Cisco ISE 对比 Purple WiFi：如何进行对比与协同工作

你是一位资深的网络安全顾问，正在以自信、权威且口语化的英式英语向客户进行简报。发言要清晰且节奏适中，就像在向由 IT 总监和网络架构师组成的董事会进行演示一样。这是一次专业的网络技术简报，而不是讲座。请以标准公认发音（RP）口音的英式英语进行发言： 欢迎来到 Purple 技术简报系列。今天我们要讨论一个在企业网络设计中经常出现的问题：Cisco ISE 与 Purple WiFi。它们之间有何异同，更重要的是，它们如何协同工作？我将在大约十分钟内给您一个直截了当的答案。 [中顿] 让我们先从背景开始。如果您运营着一家酒店、零售物业、体育场或公共部门建筑，您的网络中几乎肯定有两类完全不同的群体在进行连接。一类是员工和公司设备，另一类是宾客、访客、球迷或购物者。这两类群体有着截然不同的认证需求、不同的数据权限和不同的业务目标。大多数组织犯的错误就是试图用单一工具来解决这两个问题。这就是对 Cisco ISE 和 Purple 产生混淆的原因所在。 [中顿] 第一部分：Cisco ISE 的实际作用。 Cisco Identity Services Engine（简称 ISE）是 Cisco 的企业级网络准入控制（Network Access Control）平台。它的核心任务是对公司设备和员工用户进行身份验证与授权。它主要通过 IEEE 802.1X（基于端口的网络准入控制标准）来实现这一点。当一台公司笔记本电脑连接到您的网络时，ISE 会通过 EAP-TLS 验证其证书，或通过 PEAP 验证其凭据，并在 Active Directory 或 Microsoft Entra ID 中进行验证，评估其安全态势，然后将其分配到带有正确策略的正确 VLAN 中。如果设备未能通过态势评估，ISE 可以利用 RADIUS 授权变更（即 CoA）自动将其隔离。 ISE 还负责处理 BYOD 设备注册，将个人设备注册证书，以便在没有共享密码的情况下安全地进行身份验证。此外，它还与 Cisco 的 pxGrid 架构集成，允许防火墙和 SIEM 平台等其他安全工具实时获取身份上下文信息。 ISE 的三个许可级别分别是 Essentials、Advantage 和 Premier。Essentials 涵盖 802.1X 和基础访客接入。Advantage 增加了 BYOD、态势评估以及第三方 MDM 集成。Premier 则增加了被动身份服务和高级威胁集成。 [中顿] 因此，ISE 是一个重磅的、企业级的安全平台。但关键的一点是：它的访客门户功能偏向实用性，而非商业化。ISE 可以将未经验证的设备重定向到网页，收集用户名和密码或赞助人审批，并授予互联网访问权限。但它无法做到的是捕获符合 GDPR 要求的营销同意、运行带有社交登录的品牌展示页面、将访客数据导入 Salesforce 或 HubSpot、生成客流热力图，或根据人口统计学对访客进行细分以进行营销活动。这不是 ISE 的设计初衷，试图将其拉伸到这一角色只会增加复杂性，而无法实现商业结果。 您是一位资深网络安全顾问，正在以自信、权威且口语化的基调继续进行英式英语的技术简报。请清晰且节奏适度地发言。请使用标准公认发音口音的英式英语发言： 第二部分：Purple 的作用。 Purple 是一个云端覆盖平台。我们构建在您现有的 WiFi 基础设施之上，无论它是 Cisco Meraki、Cisco Catalyst、HPE Aruba、Ruckus、Juniper Mist 还是任何其他主流厂商。我们不更换您的硬件。我们不取代 ISE。我们处理的是访客体验层。 当访客连接到您的访客 SSID 时，Purple 会拦截该连接并呈现一个品牌化的 Captive Portal。该门户可以提供通过 Facebook、Google 或 LinkedIn 的社交登录、自定义数据捕获表单、一键连接选项，或用于在再次访问时自动安全重新连接的 Passpoint。每次登录都会在获得明确 GDPR 同意的情况下捕获第一方数据。这些数据会直接流入您的 CRM、您的电子邮件营销平台或您的会员忠诚度计划。 Purple 在 80,000 个活跃场所运行，仅在 2024 年就处理了 4.4 亿次登录。我们持有 ISO 27001 认证，符合 GDPR 和 CCPA 规范，并保持 99.999% 的在线率。知名客户包括麦当劳、哈罗德百货 (Harrods)、Premier Inn、AGS Airports 和曼彻斯特机场集团 (Manchester Airports Group)。 [中顿] 第三部分：它们在现代网络拓扑中如何共存。 一旦您理解了关注点分离，架构就会变得非常简单。您在相同的接入点上运行两到三个 SSID。企业 SSID 使用带有 802.1X 的 WPA3-Enterprise，且 ISE 作为 RADIUS 服务器。每台员工设备都使用证书或凭证进行身份验证。ISE 将设备分配到正确的 VLAN，应用正确的策略，并记录会话。Purple 在这里没有任何角色。这完全是 ISE 的领域。 访客 SSID 是开放的，或者使用带有预共享密钥的 WPA3-Personal 进行初始关联。流量被重定向到 Purple 的云端门户。Purple 处理身份验证、同意捕获和分析。接入点执行围墙花园（Walled Garden）限制，直到 Purple 发出授权信号，然后开启互联网访问。ISE 在这里没有任何角色。这是 Purple 的领域。 对于更复杂的部署，您可以使用身份预共享密钥（即 iPSK）为 IoT 设备添加第三个 SSID，其中每个设备都会获得映射到特定 VLAN 的唯一密码。ISE 可以为企业 IoT 管理此功能，或者由 Purple 的 SecurePass 功能处理场所 IoT（例如销售点终端和数字标牌）。 如果您希望这两个平台之间实现更紧密的集成，Cisco 的 pxGrid 允许 Purple 将访客会话上下文发布到 ISE 生态系统中，以便您的安全运营团队可以在统一视图中查看访客活动与企业活动。 [medium pause] 第四部分：实施建议和常见陷阱。 让我为您介绍一下我在部署中遇到的三个最常见错误。 第一：使用 ISE 内置的访客门户来进行商业访客 WiFi。ISE 的访客门户是为承包商和临时员工设计的，而不是为营销驱动的访客接入设计的。它没有 CRM 集成，没有同意管理，也没有分析功能。如果您从事酒店、零售或活动行业，您需要在访客 SSID 上使用 Purple。ISE 处理企业，Purple 处理访客。请将它们分开。 第二：未正确划分 VLAN。访客流量必须在第二层与企业流量隔离。Purple 在一个独立的 VLAN 中运行，该 VLAN 直接路由到互联网，无法访问内部资源。ISE 对企业设备强制执行 VLAN 分配。如果您将这两者混为一谈，就会造成安全漏洞和合规性问题。 第三：忽略了 Walled Garden（围墙花园）配置。当 Purple 作为 Captive Portal 时，接入点必须在身份验证之前允许 DNS 和 HTTP 流量流向 Purple 的云端点。如果您的 Walled Garden 过于严格，门户将无法加载。如果过于宽松，用户则可以绕过身份验证。Purple 的支持文档提供了针对每个硬件厂商需要加白名单的确切 IP 范围和域名。 [medium pause] 第五部分：快速问答。 Purple 是否会取代 Cisco ISE？不会。它们在不同的 SSID 上为不同的用户解决不同的问题。 我可以在没有 ISE 的情况下在 Cisco Meraki 上运行 Purple 吗？可以。Purple 通过 Meraki API 与 Cisco Meraki 进行原生集成。访客 WiFi 不需要 ISE。 我可以在相同的接入点上运行这两者吗？可以。在同一硬件上运行多个 SSID 是标准做法。 Purple 支持 802.1X 吗？Purple 的 SecurePass 功能为安装了 Purple 应用程序的访客设备提供支持 802.1X 的 WPA3-Enterprise，从而无需 Captive Portal 即可实现基于证书的自动重新连接。 关于 PCI-DSS 合规性如何？访客 WiFi 必须与支付卡系统隔离。Purple 的 VLAN 架构满足这一要求。ISE 对企业设备强制执行相同的隔离。 [medium pause] 总结和后续步骤。 决策框架非常简单。如果设备属于您的组织或员工，则由 ISE 负责身份验证。如果设备属于顾客、访客、购物者或粉丝，则由 Purple 负责体验。这两个平台共享相同的物理基础设施，但在完全独立的逻辑层中运行。 接下来的步骤，请规划您当前的 SSID 架构。确定哪些 SSID 是企业级，哪些是访客级。确认访客流量已实现 VLAN 隔离。然后评估您当前的访客门户是否能够提供商业团队所需的营销授权、数据分析和 CRM 集成。如果没有，这正是 Purple 所能填补的空白。 您可以在 purple.ai 找到完整的书面指南、架构图和操作示例。感谢您的时间。