Aruba ClearPass vs. Purple WiFi: Comparando Recursos e Coimplantação

Fale em inglês britânico com um tom confiante, autoritário e de conversação. Você é um consultor sênior de redes instruindo um cliente. Ritmo medido, dicção clara, profissional mas não rígido. Pausas naturais ocasionais para ênfase: Bem-vindo a este briefing técnico da Purple. Sou o seu anfitrião e hoje abordaremos uma questão que surge em quase todos os projetos de rede sem fio corporativa em que trabalhamos: quando você já tem o Aruba ClearPass implantado, onde o Purple WiFi se encaixa e como os dois sistemas funcionam juntos? [pausa média] Esta não é uma discussão teórica. Se você é um gerente de TI, um arquiteto de rede ou um engenheiro de segurança em um grupo hoteleiro, uma rede de varejo ou uma operadora de estádio, esta é uma decisão que você pode precisar tomar neste trimestre. Então, vamos ao que interessa. [pausa média] Introdução e contexto. [pausa curta] Primeiro, vamos ser claros sobre o que cada plataforma foi realmente projetada para fazer. O Aruba ClearPass Policy Manager é uma plataforma de Controle de Acesso à Rede (NAC). Seu trabalho é autenticar dispositivos e usuários, avaliar a postura do endpoint e aplicar políticas de acesso em toda a sua rede. Ele lida com 802.1X, que é o padrão IEEE para controle de acesso à rede baseado em porta, usando métodos EAP como EAP-TLS com certificados e PEAP com nome de usuário e senha. Ele se integra com o Microsoft Entra ID, Okta e outros provedores de identidade. Ele traça o perfil dos dispositivos, verifica se eles estão em conformidade com sua política de segurança e os atribui à função de rede correta. Para dispositivos corporativos, o ClearPass é excelente. Ele foi construído exatamente para este caso de uso. [pausa média] O Purple WiFi é um animal totalmente diferente. O Purple é uma plataforma de inteligência de WiFi para convidados baseada em nuvem. Seu trabalho é autenticar visitantes por meio de um captive portal personalizado, capturar dados primários com fluxos de consentimento em conformidade com a GDPR e enviar esses dados para sua pilha de marketing e análise. O Purple opera em mais de 80.000 locais em todo o mundo e processou 440 milhões de logins apenas em 2024. Ele se integra com mais de 400 conectores, incluindo CRMs e plataformas de automação de marketing. Para redes de convidados, o Purple é o especialista. [pausa média] O problema que a maioria das organizações enfrenta é que tentam usar uma única plataforma para fazer os dois trabalhos. Ou pedem ao ClearPass para executar o portal de convidados, o que ele pode fazer, mas não de forma elegante, ou implantam o Purple sem pensar em como ele se posiciona ao lado de seu investimento em NAC existente. A resposta correta é uma arquitetura de co-implantação onde cada plataforma faz o que faz de melhor. [pausa média] Detalhamento técnico. [pausa curta] Deixe-me orientá-lo pela arquitetura. Em uma co-implantação, seu Aruba Mobility Controller ou pontos de acesso Aruba Instant transmitem múltiplos SSIDs. Normalmente três: um para dispositivos corporativos, um para convidados e um para IoT. Para saber mais sobre este padrão de design de SSID, a Purple publicou um guia detalhado chamado Three SSIDs to rule them all, que recomendo a leitura junto com este briefing. [pausa média] O SSID corporativo usa 802.1X com EAP-TLS. Os dispositivos se autenticam usando certificados provisionados por meio do ClearPass Onboard, que é o módulo integrado de registro de certificados e provisionamento de dispositivos do ClearPass. O ClearPass verifica a postura do dispositivo, valida o certificado, consulta o Active Directory ou o Microsoft Entra ID e atribui o dispositivo à VLAN apropriada. Geralmente, VLAN 10 para o corporativo. Todo esse fluxo permanece dentro do ClearPass. O Purple não está envolvido. [medium pause] O SSID de visitantes é onde a integração acontece. Quando um visitante se conecta ao SSID de visitantes, o controlador Aruba intercepta o tráfego HTTP e redireciona o navegador para o Captive Portal do Purple. O visitante se autentica por meio do Purple, talvez usando login social via Google, um formulário de e-mail personalizado ou OpenRoaming, onde o Purple atua como um provedor de identidade gratuito sob a licença do Connect. Assim que o Purple valida o