Cisco ISE vs. Purple WiFi: Wie sie im Vergleich abschneiden und zusammenarbeiten

Sie sind ein leitender Berater für Netzwerksicherheit, der einen Kunden auf Deutsch mit einem selbstbewussten, autoritären und lockeren, aber professionellen Ton brieft. Sprechen Sie klar und in einem angemessenen Tempo, so als würden Sie vor einem Gremium aus IT-Leitern und Netzwerkarchitekten präsentieren. Dies ist ein professionelles technisches Briefing, kein Vortrag. Sprechen Sie in professionellem Deutsch: Willkommen zur technischen Briefing-Reihe von Purple. Heute befassen wir uns mit einer Frage, die bei der Konzeption von Unternehmensnetzwerken ständig auftaucht: Cisco ISE im Vergleich zu Purple WiFi. Wie stehen sie zueinander im Vergleich und, was noch wichtiger ist, wie arbeiten sie zusammen? Ich werde Ihnen in etwa zehn Minuten die direkte Antwort geben. [medium pause] Fangen wir mit dem Kontext an. Wenn Sie ein Hotel, ein Einzelhandelsgeschäft, ein Stadion oder ein Gebäude des öffentlichen Sektors betreiben, haben Sie fast sicher zwei unterschiedliche Personengruppen, die sich mit Ihrem Netzwerk verbinden. Sie haben Mitarbeiter und firmeneigene Geräte, und Sie haben Gäste, Besucher, Fans oder Kunden. Diese beiden Gruppen haben völlig unterschiedliche Anforderungen an die Authentifizierung, unterschiedliche Datenrechte und unterschiedliche Geschäftsziele. Der Fehler, den die meisten Unternehmen machen, besteht darin, zu versuchen, beide Probleme mit einem einzigen Tool zu lösen. Daher rührt die Verwirrung zwischen Cisco ISE und Purple. [medium pause] Abschnitt eins: Was Cisco ISE eigentlich tut. Cisco Identity Services Engine, oder ISE, ist Ciscos Network Access Control Plattform für Unternehmen. Ihre Aufgabe ist es, firmeneigene Geräte und Mitarbeiter zu authentifizieren und zu autorisieren. Dies geschieht in erster Linie über IEEE 802.1X, dem portbasierten Standard für die Netzwerkzugriffskontrolle. Wenn sich ein Firmen-Laptop mit Ihrem Netzwerk verbindet, prüft ISE dessen Zertifikat über EAP-TLS oder seine Anmeldedaten über PEAP, gleicht sie mit dem Active Directory oder Microsoft Entra ID ab, bewertet den Sicherheitsstatus und weist das Gerät dann mit der richtigen Richtlinie dem korrekten VLAN zu. Wenn das Gerät die Statusbewertung nicht besteht, kann die ISE es mithilfe von RADIUS Change of Authorisation (CoA) automatisch unter Quarantäne stellen. ISE übernimmt auch das BYOD-Onboarding, bei dem persönliche Geräte mit einem Zertifikat registriert werden, sodass sie sich ohne ein gemeinsames Passwort sicher authentifizieren können. Zudem ist es in das pxGrid-Framework von Cisco integriert, was es anderen Sicherheitstools wie Firewalls und SIEM-Plattformen ermöglicht, Identitätskontexte in Echtzeit zu nutzen. Die drei Lizenzstufen der ISE sind Essentials, Advantage und Premier. Essentials deckt 802.1X und den grundlegenden Gastzugang ab. Advantage bietet zusätzlich BYOD, Statusbewertung und MDM-Integration von Drittanbietern. Premier fügt passive Identitätsdienste und fortschrittliche Bedrohungsintegration hinzu. [medium pause] So ist ISE eine erstklassige Sicherheitsplattform für Unternehmen. Aber hier ist der entscheidende Punkt: Das dazugehörige Gästeportal ist funktional, nicht kommerziell. ISE kann ein nicht authentifiziertes Gerät auf eine Webseite umleiten, einen Benutzernamen und ein Passwort oder eine Sponsorgenehmigung erfassen und den Internetzugang gewähren. Was die Plattform jedoch nicht kann, ist die Erfassung von GDPR-konformen Marketing-Einwilligungen, die Bereitstellung von gebrandeten Splash Pages mit Social Login, die Übertragung von Besucherdaten