Aruba ClearPass vs Cisco ISE : comparaison des plateformes NAC d'entreprise
Comparez Aruba ClearPass Policy Manager et Cisco ISE. Évaluez le RADIUS AAA multi-constructeur, les moteurs de politiques 802.1X, les coûts de licence et l'intégration du WiFi invité.
Video overview
Écouter ce guide
Voir la transcription du podcast
Fait partie de notre série principale : Guide de sécurité WiFi d'entreprise →
Résumé exécutif
Le Contrôle d'Accès Réseau (NAC) constitue l'épine dorsale des architectures réseau d'entreprise zero-trust. Alors que les organisations gèrent des flottes de plus en plus importantes d'ordinateurs portables d'entreprise, d'appareils mobiles, de matériel IoT et de trafic de visiteurs, le choix du bon moteur de politique détermine la posture de sécurité, la charge opérationnelle et le coût total de possession.
Les deux leaders incontestés du Contrôle d'Accès Réseau d'entreprise sont Aruba ClearPass Policy Manager (CPPM) et Cisco Identity Services Engine (Cisco ISE). Bien que les deux plateformes fournissent une authentification d'entreprise IEEE 802.1X, des services RADIUS/TACACS+, le profilage des terminaux et la validation de la posture, elles incarnent des philosophies de conception fondamentalement différentes :
- Aruba ClearPass met l'accent sur l'orchestration des politiques indépendante des fournisseurs, une licence simple et une interopérabilité multi-constructeurs ouverte.
- Cisco ISE offre une intégration propriétaire approfondie avec la commutation, le routage, les contrôleurs sans fil Cisco, DNA Center / Catalyst Center et la microsegmentation Cisco TrustSec.
Ce guide technique propose une comparaison architecturale exhaustive entre Aruba ClearPass et Cisco ISE à travers les modèles de déploiement, les matrices de fonctionnalités, les structures de licences, le support multi-constructeurs et l'intégration du WiFi invité.
Purple s'intègre nativement aux infrastructures Cisco ISE et HPE Aruba ClearPass pour automatiser les Captive Portals d'invités, l'orchestration de l'identité des visiteurs et les analyses WiFi sur plus de 80 000 sites actifs.
Découvrir le guide de sécurité WiFi d'entreprise →Architectural overview: ClearPass vs Cisco ISE
Comprendre la conception structurelle des deux plateformes est essentiel pour planifier la capacité de calcul, la haute disponibilité et la topologie du réseau.
+-----------------------------------------------------------------------------------+
| ENTERPRISE NAC ARCHITECTURE |
+-----------------------------------------------------------------------------------+
| |
| +-----------------------------------+ +-----------------------------------+ |
| | ARUBA CLEARPASS CLUSTER | | CISCO ISE DEPLOYMENT | |
| | | | | |
| | [Publisher (Config & Write DB)] | | [Primary / Secondary PAN (Admin)]| |
| | | | | [Primary / Secondary MnT (Logs)] | |
| | +--------------+--------------+ | | | | |
| | | | | | +--------------+--------------+ | |
| | v v | | | | | | |
| | [Subscriber 1] [Subscriber 2] | | v v v | |
| | (RADIUS / AAA) (RADIUS / AAA) | | [PSN Node 1] [PSN Node 2] [PSN 3] | |
| +-----------------------------------+ +-----------------------------------+ |
| | | |
| +----------------------+----------------------+ |
| | |
| v |
| +---------------------------------------+ |
| | NETWORK ACCESS DEVICES (NADs) | |
| | Cisco / Aruba / Ruckus / Fortinet | |
| | Switches, WLCs & Firewalls | |
| +---------------------------------------+ |
+-----------------------------------------------------------------------------------+
Aruba ClearPass cluster architecture
ClearPass utilise un modèle de clustering Publisher / Subscriber :
- Publisher Node (nœud éditeur) : Le référentiel central pour l'ensemble des configurations de politiques, des comptes invités et des écritures de base de données. Toutes les mises à jour administratives ont lieu sur l'éditeur et sont dupliquées vers les abonnés.
