Aruba ClearPass 對決 Cisco ISE：企業級 NAC 平台比較

決策摘要

網路存取控制 (NAC) 是企業零信任網路架構的骨幹。隨著企業管理不斷擴增的企業筆記型電腦、行動裝置、IoT 硬體和訪客流量，選擇正確的策略引擎將決定安全性態勢、營運開銷和總體擁有成本。

企業級網路存取控制領域中兩大無庸置疑的領導者為 Aruba ClearPass Policy Manager (CPPM) 與 Cisco Identity Services Engine (Cisco ISE)。雖然這兩個平台都提供企業級的 IEEE 802.1X 驗證、RADIUS/TACACS+ 服務、端點設定檔分析 (Profiling) 以及狀態評估 (Posture Validation)，但它們體現了截然不同的設計理念：

• Aruba ClearPass 強調與廠商無關的策略協調、簡單明瞭的授權方式，以及開放的多廠商互通性。
• Cisco ISE 則提供與 Cisco 交換器、路由器、無線控制器、DNA Center / Catalyst Center 以及 Cisco TrustSec 微分割 (Microsegmentation) 的深度專有整合。

本技術指南針對 Aruba ClearPass 與 Cisco ISE，在部署模式、功能矩陣、授權結構、多廠商支援以及訪客 WiFi 整合等方面，提供詳盡的架構比較。

Architectural overview: ClearPass vs Cisco ISE

Understanding the structural design of both platforms is critical for planning compute capacity, high availability, and network topology.

+-----------------------------------------------------------------------------------+
|                           ENTERPRISE NAC ARCHITECTURE                             |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|  +-----------------------------------+     +-----------------------------------+  |
|  |     ARUBA CLEARPASS CLUSTER       |     |        CISCO ISE DEPLOYMENT       |  |
|  |                                   |     |                                   |  |
|  |  [Publisher (Config & Write DB)]  |     |  [Primary / Secondary PAN (Admin)]|  |
|  |                 |                 |     |  [Primary / Secondary MnT (Logs)] |  |
|  |  +--------------+--------------+  |     |                 |                 |  |
|  |  |                             |  |     |  +--------------+--------------+  |  |
|  |  v                             v  |     |  |              |              |  |  |
|  | [Subscriber 1]    [Subscriber 2]  |     |  v              v              v  |  |
|  | (RADIUS / AAA)    (RADIUS / AAA)  |     | [PSN Node 1]  [PSN Node 2]  [PSN 3]  |  |
|  +-----------------------------------+     +-----------------------------------+  |
|                 |                                             |                   |
|                 +----------------------+----------------------+                   |
|                                        |                                          |
|                                        v                                          |
|                    +---------------------------------------+                      |
|                    |     NETWORK ACCESS DEVICES (NADs)     |                      |
|                    |  Cisco / Aruba / Ruckus / Fortinet   |                      |
|                    |      Switches, WLCs & Firewalls       |                      |
|                    +---------------------------------------+                      |
+-----------------------------------------------------------------------------------+

Aruba ClearPass 叢集架構

ClearPass 採用 Publisher / Subscriber 叢集模型：

1. Publisher 節點：所有原則設定、訪客帳戶與資料庫寫入的集中儲存庫。所有管理更新皆在 Publisher 上進行，並複製到 Subscriber。
2. Subscriber 節點：地區性原則決策點，負責處理即時 RADIUS 驗證、TACACS+ 計費與裝置分析。若 Publisher 無法連線，Subscriber 會繼續對其同步的本機唯讀資料庫進行端點驗證，而不會中斷服務。3. Standby Publisher：如果 Primary Publisher 故障，將會自動接管 Active Publisher 角色。

Cisco ISE 節點架構

Cisco ISE 將功能分散在多個專門的角色：

1. Policy Administration Node (PAN)：管理設定並派送策略。部署為 Primary 與 Secondary 配對以實現主備備援。
2. Monitoring and Troubleshooting Node (MnT)：收集 syslog 資料、驗證記錄並產生報告。部署為 Primary 與 Secondary。
3. Policy Service Node (PSN)：執行驗證、授權、剖析、狀態評估與 SGT 分配。多個 PSN 節點會部署在負載平衡器後方的資料中心與分部校區中。
4. pxGrid Node：與第三方安全性平台（防火牆、SIEM 和弱點掃描程式）雙向共用上下文與遙測技術。