in Salesforce oder HubSpot, die Erstellung von Heatmaps zur Kundenfrequenz oder die Segmentierung von Besuchern nach demografischen Merkmalen für Marketingkampagnen. Dafür wurde ISE nicht entwickelt, und der Versuch, die Plattform in diese Rolle zu drängen, schafft nur Komplexität, ohne das gewünschte kommerzielle Ergebnis zu liefern. Sie sind ein leitender Berater für Netzwerksicherheit und führen ein technisches Briefing in britischem Englisch mit einem selbstbewussten, autoritären und konversationsorientierten Ton fort. Sprechen Sie klar und in mäßigem Tempo. Sprechen Sie in britischem Englisch mit Standard-Aussprache: Abschnitt zwei: Was Purple tut. Purple ist eine Cloud-Overlay-Plattform. Wir setzen auf Ihrer bestehenden WiFi-Infrastruktur auf, sei es Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist oder ein anderer der großen Anbieter. Wir ersetzen Ihre Hardware nicht. Wir ersetzen ISE nicht. Wir kümmern uns um die Ebene der Gasterfahrung. Wenn sich ein Besucher mit Ihrer Gäste-SSID verbindet, fängt Purple diese Verbindung ab und zeigt ein gebrandetes Captive Portal an. Dieses Portal kann Social Login über Facebook, Google oder LinkedIn, ein benutzerdefiniertes Datenerfassungsformular, eine Click-to-Connect-Option oder Passpoint für eine automatische, sichere Wiederverbindung bei zukünftigen Besuchen bieten. Jeder Login erfasst First-Party-Daten mit ausdrücklicher GDPR-Einwilligung. Diese Daten fließen direkt in Ihr CRM, Ihre E-Mail-Marketing-Plattform oder Ihr Treueprogramm. Purple wird an 80.000 Live-Standorten eingesetzt und hat allein im Jahr 2024 bereits 440 Millionen Logins verarbeitet. Wir sind nach ISO 27001 zertifiziert, halten die GDPR und den CCPA ein und garantieren eine Betriebszeit von 99,999 %. Zu den namhaften Kunden gehören McDonald's, Harrods, Premier Inn, AGS Airports und die Manchester Airports Group. [mittlere Pause] Abschnitt drei: Wie beide in einer modernen Netzwerktopologie koexistieren. Die Architektur ist einfach, wenn man die Aufteilung der Zuständigkeiten versteht. Sie betreiben zwei oder drei SSIDs auf denselben Access Points. Die Unternehmens-SSID nutzt WPA3-Enterprise mit 802.1X, und ISE fungiert als RADIUS-Server. Jedes Mitarbeitergerät authentifiziert sich mit einem Zertifikat oder Zugangsdaten. ISE weist das Gerät dem richtigen VLAN zu, wendet die entsprechende Richtlinie an und protokolliert die Sitzung. Purple spielt hier keine Rolle. Dies ist ausschließlich der Bereich von ISE. Die Gäste-SSID ist offen oder nutzt WPA3-Personal mit einem Pre-Shared Key für die erste Zuordnung. Der Datenverkehr wird an das Cloud-Portal von Purple umgeleitet. Purple übernimmt die Authentifizierung, die Erfassung der Einwilligung und die Analysen. Der Access Point erzwingt einen Walled Garden, bis Purple die Autorisierung signalisiert, und gibt erst dann den Internetzugang frei. ISE spielt hier keine Rolle. Dies ist der Bereich von Purple. Für komplexere Bereitstellungen können Sie eine dritte SSID für IoT-Geräte hinzufügen und dabei Identity Pre-Shared Keys, oder iPSK, verwenden, wobei jedes Gerät ein einziges Passwort erhält, das einem bestimmten VLAN zugewiesen ist. ISE kann dies für das Unternehmens-IoT verwalten, oder die SecurePass Funktion von Purple übernimmt dies für das IoT vor Ort, wie Kassenterminals und digitale Beschilderung. Wenn Sie eine engere Integration zwischen den beiden Plattformen wünschen, ermöglicht Cisco pxGrid Purple, den Kontext von Gastsitzungen in das ISE-Ökosystem zu übertragen, sodass Ihr Security Operations Team die Gastaktivitäten zusammen mit den Unternehmensaktivitäten in einer