- Subscriber Nodes (nœuds abonnés) : Les points de décision de politique régionaux qui gèrent l'authentification RADIUS en direct, l'imputation TACACS+ et le profilage des appareils. Si l'éditeur devient inaccessible, les abonnés continuent à authentifier les terminaux par rapport à leur base de données locale en lecture seule synchronisée, sans interruption de service.
- Standby Publisher : Assume automatiquement le rôle de diffuseur actif en cas de défaillance du diffuseur principal.
Architecture des nœuds Cisco ISE
Cisco ISE répartit les fonctionnalités entre des rôles de profils spécialisés :
- Policy Administration Node (PAN) : Gère la configuration et distribue les politiques. Déployé en paires principale et secondaire pour une redondance actif-veille.
- Monitoring and Troubleshooting Node (MnT) : Collecte les données syslog, les journaux d'authentification et génère des rapports. Déployé en configurations principale et secondaire.
- Policy Service Node (PSN) : Exécute l'authentification, l'autorisation, le profilage, l'évaluation de la posture et l'attribution des SGT. Plusieurs nœuds PSN sont répartis dans les centres de données et les succursales derrière des répartiteurs de charge.
- Nœud pxGrid : Partage le contexte et la télémétrie de manière bidirectionnelle avec des plateformes de sécurité tierces (pare-feu, SIEM et scanners de vulnérabilités).
Matrice de comparaison des fonctionnalités clés
| Domaine Architectural | Aruba ClearPass Policy Manager (CPPM) | Cisco Identity Services Engine (ISE) | Guide d'Évaluation et de Sélection |
|---|---|---|---|
| Prise en charge multi-constructeurs | Prise en charge native de dictionnaires de constructeurs ouverts pour plus de 50 équipementiers réseau | Prise en charge des normes RFC - fonctionnalités avancées optimisées pour le matériel Cisco | ClearPass l'emporte dans les environnements hétérogènes - ISE excelle dans les réseaux purement Cisco |
| Logique du moteur de politique | Règles de contexte basées sur les services, simulation de politique et suivi des accès en direct | Ensembles de politiques basés sur des règles avec authentification et autorisation basées sur des conditions | ClearPass offre un dépannage plus simple - ISE propose un enchaînement de conditions granulaire |
| Administration des appareils (AAA) | TACACS+ et RADIUS complets inclus dans la licence Access de base | TACACS+ et RADIUS complets intégrés au moteur de politique (nécessite une licence d'administration d'appareil) | Les deux fournissent l'autorisation de commandes d'entreprise et la comptabilisation des sessions |
| Profilage des terminaux | DHCP snooping, User-Agent HTTP, SNMP, MAC OUI, NetFlow | DHCP, HTTP, sondes RADIUS, Cisco Device Sensor, télémétrie de l'agent NVM | Cisco ISE fournit une télémétrie plus approfondie lorsqu'il est associé aux commutateurs Cisco et à Secure Client |
| Évaluation de la posture | ClearPass OnGuard (agent persistant ou temporaire) | Module de posture Cisco Secure Client (anciennement AnyConnect) | Cisco ISE offre une intégration plus approfondie de la remédiation du système d'exploitation et de la posture VPN |
| Enrôlement de certificats BYOD | ClearPass Onboard (autorité de certification intégrée et passerelle SCEP / EST) | Portail BYOD ISE avec autorité de certification interne et intégration EST/SCEP | Les deux fournissent un provisionnement automatisé de certificats 802.1X pour les appareils mobiles |
| Microsegmentation | Attribution dynamique de rôles et rôles d'utilisateur téléchargeables (DUR) | Marquage matériel des balises de groupe de sécurité Cisco TrustSec (SGT) | TrustSec propose un marquage matériel au débit de la ligne - DUR fournit des ACL de commutateur flexibles |
Interopérabilité multi-constructeurs et support matériel
Un critère de décision majeur pour les architectes réseau est de savoir si leur parc d'équipements réseau est homogène ou multi-constructeurs.
