Aruba ClearPass vs. Purple WiFi : comparaison des fonctionnalités et co-déploiement

Parlez en anglais britannique avec un ton confiant, autoritaire et conversationnel. Vous êtes un consultant réseau senior qui brefe un client. Un rythme mesuré, une diction claire, professionnel mais sans rigidité. Des pauses naturelles occasionnelles pour marquer l'importance : Bienvenue dans ce briefing technique de Purple. Je suis votre hôte, et aujourd'hui nous abordons une question qui revient dans presque tous les projets de réseau sans fil d'entreprise sur lesquels nous travaillons : lorsque vous avez déjà déployé Aruba ClearPass, quelle est la place de Purple WiFi, et comment ces deux systèmes fonctionnent-ils ensemble ? [pause moyenne] Il ne s'agit pas d'une discussion théorique. Si vous êtes responsable informatique, architecte réseau ou ingénieur sécurité au sein d'un groupe hôtelier, d'une chaîne de magasins ou pour un exploitant de stade, c'est une décision que vous devrez peut-être prendre ce trimestre. Alors, entrons dans le vif du sujet. [pause moyenne] Introduction et contexte. [pause courte] Tout d'abord, clarifions ce que chaque plateforme est réellement conçue pour faire. Aruba ClearPass Policy Manager est une plateforme de contrôle d'accès réseau. Son rôle est d'authentifier les appareils et les utilisateurs, d'évaluer la posture des terminaux et d'appliquer la politique d'accès sur l'ensemble de votre réseau. Elle gère le 802.1X, qui est la norme IEEE pour le contrôle d'accès réseau basé sur les ports, en utilisant des méthodes EAP telles que EAP-TLS avec certificats et PEAP avec nom d'utilisateur et mot de passe. Elle s'intègre à Microsoft Entra ID, Okta et d'autres fournisseurs d'identité. Elle profile les appareils, vérifie s'ils sont conformes à votre politique de sécurité et leur attribue le bon rôle réseau. Pour les appareils d'entreprise, ClearPass est excellente. Elle a été conçue exactement pour ce cas d'usage. [pause moyenne] Purple WiFi est un tout autre animal. Purple est une plateforme cloud d'intelligence WiFi pour les invités. Son rôle est d'authentifier les visiteurs via un captive portal personnalisé, de collecter des données de première main grâce à des flux de consentement conformes au GDPR, et d'alimenter votre pile marketing et analytique avec ces données. Purple opère sur 80 000 sites à travers le monde et a traité 440 millions de connexions rien qu'en 2024. Elle s'intègre à plus de 400 connecteurs, y compris des CRM et des plateformes d'automatisation marketing. Pour les réseaux d'invités, Purple est le spécialiste. [pause moyenne] Le problème auquel la plupart des organisations sont confrontées est qu'elles essaient d'utiliser une seule plateforme pour faire les deux tâches. Soit elles demandent à ClearPass de gérer leur portail invité, ce qu'elle peut faire mais pas de manière élégante, soit elles déploient Purple sans réfléchir à la manière dont elle s'articule avec leur investissement NAC existant. La bonne solution est une architecture de co-déploiement où chaque plateforme fait ce qu'elle fait de mieux. [pause moyenne] Plongée technique en profondeur. [pause courte] Laissez-moi vous présenter l'architecture. Dans un co-déploiement, votre contrôleur de mobilité Aruba ou vos points d'accès Aruba Instant diffusent plusieurs SSID. Généralement trois : un pour les appareils d'entreprise, un pour les invités et un pour l'IoT. Pour en savoir plus sur ce modèle de conception de SSID, Purple a publié un guide détaillé intitulé Three SSIDs to rule them all, que je vous recommande de lire en parallèle de ce briefing. [pause moyenne] Le SSID d'entreprise utilise la norme 802.1X avec EAP-TLS. Les appareils s'authentifient à l'aide de certificats provisionnés via ClearPass Onboard, qui est le module intégré d'enrôlement de certificats et de provisionnement d'appareils de ClearPass. ClearPass vérifie la posture de l'appareil, valide le certificat, interroge Active Directory ou Microsoft Entra ID, puis affecte l'appareil au VLAN approprié. Généralement le VLAN 10 pour l'entreprise. L'ensemble de ce flux reste au sein de ClearPass. Purple n'intervient pas. [medium pause] C'est sur le SSID invité que l'intégration se produit. Lorsqu'un visiteur se connecte au SSID invité, le contrôleur Aruba intercepte son trafic HTTP et redirige son navigateur vers le Captive Portal de Purple. Le visiteur s'authentifie via Purple, par exemple en utilisant une connexion sociale via Google, un formulaire d'e-mail personnalisé ou OpenRoaming, où Purple agit comme un fournisseur d'identité gratuit sous la