Aruba ClearPass vs. Purple WiFi: Comparativa de funciones y co-implementación

Hable en inglés británico con un tono seguro, autoritario y conversacional. Usted es un consultor sénior de redes que asesora a un cliente. Ritmo moderado, dicción clara, profesional pero no rígido. Pausas naturales ocasionales para dar énfasis: Bienvenido a esta sesión informativa técnica de Purple. Soy su anfitrión, y hoy abordaremos una pregunta que surge en casi todos los proyectos de redes inalámbricas empresariales en los que trabajamos: cuando ya se tiene implementado Aruba ClearPass, ¿dónde encaja Purple WiFi y cómo funcionan ambos sistemas en conjunto? [pausa media] Esta no es una discusión teórica. Si usted es gerente de TI, arquitecto de redes o ingeniero de seguridad en un grupo hotelero, una cadena de tiendas de retail o un operador de estadios, esta es una decisión que podría tener que tomar este trimestre. Así que entremos en materia. [pausa media] Introducción y contexto. [pausa corta] Primero, seamos claros sobre el diseño y propósito real de cada plataforma. Aruba ClearPass Policy Manager es una plataforma de Network Access Control. Su función es autenticar dispositivos y usuarios, evaluar el estado de seguridad de los endpoints y aplicar políticas de acceso en toda su red. Administra 802.1X, que es el estándar IEEE para el control de acceso a redes basado en puertos, utilizando métodos EAP como EAP-TLS con certificados y PEAP con nombre de usuario y contraseña. Se integra con Microsoft Entra ID, Okta y otros proveedores de identidad. Analiza el perfil de los dispositivos, verifica si cumplen con su política de seguridad y les asigna el rol de red correcto. Para dispositivos corporativos, ClearPass es excelente. Fue creado exactamente para este caso de uso. [pausa media] Purple WiFi es un concepto totalmente diferente. Purple es una plataforma de inteligencia de WiFi para invitados basada en la nube. Su función es autenticar a los visitantes a través de un Captive Portal personalizado con su marca, recopilar datos de primera mano con flujos de consentimiento que cumplen con la norma GDPR y enviar esa información a sus sistemas de marketing y analítica. Purple opera en más de 80,000 establecimientos en todo el mundo y ha procesado 440 millones de inicios de sesión tan solo en 2024. Se integra con más de 400 conectores, incluidos CRM y plataformas de automatización de marketing. Para redes de invitados, Purple es el especialista. [pausa media] El problema al que se enfrentan la mayoría de las organizaciones es que intentan usar una sola plataforma para realizar ambas funciones. O bien le piden a ClearPass que administre su portal de invitados, lo cual puede hacer pero no de manera elegante, o implementan Purple sin pensar en cómo convive con su inversión actual en NAC. La respuesta correcta es una arquitectura de co-implementación donde cada plataforma hace lo que mejor sabe hacer. [pausa media] Inmersión técnica profunda. [pausa corta] Permítame guiarlo a través de la arquitectura. En una co-implementación, su Aruba Mobility Controller o sus puntos de acceso Aruba Instant transmiten múltiples SSID. Normalmente tres: uno para dispositivos corporativos, uno para invitados y uno para IoT. Para obtener más información sobre este patrón de diseño de SSID, Purple ha publicado una guía detallada llamada "Three SSIDs to rule them all", la cual recomiendo leer junto con esta sesión informativa. [pausa media] El SSID corporativo utiliza 802.1X con EAP-TLS. Los dispositivos se autentican mediante certificados aprovisionados a través de ClearPass Onboard, que es el módulo integrado de registro de certificados y aprovisionamiento de dispositivos de ClearPass. ClearPass comprueba la postura del dispositivo, verifica el certificado, consulta Active Directory o Microsoft Entra ID y asigna el dispositivo a la VLAN adecuada. Normalmente, la VLAN 10 para el tráfico corporativo. Todo este flujo permanece dentro de ClearPass. Purple no interviene. [medium pause] En el SSID de invitados es donde se produce la integración. Cuando un visitante se conecta al SSID de invitados, el controlador Aruba intercepta su tráfico HTTP y redirige su navegador al Captive Portal de Purple. El visitante se autentica a través de Purple, tal vez utilizando el inicio de sesión social a través de Google, un formulario de correo electrónico personalizado o OpenRoaming, donde Purple actúa como un proveedor de identidad gratuito bajo la licencia Connect. Una