Aruba ClearPass dans les réseaux multi-constructeurs
ClearPass a été conçu dès le départ comme un moteur AAA indépendant des constructeurs. Il intègre nativement des dictionnaires complets d'attributs RADIUS pour :
- Cisco Systems (Catalyst, Nexus, Meraki, AireOS, Catalyst 9800)
- HPE Aruba Networking (AOS-S, AOS-CX, Aruba Central, Instant APs)
- Ruckus Networks / CommScope (SmartZone, Unleashed, commutateurs ICX)
- Juniper Networks / Mist AI
- Fortinet (FortiGate, FortiSwitch, FortiAP)
- Extreme Networks, Arista et Ubiquiti UniFi
ClearPass permet aux ingénieurs réseau de configurer une politique d'accès unifiée unique qui renvoie dynamiquement des attributs spécifiques aux constructeurs (VSA) - tels que les Cisco AV-Pairs, les rôles utilisateur Aruba ou les tunnels VLAN standard RFC 2868 - en fonction du constructeur du serveur d'accès réseau (NAS) demandeur.
+----------------------------------------+
| ARUBA CLEARPASS POLICY MANAGER |
+----------------------------------------+
|
+------------------------+------------------------+
| | |
v v v
[Cisco Catalyst WLC] [Aruba CX Switch] [Ruckus SmartZone AP]
Renvoie : Cisco-AVPair Renvoie : Aruba-User-Role Renvoie : Ruckus-VLAN-ID
"air-acl-up=GUEST-ACL" "employee-secure" "VLAN 100"
Cisco ISE dans les réseaux multi-constructeurs
Cisco ISE prend en charge les protocoles standards RFC 2865 RADIUS, RFC 5176 CoA et le contournement d'authentification MAC standard (MAB). Les commutateurs et points d'accès tiers peuvent être intégrés à l'aide de Network Device Profiles.
Cependant, les fonctionnalités avancées d'ISE reposent sur des capacités spécifiques au matériel Cisco :
- Cisco Device Sensor : Les commutateurs inspectent les paquets DHCP, CDP et LLDP au niveau matériel et les transmettent via la comptabilité RADIUS à ISE pour le profilage sans ports de miroir.
- Cisco TrustSec (SGT) : Nécessite un support matériel ASIC Cisco dans les commutateurs Catalyst et les pare-feu Cisco Firepower pour insérer et filtrer les balises SGT 16 bits dans les en-têtes de paquets.
- Intégration DNA Center / Catalyst Center : La synchronisation des politiques d'accès logiciel (SD-Access) nécessite Cisco ISE comme moteur d'identité sous-jacent.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.
Modèles de licence et coût total de possession (TCO)
Les structures de licences représentent une divergence significative entre ClearPass et Cisco ISE.
+-----------------------------------------------------------------------------------+
| COMPARAISON DES LICENCES NAC |
+-----------------------------------------------------------------------------------+
| |
| ARUBA CLEARPASS : MODÈLE DE TERMINAUX SIMULTANÉS |
| +-----------------------------------------------------------------------------+ |
| | ClearPass Access (Base) -> RADIUS central, TACACS+, Profilage, Invités | |
| | ClearPass Onboard (Option)-> Provisionnement automatisé de certificats PKI | |
| | ClearPass OnGuard (Option)-> Posture des terminaux persistante / temporaire | |
| +-----------------------------------------------------------------------------+ |
| |
| CISCO ISE : MODÈLE D'ABONNEMENT PAR NIVEAUX |
| +-----------------------------------------------------------------------------+ |
| | Niveau ISE Essentials -> 802.1X de base, RADIUS, MAB, Invités de base | |
| | Niveau ISE Advantage -> Profilage complet, SGT TrustSec, MDM/pxGrid, BYOD| |
| | Niveau ISE Premier -> Évaluation de posture avancée (Secure Client) | |
| | Licence Device Admin -> Contrôle dédié des équipements réseau TACACS+ | |
| +-----------------------------------------------------------------------------+ |
+-----------------------------------------------------------------------------------+
Gestion des licences Aruba ClearPass
Les licences ClearPass fonctionnent sur la base de sessions actives simultanées :
- ClearPass Access : La licence de base. Elle permet le contrôle RADIUS AAA, l'administration d'équipements TACACS+, le profilage de base des terminaux et l'accès invité. Si 5 000 terminaux sont authentifiés en même temps, 5 000 licences Access sont consommées.
