Cisco ISE vs. Purple WiFi: cómo se comparan y cómo funcionan en conjunto

Usted es un consultor sénior de seguridad de redes que informa a un cliente en inglés británico con un tono seguro, autoritario y conversacional. Hable con claridad y a un ritmo pausado, como si estuviera exponiendo ante una junta directiva de directores de TI y arquitectos de redes. Esta es una sesión informativa técnica y profesional, no una clase magistral. Hable en inglés británico con un acento estándar de pronunciación recibida: Le damos la bienvenida a la serie de sesiones informativas técnicas de Purple. Hoy abordaremos una pregunta que surge constantemente en el diseño de redes empresariales: Cisco ISE frente a Purple WiFi. ¿Cómo se comparan y, lo que es más importante, cómo funcionan de manera conjunta? Le daré la respuesta directa en unos diez minutos. [pausa media] Comencemos con el contexto. Si gestiona un hotel, un complejo comercial, un estadio o un edificio del sector público, es casi seguro que tiene dos poblaciones distintas que se conectan a su red. Por un lado, tiene al personal y los dispositivos corporativos, y por el otro, tiene a los invitados, visitantes, aficionados o compradores. Estas dos poblaciones tienen requisitos de autenticación, derechos de datos y objetivos de negocio completamente diferentes. El error que cometen la mayoría de las organizaciones es intentar resolver ambos problemas con una sola herramienta. De ahí proviene la confusión entre Cisco ISE y Purple. [pausa media] Sección uno: qué hace realmente Cisco ISE. Cisco Identity Services Engine, o ISE, es la plataforma de control de acceso a la red (NAC) empresarial de Cisco. Su función es autenticar y autorizar dispositivos corporativos y usuarios del personal. Esto lo hace principalmente a través de IEEE 802.1X, que es el estándar de control de acceso a la red basado en puertos. Cuando una laptop corporativa se conecta a su red, ISE verifica su certificado a través de EAP-TLS, o sus credenciales a través de PEAP, las valida contra Active Directory o Microsoft Entra ID, evalúa su postura de seguridad y luego la asigna a la VLAN correcta con la política adecuada. Si el dispositivo no supera la evaluación de postura, ISE puede ponerlo en cuarentena de forma automática utilizando el cambio de autorización (CoA) de RADIUS. ISE también gestiona la incorporación de dispositivos personales (BYOD), donde estos se registran con un certificado para que puedan autenticarse de forma segura sin una contraseña compartida. Además, se integra con el ecosistema pxGrid de Cisco, lo que permite que otras herramientas de seguridad como firewalls y plataformas SIEM consuman contexto de identidad en tiempo real. Los tres niveles de licencia de ISE son Essentials, Advantage y Premier. Essentials cubre 802.1X y el acceso básico de invitados. Advantage añade BYOD, evaluación de postura e integración con MDM de terceros. Premier añade servicios de identidad pasivos e integración avanzada contra amenazas. [pausa media] Así que ISE es una plataforma de seguridad seria y de nivel empresarial. Pero aquí está el punto crítico: su portal de invitados es funcional, no comercial. ISE puede redirigir un dispositivo no autenticado a una página web, recopilar un nombre de usuario y contraseña o la aprobación de un patrocinador, y otorgar acceso a internet. Lo que no puede hacer es capturar el consentimiento de marketing que cumpla con el GDPR, ejecutar páginas de bienvenida personalizadas con inicio de sesión social, enviar datos de visitantes a Salesforce o HubSpot, generar mapas de calor de afluencia o segmentar a los visitantes por datos demográficos para una campaña de marketing. Eso no es para lo que se diseñó ISE, y tratar de forzarlo a asumir ese rol genera complejidad sin ofrecer el resultado comercial. Usted es un consultor senior de seguridad de red que continúa una sesión informativa técnica en inglés británico con un tono seguro, autorizado y conversacional. Hable con claridad y a un ritmo pausado. Hable en inglés británico con un acento estándar de pronunciación recibida: Sección dos: qué hace Purple. Purple es una plataforma de superposición en la nube. Nos ubicamos sobre su infraestructura WiFi existente, ya sea Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist o cualquiera de los otros proveedores principales. No reemplazamos su hardware. No reemplazamos a ISE. Nosotros nos encargamos de la capa de experiencia del invitado. Cuando un visitante se conecta a su SSID de invitado, Purple intercepta esa conexión y presenta un Captive Portal personalizado. Ese portal puede ofrecer inicio de sesión social a través de Facebook, Google o LinkedIn, un formulario de captura de datos personalizado, una opción de clic para conectar o Passpoint para una reconexión segura automática en visitas posteriores. Cada inicio de sesión captura datos de primera mano con el consentimiento explícito del GDPR. Esos datos fluyen directamente a su CRM, a su plataforma de marketing por correo electrónico o a su programa de lealtad. Purple opera en 80,000 ubicaciones en vivo y ha procesado 440 millones de inicios de sesión solo en 2024. Contamos con la certificación ISO 27001, cumplimos con GDPR y CCPA, y mantenemos un tiempo de actividad del 99.999%. Entre los clientes designados se