Aruba ClearPass vs. Purple WiFi: Comparando Funcionalidades e Co-implantação

Fale em inglês britânico com um tom confiante, autoritário e de conversação. É um consultor sénior de redes a dar um briefing a um cliente. Ritmo medido, dicção clara, profissional mas não rígido. Pausas naturais ocasionais para ênfase: Bem-vindo a este briefing técnico da Purple. Sou o seu anfitrião e hoje vamos abordar uma questão que surge em quase todos os projetos de redes sem fios empresariais em que trabalhamos: quando já tem o Aruba ClearPass implementado, onde se enquadra o Purple WiFi e como funcionam os dois sistemas em conjunto? [pausa média] Esta não é uma discussão teórica. Se é um gestor de TI, um arquiteto de redes ou um engenheiro de segurança num grupo hoteleiro, numa cadeia de retalho ou num operador de estádios, esta é uma decisão que poderá ter de tomar este trimestre. Por isso, vamos a isto. [pausa média] Introdução e contexto. [pausa curta] Primeiro, sejamos claros sobre o que cada plataforma foi realmente concebida para fazer. O Aruba ClearPass Policy Manager é uma plataforma de Network Access Control. A sua função é autenticar dispositivos e utilizadores, avaliar a postura dos endpoints e aplicar políticas de acesso em toda a sua rede. Trata do 802.1X, que é o padrão IEEE para controlo de acesso à rede baseado em portas, utilizando métodos EAP como EAP-TLS com certificados e PEAP com nome de utilizador e palavra-passe. Integra-se com o Microsoft Entra ID, Okta e outros fornecedores de identidade. Perfila dispositivos, verifica se estão em conformidade com a sua política de segurança e atribui-lhes a função de rede correta. Para dispositivos corporativos, o ClearPass é excelente. Foi construído exatamente para este caso de uso. [pausa média] O Purple WiFi é um animal totalmente diferente. O Purple é uma plataforma de inteligência de WiFi de convidados baseada na nuvem. A sua função é autenticar visitantes através de um captive portal personalizado, recolher dados primários com fluxos de consentimento em conformidade com o GDPR e introduzir esses dados na sua pilha de marketing e análise. A Purple opera em 80.000 locais em todo o mundo e processou 440 milhões de inícios de sessão apenas em 2024. Integra-se com mais de 400 conectores, incluindo CRMs e plataformas de automação de marketing. Para redes de convidados, a Purple é a especialista. [pausa média] O problema que a maioria das organizações enfrenta é que tentam usar uma plataforma para fazer ambas as funções. Ou pedem ao ClearPass para gerir o seu portal de convidados, o que ele consegue fazer mas não de forma elegante, ou implementam o Purple sem pensar em como ele se posiciona ao lado do seu investimento em NAC existente. A resposta correta é uma arquitetura de co-implementação onde cada plataforma faz o que faz melhor. [pausa média] Aprofundamento técnico. [pausa curta] Deixe-me orientá-lo através da arquitetura. Numa co-implementação, o seu Aruba Mobility Controller ou pontos de acesso Aruba Instant transmitem múltiplos SSIDs. Normalmente três: um para dispositivos corporativos, um para convidados e um para IoT. Para saber mais sobre este padrão de design de SSID, a Purple publicou um guia detalhado chamado "Three SSIDs to rule them all", que recomendo ler em conjunto com este briefing. [pausa média] O SSID corporativo utiliza 802.1X com EAP-TLS. Os dispositivos autenticam-se utilizando certificados provisionados através do ClearPass Onboard, que é o módulo integrado de registo de certificados e provisionamento de dispositivos do ClearPass. O ClearPass verifica o estado de segurança do dispositivo, valida o certificado, consulta o Active Directory ou o Microsoft Entra ID e atribui o dispositivo à VLAN adequada. Normalmente, a VLAN 10 para o tráfego corporativo. Todo este fluxo permanece dentro do ClearPass. O Purple não está envolvido. [medium pause] O SSID de convidados é onde ocorre a integração. Quando um visitante se liga ao SSID de convidados, o controlador Aruba intercetará o seu tráfego HTTP e redirecionará o seu navegador para o Captive Portal do Purple. O visitante autentica-se através do Purple, possivelmente utilizando o início de sessão social via Google, um formulário de e-mail personalizado ou OpenRoaming, onde o Purple atua como um fornecedor de identidade gratuito ao abrigo da licença Connect. Assim