Cisco ISE vs. Purple WiFi: Come si Confrontano e Come Collaborano

Agisci come un consulente senior per la sicurezza di rete che tiene un briefing a un cliente in inglese britannico con un tono fiducioso, autorevole e colloquiale. Parla chiaramente e a un ritmo misurato, come se stessi presentando a un consiglio di amministrazione di direttori IT e architetti di rete. Questo è un briefing tecnico professionale, non una lezione. Parla in inglese britannico con una pronuncia standard ricevuta: Benvenuti alla serie di briefing tecnici di Purple. Oggi risponderemo a una domanda che sorge costantemente nella progettazione delle reti aziendali: Cisco ISE contro Purple WiFi. Come si confrontano e, cosa ancora più importante, come lavorano insieme? Vi darò la risposta diretta in circa dieci minuti. [pausa media] Iniziamo con il contesto. Se gestite un hotel, un patrimonio retail, uno stadio o un edificio del settore pubblico, avete quasi certamente due popolazioni distinte che si connettono alla vostra rete. Avete il personale e i dispositivi aziendali, e avete ospiti, visitatori, fan o acquirenti. Queste due popolazioni hanno requisiti di autenticazione completamente diversi, diversi diritti sui dati e diversi obiettivi di business. L'errore che la maggior parte delle organizzazioni commette è cercare di risolvere entrambi i problemi con un unico strumento. È da qui che nasce la confusione tra Cisco ISE e Purple. [pausa media] Sezione uno: cosa fa effettivamente Cisco ISE. Cisco Identity Services Engine, o ISE, è la piattaforma aziendale di Network Access Control di Cisco. Il suo compito è autenticare e autorizzare i dispositivi aziendali e gli utenti del personale. Lo fa principalmente attraverso lo standard IEEE 802.1X, che è lo standard di controllo dell'accesso alla rete basato su porta. Quando un laptop aziendale si connette alla rete, ISE ne verifica il certificato tramite EAP-TLS, o le sue credenziali tramite PEAP, lo convalida rispetto ad Active Directory o Microsoft Entra ID, ne valuta lo stato di sicurezza e quindi lo assegna alla VLAN corretta con la policy corretta. Se il dispositivo non supera la valutazione dello stato di sicurezza, ISE può metterlo in quarantena automaticamente utilizzando RADIUS Change of Authorisation, o CoA. ISE gestisce anche l'onboarding BYOD, in cui i dispositivi personali vengono registrati con un certificato in modo da potersi autenticare in modo sicuro senza una password condivisa. Inoltre si integra con il framework pxGrid di Cisco, che consente ad altri strumenti di sicurezza come firewall e piattaforme SIEM di consumare il contesto di identità in tempo reale. I tre livelli di licenza ISE sono Essentials, Advantage e Premier. Essentials copre lo standard 802.1X e l'accesso guest di base. Advantage aggiunge BYOD, valutazione dello stato di sicurezza e integrazione MDM di terze parti. Premier aggiunge servizi di identità passiva e integrazione avanzata delle minacce. [pausa media] ISE è quindi una piattaforma di sicurezza seria e di livello enterprise. Ma ecco il punto cruciale: il suo portale ospiti è funzionale, non commerciale. ISE può reindirizzare un dispositivo non autenticato a una pagina web, raccogliere un nome utente e una password o l'approvazione di un garante, e concedere l'accesso a Internet. Quello che non può fare è acquisire il consenso di marketing conforme al GDPR, gestire splash page personalizzate con il brand e social login, inserire i dati dei visitatori in Salesforce o HubSpot, generare mappe termiche delle presenze o segmentare i visitatori in base ai dati demografici per una campagna di marketing. Non è per questo che ISE è stato progettato, e cercare di adattarlo a questo ruolo crea complessità senza produrre il risultato commerciale desiderato. Sei un consulente senior per la sicurezza di rete che continua un briefing tecnico in inglese britannico con un tono sicuro, autorevole e colloquiale. Parla in modo chiaro e con un ritmo misurato. Parla in inglese britannico con un accento standard "received pronunciation": Sezione due: cosa fa Purple. Purple è una piattaforma cloud overlay. Si posiziona al di sopra della tua infrastruttura WiFi esistente, che si tratti di Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist o di uno qualsiasi degli altri principali produttori. Non sostituiamo l'hardware. Non sostituiamo ISE. Gestiamo il livello relativo all'esperienza degli ospiti. Quando un visitatore si connette al tuo SSID ospiti, Purple intercetta la connessione e presenta un Captive Portal personalizzato con il tuo brand. Questo portale può offrire il social login tramite Facebook, Google o LinkedIn, un modulo di acquisizione dati personalizzato, un'opzione click-to-connect o Passpoint per la riconnessione automatica e sicura durante le visite successive. Ogni accesso acquisisce dati di prima parte con il consenso esplicito ai sensi del GDPR. Tali dati confluiscono direttamente nel tuo CRM, nella tua piattaforma di email marketing o nel tuo programma di fidelizzazione. Purple opera in oltre 80.000 sedi attive e ha gestito 440 milioni di accessi nel solo 2024. Deteniamo la certificazione ISO 27001, siamo conformi a GDPR e CCPA, e manteniamo un tempo di attività del 99,999%. Tra i clienti di rilievo figurano