核心功能比較表

多廠商互通性與硬體支援

企業架構師的一項主要決策標準，在於其網路硬體設備是單一品牌還是多廠商混合。

Aruba ClearPass 在多廠商網路中

ClearPass 從設計之初就是定位為廠商中立的 AAA 引擎。它原生整合了完整的 RADIUS 屬性字典，適用於：

• Cisco Systems (Catalyst、Nexus、Meraki、AireOS、Catalyst 9800)
• HPE Aruba Networking (AOS-S、AOS-CX、Aruba Central、Instant APs)
• Ruckus Networks / CommScope (SmartZone、Unleashed、ICX 交換器)
• Juniper Networks / Mist AI
• Fortinet (FortiGate、FortiSwitch、FortiAP)
• Extreme Networks、Arista 以及 Ubiquiti UniFi

ClearPass 允許網路工程師設定單一整合存取策略，該策略可根據發出請求的網路存取伺服器 (NAS) 廠商，動態傳回廠商特定屬性 (VSAs) - 例如 Cisco AV-Pairs、Aruba 用戶角色 (User Roles) 或標準 RFC 2868 VLAN 通道。

                    +----------------------------------------+
                    |     ARUBA CLEARPASS POLICY MANAGER     |
                    +----------------------------------------+
                                        |
               +------------------------+------------------------+
               |                        |                        |
               v                        v                        v
     [Cisco Catalyst WLC]       [Aruba CX Switch]       [Ruckus SmartZone AP]
     傳回：Cisco-AVPair          傳回：Aruba-User-Role    傳回：Ruckus-VLAN-ID
     "air-acl-up=GUEST-ACL"     "employee-secure"       "VLAN 100"

Cisco ISE 在多廠商網路中

Cisco ISE 支援標準 RFC 2865 RADIUS、RFC 5176 CoA 以及標準 MAC 驗證旁路 (MAB)。非 Cisco 的交換器和基地台可以使用 Network Device Profiles 進行整合。

然而，進階的 ISE 功能仍依賴 Cisco 特定的硬體功能：

• Cisco Device Sensor：交換器會透過硬體檢查 DHCP、CDP 和 LLDP 封包，並透過 RADIUS 計帳 (Accounting) 轉發給 ISE 進行分析，而無需鏡像連接埠 (Mirror Port)。
• Cisco TrustSec (SGT)：需要 Catalyst 交換器和 Cisco Firepower 防火牆中的 Cisco ASIC 硬體支援，才能在封包標頭中插入並篩選 16 位元的 SGT 標記。
• DNA Center / Catalyst Center 整合：軟體定義存取 (SD-Access) 策略同步需要將 Cisco ISE 作為底層的身分識別引擎。

授權模式與整體擁有成本 (TCO)

授權結構是 ClearPass 與 Cisco ISE 之間顯著的分歧所在。

+-----------------------------------------------------------------------------------+
|                            NAC 授權比較                                            |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|  ARUBA CLEARPASS：並行端點模型                                                     |
|  +-----------------------------------------------------------------------------+  |
|  |  ClearPass Access (基礎)   -> 核心 RADIUS、TACACS+、剖析、訪客               |  |
|  |  ClearPass Onboard (加購)  -> 自動化 PKI 憑證核發                            |  |
|  |  ClearPass OnGuard (加購)  -> 持續性 / 拋棄式端點狀態評估                     |  |
|  +-----------------------------------------------------------------------------+  |
|                                                                                   |
|  CISCO ISE：分級訂閱模型                                                          |
|  +-----------------------------------------------------------------------------+  |
|  |  ISE Essentials 層級       -> 基礎 802.1X、RADIUS、MAB、基礎訪客            |  |
|  |  ISE Advantage 層級        -> 完整剖析、TrustSec SGT、MDM/pxGrid、BYOD     |  |
|  |  ISE Premier 層級          -> 進階狀態評估 (Secure Client)                  |  |
|  |  Device Admin 授權         -> 專用 TACACS+ 網路設備控制                      |  |
|  +-----------------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------------+

