Aruba ClearPass 对比 Purple WiFi：功能与协同部署比较

用英式英语发音，语气自信、权威且具有对话感。你是一位正在向客户做简报的高级网络顾问。语速沉稳，吐字清晰，专业而不生硬。偶尔自然停顿以示强调： 欢迎来到本次 Purple 技术简报。我是您的主持人，今天我们将探讨一个在我们合作的几乎所有企业级无线项目中都会遇到的问题：当您已经部署了 Aruba ClearPass 时，Purple WiFi 应该处于什么位置，以及这两个系统如何协同工作？ [中等停顿] 这不是理论上的讨论。如果您是酒店集团、零售连锁店或体育场馆运营商的 IT 经理、网络架构师或安全工程师，这可能是您本季度需要做出的决定。那么，让我们开始吧。 [中等停顿] 引言与背景。 [短暂停顿] 首先，让我们明确每个平台实际设计用来做什么。Aruba ClearPass Policy Manager 是一个网络准入控制（NAC）平台。它的工作是对设备和用户进行身份验证，评估终端合规状态，并在您的整个网络中执行访问策略。它处理 802.1X（基于端口的网络访问控制的 IEEE 标准），使用 EAP 方法，例如带证书的 EAP-TLS 以及带用户名和密码的 PEAP。它与 Microsoft Entra ID、Okta 以及其他身份提供商集成。它能对设备进行画像，检查它们是否符合您的安全策略，并将其分配到正确的网络角色。对于公司设备，ClearPass 非常出色。它正是为了这种使用场景而构建的。 [中等停顿] Purple WiFi 则完全不同。Purple 是一个基于云的访客 WiFi 智能平台。它的工作是通过品牌化的 Captive Portal 对访客进行身份验证，通过符合 GDPR 的同意流程捕获第一方数据，并将这些数据输送到您的营销和分析系统。Purple 在全球 80,000 多个场所运行，仅在 2024 年就处理了 4.4 亿次登录。它与包括 CRM 和营销自动化平台在内的 400 多个连接器集成。对于访客网络，Purple 是专家。 [中等停顿] 大多数组织面临的问题是，他们试图用一个平台来完成这两项工作。他们要么让 ClearPass 运行其访客门户（它可以做到，但不够优雅），要么在部署 Purple 时没有考虑它与现有的 NAC 投资如何并存。正确的答案是采用联合部署架构，让每个平台发挥其所长。 [中等停顿] 技术深度解析。 [短暂停顿] 让我为您介绍一下该架构。在联合部署中，您的 Aruba 移动控制器或 Aruba Instant 接入点会广播多个 SSID。通常是三个：一个用于公司设备，一个用于访客，一个用于物联网（IoT）。关于这种 SSID 设计模式的更多信息，Purple 发布了一份名为“Three SSIDs to rule them all”的详细指南，我建议您在阅读本简报的同时也阅读该指南。 [中等停顿]企业 SSID 使用带有 EAP-TLS 的 802.1X。设备使用通过 ClearPass Onboard 部署的证书进行身份验证，ClearPass Onboard 是 ClearPass 内置的证书注册和设备配置模块。ClearPass 会检查设备状态、验证证书、查询 Active Directory 或 Microsoft Entra ID，并将设备分配到相应的 VLAN（通常企业使用 VLAN 10）。这整个流程都在 ClearPass 内部进行，不涉及 Purple。 [medium pause] 访客 SSID 才是进行集成的地方。当访客连接到访客 SSID 时，Aruba 控制器会拦截其 HTTP 流量，并将他们的浏览器重定向到 Purple 的 captive portal。访客通过 Purple 进行身份验证，可能使用通过 Google 的社交登录、自定义电子邮件表单或 OpenRoaming（在 Connect 许可下，Purple 作为免费的身份提供者）。一旦 Purple 验证了访客，它就会向控制器发送一个 RADIUS Access-Accept 消息，从而授予互联网访问权限。 [medium pause] 现在，关键的架构决策是：您是将 ClearPass 作为 RADIUS 代理插入在控制器和 Purple 之间，还是让控制器直接与 Purple 的 RADIUS 服务器通信。对于大多数企业部署，代理模式是正确的选择。原因如下。 [medium pause] 通过将 ClearPass 作为 RADIUS 代理，您网络上的每个身份验证事件（无论是企业还是访客）都会流经 ClearPass。您可以获得单一的审计追踪。您的安全运营团队可以在一个地方查看所有内容。ClearPass 可以在将响应返回给控制器之前附加其自己的策略属性，从而实现基于角色的动态 VLAN 分配。并且您保留了对访客会话实施附加策略的能力，例如带宽限制或基于时间的访问限制。 以英国英语发言，语气自信、权威且具有对话性。您是一位正在向客户作简报的高级网络顾问。节奏沉稳，吐字清晰，专业而不生硬： ClearPass 中的代理配置非常简单。您只需创建一个 RADIUS 路由策略，该策略通过 NAS 标识符或被叫站点 ID 与访客 SSID 进行匹配。匹配该策略的请求将被转发到 Purple 的云端 RADIUS 服务器。Purple 做出响应，ClearPass 附加 Aruba-User-Role 厂商特定属性，控制器将访客置于仅能访问互联网的 VLAN 20 中。 [medium pause] 对于物联网设备，第三个 SSID 使用 MAC 身份验证绕过。ClearPass 使用设备的 OUI（MAC 地址的前六个字符，用于标识制造商）对设备进行画像，并将其分配给 ROLE_IOT，该角色映射到 VLAN 30。此 VLAN 没有互联网访问权限，只有本地连接。