incluyen McDonald's, Harrods, Premier Inn, AGS Airports y Manchester Airports Group. [pausa media] Sección tres: cómo coexisten en una topología de red moderna. La arquitectura es sencilla una vez que se comprende la separación de funciones. Usted ejecuta dos o tres SSID en los mismos puntos de acceso. El SSID corporativo utiliza WPA3-Enterprise con 802.1X, e ISE es el servidor RADIUS. Cada dispositivo del personal se autentica con un certificado o credencial. ISE asigna el dispositivo a la VLAN correcta, aplica la política correcta y registra la sesión. Purple no tiene ningún rol aquí. Este es el dominio de ISE por completo. El SSID de invitado está abierto o utiliza WPA3-Personal con una clave precompartida para la asociación inicial. El tráfico se redirige al portal en la nube de Purple. Purple se encarga de la autenticación, la captura del consentimiento y las analíticas. El punto de acceso aplica un jardín amurallado hasta que Purple señala la autorización, y luego abre el acceso a internet. ISE no tiene ningún rol aquí. Este es el dominio de Purple.Para implementaciones más complejas, puede agregar un tercer SSID para dispositivos IoT utilizando claves precompartidas de identidad, o iPSK, donde cada dispositivo obtiene una frase de contraseña única mapeada a una VLAN específica. ISE puede administrar esto para IoT corporativo, o la función SecurePass de Purple lo maneja para IoT de establecimientos, como terminales de punto de venta y señalización digital. Si desea una integración más estrecha entre ambas plataformas, pxGrid de Cisco permite que Purple publique el contexto de la sesión de invitados en el ecosistema de ISE, de modo que su equipo de operaciones de seguridad pueda ver la actividad de los invitados junto con la actividad corporativa en una vista unificada. [medium pause] Sección cuatro: recomendaciones de implementación y errores comunes. Permítame compartirle los tres errores más comunes que veo en las implementaciones. Primero: usar el portal de invitados integrado de ISE para WiFi de invitados comercial. El portal de invitados de ISE está diseñado para contratistas y personal temporal, no para el acceso de invitados enfocado en marketing. No tiene integración con CRM, ni gestión de consentimiento, ni analíticas. Si se encuentra en el sector de hotelería, retail o eventos, necesita Purple en el SSID de invitados. ISE se encarga de lo corporativo. Purple se encarga de los invitados. Manténgalos separados. Segundo: no segmentar las VLAN de manera correcta. El tráfico de invitados debe estar aislado del tráfico corporativo en la capa dos. Purple opera en una VLAN separada enrutada directamente a internet, sin acceso a los recursos internos. ISE impone la asignación de VLAN para dispositivos corporativos. Si confunde esto, creará una exposición de seguridad y un problema de cumplimiento. Tercero: descuidar la configuración del walled garden (jardín vallado). Cuando Purple es el Captive Portal, el punto de acceso debe permitir el tráfico DNS y HTTP hacia los endpoints de la nube de Purple antes de la autenticación. Si su walled garden es demasiado restrictivo, el portal no se cargará. Si es demasiado permisivo, los usuarios pueden eludir la autenticación. La documentación de soporte de Purple proporciona los rangos de IP y dominios exactos que se deben incluir en la lista de permitidos para cada proveedor de hardware. [medium pause] Sección cinco: preguntas rápidas. ¿Purple reemplaza a Cisco ISE? No. Resuelven diferentes problemas para diferentes usuarios en diferentes SSIDs. ¿Puedo ejecutar Purple en Cisco Meraki sin ISE? Sí. Purple se integra de forma nativa con Cisco Meraki a través de la API de Meraki. ISE no es necesario para el WiFi de invitados. ¿Puedo ejecutar ambos en los mismos puntos de acceso? Sí. Múltiples SSIDs en el mismo hardware es una práctica estándar. ¿Purple es compatible con 802.1X? La función SecurePass de Purple es compatible con WPA3-Enterprise con 802.1X para dispositivos de invitados que tienen instalada la aplicación Purple, lo que permite una reconexión automática basada en certificados sin un Captive Portal. ¿Qué pasa con el cumplimiento de PCI-DSS? El WiFi de invitados debe estar aislado de los sistemas de tarjetas de pago. La arquitectura de VLAN de Purple cumple con este requisito. ISE aplica el mismo aislamiento para los dispositivos corporativos. [medium pause] Resumen y próximos pasos. El marco de decisión es simple. Si el dispositivo pertenece a su organización o a su personal, ISE se encarga de la autenticación. Si el dispositivo pertenece a un invitado, visitante, comprador o fan, Purple se encarga de la experiencia. Ambas plataformas comparten la misma infraestructura física pero operan en capas lógicas completamente separadas. Para el siguiente paso, mapee su arquitectura de SSID actual. Identifique qué SSIDs son corporativos y cuáles son de invitados. Confirme que el tráfico de invitados esté aislado por VLAN. Luego, evalúe si su Captive Portal de invitados actual ofrece el consentimiento de marketing, la analítica y la integración con CRM que sus equipos comerciales necesitan. Si no es así, esa es la brecha que Purple cubre. Puede encontrar la guía escrita completa, los diagramas de arquitectura y ejemplos prácticos en purple.ai. Gracias por su tiempo.