licence Connect. Une fois que Purple a validé le visiteur, il renvoie un message RADIUS Access-Accept au contrôleur, ce qui autorise l'accès internet. [medium pause] À présent, la décision architecturale clé est de savoir si vous insérez ClearPass en tant que proxy RADIUS entre le contrôleur et Purple, ou si le contrôleur communique directement avec les serveurs RADIUS de Purple. Pour la plupart des déploiements d'entreprise, le modèle proxy est le bon choix. Voici pourquoi. [medium pause] Avec ClearPass configuré comme proxy RADIUS, chaque événement d'authentification sur votre réseau, qu'il soit d'entreprise ou invité, passe par ClearPass. Vous disposez ainsi d'une piste d'audit unique. Votre équipe des opérations de sécurité visualise tout au même endroit. ClearPass peut ajouter ses propres attributs de politique avant de renvoyer la réponse au contrôleur, ce qui permet une affectation dynamique des VLAN en fonction du rôle. De plus, vous conservez la possibilité d'appliquer des politiques supplémentaires sur les sessions des invités, telles que des limites de bande passante ou des restrictions d'accès basées sur le temps. Exprimez-vous avec un ton confiant, faisant autorité et conversationnel. Vous êtes un consultant réseau senior qui briefe un client. Le rythme est mesuré, la diction est claire, le style est professionnel mais sans rigidité : La configuration du proxy dans ClearPass est simple. Vous créez une politique de routage RADIUS qui correspond au SSID invité par l'identifiant NAS ou l'identifiant de la station appelée. Les requêtes correspondant à cette politique sont transférées vers les serveurs RADIUS cloud de Purple. Purple répond, ClearPass ajoute l'attribut spécifique au fournisseur Aruba-User-Role, et le contrôleur place l'invité dans le VLAN 20 avec un accès internet uniquement. [medium pause] Pour les appareils IoT, le troisième SSID utilise le contournement d'authentification MAC. ClearPass profile l'appareil à l'aide de son OUI, les six premiers caractères de l'adresse MAC qui identifient le fabricant, et l'affecte au ROLE_IOT, qui correspond au VLAN 30. Ce VLAN n'a pas d'accès internet, seulement une connectivité locale. Vos téléviseurs intelligents, thermostats et serrures connectées sont complètement isolés du trafic de l'entreprise et de celui des invités. [medium pause] Parlons de conformité, car c'est là que l'architecture prouve sa valeur. Sous PCI-DSS, tout segment de réseau qui touche aux données des titulaires de cartes doit être isolé des réseaux invités. La segmentation VLAN dans cette architecture répond à cette exigence. Sous GDPR, le Captive Portal de Purple gère le recueil du consentement avec des options d'adhésion par choix conscient, ce qui signifie que les visiteurs choisissent activement de partager leurs données plutôt que de les voir collectées par défaut. Purple est certifié ISO 27001, conforme au GDPR, et détient la certification Cyber Essentials. ClearPass fournit la piste d'audit dont votre équipe de sécurité a besoin pour les rapports de conformité. [medium pause] Recommandations d'implémentation et pièges à éviter. [short pause] Laissez-moi vous présenter les cinq erreurs les plus courantes dans ce déploiement, et comment les éviter. [medium pause] Numéro un : le walled garden (zone d'accès limité). Avant qu'un visiteur ne s'authentifie, le contrôleur Aruba autorise uniquement le trafic vers une liste de destinations prédéfinie. Si les domaines du portail de Purple, ses points de terminaison CDN et les domaines des fournisseurs de connexion sociale ne figurent pas dans cette liste, le portail ne se chargera pas. Vous devez inclure star point purple point ai, star point cloudfront point net, et les domaines OAuth pour tous les fournisseurs de connexion sociale que vous activez. Google, Facebook, Apple et Microsoft Entra ID ont tous leurs propres ensembles de domaines. Traitez le walled garden comme une configuration vivante, car les fournisseurs de connexion sociale modifient périodiquement leurs domaines CDN. [medium pause] Numéro deux : les délais d'attente RADIUS. Le délai d'attente RADIUS par défaut sur la plupart des contrôleurs Aruba est de trois secondes. Dans une architecture proxy, la requête voyage du point d'accès au contrôleur, puis à ClearPass, traverse Internet jusqu'au RADIUS cloud de Purple, et revient. Sur un réseau encombré, ce trajet aller-retour peut dépasser trois secondes. Définissez votre délai d'attente sur au moins dix secondes et configurez une logique de tentative avec au moins deux essais. [medium pause] Numéro trois : les