Cisco ISE vs. Purple WiFi : comparaison et synergie

Vous êtes un consultant senior en sécurité réseau qui présente un briefing à un client en anglais britannique, sur un ton confiant, autoritaire et conversationnel. Parlez clairement et à un rythme posé, comme si vous vous adressiez à un conseil d'administration composé de directeurs informatiques et d'architectes réseau. Il s'agit d'un briefing technique professionnel, pas d'un cours magistral. Parlez en anglais britannique avec un accent standard de prononciation reçue : Bienvenue dans la série de briefings techniques Purple. Aujourd'hui, nous abordons une question qui revient constamment dans la conception des réseaux d'entreprise : Cisco ISE par rapport à Purple WiFi. Comment se comparent-ils et, plus important encore, comment fonctionnent-ils ensemble ? Je vais vous donner une réponse claire en dix minutes environ. [pause moyenne] Commençons par le contexte. Si vous gérez un hôtel, un parc de magasins, un stade ou un bâtiment du secteur public, vous avez presque certainement deux populations distinctes qui se connectent à votre réseau. Vous avez le personnel et les appareils de l'entreprise, et vous avez les invités, les visiteurs, les supporters ou les clients. Ces deux populations ont des exigences d'authentification, des droits de données et des objectifs commerciaux complètement différents. L'erreur que commettent la plupart des organisations est de vouloir résoudre ces deux problèmes avec un seul outil. C'est de là que vient la confusion entre Cisco ISE et Purple. [pause moyenne] Première section : ce que fait réellement Cisco ISE. Cisco Identity Services Engine, ou ISE, est la plateforme de contrôle d'accès réseau d'entreprise de Cisco. Son rôle est d'authentifier et d'autoriser les appareils de l'entreprise et les membres du personnel. Il le fait principalement via la norme IEEE 802.1X, qui est le standard de contrôle d'accès réseau basé sur les ports. Lorsqu'un ordinateur portable d'entreprise se connecte à votre réseau, ISE vérifie son certificat via EAP-TLS, ou ses identifiants via PEAP, le valide par rapport à Active Directory ou Microsoft Entra ID, évalue sa posture de sécurité, puis l'affecte au bon VLAN avec la politique appropriée. Si l'appareil échoue à l'évaluation de sa posture, ISE peut le mettre en quarantaine automatiquement en utilisant RADIUS Change of Authorisation, ou CoA. ISE gère également l'intégration des terminaux personnels (BYOD), où les appareils personnels sont enregistrés avec un certificat afin de s'authentifier de manière sécurisée sans mot de passe partagé. Et il s'intègre au framework pxGrid de Cisco, ce qui permet à d'autres outils de sécurité comme les pare-feux et les plateformes SIEM d'exploiter le contexte d'identité en temps réel. Les trois niveaux de licence ISE sont Essentials, Advantage et Premier. Essentials couvre le 802.1X et l'accès invité de base. Advantage ajoute le BYOD, l'évaluation de la posture de sécurité et l'intégration MDM tierce. Premier ajoute des services d'identité passive et l'intégration avancée des menaces. [pause moyenne] Ainsi, ISE est une plateforme de sécurité de niveau entreprise très sérieuse. Mais voici le point critique : son portail invité est fonctionnel, et non commercial. ISE peut rediriger un appareil non authentifié vers une page web, recueillir un identifiant et un mot de passe ou une approbation de parrain, et accorder un accès à internet. Ce qu'il ne peut pas faire, c'est capturer le consentement marketing conforme au GDPR, afficher des pages de connexion personnalisées à l'image de la marque avec connexion sociale, envoyer les données des visiteurs vers Salesforce ou HubSpot, générer des cartes de chaleur de fréquentation ou segmenter les visiteurs par données démographiques pour une campagne marketing. Ce n'est pas pour cela que ISE a été conçu, et essayer de lui faire jouer ce rôle crée de la complexité sans produire de résultat commercial. Vous êtes un consultant principal en sécurité réseau et vous poursuivez un briefing technique en anglais britannique avec un ton confiant, autoritaire et conversationnel. Parlez clairement et à un rythme mesuré. Parlez en anglais britannique avec un accent standard de prononciation reçue : Section deux : ce que fait Purple. Purple est une plateforme cloud superposée. Nous nous intégrons au-dessus de votre infrastructure WiFi existante, qu'il s'agisse de Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist ou de tout autre grand fournisseur. Nous ne remplaçons pas votre matériel. Nous ne remplaçons pas ISE. Nous gérons la couche d'expérience invité. Lorsqu'un visiteur se connecte à votre SSID invité, Purple intercepte cette connexion et présente un Captive Portal personnalisé. Ce portail peut proposer une connexion via les réseaux sociaux (Facebook, Google ou LinkedIn), un formulaire personnalisé de saisie de données, une option de connexion en un clic ou Passpoint pour une reconnexion automatique et sécurisée lors des visites ultérieures. Chaque connexion capture des données de première partie avec un consentement GDPR explicite. Ces données sont transmises directement à votre CRM, à votre plateforme d'email marketing ou à votre programme de fidélité. Purple est déployé dans 80 000 sites actifs et a traité 440 millions de connexions rien qu'en 2024. Nous détenons la certification ISO 27001, respectons le GDPR et la CCPA, et maintenons une disponibilité de 99,999 %. Parmi nos clients de renom figurent McDonald's, Harrods, Premier Inn, AGS