Cisco ISE frente a Purple WiFi: comparación y cómo funcionan de manera conjunta

Usted es un consultor sénior de seguridad de redes que informa a un cliente en inglés británico con un tono seguro, autoritario y conversacional. Hable con claridad y a un ritmo pausado, como si estuviera exponiendo ante una junta directiva de directores de TI y arquitectos de redes. Se trata de una sesión informativa técnica y profesional, no de una clase. Hable en inglés británico con un acento estándar de pronunciación recibida: Le damos la bienvenida a la serie de sesiones informativas técnicas de Purple. Hoy vamos a abordar una pregunta que surge constantemente en el diseño de redes empresariales: Cisco ISE frente a Purple WiFi. ¿Cómo se comparan y, lo que es más importante, cómo funcionan de manera conjunta? Le daré la respuesta directa en unos diez minutos. [pausa media] Empecemos con el contexto. Si gestiona un hotel, una red de tiendas, un estadio o un edificio del sector público, es casi seguro que tiene dos poblaciones distintas que se conectan a su red. Por un lado, dispone de personal y dispositivos corporativos; por otro, de huéspedes, visitantes, aficionados o clientes. Estas dos poblaciones tienen requisitos de autenticación, derechos de datos y objetivos comerciales completamente diferentes. El error que cometen la mayoría de las organizaciones es intentar resolver ambos problemas con una sola herramienta. De ahí viene la confusión entre Cisco ISE y Purple. [pausa media] Sección uno: qué hace realmente Cisco ISE. Cisco Identity Services Engine, o ISE, es la plataforma de control de acceso a la red (NAC) empresarial de Cisco. Su función es autenticar y autorizar dispositivos corporativos y usuarios de la plantilla. Esto lo hace principalmente a través de IEEE 802.1X, que es el estándar de control de acceso a la red basado en puertos. Cuando un ordenador portátil corporativo se conecta a su red, ISE comprueba su certificado mediante EAP-TLS, o sus credenciales a través de PEAP, lo valida con Active Directory o Microsoft Entra ID, evalúa su estado de seguridad y, a continuación, lo asigna a la VLAN correcta con la política adecuada. Si el dispositivo no supera la evaluación de seguridad, ISE puede ponerlo en cuarentena automáticamente mediante el cambio de autorización (CoA) de RADIUS. ISE también gestiona la incorporación de dispositivos personales (BYOD), donde estos se registran con un certificado para poder autenticarse de forma segura sin una contraseña compartida. Además, se integra con el entorno de trabajo pxGrid de Cisco, lo que permite que otras herramientas de seguridad, como cortafuegos y plataformas SIEM, consuman el contexto de identidad en tiempo real. Los tres niveles de licencia de ISE son Essentials, Advantage y Premier. Essentials cubre 802.1X y el acceso básico para invitados. Advantage añade BYOD, evaluación del estado de seguridad e integración con MDM de terceros. Premier añade servicios de identidad pasiva e integración avanzada contra amenazas. [pausa media] Por lo tanto, ISE es una plataforma de seguridad seria y de nivel empresarial. Pero aquí está el punto crítico: su portal de invitados es funcional, no comercial. ISE puede redirigir un dispositivo no autenticado a una página web, recopilar un nombre de usuario y contraseña o la aprobación de un patrocinador, y conceder acceso a internet. Lo que no puede hacer es capturar el consentimiento de marketing de conformidad con el GDPR, ejecutar portales de bienvenida personalizados con inicio de sesión social, enviar datos de visitantes a Salesforce o HubSpot, generar mapas de calor de afluencia o segmentar a los visitantes por datos demográficos para una campaña de marketing. ISE no se diseñó para eso, e intentar forzarlo a cumplir esa función genera complejidad sin ofrecer el resultado comercial. Usted es un consultor senior de seguridad de red que continúa una sesión informativa técnica en inglés británico con un tono seguro, autoritario y conversacional. Hable con claridad y a un ritmo pausado. Hable en inglés británico con un acento estándar de pronunciación recibida: Sección dos: qué hace Purple. Purple es una plataforma de superposición en la nube. Nos situamos por encima de su infraestructura de WiFi existente, ya sea Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist o cualquiera de los otros principales fabricantes. No reemplazamos su hardware. No reemplazamos ISE. Nosotros nos encargamos de la capa de experiencia del invitado. Cuando un visitante se conecta a su SSID de invitados, Purple intercepta esa conexión y presenta un Captive Portal personalizado. Ese portal puede ofrecer inicio de sesión social a través de Facebook, Google o LinkedIn, un formulario de captura de datos personalizado, una opción de clic para conectar o Passpoint para una reconexión segura automática en visitas posteriores. Cada inicio de sesión captura datos de primera mano con el consentimiento explícito del GDPR. Esos datos fluyen directamente a su CRM, a su plataforma de marketing por correo electrónico o a su programa de fidelización. Purple opera en 80.000 establecimientos activos y ha procesado 440 millones de inicios de sesión solo en 2024. Contamos con la certificación ISO 27001, cumplimos con el GDPR y la CCPA, y mantenemos un tiempo de actividad del 99,999%. Entre los clientes designados se