einheitlichen Ansicht sehen kann. [medium pause] Abschnitt vier: Empfehlungen zur Implementierung und häufige Fehlerquellen. Lassen Sie mich Ihnen die drei häufigsten Fehler nennen, die ich bei Bereitstellungen sehe. Erstens: Die Verwendung des integrierten Gastportals von ISE für kommerzielles Gast-WiFi. Das Gastportal von ISE ist für Auftragnehmer und Zeitarbeiter konzipiert, nicht für marketingorientierten Gastzugang. Es verfügt über keine CRM-Integration, kein Einwilligungsmanagement und keine Analysen. Wenn Sie im Gastgewerbe, im Einzelhandel oder im Eventbereich tätig sind, benötigen Sie Purple auf der Gast-SSID. ISE kümmert sich um das Unternehmen. Purple kümmert sich um die Gäste. Halten Sie diese getrennt. Zweitens: Keine korrekte Segmentierung der VLANs. Der Gast-Datenverkehr muss auf Layer Zwei vom Unternehmens-Datenverkehr isoliert werden. Purple arbeitet in einem separaten VLAN, das direkt ins Internet geroutet wird und keinen Zugriff auf interne Ressourcen hat. ISE erzwingt die VLAN-Zuweisung für Unternehmensgeräte. Wenn Sie dies vermischen, schaffen Sie ein Sicherheitsrisiko und ein Compliance-Problem. Drittens: Vernachlässigung der Walled Garden-Konfiguration. Wenn Purple das Captive Portal ist, muss der Access Point DNS- und HTTP-Verkehr vor der Authentifizierung zu den Cloud-Endpunkten von Purple zulassen. Wenn Ihr Walled Garden zu restriktiv ist, wird das Portal nicht geladen. Wenn er zu freizügig ist, können Benutzer die Authentifizierung umgehen. Die Support-Dokumentation von Purple enthält die genauen IP-Bereiche und Domains, die für jeden Hardware-Hersteller auf die Whitelist gesetzt werden müssen. [medium pause] Abschnitt fünf: Fragen und Antworten im Schnelldurchgang. Ersetzt Purple Cisco ISE? Nein. Sie lösen unterschiedliche Probleme für unterschiedliche Benutzer auf unterschiedlichen SSIDs. Kann ich Purple auf Cisco Meraki ohne ISE betreiben? Ja. Purple lässt sich über die Meraki API nativ in Cisco Meraki integrieren. ISE ist für Gast-WiFi nicht erforderlich. Kann ich beide auf denselben Access Points betreiben? Ja. Mehrere SSIDs auf derselben Hardware zu nutzen, ist gängige Praxis. Unterstützt Purple 802.1X? Die SecurePass Funktion von Purple unterstützt WPA3-Enterprise mit 802.1X für Gastgeräte, auf denen die Purple App installiert ist, und ermöglicht so eine automatische, zertifikatsbasierte Wiederverbindung ohne Captive Portal. Wie sieht es mit der PCI-DSS Compliance aus? Gast-WiFi muss von Systemen für Zahlungskarten isoliert sein. Die VLAN-Architektur von Purple erfüllt diese Anforderung. ISE erzwingt dieselbe Isolierung für Unternehmensgeräte. [medium pause] Zusammenfassung und nächste Schritte. Das Entscheidungsframework ist einfach. Wenn das Gerät Ihrer Organisation oder Ihren Mitarbeitern gehört, übernimmt ISE die Authentifizierung. Wenn das Gerät einem Gast, Besucher, Kunden oder Fan gehört, übernimmt Purple das Erlebnis. Die beiden Plattformen nutzen dieselbe physische Infrastruktur, arbeiten jedoch auf völlig unterschiedlichen logischen Ebenen. Als nächsten Schritt sollten Sie Ihre aktuelle SSID-Architektur kartieren. Identifizieren Sie, welche SSIDs für das Unternehmen und welche für Gäste bestimmt sind. Stellen Sie sicher, dass der Gast-Traffic per VLAN isoliert ist. Prüfen Sie dann, ob Ihr aktuelles Gast-Portal die Marketing-Einwilligungen, Analysen und CRM-Integrationen liefert, die Ihre kommerziellen Teams benötigen. Wenn dies nicht der Fall ist, schließt Purple genau diese Lücke. Den vollständigen schriftlichen Leitfaden, Architekturdiagramme und Praxisbeispiele finden Sie unter purple.ai. Vielen Dank für Ihre Zeit.