Airports et Manchester Airports Group. [pause moyenne] Section trois : comment ils coexistent dans une topologie de réseau moderne. L'architecture est simple une fois que l'on comprend la séparation des responsabilités. Vous diffusez deux ou trois SSID sur les mêmes points d'accès. Le SSID de l'entreprise utilise le WPA3-Enterprise avec la norme 802.1X, et ISE fait office de serveur RADIUS. Chaque appareil du personnel s'authentifie à l'aide d'un certificat ou d'un identifiant. ISE affecte l'appareil au bon VLAN, applique la bonne politique et enregistre la session. Purple n'intervient pas ici. C'est entièrement le domaine de ISE. Le SSID invité est ouvert ou utilise le WPA3-Personal avec une clé prépartagée pour l'association initiale. Le trafic est redirigé vers le portail cloud de Purple. Purple gère l'authentification, la capture du consentement et les analyses. Le point d'accès applique un accès limité (walled garden) jusqu'à ce que Purple signale l'autorisation, puis ouvre l'accès à internet. ISE n'intervient pas ici. C'est le domaine de Purple.Pour les déploiements plus complexes, vous pouvez ajouter un troisième SSID pour les appareils IoT, en utilisant des clés pré-partagées d'identité, ou iPSK, où chaque appareil reçoit une phrase de passe unique mappée sur un VLAN spécifique. ISE peut gérer cela pour l'IoT d'entreprise, tandis que la fonctionnalité SecurePass de Purple s'en charge pour l'IoT des sites, comme les terminaux de point de vente et l'affichage dynamique. Si vous souhaitez une intégration plus étroite entre les deux plateformes, pxGrid de Cisco permet à Purple de publier le contexte des sessions invités dans l'écosystème ISE, de sorte que votre équipe des opérations de sécurité puisse visualiser l'activité des invités aux côtés de l'activité de l'entreprise dans une vue unifiée. [medium pause] Section quatre : recommandations de mise en œuvre et pièges courants. Permettez-moi de vous présenter les trois erreurs les plus courantes que je constate lors des déploiements. Premièrement : utiliser le portail d'invités intégré d'ISE pour le WiFi invité commercial. Le portail d'invités d'ISE est conçu pour les prestataires et le personnel temporaire, et non pour un accès invité axé sur le marketing. Il ne dispose d'aucune intégration CRM, d'aucune gestion des consentements et d'aucun outil d'analyse. Si vous évoluez dans les secteurs de l'hôtellerie, du commerce de détail ou de l'événementiel, vous avez besoin de Purple sur le SSID invité. ISE gère l'entreprise. Purple gère les invités. Séparez-les. Deuxièmement : ne pas segmenter correctement les VLAN. Le trafic invité doit être isolé du trafic de l'entreprise au niveau de la couche deux. Purple fonctionne dans un VLAN distinct acheminé directement vers Internet, sans aucun accès aux ressources internes. ISE applique l'attribution des VLAN pour les appareils de l'entreprise. Si vous confondez ces deux aspects, vous créez une faille de sécurité et un problème de conformité. Troisièmement : négliger la configuration du walled garden (jardin secret). Lorsque Purple est le Captive Portal, le point d'accès doit autoriser le trafic DNS et HTTP vers les points de terminaison cloud de Purple avant l'authentification. Si votre walled garden est trop restrictif, le portail ne se chargera pas. S'il est trop permissif, les utilisateurs pourront contourner l'authentification. La documentation d'assistance de Purple fournit les plages IP et les domaines exacts à inscrire sur liste blanche pour chaque fournisseur de matériel. [medium pause] Section cinq : questions-réponses rapides. Purple remplace-t-il Cisco ISE ? Non. Ils résolvent des problèmes différents pour des utilisateurs différents sur des SSID différents. Puis-je exécuter Purple sur Cisco Meraki sans ISE ? Oui. Purple s'intègre nativement avec Cisco Meraki via l'API Meraki. ISE n'est pas requis pour le WiFi invité. Puis-je exécuter les deux sur les mêmes points d'accès ? Oui. L'utilisation de plusieurs SSID sur le même matériel est une pratique courante. Purple prend-il en charge le 802.1X ? La fonctionnalité SecurePass de Purple prend en charge le WPA3-Enterprise avec 802.1X pour les appareils invités qui ont installé l'application Purple, permettant une reconnexion automatique basée sur des certificats sans passer par un Captive Portal. Qu'en est-il de la conformité PCI-DSS ? Le WiFi invité doit être isolé des systèmes de cartes de paiement. L'architecture VLAN de Purple répond à cette exigence. ISE applique la même isolation pour les appareils de l'entreprise. [medium pause] Résumé et prochaines étapes. Le cadre de décision est simple. Si l'appareil appartient à votre organisation ou à votre personnel, ISE gère l'authentification. Si l'appareil appartient à un invité, un visiteur, un client ou un fan, Purple gère l'expérience. Les deux plateformes partagent la même infrastructure physique mais fonctionnent dans des couches logiques complètement distinctes. Pour la prochaine étape, cartographiez votre architecture SSID actuelle. Identifiez quels SSIDs sont d'entreprise et lesquels sont destinés aux invités. Confirmez que le trafic invité est isolé par VLAN. Évaluez ensuite si votre Captive Portal actuel fournit le consentement marketing, les analyses et l'intégration CRM dont vos équipes commerciales ont besoin. Si ce n'est pas le cas, c'est précisément ce manque que Purple comble. Vous trouverez le guide écrit complet, les schémas d'architecture et des exemples concrets sur purple.ai. Merci pour votre temps.