visitante, ele envia uma mensagem RADIUS Access-Accept de volta ao controlador, que concede o acesso à internet. [medium pause] Agora, a principal decisão de arquitetura é se você insere o ClearPass como um proxy RADIUS entre o controlador e o Purple, ou se o controlador se comunica diretamente com os servidores RADIUS do Purple. Para a maioria das implantações corporativas, o modelo de proxy é a escolha certa. Veja o porquê. [medium pause] Com o ClearPass como um proxy RADIUS, cada evento de autenticação na sua rede, tanto corporativa quanto de visitantes, passa pelo ClearPass. Você obtém uma trilha de auditoria única. Sua equipe de operações de segurança visualiza tudo em um só lugar. O ClearPass pode anexar seus próprios atributos de política antes de retornar a resposta ao controlador, permitindo a atribuição dinâmica de VLAN com base na função. E você mantém a capacidade de aplicar políticas adicionais às sessões de visitantes, como limites de largura de banda ou restrições de acesso baseadas em tempo. Fale em inglês britânico com um tom confiante, autoritário e conversacional. Você é um consultor sênior de rede orientando um cliente. Ritmo cadenciado, dicção clara, profissional mas não rígido: A configuração do proxy no ClearPass é simples. Você cria uma Política de Roteamento RADIUS que corresponde ao SSID de visitantes pelo identificador NAS ou ID da estação chamada. As solicitações que correspondem a essa política são encaminhadas para os servidores RADIUS na nuvem do Purple. O Purple responde, o ClearPass anexa o atributo específico do fornecedor Aruba-User-Role e o controlador coloca o visitante na VLAN 20 com acesso exclusivo à internet. [medium pause] Para dispositivos IoT, o terceiro SSID usa desvio de autenticação MAC. O ClearPass traça o perfil do dispositivo usando seu OUI, os primeiros seis caracteres do endereço MAC que identificam o fabricante, e o atribui a ROLE_IOT, que mapeia para a VLAN 30. Essa VLAN não tem acesso à internet, apenas conectividade local. Suas smart TVs, termostatos e fechaduras inteligentes ficam completamente isolados do tráfego corporativo e de visitantes. [medium pause] Vamos falar sobre conformidade, porque é aqui que a arquitetura mostra seu valor. Sob o PCI-DSS, qualquer segmento de rede que toque em dados de titulares de cartão deve ser isolado das redes de convidados. A segmentação de VLAN nesta arquitetura atende a esse requisito. Sob o GDPR, o Captive Portal do Purple gerencia a coleta de consentimento com opt-ins de escolha consciente, o que significa que os visitantes escolhem ativamente compartilhar seus dados, em vez de tê-los coletados por padrão. A Purple possui certificação ISO 27001, está em conformidade com o GDPR e possui a certificação Cyber Essentials. O ClearPass fornece a trilha de auditoria que sua equipe de segurança precisa para relatórios de conformidade. [medium pause] Recomendações de implementação e armadilhas. [short pause] Deixe-me apresentar as cinco coisas que mais comumente dão errado nesta implantação, e como evitá-las. [medium pause] Número um: o walled garden. Antes de um visitante se autenticar, o controlador Aruba apenas permite o tráfego para uma lista predefinida de destinos. Se os domínios do portal da Purple, seus endpoints CDN e os domínios do provedor de login social não estiverem nessa lista, o portal não será carregado. Você precisa incluir asterisco ponto purple ponto ai, asterisco ponto cloudfront ponto net e os domínios OAuth para quaisquer provedores de login social que estiver ativando. Google, Facebook, Apple e Microsoft Entra ID possuem seus próprios conjuntos de domínios. Trate o walled garden como uma configuração viva, porque os provedores de login social alteram seus domínios CDN periodicamente. [medium pause] Número dois: timeouts de RADIUS. O timeout padrão de RADIUS na maioria dos controladores Aruba é de três segundos. Em uma arquitetura de proxy, a solicitação viaja do ponto de acesso para o controlador, para o ClearPass, através da internet para o RADIUS na nuvem da Purple, e volta. Em uma rede congestionada, essa viagem de ida e volta pode exceder três segundos. Defina seu timeout para pelo menos dez segundos e configure a lógica de nova tentativa com pelo menos duas tentativas. [medium pause] Número três: divergências de segredo compartilhado (shared secret). O segredo compartilhado entre o controlador Aruba e o ClearPass deve coincidir exatamente. O segredo compartilhado entre o ClearPass e os servidores RADIUS da Purple também deve coincidir exatamente. Uma diferença de um único caractere causa falhas silenciosas de autenticação, sem nenhuma mensagem de erro compreensível para o visitante. Sempre verifique isso caractere por caractere. [medium pause] Número quatro: diferenciação de maiúsculas e minúsculas no nome da função (role). O atributo Aruba-User-Role retornado pelo ClearPass deve corresponder exatamente ao nome da função definido no controlador Aruba, incluindo letras maiúsculas e minúsculas. Se o ClearPass retornar guest-authenticated mas o controlador tiver Guest-Authenticated definido, o visitante volta para a função de logon padrão, ficando sem acesso à internet. [medium pause] Número cinco: contabilização RADIUS. Muitas implantações configuram o proxy de autenticação corretamente, mas se esquecem de fazer o mesmo com o proxy de contabilização. O Purple usa dados de contabilização RADIUS para rastrear a duração da sessão, o uso de dados e para preencher seus painéis de análise. Se a contabilização não estiver fluindo para o Purple, suas análises de fluxo de visitantes e relatórios de tempo de permanência ficarão incompletos. [medium pause] Perguntas rápidas. [short pause] Posso executar isso no Aruba Instant em vez de um Mobility Controller completo? Sim. O Aruba Instant suporta servidores RADIUS externos e redirecionamento de Captive Portal. A configuração difere um pouco, mas os princípios são idênticos. [medium pause] O Purple suporta Change of Authorisation? Sim. O CoA permite que o controlador atualize dinamicamente a sessão de um visitante sem exigir que ele se reconecte. Isso é útil para acessos com limite de tempo ou atualizações de plano. [medium pause] Isso funciona com WPA3? Sim. WPA3-SAE para redes pessoais e WPA3-Enterprise para 802.1X são ambos suportados. Para redes de convidados que utilizam captive portals, WPA3-SAE ou um SSID aberto com Opportunistic Wireless Encryption são as escolhas típicas. [medium pause] Posso usar um único SSID para funcionários e convidados? Pode, mas isso adiciona complexidade. O ClearPass lida com autenticação 802.1X e MAC no mesmo SSID, usando regras de serviço para diferenciar os tipos de tráfego e direcioná-los adequadamente. Para a maioria dos locais, SSIDs separados são a escolha mais limpa. [medium pause] Resumo e próximos passos. [short pause] ClearPass e Purple são complementares, não concorrentes. O ClearPass é o seu mecanismo de políticas para dispositivos corporativos: 802.1X, postura do endpoint, gerenciamento de certificados e trilha de auditoria unificada. O Purple é a sua plataforma de inteligência de convidados: Captive Portal personalizado, captura de dados em conformidade com o GDPR, análises de fluxo de visitantes e automação de marketing. [medium pause] A arquitetura de implantação conjunta usa o ClearPass como um proxy RADIUS. Todas as solicitações de autenticação fluem pelo ClearPass. As solicitações de convidados são direcionadas para o RADIUS em nuvem do Purple. As solicitações corporativas são tratadas localmente pelo ClearPass. O controlador Aruba aplica as políticas resultantes por meio de atribuição dinâmica de VLAN. [medium pause] Os três elementos de configuração que você precisa acertar são: o walled garden, os limites de tempo do RADIUS e a consistência dos nomes de perfil. Acerte esses pontos e você terá uma implantação de WiFi para convidados em conformidade e comercialmente valiosa que não compromete a postura de segurança corporativa. [medium pause] Para os seus próximos passos: obtenha suas credenciais RADIUS do local do Purple no painel do Purple, revise a lista de referência do walled garden no guia escrito complementar e teste todo o fluxo de autenticação com um dispositivo de teste dedicado antes de colocar em produção. Se você estiver implantando em vários locais, o console de gerenciamento multi-site do Purple permite gerenciar as configurações do Captive Portal, a identidade visual e as análises de toda a sua propriedade a partir de uma única interface. [medium pause] Obrigado por ouvir. Visite purple dot ai para falar com um arquiteto de soluções sobre a sua implantação específica.