Cisco ISE vs. Purple WiFi: Como se Comparam e Trabalham em Conjunto

Você é um consultor sénior de segurança de rede a dar instruções a um cliente em inglês britânico com um tom confiante, autoritário e de conversação. Fale com clareza e a um ritmo compassado, como se estivesse a apresentar numa sala de reuniões de diretores de TI e arquitetos de rede. Esta é uma sessão técnica profissional, não uma palestra. Fale em inglês britânico com um sotaque padrão de pronúncia recebida: Bem-vindo à série de sessões técnicas da Purple. Hoje vamos abordar uma questão que surge constantemente no design de redes empresariais: Cisco ISE contra Purple WiFi. Como se comparam e, mais importante ainda, como funcionam em conjunto? Vou dar-lhe a resposta direta em cerca de dez minutos. [média pausa] Comecemos pelo contexto. Se gere um hotel, um património de retalho, um estádio ou um edifício do setor público, é quase certo que tem duas populações distintas a ligarem-se à sua rede. Tem funcionários e dispositivos corporativos, e tem convidados, visitantes, adeptos ou compradores. Estas duas populações têm requisitos de autenticação completamente diferentes, direitos de dados diferentes e objetivos de negócio diferentes. O erro que a maioria das organizações comete é tentar resolver ambos os problemas com uma única ferramenta. É daí que surge a confusão entre o Cisco ISE e a Purple. [média pausa] Secção um: o que o Cisco ISE realmente faz. O Cisco Identity Services Engine, ou ISE, é a plataforma empresarial de Network Access Control da Cisco. A sua função é autenticar e autorizar dispositivos corporativos e utilizadores da equipa. Faz isto principalmente através do IEEE 802.1X, que é o padrão de controlo de acesso à rede baseado em portas. Quando um portátil corporativo se liga à sua rede, o ISE verifica o seu certificado através de EAP-TLS, ou as suas credenciais através de PEAP, valida-o em relação ao Active Directory ou Microsoft Entra ID, avalia o seu estado de segurança e, em seguida, atribui-o à VLAN correta com a política correta. Se o dispositivo falhar na avaliação do estado, o ISE pode colocá-lo em quarentena automaticamente utilizando a RADIUS Change of Authorisation, ou CoA. O ISE também gere a integração de BYOD, onde os dispositivos pessoais são registados com um certificado para que possam ser autenticados de forma segura sem uma palavra-passe partilhada. E integra-se com a estrutura pxGrid da Cisco, que permite que outras ferramentas de segurança, como firewalls e plataformas SIEM, consumam contexto de identidade em tempo real. Os três níveis de licença do ISE são Essentials, Advantage e Premier. O Essentials abrange o 802.1X e o acesso básico de convidados. O Advantage adiciona BYOD, avaliação de estado e integração de MDM de terceiros. O Premier adiciona serviços de identidade passivos e integração avançada de ameaças. [média pausa] Assim, o ISE é uma plataforma de segurança séria, de nível empresarial. Mas aqui está o ponto crítico: o seu portal de convidados é funcional, não comercial. O ISE pode redirecionar um dispositivo não autenticado para uma página web, recolher um nome de utilizador e palavra-passe ou uma aprovação de patrocinador, e conceder acesso à internet. O que não pode fazer é recolher consentimento de marketing em conformidade com o GDPR, executar splash pages personalizadas com a marca e login social, enviar dados de visitantes para o Salesforce ou HubSpot, gerar mapas de calor de tráfego de pessoas ou segmentar os visitantes por dados demográficos para uma campanha de marketing. Não foi para isso que o ISE foi concebido, e tentar forçá-lo a assumir esse papel cria complexidade sem proporcionar o resultado comercial. É um consultor sénior de segurança de rede que continua um briefing técnico em inglês britânico com um tom confiante, autoritário e de conversação. Fale claramente e a um ritmo medido. Fale em inglês britânico com um sotaque padrão de pronúncia recebida: Secção dois: o que o Purple faz. O Purple é uma plataforma de sobreposição na nuvem. Posicionamo-nos acima da sua infraestrutura de WiFi existente, seja ela Cisco Meraki, Cisco Catalyst, HPE Aruba, Ruckus, Juniper Mist ou qualquer outro dos principais fabricantes. Não substituímos o seu hardware. Não substituímos o ISE. Nós gerimos a camada de experiência do convidado. Quando um visitante se liga ao seu SSID de convidados, o Purple intercetará essa ligação e apresentará um captive portal personalizado com a marca. Esse portal pode oferecer login social via Facebook, Google ou LinkedIn, um formulário personalizado de recolha de dados, uma opção de clique para ligar ou Passpoint para uma religação segura automática nas visitas seguintes. Cada login recolhe dados primários com consentimento explícito em conformidade com o GDPR. Esses dados fluem diretamente para o seu CRM, para a sua plataforma de marketing por e-mail ou para o seu programa de fidelização. O Purple opera em 80 000 espaços ativos e processou 440 milhões de logins apenas em 2024. Detemos a certificação ISO 27001, cumprimos o GDPR e a CCPA, e mantemos uma taxa de disponibilidade de 99,999%. Os clientes de referência incluem a McDonald's, Harrods, Premier