vez que Purple valida al visitante, envía un mensaje RADIUS Access-Accept de vuelta al controlador, el cual concede el acceso a internet. [medium pause] Ahora, la decisión arquitectónica clave es si se introduce ClearPass como un proxy RADIUS entre el controlador y Purple, o si el controlador se comunica directamente con los servidores RADIUS de Purple. Para la mayoría de las implementaciones empresariales, el modelo de proxy es la opción correcta. He aquí el porqué. [medium pause] Con ClearPass como proxy RADIUS, cada evento de autenticación en su red, tanto corporativa como de invitados, fluye a través de ClearPass. Se obtiene un único registro de auditoría. Su equipo de operaciones de seguridad lo ve todo en un solo lugar. ClearPass puede añadir sus propios atributos de política antes de devolver la respuesta al controlador, lo que permite la asignación dinámica de VLAN basada en roles. Y usted conserva la capacidad de aplicar políticas adicionales a las sesiones de invitados, como límites de ancho de banda o restricciones de acceso basadas en el tiempo. Speak in British English with a confident, authoritative, and conversational tone. You are a senior network consultant briefing a client. Measured pace, clear diction, professional but not stiff: La configuración del proxy en ClearPass es sencilla. Se crea una Política de Enrutamiento RADIUS que coincida con el SSID de invitados mediante el identificador NAS o el ID de la estación llamada. Las solicitudes que coinciden con esa política se reenvían a los servidores RADIUS en la nube de Purple. Purple responde, ClearPass añade el atributo específico del proveedor Aruba-User-Role y el controlador sitúa al invitado en la VLAN 20 con acceso exclusivo a internet. [medium pause] Para los dispositivos IoT, el tercer SSID utiliza la omisión de autenticación MAC. ClearPass perfila el dispositivo utilizando su OUI, los primeros seis caracteres de la dirección MAC que identifican al fabricante, y lo asigna a ROLE_IOT, que se mapea a la VLAN 30. Esta VLAN no tiene acceso a internet, sólo conectividad local. Sus pantallas inteligentes, termostatos y cerraduras electrónicas quedan completamente aislados del tráfico tanto corporativo como de invitados. [medium pause] Hablemos de cumplimiento, porque aquí es donde la arquitectura demuestra su valor. Con PCI-DSS, cualquier segmento de red que toque datos de titulares de tarjetas debe estar aislado de las redes de invitados. La segmentación de VLAN en esta arquitectura cumple con ese requisito. Bajo el GDPR, el Captive Portal de Purple gestiona la recopilación de consentimiento con opciones de aceptación de elección consciente, lo que significa que los visitantes eligen activamente compartir sus datos en lugar de que se recopilen de forma predeterminada. Purple cuenta con la certificación ISO 27001, cumple con el GDPR y tiene la certificación Cyber Essentials. ClearPass proporciona el registro de auditoría que su equipo de seguridad necesita para los informes de cumplimiento. [medium pause] Recomendaciones de implementación y errores comunes. [short pause] Permítame compartirle las cinco cosas que más fallan en esta implementación y cómo evitarlas. [medium pause] Número uno: el walled garden (entorno cerrado). Antes de que un visitante se autentique, el controlador de Aruba solo permite el tráfico a una lista predefinida de destinos. Si los dominios del portal de Purple, sus endpoints de CDN y los dominios de los proveedores de inicio de sesión social no están en esa lista, el portal no se cargará. Debe incluir asterisco punto purple punto ai, asterisco punto cloudfront punto net y los dominios de OAuth para los proveedores de inicio de sesión social que esté habilitando. Google, Facebook, Apple y Microsoft Entra ID tienen sus propios conjuntos de dominios. Trate al walled garden como una configuración dinámica, ya que los proveedores de inicio de sesión social cambian sus dominios de CDN periódicamente. [medium pause] Número dos: tiempos de espera de RADIUS. El tiempo de espera predeterminado de RADIUS en la mayoría de los controladores Aruba es de tres segundos. En una arquitectura de proxy, la solicitud viaja desde el punto de acceso al controlador, luego a ClearPass, de ahí a través de internet a la nube RADIUS de Purple y de regreso. En una red congestionada, ese viaje de ida y vuelta puede superar los tres segundos. Establezca su tiempo de espera en al menos diez segundos y configure la lógica de reintento con al menos