encuentran McDonald's, Harrods, Premier Inn, AGS Airports y Manchester Airports Group. [pausa media] Sección tres: cómo coexisten en una topología de red moderna. La arquitectura es sencilla una vez que se comprende la separación de funciones. Usted ejecuta dos o tres SSID en los mismos puntos de acceso. El SSID corporativo utiliza WPA3-Enterprise con 802.1X, e ISE es el servidor RADIUS. Cada dispositivo del personal se autentica con un certificado o una credencial. ISE asigna el dispositivo a la VLAN correcta, aplica la política correcta y registra la sesión. Purple no tiene ninguna función aquí. Este es el dominio exclusivo de ISE. El SSID de invitados está abierto o utiliza WPA3-Personal con una clave precompartida para la asociación inicial. El tráfico se redirige al portal en la nube de Purple. Purple se encarga de la autenticación, la captura del consentimiento y las analíticas. El punto de acceso aplica un jardín vallado hasta que Purple indica la autorización, momento en el que abre el acceso a internet. ISE no tiene ninguna función aquí. Este es el dominio de Purple.Para despliegues más complejos, puede añadir un tercer SSID para dispositivos IoT utilizando claves precompartidas de identidad (iPSK), donde cada dispositivo obtiene una frase de paso única asociada a una VLAN específica. ISE puede gestionar esto para el IoT corporativo, o la función SecurePass de Purple se encarga de ello para el IoT del establecimiento, como terminales de punto de venta y señalización digital. Si desea una integración más estrecha entre ambas plataformas, pxGrid de Cisco permite a Purple publicar el contexto de la sesión de invitado en el ecosistema de ISE, de modo que su equipo de operaciones de seguridad pueda ver la actividad de los invitados junto con la actividad corporativa en una vista unificada. [medium pause] Sección cuatro: recomendaciones de implementación y errores comunes. Permítame detallar los tres errores más comunes que veo en los despliegues. Primero: utilizar el portal de invitados integrado de ISE para WiFi de invitados comercial. El portal de invitados de ISE está diseñado para contratistas y personal temporal, no para accesos de invitados orientados al marketing. No tiene integración con CRM, ni gestión de consentimientos, ni analíticas. Si se encuentra en el sector de la hostelería, el comercio minorista o los eventos, necesita Purple en el SSID de invitados. ISE gestiona lo corporativo. Purple gestiona los invitados. Manténgalos separados. Segundo: no segmentar las VLAN correctamente. El tráfico de invitados debe estar aislado del tráfico corporativo en la capa dos. Purple funciona en una VLAN separada enrutada directamente a internet, sin acceso a los recursos internos. ISE impone la asignación de VLAN para los dispositivos corporativos. Si confunde esto, creará un riesgo de seguridad y un problema de cumplimiento. Tercero: descuidar la configuración del walled garden. Cuando Purple es el Captive Portal, el punto de acceso debe permitir el tráfico DNS y HTTP hacia los endpoints en la nube de Purple antes de la autenticación. Si su walled garden es demasiado restrictivo, el portal no se cargará. Si es demasiado permisivo, los usuarios podrán eludir la autenticación. La documentación de soporte de Purple proporciona los rangos de IP y dominios exactos que debe incluir en la lista blanca para cada proveedor de hardware. [medium pause] Sección cinco: preguntas rápidas. ¿Reemplaza Purple a Cisco ISE? No. Resuelven problemas diferentes para usuarios diferentes en SSIDs diferentes. ¿Puedo ejecutar Purple en Cisco Meraki sin ISE? Sí. Purple se integra de forma nativa con Cisco Meraki a través de la API de Meraki. No se requiere ISE para el WiFi de invitados. ¿Puedo ejecutar ambos en los mismos puntos de acceso? Sí. Configurar múltiples SSIDs en el mismo hardware es una práctica estándar. ¿Soporta Purple 802.1X? La función SecurePass de Purple es compatible con WPA3-Enterprise con 802.1X para dispositivos de invitados que tengan instalada la aplicación Purple, lo que permite una reconexión automática basada en certificados sin necesidad de un Captive Portal. ¿Qué pasa con el cumplimiento de PCI-DSS? El WiFi de invitados debe estar aislado de los sistemas de tarjetas de pago. La arquitectura de VLAN de Purple cumple con este requisito. ISE impone el mismo aislamiento para los dispositivos corporativos. [medium pause] Resumen y siguientes pasos. El marco de toma de decisiones es sencillo. Si el dispositivo pertenece a su organización o a su personal, ISE se encarga de la autenticación. Si el dispositivo pertenece a un invitado, visitante, comprador o aficionado, Purple gestiona la experiencia. Ambas plataformas comparten la misma infraestructura física pero operan en capas lógicas completamente independientes. Como siguiente paso, planifique su arquitectura de SSID actual. Identifique qué SSIDs son corporativos y cuáles son de invitados. Confirme que el tráfico de invitados está aislado por VLAN. A continuación, evalúe si su Captive Portal de invitados actual ofrece el consentimiento de marketing, las analíticas y la integración con CRM que necesitan sus equipos comerciales. Si no es así, ese es el vacío que cubre Purple. Puede encontrar la guía escrita completa, los diagramas de arquitectura y ejemplos prácticos en purple.ai. Gracias por su tiempo.