Aruba ClearPass 授權

ClearPass 依並行活動工作階段進行授權：

• ClearPass Access：基礎授權。提供 RADIUS AAA、TACACS+ 設備管理、基本端點剖析以及訪客存取。若有 5,000 台設備同時進行驗證，則會消耗 5,000 個 Access 授權。
• ClearPass Onboard：每個已配發設備憑證的加購授權。
• ClearPass OnGuard：每個進行狀態合規性檢查之活動設備的加購授權。

Cisco ISE 授權

Cisco ISE 採分級訂閱模型運作：

• ISE Essentials：涵蓋標準 802.1X、基礎 RADIUS 計費以及基礎訪客存取。
• ISE Advantage：增加進階端點剖析、Cisco TrustSec SGT 管理、BYOD 註冊流程以及 pxGrid 生態系統整合。
• ISE Premier：隨附所有 Advantage 功能，並加上透過 Cisco Secure Client 進行的完整端點狀態評估。
• Device Administration：需個別購買的永久或定期授權，用以啟用跨網路交換器與路由器的 TACACS+ 功能。

訪客 WiFi 存取與 Captive Portal 分流

企業 NAC 部署中最大的隱藏營運與財務成本之一，即是暫時性訪客 WiFi 流量。

訪客授權瓶頸

當訪客連接到企業客用網路時，其智慧型手機或筆記型電腦會與 NAC 設備發起 RADIUS 工作階段。在典型的高人流量場所（企業總部、大學校園、零售中心、醫院和體育場）中，訪客裝置的流動率極快：

• 一所擁有 10,000 名學生的大學，每週可能會看到 25,000 次訪客關聯。
• 一個擁有 5,000 名員工的醫療保健網路，每月可能會經歷 40,000 次不重複的患者與訪客連線。

將所有訪客 Captive Portal 驗證路由傳送至核心 ClearPass 或 Cisco ISE 設備，會帶來兩個關鍵挑戰：

1. 授權耗盡：短暫的客用裝置會消耗昂貴的 ClearPass Access 或 Cisco ISE Advantage 工作階段授權，而這些授權本應保留給持久性的企業端點。
2. 功能限制：原生 NAC 客用入口網站缺乏現代化的客戶互動功能，包括社群驗證、多語言品牌塑造、符合 GDPR/CCPA 的合規性自我服務、SMS 閘道整合以及人流量定位分析。

+-----------------------------------------------------------------------------------+
|                             企業客用卸載架構                                      |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|  企業端點 (員工與 BYOD)                       客用與訪客裝置                       |
|          |                                              |                         |
|          v                                              v                         |
|  [802.1X EAP-TLS / PEAP]                     [Captive Portal 重新導向]            |
|          |                                              |                         |
|          v                                              v                         |
|  +-------------------------------+           +---------------------------------+  |
|  |  核心 NAC (ClearPass / ISE)   |           |    PURPLE CLOUD WIFI 平台       |  |
|  |  - 員工 802.1X 驗證           |           |  - 多租戶歡迎頁面               |  |
|  |  - 企業 PKI 憑證              |           |  - 社群與 SMS OTP 登入          |  |
|  |  - SGT / 動態 VLAN 角色       |           |  - GDPR / 隱私合規性            |  |
|  |  - 零信任微細分               |           |  - 人流量與定位分析             |  |
|  +-------------------------------+           +---------------------------------+  |
|                 |                                             |                   |
|                 +----------------------+----------------------+                   |
|                                        | RADIUS RFC 5176 CoA                      |
|                                        v                                          |
|                       +---------------------------------+                         |
|                       |      無線網路存取控制器         |                         |
|                       |  Cisco Catalyst / Aruba / Meraki|                         |
|                       +---------------------------------+                         |
+-----------------------------------------------------------------------------------+