incompatibilités de clés secrètes partagées. La clé secrète partagée entre le contrôleur Aruba et ClearPass doit correspondre exactement. La clé secrète partagée entre ClearPass et les serveurs RADIUS de Purple doit également correspondre exactement. Une différence d'un seul caractère entraîne des échecs d'authentification silencieux sans message d'erreur explicite pour le visiteur. Vérifiez toujours ces clés caractère par caractère. [medium pause] Numéro quatre : la sensibilité à la casse des noms de rôles. L'attribut Aruba-User-Role renvoyé par ClearPass doit correspondre exactement au nom de rôle défini sur le contrôleur Aruba, y compris les majuscules. Si ClearPass renvoie guest-authenticated mais que le contrôleur a défini Guest-Authenticated, le visiteur est redirigé vers le rôle de connexion par défaut sans accès à Internet. [medium pause] Numéro cinq : l'authentification RADIUS. De nombreux déploiements configurent correctement le proxy d'authentification mais oublient de faire de même pour l'accounting. Purple utilise les données d'accounting RADIUS pour suivre la durée des sessions, l'utilisation des données et pour alimenter ses tableaux de bord analytiques. Si l'accounting ne remonte pas vers Purple, vos analyses de fréquentation et vos rapports de temps de présence seront incomplets. [medium pause] Questions-réponses rapides. [short pause] Puis-je exécuter cela sur Aruba Instant plutôt que sur un Mobility Controller complet ? Oui. Aruba Instant prend en charge les serveurs RADIUS externes et la redirection vers un Captive Portal. La configuration diffère légèrement mais les principes sont identiques. [medium pause] Purple prend-il en charge le Change of Authorisation ? Oui. Le CoA permet au contrôleur de mettre à jour dynamiquement la session d'un visiteur sans qu'il ait besoin de se reconnecter. C'est très utile pour les accès limités dans le temps ou les montées en gamme de services. [medium pause] Cela fonctionne-t-il avec le WPA3 ? Oui. Le WPA3-SAE pour les réseaux personnels et le WPA3-Enterprise pour le 802.1X sont tous deux pris en charge. Pour les réseaux invités utilisant des portails captifs, le WPA3-SAE ou un SSID ouvert avec Opportunistic Wireless Encryption sont les choix habituels. [medium pause] Puis-je utiliser un seul SSID pour les employés et les invités ? C'est possible, mais cela ajoute de la complexité. ClearPass gère à la fois le 802.1X et l'authentification MAC sur le même SSID, en utilisant des règles de service pour différencier les types de trafic et les acheminer en conséquence. Pour la plupart des sites, l'utilisation de SSIDs distincts reste la solution la plus simple. [medium pause] Résumé et prochaines étapes. [short pause] ClearPass et Purple sont complémentaires, ils ne se font pas concurrence. ClearPass est votre moteur de politique pour les appareils d'entreprise : 802.1X, posture des terminaux, gestion des certificats et piste d'audit unifiée. Purple est votre plateforme d'intelligence pour les invités : Captive Portal personnalisé, capture de données conforme au GDPR, analyses de fréquentation et automatisation du marketing. [medium pause] L'architecture de co-déploiement utilise ClearPass comme proxy RADIUS. Toutes les demandes d'authentification transitent par ClearPass. Les demandes des invités sont acheminées vers le RADIUS cloud de Purple. Les demandes de l'entreprise sont traitées localement par ClearPass. Le contrôleur Aruba applique les politiques résultantes via une attribution dynamique de VLAN. [medium pause] Les trois éléments de configuration que vous devez absolument réussir sont : le walled garden, les délais d'attente RADIUS et la cohérence des noms de rôles. Maîtrisez ces aspects, et vous obtiendrez un déploiement WiFi invité conforme et commercialement performant, sans compromettre la sécurité de votre entreprise. [medium pause] Pour vos prochaines étapes : récupérez les identifiants RADIUS de votre site Purple depuis le tableau de bord Purple, consultez la liste de référence du walled garden dans le guide écrit d'accompagnement, et testez l'ensemble du flux d'authentification avec un appareil de test dédié avant de passer en production. Si vous effectuez un déploiement sur plusieurs sites, la console de gestion multi-sites de Purple vous permet de gérer les configurations de portails captifs, la personnalisation de marque et les analyses de l'ensemble de votre parc depuis une interface unique. [medium pause] Merci pour votre écoute. Rendez-vous sur purple.ai pour échanger avec un architecte de solutions au sujet de votre déploiement spécifique.