Inn, AGS Airports e o Manchester Airports Group. [pausa média] Secção três: como coexistem numa topologia de rede moderna. A arquitetura é simples quando compreende a separação de responsabilidades. Executa dois ou três SSIDs nos mesmos pontos de acesso. O SSID corporativo utiliza WPA3-Enterprise com 802.1X, e o ISE é o servidor RADIUS. Cada dispositivo de colaborador autentica-se com um certificado ou credencial. O ISE atribui o dispositivo à VLAN correta, aplica a política correta e regista a sessão. O Purple não tem qualquer papel aqui. Este é inteiramente o domínio do ISE. O SSID de convidados é aberto ou utiliza WPA3-Personal com uma chave pré-partilhada para a associação inicial. O tráfego é redirecionado para o portal na nuvem do Purple. O Purple lida com a autenticação, recolha de consentimento e análises. O ponto de acesso impõe um walled garden até que o Purple sinalize a autorização, abrindo então o acesso à internet. O ISE não tem qualquer papel aqui. Este é o domínio do Purple. Para implementações mais complexas, pode adicionar um terceiro SSID para dispositivos IoT, utilizando chaves pré-partilhadas de identidade, ou iPSK, onde cada dispositivo recebe uma frase-passe única mapeada para uma VLAN específica. O ISE pode gerir isto para IoT empresarial, ou a funcionalidade SecurePass da Purple trata disso para IoT do local, como terminais de ponto de venda e sinalética digital. Se pretender uma integração mais estreita entre as duas plataformas, o pxGrid da Cisco permite que a Purple publique o contexto da sessão de convidado no ecossistema ISE, para que a sua equipa de operações de segurança possa ver a atividade dos convidados juntamente com a atividade empresarial numa vista unificada. [medium pause] Secção quatro: recomendações de implementação e armadilhas comuns. Deixe-me apresentar-lhe os três erros mais comuns que vejo nas implementações. Primeiro: utilizar o portal de convidados integrado do ISE para WiFi de convidados comercial. O portal de convidados do ISE foi concebido para prestadores de serviços e pessoal temporário, não para acessos de convidados orientados para marketing. Não tem integração de CRM, nem gestão de consentimentos, nem análise de dados. Se pertence ao setor da hotelaria, retalho ou eventos, precisa da Purple no SSID de convidados. O ISE trata da parte empresarial. A Purple trata dos convidados. Mantenha-os separados. Segundo: não segmentar as VLAN de forma correta. O tráfego de convidados deve ser isolado do tráfego empresarial na camada dois. A Purple opera numa VLAN separada, encaminhada diretamente para a internet, sem acesso a recursos internos. O ISE impõe a atribuição de VLAN para dispositivos empresariais. Se misturar isto, criará uma exposição de segurança e um problema de conformidade. Terceiro: negligenciar a configuração do walled garden. Quando a Purple é o Captive Portal, o ponto de acesso deve permitir o tráfego DNS e HTTP para os endpoints de nuvem da Purple antes da autenticação. Se o seu walled garden for demasiado restritivo, o portal não irá carregar. Se for demasiado permissivo, os utilizadores podem contornar a autenticação. A documentação de suporte da Purple fornece os intervalos de IP e domínios exatos para colocar na lista de permissões para cada fabricante de hardware. [medium pause] Secção cinco: perguntas rápidas. A Purple substitui o Cisco ISE? Não. Resolvem problemas diferentes para utilizadores diferentes em SSIDs diferentes. Posso executar a Purple em Cisco Meraki sem o ISE? Sim. A Purple integra-se nativamente com o Cisco Meraki através da Meraki API. O ISE não é necessário para o WiFi de convidados. Posso executar ambos nos mesmos pontos de acesso? Sim. Múltiplos SSIDs no mesmo hardware é uma prática comum. A Purple suporta 802.1X? A funcionalidade SecurePass da Purple suporta WPA3-Enterprise com 802.1X para dispositivos de convidados que tenham a aplicação Purple instalada, permitindo uma ligação automática baseada em certificados sem necessidade de um Captive Portal. E quanto à conformidade PCI-DSS? O WiFi de convidados deve ser isolado dos sistemas de cartões de pagamento. A arquitetura de VLAN da Purple cumpre este requisito. O ISE impõe o mesmo isolamento para dispositivos empresariais. [medium pause] Resumo e próximos passos. O modelo de decisão é simples. Se o dispositivo pertence à sua organização ou ao seu pessoal, o ISE assume a autenticação. Se o dispositivo pertence a um convidado, visitante, cliente ou fã, a Purple assume a experiência. As duas plataformas partilham a mesma infraestrutura física, mas operam em camadas lógicas completamente separadas. Para o seu próximo passo, mapeie a sua arquitetura de SSID atual. Identifique quais são os SSIDs corporativos e quais são de convidados. Confirme se o tráfego de convidados está isolado por VLAN. Em seguida, avalie se o seu portal de convidados atual está a fornecer o consentimento de marketing, analítica e integração de CRM que as suas equipas comerciais necessitam. Se não estiver, essa é a lacuna que a Purple preenche. Pode encontrar o guia escrito completo, diagramas de arquitetura e exemplos práticos em purple.ai. Obrigado pelo seu tempo.