl für Mitarbeiter als auch für Gäste verwenden? Das können Sie, aber es erhöht die Komplexität. ClearPass verarbeitet sowohl 802.1X- als auch MAC-Authentifizierung auf derselben SSID und verwendet Dienstregeln, um die Verkehrsarten zu unterscheiden und entsprechend weiterzuleiten. Für die meisten Standorte sind separate SSIDs die sauberere Wahl. [medium pause] Zusammenfassung und nächste Schritte. [short pause] ClearPass und Purple ergänzen sich und stehen nicht in Konkurrenz zueinander. ClearPass ist Ihre Richtlinien-Engine für Unternehmensgeräte: 802.1X, Endpunkt-Status, Zertifikatsverwaltung und einheitlicher Audit-Trail. Purple ist Ihre Plattform für Gäste-Intelligence: gebrandetes Captive Portal, GDPR-konforme Datenerfassung, Besucheranalysen und Marketing-Automatisierung. [medium pause] Die Co-Deployment-Architektur verwendet ClearPass als RADIUS-Proxy. Alle Authentifizierungsanfragen fließen durch ClearPass. Gästeanfragen werden an den Cloud-RADIUS von Purple weitergeleitet. Unternehmensanfragen werden lokal von ClearPass verarbeitet. Der Aruba-Controller setzt die resultierenden Richtlinien durch dynamische VLAN-Zuweisung durch. [medium pause] Die drei Konfigurationselemente, die Sie richtig einstellen müssen, sind: der Walled Garden, RADIUS-Timeouts und die Konsistenz der Rollennamen. Wenn Sie diese richtig einrichten, verfügen Sie über eine konforme, kommerziell wertvolle Gäste-WiFi-Bereitstellung, die die Sicherheitsstruktur Ihres Unternehmens nicht gefährdet. [medium pause] Für Ihre nächsten Schritte: Rufen Sie Ihre Purple-Standort-RADIUS-Anmeldedaten aus dem Purple-Dashboard ab, überprüfen Sie die Walled-Garden-Referenzliste im begleitenden schriftlichen Leitfaden und testen Sie den vollständigen Authentifizierungsablauf mit einem dedizierten Testgerät, bevor Sie ihn in der Produktion einführen. Wenn Sie an mehreren Standorten bereitstellen, können Sie über die Multi-Site-Management-Konsole von Purple die Konfigurationen des Captive Portals, das Branding und die Analysen für Ihren gesamten Bestand über eine einzige Schnittstelle verwalten. [medium pause] Vielen Dank fürs Zuhören. Besuchen Sie purple dot ai, um mit einem Lösungsarchitekten über Ihre spezifische Bereitstellung zu sprechen.