McDonald's, Harrods, Premier Inn, AGS Airports e Manchester Airports Group. [pausa media] Sezione tre: come coesistono in una moderna topologia di rete. L'architettura è semplice una volta compresa la separazione delle competenze. Gestisci due o tre SSID sugli stessi access point. L'SSID aziendale utilizza WPA3-Enterprise con 802.1X, e ISE funge da server RADIUS. Ogni dispositivo del personale si autentica con un certificato o una credenziale. ISE assegna il dispositivo alla VLAN corretta, applica la policy corretta e registra la sessione. Purple non ha alcun ruolo in questo ambito. Questo è interamente il dominio di ISE. L'SSID ospiti è aperto o utilizza WPA3-Personal con una chiave precondivisa per l'associazione iniziale. Il traffico viene reindirizzato al portale cloud di Purple. Purple gestisce l'autenticazione, l'acquisizione del consenso e l'analisi dei dati. L'access point applica un walled garden fino a quando Purple non segnala l'autorizzazione, quindi apre l'accesso a Internet. ISE non ha alcun ruolo in questo ambito. Questo è il dominio di Purple. Per implementazioni più complesse, puoi aggiungere un terzo SSID per i dispositivi IoT, utilizzando identity pre-shared keys, o iPSK, dove ogni dispositivo riceve una passphrase univoca mappata su una VLAN specifica. ISE può gestire questo per l'IoT aziendale, oppure la funzionalità SecurePass di Purple si occupa dell'IoT per le sedi fisiche, come i terminali per i punti vendita e la segnaletica digitale. Se desideri un'integrazione più stretta tra le due piattaforme, pxGrid di Cisco consente a Purple di pubblicare il contesto della sessione ospite all'interno dell'ecosistema ISE, in modo che il team addetto alle operazioni di sicurezza possa visualizzare l'attività degli ospiti insieme a quella aziendale in una vista unificata. [medium pause] Sezione quattro: consigli per l'implementazione ed errori comuni. Permettimi di illustrarti i tre errori più comuni che riscontro nelle implementazioni. Primo: utilizzare il Captive Portal integrato di ISE per il WiFi ospiti commerciale. Il Captive Portal ospiti di ISE è progettato per collaboratori esterni e personale temporaneo, non per un accesso ospiti orientato al marketing. Non offre alcuna integrazione con i sistemi CRM, nessuna gestione del consenso e nessun analytics. Se operi nei settori dell'ospitalità, del retail o degli eventi, hai bisogno di Purple sull'SSID ospiti. ISE gestisce la rete aziendale. Purple gestisce gli ospiti. Tienili separati. Secondo: non segmentare correttamente le VLAN. Il traffico ospiti deve essere isolato dal traffico aziendale a livello due. Purple opera in una VLAN separata instradata direttamente verso Internet, senza alcun accesso alle risorse interne. ISE impone l'assegnazione delle VLAN per i dispositivi aziendali. Se unisci queste due reti, crei una vulnerabilità di sicurezza e un problema di conformità. Terzo: trascurare la configurazione del walled garden. Quando Purple funge da Captive Portal, l'access point deve consentire il traffico DNS e HTTP verso gli endpoint cloud di Purple prima dell'autenticazione. Se il tuo walled garden è troppo restrittivo, il portale non si caricherà. Se è troppo permissivo, gli utenti potranno aggirare l'autenticazione. La documentazione di supporto di Purple fornisce gli intervalli IP e i domini esatti da inserire nella whitelist per ciascun fornitore di hardware. [medium pause] Sezione cinque: domande a raffica. Purple sostituisce Cisco ISE? No. Risolvono problemi diversi per utenti diversi su SSID diversi. Posso eseguire Purple su Cisco Meraki senza ISE? Sì. Purple si integra nativamente con Cisco Meraki tramite le Meraki API. ISE non è richiesto per il WiFi ospiti. Posso eseguirli entrambi sugli stessi access point? Sì. La presenza di più SSID sullo stesso hardware è una pratica standard. Purple supporta lo standard 802.1X? La funzionalità SecurePass di Purple supporta WPA3-Enterprise con 802.1X per i dispositivi degli ospiti che hanno installato l'app Purple, consentendo la riconnessione automatica basata su certificato senza un Captive Portal. E per quanto riguarda la conformità PCI-DSS? Il WiFi ospiti deve essere isolato dai sistemi di carte di pagamento. L'architettura VLAN di Purple soddisfa questo requisito. ISE impone lo stesso isolamento per i dispositivi aziendali. [medium pause] Riepilogo e prossimi passi. Il framework decisionale è semplice. Se il dispositivo appartiene alla tua organizzazione o al tuo staff, ISE gestisce l'autenticazione. Se il dispositivo appartiene a un ospite, visitatore, acquirente o fan, Purple gestisce l'esperienza. Le due piattaforme condividono la stessa infrastruttura fisica ma operano in livelli logici completamente separati. Come passo successivo, mappa la tua attuale architettura SSID. Identifica quali SSID sono aziendali e quali sono per gli ospiti. Conferma che il traffico degli ospiti sia isolato tramite VLAN. Quindi valuta se il tuo attuale Captive Portal per ospiti fornisce il consenso di marketing, gli analytics e l'integrazione CRM di cui i tuoi team commerciali hanno bisogno. In caso contrario, questa è la lacuna che Purple colma. Puoi trovare la guida scritta completa, i diagrammi di architettura e gli esempi pratici su purple.ai. Grazie per il tuo tempo.