Aruba ClearPass vs. Purple WiFi: Confronto delle Funzionalità e Co-implementazione

Parla in inglese britannico con un tono sicuro, autorevole e colloquiale. Sei un consulente di rete senior che sta informando un cliente. Ritmo misurato, dizione chiara, professionale ma non rigido. Pause naturali occasionali per dare enfasi: Benvenuti a questo briefing tecnico di Purple. Sono il vostro relatore e oggi affronteremo una domanda che sorge in quasi tutti i progetti wireless aziendali di cui ci occupiamo: quando avete già implementato Aruba ClearPass, come si colloca Purple WiFi e in che modo i due sistemi collaborano? [medium pause] Questa non è una discussione teorica. Se siete un IT manager, un progettista di rete o un ingegnere della sicurezza presso un gruppo alberghiero, una catena di vendita al dettaglio o un gestore di stadi, questa è una decisione che potreste dover prendere in questo trimestre. Quindi, entriamo nel vivo. [medium pause] Introduzione e contesto. [short pause] Innanzitutto, facciamo chiarezza su quale sia la reale funzione di ciascuna piattaforma. Aruba ClearPass Policy Manager è una piattaforma di Network Access Control. Il suo compito è autenticare dispositivi e utenti, valutare lo stato di sicurezza degli endpoint e applicare i criteri di accesso all'intera rete. Gestisce lo standard 802.1X, che è lo standard IEEE per il controllo dell'accesso alla rete basato su porta, utilizzando metodi EAP come EAP-TLS con certificati e PEAP con nome utente e password. Si integra con Microsoft Entra ID, Okta e altri provider di identità. Profila i dispositivi, verifica se sono conformi ai criteri di sicurezza e li assegna al ruolo di rete corretto. Per i dispositivi aziendali, ClearPass è eccellente. È stato creato esattamente per questo caso d'uso. [medium pause] Purple WiFi è un software completamente diverso. Purple è una piattaforma cloud-based per l'intelligence della guest WiFi. Il suo compito è autenticare i visitatori tramite un captive portal personalizzato con il vostro brand, acquisire dati di prima parte con flussi di consenso conformi al GDPR e trasmettere tali dati alla vostra suite di marketing e analisi. Purple opera in oltre 80.000 sedi in tutto il mondo e ha elaborato 440 milioni di accessi solo nel 2024. Si integra con oltre 400 connettori, inclusi CRM e piattaforme di marketing automation. Per le reti guest, Purple è lo specialista. [medium pause] Il problema che la maggior parte delle organizzazioni si trova ad affrontare è il tentativo di utilizzare un'unica piattaforma per svolgere entrambi i compiti. Spesso chiedono a ClearPass di gestire il portale guest, cosa che può fare ma non in modo elegante, oppure implementano Purple senza considerare come si collochi rispetto ai loro investimenti NAC esistenti. La risposta corretta è un'architettura di co-implementazione in cui ogni piattaforma svolge ciò che sa fare meglio. [medium pause] Approfondimento tecnico. [short pause] Lasciate che vi illustri l'architettura. In una co-implementazione, il vostro Aruba Mobility Controller o i vostri access point Aruba Instant trasmettono più SSID. Tipicamente tre: uno per i dispositivi aziendali, uno per gli ospiti e uno per l'IoT. Per ulteriori informazioni su questo schema di progettazione degli SSID, Purple ha pubblicato una guida dettagliata intitolata "Three SSIDs to rule them all", che vi consiglio di leggere insieme a questo briefing. [medium pause] L'SSID aziendale utilizza 802.1X con EAP-TLS. I dispositivi si autenticano utilizzando certificati forniti tramite ClearPass Onboard, che è il modulo integrato di ClearPass per la registrazione dei certificati e il provisioning dei dispositivi. ClearPass controlla lo stato di sicurezza del dispositivo, verifica il certificato, interroga Active Directory o Microsoft Entra ID e assegna il dispositivo alla VLAN appropriata. In genere, si tratta della VLAN 10 per l'ambito aziendale. Questo intero flusso rimane all'interno di ClearPass. Purple non è coinvolto. [medium pause] L'integrazione avviene invece sull'SSID ospiti. Quando un visitatore si connette all'SSID ospiti, il controller Aruba intercetta il traffico HTTP e reindirizza il browser al Captive Portal di Purple. Il visitatore si autentica tramite Purple, ad esempio utilizzando il social login tramite Google, un modulo e-mail personalizzato o OpenRoaming, dove Purple funge da identity provider gratuito