que o Purple valida o visitante, envia uma mensagem RADIUS Access-Accept de volta para o controlador, que concede o acesso à Internet. [medium pause] Agora, a decisão de arquitetura fulcral é se insere o ClearPass como um proxy RADIUS entre o controlador e o Purple, ou se o controlador comunica diretamente com os servidores RADIUS do Purple. Para a maioria das implementações empresariais, o modelo de proxy é a escolha certa. Eis o porquê. [medium pause] Com o ClearPass como proxy RADIUS, cada evento de autenticação na sua rede, tanto corporativa como de convidados, flui através do ClearPass. Obtém um registo de auditoria único. A sua equipa de operações de segurança vê tudo num único local. O ClearPass pode anexar os seus próprios atributos de política antes de devolver a resposta ao controlador, permitindo a atribuição dinâmica de VLAN com base na função. E mantém a capacidade de aplicar políticas adicionais às sessões de convidados, tais como limites de largura de banda ou restrições de acesso baseadas no tempo. Fale em inglês britânico com um tom confiante, autoritário e de conversação. É um consultor de redes sénior a dar instruções a um cliente. Ritmo ponderado, dicção clara, profissional mas não rígido: A configuração do proxy no ClearPass é simples. Cria uma Política de Encaminhamento RADIUS que corresponde ao SSID de convidados por identificador NAS ou ID de estação chamada. Os pedidos que correspondem a essa política são encaminhados para os servidores RADIUS na nuvem do Purple. O Purple responde, o ClearPass anexa o atributo específico do fabricante Aruba-User-Role e o controlador coloca o convidado na VLAN 20 com acesso exclusivo à Internet. [medium pause] Para os dispositivos IoT, o terceiro SSID utiliza a neutralização de autenticação MAC. O ClearPass traça o perfil do dispositivo utilizando o seu OUI, os primeiros seis caracteres do endereço MAC que identificam o fabricante, e atribui-o à ROLE_IOT, que mapeia para a VLAN 30. Esta VLAN não tem acesso à Internet, apenas conectividade local. As suas smart TVs, termostatos e fechaduras inteligentes ficam completamente isolados do tráfego corporativo e de convidados. [medium pause] Vamos falar sobre conformidade, porque é aqui que a arquitetura prova o seu valor. Sob o PCI-DSS, qualquer segmento de rede que toque em dados de titulares de cartões deve ser isolado das redes de convidados. A segmentação VLAN nesta arquitetura satisfaz esse requisito. Sob o GDPR, o Captive Portal da Purple lida com a recolha de consentimento através de opt-ins de escolha consciente, o que significa que os visitantes escolhem ativamente partilhar os seus dados em vez de estes serem recolhidos por defeito. A Purple é certificada ISO 27001, cumpre o GDPR e possui a certificação Cyber Essentials. O ClearPass fornece a pista de auditoria de que a sua equipa de segurança precisa para relatórios de conformidade. [medium pause] Recomendações de implementação e armadilhas comuns. [short pause] Deixe-me apresentar-lhe as cinco coisas que mais frequentemente correm mal nesta implementação e como as evitar. [medium pause] Número um: o walled garden. Antes de um visitante se autenticar, o controlador Aruba apenas permite o tráfego para uma lista predefinida de destinos. Se os domínios do portal da Purple, os seus endpoints de CDN e os domínios dos fornecedores de login social não estiverem nessa lista, o portal não irá carregar. Precisa de incluir asterisco ponto purple ponto ai, asterisco ponto cloudfront ponto net e os domínios de OAuth para os fornecedores de login social que estiver a ativar. O Google, Facebook, Apple e Microsoft Entra ID têm todos os seus próprios conjuntos de domínios. Trate o walled garden como uma configuração ativa, porque os fornecedores de login social alteram periodicamente os seus domínios de CDN. [medium pause] Número dois: tempos de limite (timeouts) de RADIUS. O timeout de RADIUS padrão na maioria dos controladores Aruba é de três segundos. Numa arquitetura de proxy, o pedido viaja do ponto de acesso para o controlador, para o ClearPass, através da internet para o RADIUS na nuvem da Purple, e volta. Numa rede congestionada, essa viagem de ida e volta pode exceder os três segundos. Defina o seu timeout para pelo menos dez segundos e configure a lógica de tentativa com pelo menos duas tentativas. [medium