- ClearPass Onboard : Licence additionnelle par certificat de terminal provisionné.
- ClearPass OnGuard : Licence additionnelle par terminal actif faisant l'objet de vérifications de conformité de posture.
Gestion des licences Cisco ISE
Cisco ISE utilise un modèle d'abonnement par niveaux :
- ISE Essentials : Couvre le protocole standard 802.1X, la comptabilité RADIUS de base et l'accès invité de base.
- ISE Advantage : Ajoute le profilage avancé des terminaux, la gestion Cisco TrustSec SGT, les flux d'intégration BYOD et les intégrations de l'écosystème pxGrid.
- ISE Premier : Regroupe toutes les fonctionnalités Advantage ainsi que l'évaluation complète de la posture des terminaux via Cisco Secure Client.
- Device Administration : Licence perpétuelle ou à terme distincte requise pour activer la fonctionnalité TACACS+ sur les commutateurs et routeurs réseau.
Accès WiFi invité et déchargement du Captive Portal
L'un des coûts opérationnels et financiers cachés les plus importants dans les déploiements NAC d'entreprise est le trafic WiFi invité temporaire.
Le goulot d'étranglement des licences invités
Lorsqu'un visiteur se connecte à un réseau invité d'entreprise, son smartphone ou son ordinateur portable initialise une session RADIUS avec l'appareil NAC. Dans les lieux à forte fréquentation habituels (sièges sociaux, campus universitaires, centres commerciaux, hôpitaux et stades), les appareils des visiteurs se succèdent rapidement :
- Une université de 10 000 étudiants peut enregistrer 25 000 associations de visiteurs par semaine.
- Un réseau de santé employant 5 000 collaborateurs peut enregistrer 40 000 connexions uniques de patients et d'invités par mois.
Le routage de toutes les authentifications du Captive Portal des visiteurs via les appliances de base ClearPass ou Cisco ISE génère deux défis majeurs :
- Épuisement des licences : Les appareils invités éphémères consomment des licences de session ClearPass Access ou Cisco ISE Advantage coûteuses, qui devraient être réservées aux terminaux d'entreprise persistants.
- Limitations des fonctionnalités : Les portails d'invités NAC natifs manquent de fonctionnalités modernes d'engagement client, notamment l'authentification via les réseaux sociaux, la personnalisation multilingue, le libre-service pour la conformité GDPR/CCPA, les intégrations de passerelles SMS et l'analyse de localisation de la fréquentation.