nell'ambito della licenza Connect. Una volta che Purple ha convalidato il visitatore, invia un messaggio RADIUS Access-Accept al controller, che concede l'accesso a Internet. [medium pause] Ora, la decisione architetturale fondamentale è se inserire ClearPass come proxy RADIUS tra il controller e Purple, o se il controller debba comunicare direttamente con i server RADIUS di Purple. Per la maggior parte delle implementazioni enterprise, il modello proxy è la scelta corretta. Ecco perché. [medium pause] Con ClearPass impostato come proxy RADIUS, ogni evento di autenticazione sulla rete, sia aziendale che ospiti, passa attraverso ClearPass. In questo modo si ottiene un unico audit trail. Il team addetto alle operazioni di sicurezza ha visibilità su tutto in un unico punto. ClearPass può aggiungere i propri attributi di policy prima di restituire la risposta al controller, consentendo l'assegnazione dinamica della VLAN in base al ruolo. Inoltre, si mantiene la possibilità di applicare policy aggiuntive alle sessioni ospiti, come limiti di larghezza di banda o restrizioni di accesso basate sull'orario. Parla in inglese britannico con un tono sicuro, autorevole e colloquiale. Sei un consulente di rete senior che tiene un briefing con un cliente. Ritmo misurato, dizione chiara, professionale ma non rigido: La configurazione del proxy in ClearPass è semplice. Si crea una RADIUS Routing Policy che corrisponde all'SSID ospiti tramite l'identificatore NAS o l'ID della stazione chiamata. Le richieste che corrispondono a tale policy vengono inoltrate ai server RADIUS in cloud di Purple. Purple risponde, ClearPass aggiunge l'attributo specifico del fornitore Aruba-User-Role e il controller inserisce l'ospite nella VLAN 20 con accesso solo a Internet. [medium pause] Per i dispositivi IoT, il terzo SSID utilizza il bypass dell'autenticazione MAC. ClearPass profila il dispositivo utilizzando il suo OUI, ovvero i primi sei caratteri dell'indirizzo MAC che identificano il produttore, e lo assegna a ROLE_IOT, che si mappa sulla VLAN 30. Questa VLAN non ha accesso a Internet, ma solo connettività locale. Le smart TV, i termostati e le serrature intelligenti sono completamente isolati sia dal traffico aziendale che da quello degli ospiti. [medium pause] Parliamo di conformità, perché è qui che l'architettura dimostra il suo valore. Ai sensi dello standard PCI-DSS, qualsiasi segmento di rete che tratta i dati dei titolari di carta deve essere isolato dalle reti guest. La segmentazione VLAN in questa architettura soddisfa tale requisito. Ai sensi del GDPR, il Captive Portal di Purple gestisce la raccolta del consenso con opt-in a scelta consapevole, il che significa che i visitatori scelgono attivamente di condividere i propri dati anziché vederli raccolti per impostazione predefinita. Purple è certificata ISO 27001, conforme al GDPR e possiede la certificazione Cyber Essentials. ClearPass fornisce il registro di controllo di cui il vostro team di sicurezza ha bisogno per i report di conformità. [medium pause] Raccomandazioni di implementazione e insidie comuni. [short pause] Permettetemi di elencarvi le cinque cose che più comunemente vanno storte in questa implementazione e come evitarle. [medium pause] Numero uno: il walled garden. Prima che un visitatore si autentichi, il controller Aruba consente il traffico solo verso un elenco predefinito di destinazioni. Se i domini del portale di Purple, i suoi endpoint CDN e i domini del provider di login social non sono in quell'elenco, il portale non si caricherà. È necessario includere asterisco punto purple punto ai, asterisco punto cloudfront punto net e i domini OAuth per qualsiasi provider di login social abilitato. Google, Facebook, Apple e Microsoft Entra ID hanno tutti i propri set di domini. Gestite il walled garden come una configurazione dinamica, poiché i provider di login social modificano periodicamente i loro domini CDN. [medium pause] Numero due: timeout RADIUS. Il timeout RADIUS predefinito sulla maggior parte dei controller Aruba è di tre secondi. In un'architettura proxy, la richiesta viaggia dall'access point al controller, a ClearPass, attraverso internet fino al cloud RADIUS di Purple e ritorno. Su una rete congestionata, questo viaggio di andata e ritorno può superare i tre secondi. Impostate il timeout ad almeno dieci secondi e configurate la logica di tentativo con almeno