Cisco ISE 對比 Purple WiFi：兩者如何比較與協同工作

您是一位資深的網路安全顧問，正以自信、權威且口語化的英式英語向客戶進行簡報。請清晰且從容不迫地發言，就像在向 IT 總監和網路架構師組成的董事會進行簡報一樣。這是一場專業的技術簡報，而不是一堂課。請以標準英式發音（RP 腔調）發言： 歡迎收看 Purple 技術簡報系列。今天我們要探討一個在企業網路設計中經常出現的問題：Cisco ISE 與 Purple WiFi 的對決。兩者該如何比較？更重要的是，它們該如何協同運作？我將在接下來的大約十分鐘內為您提供最直接的答案。 [medium pause] 讓我們從背景脈絡開始。如果您經營的是飯店、零售物業、體育場館或公共部門建築，您的網路中幾乎肯定有兩種截然不同的群體在進行連接。您有員工與企業裝置，同時也有顧客、訪客、球迷或購物者。這兩種群體有著完全不同的驗證需求、不同的資料權限以及不同的業務目標。大多數組織犯的錯誤，就是試圖用單一工具來解決這兩個問題。這就是對 Cisco ISE 和 Purple 之間產生混淆的來源。 [medium pause] 第一部分：Cisco ISE 的實際功能。 Cisco Identity Services Engine（簡稱 ISE）是 Cisco 的企業網路存取控制（Network Access Control）平台。它的職責是驗證和授權企業裝置及員工使用者。這主要是透過 IEEE 802.1X（基於連接埠的網路存取控制標準）來實現。當企業筆記型電腦連線到您的網路時，ISE 會透過 EAP-TLS 檢查其憑證，或透過 PEAP 檢查其憑證，並比對 Active Directory 或 Microsoft Entra ID 進行驗證，評估其安全狀態，然後為其分配具有正確策略的正確 VLAN。如果裝置未能通過狀態評估，ISE 可以使用 RADIUS 授權變更（簡稱 CoA）自動將其隔離。 ISE 還能處理 BYOD 註冊，將個人裝置註冊憑證，以便在沒有共享密碼的情況下進行安全驗證。它還與 Cisco 的 pxGrid 架構整合，允許防火牆和 SIEM 平台等其他安全工具取用即時的身分識別內容。 這三種 ISE 授權級別分別為 Essentials、Advantage 和 Premier。Essentials 涵蓋 802.1X 和基本訪客存取。Advantage 增加了 BYOD、狀態評估以及第三方 MDM 整合。Premier 則增加了被動身分識別服務和進階威脅整合。 [medium pause] 所以 ISE 是一個嚴謹的企業級安全平台。但關鍵點在於：它的訪客入口網站是功能導向，而非商業導向。ISE 可以將未經身分驗證的裝置重導向至網頁、收集使用者名稱與密碼或保證人審批，並授予網際網路存取權限。但它無法做到的，是擷取符合 GDPR 規範的行銷同意書、執行具有社群登入功能的品牌 Splash 頁面、將訪客資料匯入 Salesforce 或 HubSpot、產生人流熱圖，或依人口統計資料對訪客進行區隔以進行行銷活動。這並非 ISE 的設計初衷，試圖將其擴展到該角色只會增加複雜性，而無法帶來商業成果。 您是一位資深網路安全顧問，正在以自信、權威且口語的語調進行英式英語的技術簡報。請清晰且步調沉穩地發言。請以標準英式發音（RP 腔調）的英式英語發言： 第二部分：Purple 的功能。 Purple 是一個雲端重疊平台。我們建置在您現有的 WiFi 基礎架構之上，無論是 Cisco Meraki、Cisco Catalyst、HPE Aruba、Ruckus、Juniper Mist 還是任何其他主要廠商。我們不取代您的硬體。我們不取代 ISE。我們處理的是訪客體驗層。 當訪客連線到您的訪客 SSID 時，Purple 會攔截該連線並呈現品牌專屬的 Captive Portal。該入口網站可以提供透過 Facebook、Google 或 LinkedIn 的社群登入、自訂資料擷取表單、一鍵連線選項，或用於在日後造訪時自動安全重新連線的 Passpoint。每次登入都會在取得明確 GDPR 同意的情況下擷取第一方資料。這些資料會直接流向您的 CRM、電子郵件行銷平台或會員忠誠度計畫。 Purple 在全球 80,000 個實體場域運作，僅在 2024 年就處理了 4.4 億次登入。我們擁有 ISO 27001 認證，符合 GDPR 與 CCPA 規範，並維持 99.999% 的正常執行時間。知名客戶包括麥當勞、Harrods、Premier Inn、AGS Airports 以及 Manchester Airports Group。 [中頓] 第三部分：它們如何在現代網路拓撲中並存。 一旦您理解了關注點分離，架構就會變得非常簡單。您在相同的存取點上執行兩到三個 SSID。企業 SSID 使用 WPA3 企業版搭配 802.1X，而 ISE 是 RADIUS 伺服器。每個員工裝置都使用憑證或認證進行身分驗證。ISE 會將裝置分配到正確的 VLAN、套用正確的原則，並記錄該工作階段。Purple 在此處不扮演任何角色。這完全是 ISE 的領域。 訪客 SSID 是開放的，或使用 WPA3 個人版搭配預先共用金鑰進行初始關聯。流量會重導向至 Purple 的雲端入口網站。Purple 處理身分驗證、同意書擷取與分析。存取點會強制執行圍牆花園（Walled Garden），直到 Purple 發出授權訊號，然後開放網際網路存取。ISE 在此處不扮演任何角色。這完全是 Purple 的領域。 對於更複雜的部署，您可以為 IoT 裝置新增第三個 SSID，並使用身分預共用金鑰（iPSK），讓每個裝置獲得對應至特定 VLAN 的唯一密碼。ISE 可以為企業 IoT 管理此功能，而 Purple 的 SecurePass 功能則可為銷售終端系統和數位看板等場域 IoT 處理此功能。 如果您希望這兩個平台之間有更緊密的整合，Cisco 的 pxGrid 允許 Purple 將訪客工作階段內容發佈到 ISE 生態系統中，如此一來，您的安全營運團隊就可以在統一的檢視中，同時看到訪客活動與企業活動。 [medium pause] 第四部分：實施建議與常見陷阱。 讓我為您說明我在部署中常看到的三個最常見錯誤。 第一：將 ISE 內建的訪客入口網站用於商業訪客 WiFi。ISE 的訪客入口網站是專為承包商和臨時員工設計的，而非針對行銷導向的訪客存取。它不具備 CRM 整合、同意管理，也沒有分析功能。如果您身處旅宿業、零售業或活動產業，您需要在訪客 SSID 上使用 Purple。ISE 負責處理企業，Purple 則負責處理訪客。請將它們分開。 第二：未正確切割 VLAN。訪客流量必須在第二層與企業流量進行隔離。Purple 在獨立的 VLAN 中運作，並直接路由至網際網路，無法存取內部資源。ISE 則強制執行企業裝置的 VLAN 分配。如果您將兩者混為一談，就會產生安全漏洞與合規性問題。 第三：忽略 walled garden（圍牆花園）設定。當 Purple 作為 Captive Portal 時，無線基地台必須在驗證前允許 DNS 和 HTTP 流量傳送至 Purple 的雲端端點。如果您的 walled garden 限制太嚴格，入口網站將無法載入。如果太寬鬆，使用者則可以繞過驗證。Purple 的支援文件提供了針對每個硬體廠商需要列入白名單的確切 IP 範圍和網域。 [medium pause] 第五部分：快速問答。 Purple 是否會取代 Cisco ISE？不會。它們在不同的 SSID 上為不同的使用者解決不同的問題。 我可以在沒有 ISE 的情況下，在 Cisco Meraki 上執行 Purple 嗎？可以。Purple 透過 Meraki API 與 Cisco Meraki 進行原生整合。訪客 WiFi 不需要 ISE。 我可以在相同的無線基地台上同時執行這兩者嗎？可以。在相同硬體上執行多個 SSID 是標準做法。 Purple 支援 802.1X 嗎？Purple 的 SecurePass 功能支援 WPA3-Enterprise 搭配 802.1X，適用於安裝了 Purple 應用程式的訪客裝置，可實現無 Captive Portal 的自動、憑證式重新連線。 那 PCI-DSS 合規性呢？訪客 WiFi 必須與付款卡系統隔離。Purple 的 VLAN 架構符合此要求。ISE 則對企業裝置強制執行相同的隔離。 [medium pause] 摘要與後續步驟。 決策框架非常簡單。如果裝置屬於您的組織或員工，則由 ISE 負責進行驗證。如果裝置屬於訪客、遊客、顧客或粉絲，則由 Purple 主導其體驗。這兩個平台共享相同的實體基礎架構，但在完全不同的邏輯層運作。 接下來的步驟，請規劃您目前的 SSID 架構。識別哪些 SSID 屬於企業，哪些屬於訪客。確認訪客流量是否已進行 VLAN 隔離。然後評估您目前的訪客入口網站是否能提供業務團隊所需的行銷同意、分析以及 CRM 整合。如果無法提供，這就是 Purple 可以補足的差距。 您可以在 purple.ai 找到完整的書面指南、架構圖和實作範例。感謝您的寶貴時間。