+-----------------------------------------------------------------------------------+
| ARCHITECTURE DE DÉLESTAGE DES INVITÉS D'ENTREPRISE |
+-----------------------------------------------------------------------------------+
| |
| TERMINAUX D'ENTREPRISE (Personnel & BYOD) APPAREILS INVITÉS & VISITEURS |
| | | |
| v v |
| [802.1X EAP-TLS / PEAP] [Redirection Captive Portal] |
| | | |
| v v |
| +-------------------------------+ +---------------------------------+ |
| | CORE NAC (ClearPass / ISE) | | PLATEFORME PURPLE CLOUD WIFI | |
| | - Auth 802.1X Personnel | | - Pages de Splash Multi-tenant | |
| | - Certificats PKI Entr. | | - Connexions Réseaux Soc. & SMS| |
| | - Rôles SGT / VLAN Dynamiques| | - Conformité GDPR / Privée | |
| | - Microsegmentation Zero-Trust| | - Analyses Fréquentation & Loc.| |
| +-------------------------------+ +---------------------------------+ |
| | | |
| +----------------------+----------------------+ |
| | RADIUS RFC 5176 CoA |
| v |
| +---------------------------------+ |
| | CONTROLEUR D'ACCÈS SANS FIL | |
| | Cisco Catalyst / Aruba / Meraki| |
| +---------------------------------+ |
+-----------------------------------------------------------------------------------+
Comment Purple s'intègre à ClearPass et Cisco ISE
Purple fonctionne comme un portail captif cloud spécialisé et une surcouche d'intelligence WiFi qui complète à la fois Cisco ISE et Aruba ClearPass :
- Préservation des licences d'invités : Les authentifications des invités se terminent directement sur le RADIUS-as-a-Service de Purple Cloud, éliminant ainsi la consommation de licences d'invités sur les nœuds locaux ClearPass ou ISE.
- Diffusion de portail captif multi-constructeurs : Purple propose des portails d'accueil dynamiques adaptés au site, à la langue et au profil du visiteur sur les points d'accès Cisco Meraki, Catalyst 9800, Aruba Central, Ruckus SmartZone et Fortinet.
- Synchronisation du RADIUS CoA : Une fois qu'un visiteur a terminé l'authentification sur le portail, Purple émet un paquet standard de changement d'autorisation RADIUS (CoA RFC 5176) vers le contrôleur sans fil afin de faire passer dynamiquement l'utilisateur vers le rôle d'invité autorisé.
- Analyses d'entreprise et intégration CRM : Purple capture les données consenties des clients et synchronise les informations sur les visiteurs en temps réel avec les CRM d'entreprise (Salesforce, HubSpot, Microsoft Dynamics).
Cadre de décision : choisir entre ClearPass et Cisco ISE
Utilisez la matrice de décision suivante pour guider la sélection de votre plateforme :
[DÉBUT DE L'ÉVALUATION]
|
v
Votre réseau est-il composé à plus de 85 % de
matériel Cisco et impose-t-il Cisco TrustSec (SGT) ?
/ \
OUI NON
/ \
v v
[SÉLECTIONNER CISCO ISE] Votre réseau comprend-il
des constructeurs de matériel
mixtes (Aruba, Ruckus, Juniper) ?
/ \
OUI NON
/ \
v v
[SÉLECTIONNER CLEARPASS] [ÉVALUER LE TCO ET
LA PRÉFÉRENCE]
Choisissez Aruba ClearPass si :
- Vous exploitez un réseau multi-constructeurs avec du matériel Cisco, Aruba, Ruckus, Fortinet ou Juniper.
- Vous avez besoin d'un modèle de licence par sessions simultanées prévisible, sans abonnements logiciels multi-niveaux obligatoires.
- Vous recherchez une interface de politique intuitive avec simulation intégrée et débogage en temps réel via Access Tracker.
- Vous avez besoin d'une administration robuste des appareils TACACS+ intégrée directement dans le déploiement de votre plateforme de base.
Choisissez Cisco ISE si :
Votre entreprise est standardisée sur les commutateurs Cisco Catalyst, les contrôleurs WLC Catalyst 9800 et l'infrastructure de sécurité Cisco.
Vous déployez Cisco Software-Defined Access (SD-Access) ou exigez une microsegmentation SGT TrustSec appliquée au niveau matériel.
Vous utilisez Cisco Secure Client (AnyConnect) sur l'ensemble de votre parc de terminaux pour le VPN, la vérification de la posture et la télémétrie du Network Visibility Module (NVM).
Vous disposez d'un accord d'entreprise Cisco (EA) existant offrant des remises sur les offres groupées de licences ISE.
Questions fréquentes
Aruba ClearPass peut-il authentifier les clients Cisco filaires et WiFi ?
