Aruba ClearPass 對決 Purple WiFi：功能比較與協同部署

請以自信、具權威性且口語化的英式英語語氣發音。您是一位正在向客戶簡報的高級網路顧問。語速沉穩、吐字清晰、專業而不生硬。適時自然停頓以示強調： 歡迎來到本次 Purple 技術簡報。我是今天的主講人，今天我們要探討一個在我們參與的每個企業無線網路專案中幾乎都會遇到的問題：當您已經部署了 Aruba ClearPass 時，Purple WiFi 該如何定位？這兩個系統又是如何協同運作的？ [中等停頓] 這不是理論上的討論。如果您是飯店集團、零售連鎖店或體育場館營運商的 IT 經理、網路架構師或安全工程師，這可能是您本季需要做出的決策。所以，讓我們開始吧。 [中等停頓] 介紹與背景。 [短暫停頓] 首先，讓我們明確了解每個平台的實際設計定位。Aruba ClearPass Policy Manager 是一個網路存取控制平台。它的職責是驗證裝置與使用者、評估終端安全狀態，並在您的整個網路中執行存取策略。它處理 802.1X（這是基於連接埠之網路存取控制的 IEEE 標準），使用 EAP 方法，例如搭配憑證的 EAP-TLS，以及搭配使用者名稱與密碼的 PEAP。它與 Microsoft Entra ID、Okta 及其他身分識別提供者整合。它能剖析裝置特徵、檢查它們是否符合您的安全策略，並將它們指派到正確的網路角色。對於企業內部裝置，ClearPass 表現極佳，它正是為了解決這種使用場景而建構的。 [中等停頓] Purple WiFi 則完全是另一種定位。Purple 是一個雲端客用 WiFi 智慧平台。它的職責是透過品牌專屬的 Captive Portal 驗證訪客、透過符合 GDPR 規範的同意流程獲取第一方數據，並將這些數據導入您的行銷與分析技術堆疊中。Purple 在全球 80,000 個場所運作，光是在 2024 年就處理了 4.4 億次登入。它整合了超過 400 個連接器，包括 CRM 與行銷自動化平台。對於客用網路，Purple 是這方面的專家。 [中等停頓] 大多數企業面臨的問題是，他們試圖用一個平台來完成這兩項工作。他們要不就是要求 ClearPass 來運作他們的客用入口網站（這雖然可行，但並不優雅），要不就是部署了 Purple 卻沒有思考它如何與現有的 NAC 投資並存。正確的答案是採用共同部署架構，讓每個平台各司其職，發揮所長。 [中等停頓] 技術深挖。 [短暫停頓] 讓我帶您了解一下這個架構。在共同部署中，您的 Aruba Mobility Controller 或 Aruba Instant 無線基地台會廣播多個 SSID。通常是三個：一個用於企業裝置、一個用於訪客，另一個用於 IoT。如需進一步了解這種 SSID 設計模式，Purple 發表了一份名為 Three SSIDs to rule them all 的詳細指南，我建議您在閱讀本簡報時一併參閱。 [中等停頓] 企業 SSID 使用結合 EAP-TLS 的 802.1X。裝置使用透過 ClearPass Onboard 佈署的憑證進行驗證，這是 ClearPass 內建的憑證註冊與裝置佈署模組。ClearPass 會檢查裝置狀態、驗證憑證、查詢 Active Directory 或 Microsoft Entra ID，並將裝置分配到適當的 VLAN。通常企業網路為 VLAN 10。這整個流程都留在 ClearPass 內。Purple 並未參與。 [medium pause] 訪客 SSID 則是進行整合的地方。當訪客連線到訪客 SSID 時，Aruba 控制器會攔截其 HTTP 流量，並將其瀏覽器重新導向至 Purple 的 Captive Portal。訪客透過 Purple 進行驗證，可能使用透過 Google 的社群登入、自訂電子郵件表單，或 OpenRoaming（其中 Purple 在 Connect 授權下作為免費的身分識別提供者）。一旦 Purple 驗證了訪客，它會向控制器發送回 RADIUS Access-Accept 訊息，進而授予網際網路存取權限。 [medium pause] 現在，關鍵的架構決策在於，您是要將 ClearPass 作為 RADIUS 代理伺服器插入到控制器與 Purple 之間，還是讓控制器直接與 Purple 的 RADIUS 伺服器進行通訊。對於大多數企業部署而言，代理模式是正確的選擇。原因如下。 [medium pause] 將 ClearPass 作為 RADIUS 代理伺服器後，您網路上的每個驗證事件（包括企業與訪客）都會流經 ClearPass。您會獲得單一稽核軌跡。您的安全性作業團隊可以在同一個地方看到所有內容。ClearPass 可以在將回應返回給控制器之前，附加自己的原則屬性，從而實現基於角色的動態 VLAN 分配。而且您保留了對訪客工作階段執行額外原則的能力，例如頻寬限制或基於時間的存取限制。 以英式英文發音，語氣自信、權威且口語化。您是一位正在向客戶簡報的資深網路顧問。步調沉穩、咬字清晰，專業而不生硬： ClearPass 中的代理設定非常簡單。您建立一個 RADIUS 路由原則，透過 NAS 識別碼或呼叫站點 ID 來比對訪客 SSID。符合該原則的要求會被轉發到 Purple 的雲端 RADIUS 伺服器。Purple 做出回應，ClearPass 附加 Aruba-User-Role 廠商專屬屬性，然後控制器將訪客放入僅有網際網路存取權限的 VLAN 20 中。 [medium pause] 對於 IoT 裝置，第三個 SSID 使用 MAC 驗證略過。ClearPass 使用裝置的 OUI（MAC 地址的前六個字元，用於識別製造商）來分析裝置特徵，並將其分配給 ROLE_IOT，進而對應到 VLAN 30。此 VLAN 沒有網際網路存取權限，只有本機連線能力。您的智慧電視、恆溫器和門鎖與企業和訪客流量完全隔離。 [medium pause] 讓我們來談談合規性，因為這正是此架構發揮價值的所在。在 PCI-DSS 規範下，任何接觸持卡人資料的網路區段都必須與訪客網路隔離。此架構中的 VLAN 區段劃分完全滿足了這項要求。在 GDPR 規範下，Purple 的 Captive Portal 透過主動選擇的同意機制來處理同意書收集，這意味著訪客是主動選擇分享他們的資料，而不是在預設情況下被動收集。Purple 已通過 ISO 27001 認證、符合 GDPR 規範，並擁有 Cyber Essentials 認證。ClearPass 則提供了您安全團隊進行合規性報告所需的稽核軌跡。 [medium pause] 導入建議與常見陷阱。 [short pause] 讓我為您說明此部署中最常出錯的五個問題，以及如何避免這些問題。 [medium pause] 第一：圍牆花園（Walled Garden）。在訪客進行身分驗證之前，Aruba 控制器僅允許流量流向預先定義的目的地清單。如果 Purple 的入口網站網域、其 CDN 端點以及社群登入提供商的網域不在該清單中，入口網站將無法載入。您需要將 star dot purple dot ai、star dot cloudfront dot net 以及您啟用的任何社群登入提供商的 OAuth 網域包含進去。Google、Facebook、Apple 和 Microsoft Entra ID 都各有其專屬的網域集。請將圍牆花園視為需要動態調整的設定，因為社群登入提供商會定期變更其 CDN 網域。 [medium pause] 第二：RADIUS 逾時。大多數 Aruba 控制器上的預設 RADIUS 逾時時間為三秒。在代理架構中，請求從存取點傳送到控制器，再到 ClearPass，然後跨越網際網路到達 Purple 的雲端 RADIUS，最後返回。在擁擠的網路中，該往返時間可能會超過三秒。請將您的逾時時間設定為至少十秒，並配置至少重試兩次的重試邏輯。 [medium pause] 第三：共用金鑰（Shared Secret）不相符。Aruba 控制器與 ClearPass 之間的共用金鑰必須完全一致。