dos reintentos. [medium pause] Número tres: discrepancias en el secreto compartido. El secreto compartido entre el controlador Aruba y ClearPass debe coincidir exactamente. El secreto compartido entre ClearPass y los servidores RADIUS de Purple también debe coincidir exactamente. Una diferencia de un solo carácter provoca fallas de autenticación silenciosas sin ningún mensaje de error útil para el visitante. Verifique siempre estos datos carácter por carácter. [medium pause] Número cuatro: distinción de mayúsculas y minúsculas en el nombre del rol. El atributo Aruba-User-Role devuelto por ClearPass debe coincidir exactamente con el nombre del rol definido en el controlador Aruba, incluyendo las mayúsculas. Si ClearPass devuelve guest-authenticated pero el controlador tiene definido Guest-Authenticated, el visitante vuelve al rol de inicio de sesión predeterminado sin acceso a internet. [medium pause] Número cinco: contabilidad RADIUS. Muchas implementaciones configuran correctamente el proxy de autenticación pero olvidan hacer lo mismo con la contabilidad. Purple utiliza los datos de contabilidad RADIUS para rastrear la duración de las sesiones, el uso de datos y para alimentar sus tableros de analíticas. Si la contabilidad no fluye hacia Purple, sus reportes de análisis de visitas y tiempo de permanencia estarán incompletos. [medium pause] Preguntas rápidas. [short pause] ¿Puedo ejecutar esto en Aruba Instant en lugar de un Mobility Controller completo? Sí. Aruba Instant es compatible con servidores RADIUS externos y redirección de Captive Portal. La configuración varía ligeramente, pero los principios son idénticos. [medium pause] ¿Soporta Purple el Cambio de Autorización? Sí. CoA permite al controlador actualizar dinámicamente la sesión de un visitante sin necesidad de que se vuelva a conectar. Esto es útil para accesos con límite de tiempo o mejoras de categoría. [medium pause] ¿Funciona esto con WPA3? Sí. WPA3-SAE para redes personales y WPA3-Enterprise para 802.1X son compatibles. Para redes de invitados que utilizan portales cautivos, WPA3-SAE o un SSID abierto con Opportunistic Wireless Encryption son las opciones típicas. [medium pause] ¿Puedo usar un solo SSID tanto para empleados como para invitados? Sí puede, pero añade complejidad. ClearPass maneja tanto la autenticación 802.1X como la autenticación MAC en el mismo SSID, utilizando reglas de servicio para diferenciar los tipos de tráfico y enrutarlos en consecuencia. Para la mayoría de los establecimientos, usar SSIDs separados es la opción más limpia. [medium pause] Resumen y próximos pasos. [short pause] ClearPass y Purple son complementarios, no competencia. ClearPass es su motor de políticas para dispositivos corporativos: 802.1X, postura del endpoint, gestión de certificados e historial de auditoría unificado. Purple es su plataforma de inteligencia de invitados: Captive Portal con marca propia, captura de datos que cumple con el GDPR, analíticas de visitas y automatización de marketing. [medium pause] La arquitectura de implementación conjunta utiliza ClearPass como un proxy RADIUS. Todas las solicitudes de autenticación fluyen a través de ClearPass. Las solicitudes de invitados se enrutan al RADIUS en la nube de Purple. Las solicitudes corporativas son manejadas localmente por ClearPass. El controlador Aruba aplica las políticas resultantes mediante la asignación dinámica de VLAN. [medium pause] Los tres elementos de configuración que debe asegurar son: el walled garden, los tiempos de espera de RADIUS y la coherencia en los nombres de los roles. Si configura estos correctamente, tendrá una implementación de WiFi para invitados que cumple con las normativas, tiene valor comercial y no compromete su postura de seguridad corporativa. [medium pause] Para sus próximos pasos: obtenga sus credenciales RADIUS de establecimiento de Purple desde el panel de control de Purple, revise la lista de referencia del walled garden en la guía escrita complementaria y pruebe todo el flujo de autenticación con un dispositivo de prueba dedicado antes de lanzarlo a producción. Si está realizando la implementación en múltiples ubicaciones, la consola de administración multisitio de Purple le permite gestionar las configuraciones de Captive Portal, la imagen de marca y las analíticas de toda su propiedad desde una sola interfaz. [medium pause] Gracias por escucharnos. Visite purple.ai para hablar con un arquitecto de soluciones sobre su implementación específica.