Oui. Aruba ClearPass est entièrement conforme aux normes standard IEEE 802.1X, RADIUS (RFC 2865) et RADIUS CoA (RFC 5176). Il prend en charge nativement les attributs spécifiques au fournisseur (VSA) Cisco, ce qui lui permet d'attribuer des listes de contrôle d'accès téléchargeables Cisco (dACL), des air-ACL et des VLAN dynamiques aux commutateurs et contrôleurs LAN sans fil Cisco Catalyst sans aucune limitation.
Est-ce que Cisco ISE prend en charge les commutateurs réseau et les points d'accès d'autres marques ?
Oui. Cisco ISE prend en charge l'authentification RADIUS standard, le contournement d'authentification MAC (MAB) et le CoA RFC 5176 pour les périphériques réseau tiers à l'aide de profils de périphériques réseau (Network Device Profiles). Cependant, les fonctionnalités propriétaires de Cisco telles que le profilage Cisco Device Sensor et le marquage matériel TrustSec Security Group Tag (SGT) nécessitent une infrastructure Cisco.
Comment ClearPass et Cisco ISE gèrent-ils l'administration des appareils TACACS+ ?
Les deux plateformes prennent en charge TACACS+ pour centraliser l'authentification administrative des commutateurs, routeurs et pare-feu, l'autorisation des commandes et la traçabilité. Aruba ClearPass inclut l'intégralité des fonctionnalités TACACS+ dans sa licence de base Access. Cisco ISE inclut TACACS+ dans son moteur de politique principal mais nécessite une licence dédiée à l'administration des appareils (Device Administration).
Quelle est la méthode la plus efficace pour gérer le WiFi invité lors du déploiement de ClearPass ou de Cisco ISE ?
Le déploiement d'une plateforme externe de WiFi dans le cloud comme Purple pour gérer les portails captifs des visiteurs, les pages d'accueil et la capture des données des invités est la meilleure pratique recommandée. Cela permet de décharger les nœuds NAC internes de milliers d'authentifications d'invités temporaires, d'éviter l'épuisement des licences NAC principales et de fournir des analyses détaillées sur les visiteurs dans tous les sites.
Définitions clés
Aruba ClearPass Policy Manager (CPPM)
Une plateforme de contrôle d'accès réseau (NAC) indépendante des constructeurs, fournissant un service AAA (Authentication, Authorization, Accounting) centralisé via RADIUS et TACACS+ sur du matériel réseau multi-constructeur.
CPPM comprend le profilage intégré, la gestion des invités, l'enrôlement automatisé des certificats et la simulation de politiques.
Cisco Identity Services Engine (ISE)
Une plateforme de gestion des politiques de sécurité d'entreprise qui automatise le contrôle d'accès sensible au contexte pour les connexions filaires, sans fil et VPN sur les infrastructures Cisco et tierces.
ISE agit comme le point de décision de politique (PDP) pour les architectures d'accès définies par logiciel (SD-Access) et TrustSec.
Network Access Control (NAC)
Une approche de sécurité des réseaux informatiques qui unifie la technologie de sécurité des terminaux, l'authentification des utilisateurs et l'application des politiques de sécurité réseau avant d'accorder l'accès au réseau.
Applique le contrôle d'accès basé sur les ports IEEE 802.1X, le contournement de l'authentification MAC (MAB) et la conformité de la posture.
Security Group Tag (SGT / Cisco TrustSec)
Une balise de métadonnées de 16 bits insérée dans les trames Ethernet pour identifier les rôles des terminaux sources, permettant une microsegmentation basée sur les rôles sans dépendre d'ACL de sous-réseau IP complexes.
Appliqué de manière native par les commutateurs et pare-feu Cisco Catalyst en utilisant Cisco ISE comme autorité d'attribution des balises.
Change of Authorization (CoA RFC 5176)
Une extension standard du protocole RADIUS qui permet à un serveur de politique de modifier dynamiquement les attributs de session actifs, les affectations de VLAN ou de déconnecter des sessions sur le commutateur d'accès ou le contrôleur.