您的智能电视、温控器和门锁与企业和访客流量完全隔离。 [medium pause] 让我们来谈谈合规性，因为这正是该架构发挥作用的地方。在 PCI-DSS 下，任何接触持卡人数据的网络段都必须与访客网络隔离。该架构中的 VLAN 划分满足了这一要求。在 GDPR 下，Purple 的 Captive Portal 采用有意识选择的加入方式处理同意收集，这意味着访问者是主动选择分享他们的数据，而不是默认被收集。Purple 已通过 ISO 27001 认证、符合 GDPR 并持有 Cyber Essentials 认证。ClearPass 则提供了安全团队进行合规报告所需的审计追踪。 [medium pause] 实施建议与常见陷阱。 [short pause] 让我为您介绍此部署中最常见的五个问题以及如何避免它们。 [medium pause] 第一：围墙花园（Walled Garden）。在访客进行身份验证之前，Aruba 控制器仅允许流量访问预定义的目的地列表。如果 Purple 的门户域名、其 CDN 端点以及社交登录提供商域名不在该列表中，门户将无法加载。您需要将 *.purple.ai、*.cloudfront.net 以及您启用的任何社交登录提供商的 OAuth 域名包含在内。Google、Facebook、Apple 和 Microsoft Entra ID 都有各自的一套域名。请将围墙花园视为动态配置，因为社交登录提供商会定期更改其 CDN 域名。 [medium pause] 第二：RADIUS 超时。大多数 Aruba 控制器上的默认 RADIUS 超时时间为三秒。在代理架构中，请求从接入点发送到控制器、到 ClearPass、再通过互联网发送到 Purple 的云端 RADIUS，然后返回。在拥挤的网络上，该往返时间可能会超过三秒。请将超时时间设置为至少十秒，并配置至少重试两次的重试逻辑。 [medium pause] 第三：共享密钥不匹配。Aruba 控制器与 ClearPass 之间的共享密钥必须完全一致。ClearPass 与 Purple 的 RADIUS 服务器之间的共享密钥也必须完全一致。单个字符的差异就会导致静默身份验证失败，且不会向访客显示任何有意义的错误信息。请务必逐字验证这些字符。 [medium pause] 第四：角色名称区分大小写。ClearPass 返回的 Aruba-User-Role 属性必须与 Aruba 控制器上定义的角色名称完全匹配，包括大小写。如果 ClearPass 返回 guest-authenticated，而控制器上定义的是 Guest-Authenticated，访客将回退到无法访问互联网的默认登录角色。 [medium pause] 第五：RADIUS 记账。许多部署虽然正确配置了认证代理，但忘记了同时对记账进行代理。Purple 使用 RADIUS 记账数据来跟踪会话时长、数据使用情况，并填充其分析仪表板。如果记账数据没有流向 Purple，您的客流分析和停留时间报告将不完整。 [medium pause] 快速问答。 [short pause] 我可以在 Aruba Instant 上运行它，而不是在完整的 Mobility Controller 上吗？是的。Aruba Instant 支持外部 RADIUS 服务器和 Captive Portal 重定向。配置略有不同，但原理完全相同。 [medium pause] Purple 是否支持授权变更？是的。CoA 允许控制器动态更新访客的会话，而无需他们重新连接。这对于限制时间的访问或层级升级非常有用。 [medium pause] 这能与 WPA3 协同工作吗？是的。支持用于个人网络的 WPA3-SAE 和用于 802.1X 的 WPA3-Enterprise。对于使用 Captive Portal 的访客网络，通常会选择 WPA3-SAE 或带有机会性无线加密的开放 SSID。 [medium pause] 我可以为员工和访客使用同一个 SSID 吗？可以，但这会增加复杂性。ClearPass 在同一个 SSID 上处理 802.1X 和 MAC 认证，使用服务规则来区分流量类型并进行相应路由。对于大多数场所，使用独立的 SSID 是更干净的选择。 [medium pause] 总结与下一步工作。 [short pause] ClearPass 和 Purple 是互补的，而不是竞争关系。ClearPass 是您针对企业设备的策略引擎：802.1X、终端安全状况、证书管理和统一审计轨迹。Purple 是您的访客智能平台：品牌化 Captive Portal、符合 GDPR 的数据捕获、客流分析和营销自动化。 [medium pause] 共同部署架构将 ClearPass 用作 RADIUS 代理。所有认证请求都通过 ClearPass 传输。访客请求被路由到 Purple 的云端 RADIUS。企业请求由 ClearPass 在本地处理。Aruba 控制器通过动态 VLAN 分配来执行生成的策略。 [medium pause] 您必须正确配置的三个要素是：围墙花园、RADIUS 超时以及角色名称一致性。做好这三点，您就拥有了一个既合规、又具商业价值的访客 WiFi 部署，且不会损害您的企业安全态势。 [medium pause] 关于您的下一步工作：从 Purple 仪表板获取您的 Purple 场所 RADIUS 凭据，查看随附书面指南中的围墙花园参考列表，并在部署到生产环境之前使用专用测试设备测试完整的认证流程。如果您要在多个场所进行部署，Purple 的多场所管理控制台可让您通过单一界面管理整个资产的 Captive Portal 配置、品牌塑造和数据分析。 [medium pause] 感谢您的收听。欢迎访问 purple dot ai，与解决方案架构师联系，讨论您的具体部署方案。