pause] Número três: incompatibilidades de segredos partilhados (shared secrets). O segredo partilhado entre o controlador Aruba e o ClearPass deve coincidir exatamente. O segredo partilhado entre o ClearPass e os servidores RADIUS da Purple também deve coincidir exatamente. A diferença de um único caráter causa falhas de autenticação silenciosas, sem qualquer mensagem de erro útil para o visitante. Verifique sempre estes dados caráter por caráter. [medium pause] Número quatro: sensibilidade a maiúsculas e minúsculas nos nomes das funções (roles). O atributo Aruba-User-Role devolvido pelo ClearPass deve coincidir exatamente com o nome da função definido no controlador Aruba, incluindo as maiúsculas. Se o ClearPass devolver guest-authenticated mas o controlador tiver Guest-Authenticated definido, o visitante reverte para a função de início de sessão padrão sem acesso à internet. [medium pause] Número cinco: contabilidade RADIUS. Muitas implementações configuram o proxy de autenticação corretamente, mas esquecem-se de fazer o mesmo para a contabilidade. O Purple utiliza dados de contabilidade RADIUS para monitorizar a duração da sessão, o consumo de dados e para alimentar os seus painéis de análise. Se a contabilidade não estiver a fluir para o Purple, as suas análises de visitas e relatórios de tempo de permanência estarão incompletos. [medium pause] Perguntas rápidas. [short pause] Posso executar isto no Aruba Instant em vez de num Mobility Controller completo? Sim. O Aruba Instant suporta servidores RADIUS externos e redirecionamento de Captive Portal. A configuração difere ligeiramente, mas os princípios são idênticos. [medium pause] O Purple suporta Change of Authorisation? Sim. O CoA permite que o controlador atualize dinamicamente a sessão de um visitante sem exigir que este se volte a ligar. Isto é útil para acessos com limite de tempo ou atualizações de escalão. [medium pause] Isto funciona com WPA3? Sim. WPA3-SAE para redes pessoais e WPA3-Enterprise para 802.1X são ambos suportados. Para redes de convidados que utilizam portais cativos, o WPA3-SAE ou um SSID aberto com Opportunistic Wireless Encryption são as escolhas típicas. [medium pause] Posso utilizar um único SSID para funcionários e convidados? Pode, mas adiciona complexidade. O ClearPass lida tanto com 802.1X como com autenticação MAC no mesmo SSID, utilizando regras de serviço para diferenciar os tipos de tráfego e encaminhar em conformidade. Para a maioria dos locais, SSIDs separados são a escolha mais limpa. [medium pause] Resumo e próximos passos. [short pause] O ClearPass e o Purple são complementares, não concorrentes. O ClearPass é o seu motor de políticas para dispositivos corporativos: 802.1X, postura de endpoint, gestão de certificados e pista de auditoria unificada. O Purple é a sua plataforma de inteligência de convidados: Captive Portal personalizado com a marca, captura de dados em conformidade com o GDPR, análise de visitas e automação de marketing. [medium pause] A arquitetura de co-implementação utiliza o ClearPass como um proxy RADIUS. Todos os pedidos de autenticação fluem através do ClearPass. Os pedidos de convidados são encaminhados para o RADIUS na nuvem do Purple. Os pedidos corporativos são tratados localmente pelo ClearPass. O controlador Aruba aplica as políticas resultantes através de atribuição dinâmica de VLAN. [medium pause] Os três elementos de configuração que deve acertar são: o walled garden, os limites de tempo (timeouts) do RADIUS e a consistência dos nomes das funções. Acerte nisto e terá uma implementação de WiFi de convidados conforme e de elevado valor comercial, que não compromete a postura de segurança corporativa. [medium pause] Para os seus próximos passos: obtenha as credenciais RADIUS do seu local Purple a partir do painel do Purple, reveja a lista de referência do walled garden no guia escrito fornecido e teste o fluxo completo de autenticação com um dispositivo de teste dedicado antes de lançar em produção. Se estiver a implementar em vários locais, a consola de gestão multilocal do Purple permite-lhe gerir as configurações de Captive Portal, imagem de marca e análises de toda a sua propriedade a partir de uma única interface. [medium pause] Obrigado por nos ouvir. Visite purple dot ai para falar com um arquiteto de soluções sobre a sua implementação específica.