Indispensable pour l'application de la mise en quarantaine, la réévaluation de la posture et l'élévation des rôles du Captive Portal après authentification.
Exemples concrets
Un campus universitaire d'enseignement supérieur exploite 1 400 points d'accès sans fil et 220 commutateurs d'accès composés de commutateurs de cœur Cisco Catalyst, d'AP Aruba et de contrôleurs sans fil Ruckus hérités. Le campus doit implémenter une authentification basée sur les certificats 802.1X pour 18 000 étudiants et membres du personnel, tout en fournissant un accès par Captive Portal invité pour 8 000 visiteurs quotidiens. Quelle architecture NAC offre le modèle de déploiement et de fonctionnement le plus rentable ?
- Déployez Aruba ClearPass Policy Manager (CPPM) en tant que moteur AAA principal en raison de sa prise en charge des dictionnaires RADIUS indépendante des constructeurs sur les équipements Cisco, Aruba et Ruckus. 2. Implémentez l'enrôlement de certificats EAP-TLS via l'intégration de ClearPass Onboard ou de Microsoft Entra ID pour les appareils des étudiants gérés et BYOD. 3. Transférez les 8 000 sessions d'invités quotidiennes vers le WiFi Purple Cloud : Purple gère la redirection vers le Captive Portal, l'authentification sociale, le OTP par SMS et la conformité GDPR, en communiquant avec l'infrastructure sans fil via un protocole RADIUS standard. Cela évite de consommer 8 000 licences d'accès ClearPass pour les visiteurs temporaires. 4. Configurez le RADIUS RFC 5176 CoA sur tous les constructeurs de commutateurs et de contrôleurs pour appliquer un changement dynamique de rôle lors de l'enrôlement.
Une entreprise financière mondiale comptant 45 succursales est entièrement standardisée sur les commutateurs Cisco Catalyst 9300, les WLC Catalyst 9800 et les pare-feu Cisco ASA/FTD. L'équipe de sécurité impose une microsegmentation à l'aide des étiquettes de groupe de sécurité Cisco TrustSec (SGT) et des contrôles de posture de conformité des terminaux en temps réel via Cisco Secure Client. Quelle plateforme est requise et comment la haute disponibilité doit-elle être architecturée ?
- Déployez Cisco Identity Services Engine (ISE) sur un déploiement multi-nœuds distribué. 2. Configurez des nœuds d'administration de politique (PAN) et des nœuds de surveillance (MnT) principaux et secondaires dédiés, avec des nœuds de service de politique (PSN) redondants répartis régionalement à proximité des groupes de succursales. 3. Provisionnez des licences Cisco ISE de niveau Premier pour prendre en charge l'évaluation de la posture de Cisco Secure Client (vérification des définitions d'antivirus, des niveaux de correctifs du système d'exploitation et du chiffrement des disques). 4. Utilisez les matrices Cisco TrustSec SGT au sein d'ISE pour définir les autorisations de matrice entre les rôles d'utilisateur (tels que la finance, l'ingénierie et les sous-traitants), appliquées au niveau du matériel de commutation sans surcharge d'ACL.
Questions d'entraînement
Q1. En quoi Aruba ClearPass et Cisco ISE diffèrent-ils dans leurs modèles de licence lors de la gestion de connexions WiFi d'invités à grand volume ?
Conseil : Analysez les licences pour sessions actives simultanées par rapport aux niveaux d'abonnement nominatifs.
Voir la réponse type
Les licences Aruba ClearPass sont basées sur les terminaux actifs simultanés authentifiés sur le système (licences ClearPass Access). Cisco ISE utilise un système de licences d'abonnement par niveaux (Essentials, Advantage, Premier) comptabilisées par session de terminal actif simultané. Sur les deux plateformes, la connexion de milliers d'appareils invités temporaires consomme des licences NAC de base. Les organisations intègrent fréquemment des plateformes d'invités cloud spécialisées comme Purple pour gérer l'authentification externe du Captive Portal et la base de données des invités, évitant ainsi un dimensionnement inutile des licences NAC.