ClearPass 與 Purple 的 RADIUS 伺服器之間的共用金鑰也必須完全一致。單一字元的差異就會導致無聲的身分驗證失敗，且不會向訪客顯示任何有意義的錯誤訊息。請務必逐字核對這些字元。 [medium pause] 第四：角色名稱區分大小寫。ClearPass 傳回的 Aruba-User-Role 屬性必須與 Aruba 控制器上定義的角色名稱完全一致，包括大小寫。如果 ClearPass 傳回 guest-authenticated，但控制器上定義的是 Guest-Authenticated，訪客將退回到預設的登入角色，且無法存取網際網路。 [medium pause] 第五點：RADIUS accounting 記帳。許多部署正確配置了驗證代理，但忘記同時代理記帳。Purple 使用 RADIUS accounting 數據來追踪工作階段持續時間、數據使用量，並生成分析儀表板。如果記帳數據沒有傳送到 Purple，您的客流量分析和停留時間報告將不完整。 [medium pause] 快速問答。 [short pause] 我可以在 Aruba Instant 上運行此功能，而不是完整的 Mobility Controller 嗎？可以。Aruba Instant 支援外部 RADIUS 伺服器和 Captive Portal 重新導向。配置略有不同，但原理完全相同。 [medium pause] Purple 支援 Change of Authorisation 嗎？支援。CoA 允許控制器動態更新訪客的工作階段，而無需他們重新連線。這對於限時存取或升級方案非常有用。 [medium pause] 這適用於 WPA3 嗎？適用。我們同時支援用於個人網路的 WPA3-SAE 以及用於 802.1X 的 WPA3-Enterprise。對於使用 Captive Portal 的訪客網路，通常會選擇 WPA3-SAE 或帶有商機無線加密（Opportunistic Wireless Encryption）的開放式 SSID。 [medium pause] 我可以為員工和訪客使用單一 SSID 嗎？可以，但這會增加複雜性。ClearPass 可在同一個 SSID 上處理 802.1X 和 MAC 驗證，並使用服務規則來區分流量類型並進行相應路由。對於大多數場所，使用獨立的 SSID 是更乾淨的選擇。 [medium pause] 總結與後續步驟。 [short pause] ClearPass 與 Purple 是互補的，而非競爭關係。ClearPass 是您企業設備的策略引擎：負責 802.1X、端點合規狀態、憑證管理和統一稽核軌跡。Purple 則是您的訪客情報平台：提供品牌化 Captive Portal、符合 GDPR 規範的數據收集、客流量分析和行銷自動化。 [medium pause] 共同部署架構將 ClearPass 作為 RADIUS 代理。所有驗證請求都流經 ClearPass。訪客請求會路由至 Purple 的雲端 RADIUS。企業請求則由 ClearPass 在本地處理。Aruba 控制器透過動態 VLAN 分配來執行產生的策略。 [medium pause] 您必須正確配置的三個要素是：Walled Garden 圍牆花園、RADIUS 逾時和角色名稱一致性。做好這三點，您就能擁有一個合規、具商業價值且不損害企業安全防護能力的訪客 WiFi 部署。 [medium pause] 您的後續步驟：從 Purple 儀表板中獲取您的 Purple 場所 RADIUS 憑證，查看隨附書面指南中的 Walled Garden 參考清單，並在正式上線前使用專用測試設備測試完整的驗證流程。如果您要部署在多個站點，Purple 的多站點管理主控台可讓您從單一介面管理整個資產的 Captive Portal 配置、品牌形象和分析數據。 [medium pause] 感謝您的收聽。歡迎造訪 purple.ai 聯絡我們的解決方案架構師，討論您的特定部署需求。