Purple 如何與 ClearPass 及 Cisco ISE 整合

Purple 作為專業的雲端 Captive Portal 與 WiFi 智慧重疊網路，與 Cisco ISE 和 Aruba ClearPass 形成互補：

1. 保留訪客授權金鑰：訪客驗證直接終止於 Purple 雲端 RADIUS，進而免除本機 ClearPass 或 ISE 節點上的訪客授權消耗。
2. 多廠牌 Captive Portal 交付：Purple 能跨 Cisco Meraki、Catalyst 9800、Aruba Central、Ruckus SmartZone 及 Fortinet AP，提供依據場域、語言和訪客輪廓客製化的動態歡迎頁面。
3. RADIUS CoA 同步：訪客完成入口網站驗證後，Purple 會向無線控制器發送標準 RADIUS 授權變更（CoA RFC 5176）封包，以動態將使用者切換至已授權的訪客角色。
4. 企業分析與 CRM 整合：Purple 會收集經同意的客戶數據，並將訪客洞察即時同步至企業 CRM（Salesforce、HubSpot、Microsoft Dynamics）。

決策架構：在 ClearPass 與 Cisco ISE 之間做出選擇

請使用以下決策矩陣來引導您的平台選擇：

                                  [評估開始]
                                      |
                                      v
                         您的網路是否包含 85% 以上的 Cisco 硬體
                       且強制使用 Cisco TrustSec (SGT)？
                                   /     \
                                 是       否
                                 /         \
                                v           v
                         [選擇 CISCO ISE]   您的網路是否包含
                                            混合硬體廠牌
                                            (Aruba、Ruckus、Juniper)？
                                                      /     \
                                                    是       否
                                                    /         \
                                                   v           v
                                           [選擇 CLEARPASS]  [評估 TCO 與
                                                              偏好]

在以下情況下選擇 Aruba ClearPass：

• 您營運一個包含 Cisco、Aruba、Ruckus、Fortinet 或 Juniper 等硬體的多廠牌網路。
• 您需要預測性高、按並行工作階段計費的授權模式，而不需要強制的複數層級軟體訂閱。
• 您需要直觀的原則介面，並內建原則模擬與即時 Access Tracker 除錯功能。
• 您需要在基礎平台部署中直接包含強大的 TACACS+ 裝置管理功能。

在以下情況下選擇 Cisco ISE：

• 您的企業已標準化採用 Cisco Catalyst 交換器、Catalyst 9800 WLC 以及 Cisco 安全基礎架構。
• 您正在部署 Cisco 軟體定義存取 (SD-Access)，或要求強制執行硬體式 TrustSec SGT 微細分 (microsegmentation)。
• 您在整個終端裝置群中利用 Cisco Secure Client (AnyConnect) 進行 VPN、安全狀態檢查和網路可視化模組 (NVM) 遙測。
• 您已有現有的 Cisco 企業合約 (EA)，可提供折扣的 ISE 分級組合包。

常見問題

Aruba ClearPass 可以驗證 Cisco 無線與有線用戶端嗎？

可以。Aruba ClearPass 完全符合標準 IEEE 802.1X、RADIUS (RFC 2865) 和 RADIUS CoA (RFC 5176)。它原生支援 Cisco 廠商特定屬性 (VSA)，使其能夠將 Cisco 可下載 ACL (dACL)、air-ACL 和動態 VLAN 無限制地分配給 Cisco Catalyst 交換器和無線區域網路控制器。

Cisco ISE 是否支援非 Cisco 網路交換器和存取點？

是的。Cisco ISE 支援標準 RADIUS 驗證、MAC 驗證略過 (MAB)，以及透過網路裝置設定檔 (Network Device Profiles) 為第三方網路存取裝置提供 RFC 5176 CoA。然而，專利的 Cisco 功能（例如 Cisco Device Sensor 剖析和 TrustSec 安全群組標籤 (SGT) 硬體標記）需要 Cisco 基礎架構。

ClearPass 和 ISE 如何處理 TACACS+ 裝置管理？

兩個平台都支援 TACACS+，用於集中化交換器、路由器和防火牆的管理驗證、指令授權和記帳。Aruba ClearPass 的基礎 Access 授權中即包含完整的 TACACS+ 功能。Cisco ISE 的核心原則引擎中包含 TACACS+，但需要專用的 Device Administration 授權。

部署 ClearPass 或 Cisco ISE 時，處理訪客 WiFi 最有效率的方法是什麼？

建議的最佳實踐是部署外部雲端 WiFi 平台（如 Purple）來處理訪客 Captive Portal、歡迎頁面和訪客數據擷取。這可以將數千個暫時性訪客驗證從內部 NAC 節點中分流出去，防止核心 NAC 授權耗盡，並在所有場域位置提供豐富的訪客分析。