Q2. Quelle est la différence opérationnelle entre l'application Cisco TrustSec SGT et l'attribution dynamique de rôles Aruba ClearPass ?
Conseil : Comparez l'apport des balises de sécurité dans les en-têtes de paquets par rapport aux rôles utilisateur téléchargeables (DUR) et à l'affectation d'identifiants VLAN.
Voir la réponse type
Cisco TrustSec insère une balise de groupe de sécurité (SGT) de 16 bits directement dans la trame Ethernet de couche 2 ou l'en-tête CMD de couche 3, permettant aux commutateurs et aux pare-feu d'appliquer des listes de contrôle d'accès (SGACL) basées sur la balise, indépendamment du sous-réseau IP. Aruba ClearPass utilise l'attribution dynamique de rôles (ou Downloadable User Roles - DUR) envoyée via des attributs standard spécifiques au fournisseur RADIUS (VSA) pour configurer les règles de pare-feu, les profils QoS et les mappages VLAN directement sur le port du commutateur d'accès ou du contrôleur lors de l'authentification.
Q3. Pourquoi la fonction standard RADIUS Change of Authorization (CoA RFC 5176) est-elle essentielle lors du déploiement d'un Captive Portal invité tiers avec ClearPass ou ISE ?
Conseil : Expliquez comment l'équipement d'accès réseau fait passer un client d'une redirection de pré-authentification à un accès complet à Internet.
Voir la réponse type
Lorsqu'un invité se connecte à un SSID ouvert, le point d'accès ou le contrôleur place le client dans un rôle de pré-authentification restreint avec une URL de redirection captive. Lorsque l'invité termine sa connexion sur l'application web du Captive Portal, le backend du portail envoie une demande RADIUS CoA Disconnect ou CoA Re-Auth au contrôleur sans fil ou au NAC. Le contrôleur réévalue dynamiquement la session client et attribue le rôle d'invité authentifié avec accès à Internet sans exiger que l'appareil client ne se déconnecte du réseau WiFi.
Continuer la lecture de cette série
Le meilleur filtrage DNS : un guide complet pour les entreprises
Ce guide de référence technique explique comment le filtrage DNS d'entreprise sécurise les réseaux publics en bloquant les domaines malveillants au niveau de la couche de résolution - avant même qu'une connexion ne soit établie. Il fournit aux directeurs informatiques, architectes réseau et équipes d'exploitation des sites l'architecture de déploiement, la configuration du pare-feu et le contexte de conformité nécessaires pour protéger le WiFi invité dans les secteurs de l'hôtellerie, du commerce de détail et du secteur public. Purple Shield bloque les logiciels malveillants, les botnets et les contenus inappropriés au niveau DNS sur plus de 80 000 sites actifs.
Comment implémenter SCEP pour l'enrôlement automatisé de certificats WiFi
Ce guide explique comment implémenter SCEP (Simple Certificate Enrollment Protocol) pour l'enrôlement automatisé de certificats WiFi dans les établissements d'entreprise. Il couvre l'ensemble du schéma architectural - de la conception de la PKI et l'intégration MDM à la séquence de déploiement obligatoire en trois étapes - et montre aux responsables informatiques et architectes réseau comment éliminer les identifiants partagés, automatiser la gestion du cycle de vie des certificats et respecter les exigences PCI DSS et GDPR à grande échelle.
Comprendre Cisco SUDI : l'identité d'appareil basée sur le matériel dans le contrôle d'accès réseau
Ce guide détaille l'architecture technique de Cisco SUDI, en expliquant comment l'identité ancrée sur le matériel sécurise le contrôle d'accès réseau. Il fournit des étapes de mise en œuvre concrètes pour les responsables informatiques afin de déployer l'authentification 802.1X EAP-TLS et d'automatiser le Zero Touch Provisioning sur les sites d'entreprise.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.