due tentativi. [medium pause] Numero tre: mancata corrispondenza del segreto condiviso. Il segreto condiviso tra il controller Aruba e ClearPass deve corrispondere esattamente. Anche il segreto condiviso tra ClearPass e i server RADIUS di Purple deve corrispondere esattamente. Una differenza di un solo carattere causa errori di autenticazione silenziosi senza alcun messaggio di errore significativo per il visitatore. Verificate sempre questi dati carattere per carattere. [medium pause] Numero quattro: distinzione tra maiuscole e minuscole nei nomi dei ruoli. L'attributo Aruba-User-Role restituito da ClearPass deve corrispondere esattamente al nome del ruolo definito sul controller Aruba, incluse le maiuscole. Se ClearPass restituisce guest-authenticated ma sul controller è definito Guest-Authenticated, il visitatore torna al ruolo di accesso predefinito senza accesso a internet. [medium pause] Numero cinque: accounting RADIUS. Molte distribuzioni configurano correttamente il proxy di autenticazione ma dimenticano di fare lo stesso per il proxy di accounting. Purple utilizza i dati di accounting RADIUS per tracciare la durata delle sessioni, l'utilizzo dei dati e per popolare le sue dashboard di analisi. Se i dati di accounting non fluiscono verso Purple, le analisi sulle presenze e i report sul tempo di permanenza saranno incompleti. [medium pause] Domande a raffica. [short pause] Posso eseguire questo su Aruba Instant anziché su un Mobility Controller completo? Sì. Aruba Instant supporta server RADIUS esterni e il reindirizzamento del Captive Portal. La configurazione differisce leggermente, ma i principi sono identici. [medium pause] Purple supporta il Change of Authorisation? Sì. Il CoA consente al controller di aggiornare dinamicamente la sessione di un visitatore senza richiedere la riconnessione. Questo è utile per l'accesso a tempo limitato o per gli aggiornamenti di livello. [medium pause] Funziona con WPA3? Sì. Sono supportati sia WPA3-SAE per le reti personali sia WPA3-Enterprise per 802.1X. Per le reti guest che utilizzano i Captive Portal, WPA3-SAE o un SSID aperto con Opportunistic Wireless Encryption sono le scelte tipiche. [medium pause] Posso utilizzare un unico SSID sia per i dipendenti sia per i guest? È possibile, ma aggiunge complessità. ClearPass gestisce sia l'autenticazione 802.1X sia quella basata su MAC sullo stesso SSID, utilizzando regole di servizio per differenziare i tipi di traffico e instradarli di conseguenza. Per la maggior parte delle strutture, SSID separati rappresentano la scelta più pulita. [medium pause] Riepilogo e prossimi passi. [short pause] ClearPass e Purple sono complementari, non concorrenti. ClearPass è il tuo motore di policy per i dispositivi aziendali: 802.1X, postura degli endpoint, gestione dei certificati e audit trail unificato. Purple è la tua piattaforma di guest intelligence: Captive Portal personalizzato, acquisizione dati conforme al GDPR, analisi delle presenze e automazione del marketing. [medium pause] L'architettura di co-distribuzione utilizza ClearPass come proxy RADIUS. Tutte le richieste di autenticazione passano attraverso ClearPass. Le richieste dei guest vengono instradate al cloud RADIUS di Purple. Le richieste aziendali sono gestite localmente da ClearPass. Il controller Aruba applica le policy risultanti tramite l'assegnazione dinamica della VLAN. [medium pause] I tre elementi di configurazione che devi impostare correttamente sono: il walled garden, i timeout RADIUS e la coerenza dei nomi dei ruoli. Configura questi elementi in modo corretto e avrai una distribuzione di WiFi guest conforme e di valore commerciale che non compromette la postura di sicurezza aziendale. [medium pause] Per i prossimi passi: recupera le credenziali RADIUS della tua sede Purple dalla dashboard di Purple, esamina l'elenco di riferimento del walled garden nella guida scritta di accompagnamento e testa l'intero flusso di autenticazione con un dispositivo di test dedicato prima di passare alla produzione. Se stai implementando la soluzione su più sedi, la console di gestione multi-sito di Purple ti consente di gestire le configurazioni dei Captive Portal, il branding e le analisi di tutta la tua proprietà da un'unica interfaccia. [medium pause] Grazie per l'ascolto. Visita purple dot ai per parlare con un solutions architect in merito alla tua implementazione specifica.