Aruba ClearPass-Alternativen: Ersetzen von On-Premise-NAC durch Cloud-RADIUS

Für die meisten Standorte mit mehreren Filialen ist Cloud RADIUS die stärkste ClearPass-Alternative. Purple führt die EAP-TLS-Authentifizierung gegen Microsoft Entra ID, Okta oder Google Workspace auf den Access Points aus, die Sie bereits besitzen. Es bietet eine Plattform-Betriebszeit von 99,999 %. Cloud RADIUS bietet Network Access Control, ohne lokale RADIUS-Apparate hosten zu müssen.

Sollten Sie ClearPass durch Cloud RADIUS ersetzen?

Ja, wenn Sie WiFi über viele Standorte hinweg betreiben und Ihre Identitäten bereits in der Cloud liegen. Der Aruba ClearPass Policy Manager ist eine ausgereifte Plattform für Network Access Control (NAC). NAC entscheidet, welche Personen und Geräte dem Netzwerk beitreten und auf welchem Segment sie landen. ClearPass trifft diese Entscheidung auf Appliances, die Sie hosten, dimensionieren, patchen und erneuern.

Cloud RADIUS trifft dieselbe Entscheidung als Service. RADIUS ist das Protokoll, mit dem Ihre Access Points einen Server fragen, ob ein Gerät beitreten darf (RFC 2865). IEEE 802.1X ist der portbasierte Zugangsstandard, der diesen Austausch zwischen Gerät, Access Point und Server überträgt. Bei Cloud RADIUS bleiben der Access Point, die SSID und der 802.1X-Austausch gleich. Nur der antwortende Server ändert sich.

Das Urteil für Purple gilt unter folgenden Bedingungen:

• Ihre Identitäten befinden sich in Microsoft Entra ID, Okta oder Google Workspace.
• An Ihren Standorten kommen Access Points von mehr als einem Hersteller zum Einsatz oder dies könnte nach der nächsten Erneuerung der Fall sein.
• Ihr Team möchte lieber Richtlinien verwalten als RADIUS-Server zu betreuen.

Cloud RADIUS eliminiert die Appliance-Landschaft, ohne die Kontrolle zu nehmen, und bietet eine zentrale Richtlinienverwaltung über alle Standorte hinweg.

{"items":[{"value":"99.999%","label":"Plattform-Betriebszeit-SLA","note":"Purple Access"},{"value":"99.999%","label":"Purple Plattform-Betriebszeit"},{"value":"80,000+","label":"Standorte in 90 Ländern"},{"value":"5,000","label":"JPMorgan-Filialen auf Purple","note":"Mitarbeiter-WiFi"}]}

Purple betreibt den größten Cloud RADIUS der Welt. Die RADIUS-Migration ist in der Regel eine Wochenendaufgabe, und Sie müssen keine Access Points austauschen.

Welche Kriterien entscheiden über einen ClearPass-Ersatz?

Wir haben Optionen verglichen, die Netzwerkteams in die engere Wahl ziehen, wenn ClearPass-Appliances oder -Lizenzen zur Verlängerung anstehen:

• Aruba ClearPass Policy Manager, On-Premise. Der Status quo für viele HPE Aruba-Umgebungen, bereitgestellt als Hardware- oder virtuelle Appliances.
• FreeRADIUS, selbst gehostet. Der Open-Source-RADIUS-Server (freeradius.org), den Teams mit starken Linux-Kenntnissen häufig in Betracht ziehen.
• Purple Cloud RADIUS. Die Authentifizierungs-Engine hinter dem sicheren Netzwerk in Purple Access.

NAC, das als Teil der Management-Cloud eines einzelnen Hardware-Herstellers verkauft wird, haben wir ausgeklammert. An Ihren Standorten sind Geräte mehrerer Hersteller im Einsatz, sodass eine herstellerspezifische Policy-Engine nur einen Teil des Problems löst.

Die Kriterien, die die Entscheidung für standortübergreifendes WiFi bestimmen:

1. Betriebsmodell. Wer betreibt, patcht und aktualisiert die Authentifizierungsserver.
2. Verfügbarkeit. Wie die Betriebszeit sichergestellt wird und wer die Verantwortung dafür trägt.
3. Kompatibilität mit Access Points. Welche Access Points ohne Änderungen über Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist und Ubiquiti UniFi hinweg funktionieren.
4. Identität. Wo das Verzeichnis liegt und wie Zugänge, Rollenwechsel und Abgänge die Netzwerkrichtlinien erreichen.
5. Zertifikatsbasierter Zugriff. Unterstützung für EAP-TLS (RFC 5216), bei dem sich jedes Gerät mit einem Zertifikat statt mit einem Passwort authentifiziert. Dieses Kriterium umfasst auch, wer die Public-Key-Infrastruktur (PKI) betreibt.
6. Netzwerkumfang. Ob eine einzelne Plattform offene, sichere und xPSK-Netzwerke abdeckt.

Laufende Kosten und Migrationsaufwand werden weiter unten in eigenen Abschnitten behandelt. Jede Option wird ausschließlich auf der Grundlage der eigenen öffentlichen Dokumentation bewertet.

{"tone":"note","title":"Umfang dieses Vergleichs","text":"Dieser Leitfaden behandelt die WiFi-Authentifizierung. Kabelgebundenes 802.1X an Switch-Ports, TACACS+-Geräteadministration und Endpoint-Posture-Agenten sind ClearPass-Funktionen außerhalb dieses Umfangs. Wir weisen darauf hin, wenn sie die Antwort verändern."}

Wie schneiden ClearPass-Alternativen im Vergleich ab?

{"caption":"ClearPass-Alternativen im Vergleich anhand der Kriterien, die eine standortübergreifende WiFi-Infrastruktur entscheiden","asOf":"2026-06-10","columns":[{"key":"c","label":"Kriterium"},{"key":"cp","label":"Aruba ClearPass (On-Premise)"},{"key":"fr","label":"FreeRADIUS (Self-Hosted)"},{"key":"pa","label":"Purple Cloud-RADIUS","highlight":true}],"rows":[["Betriebsort","Hardware oder virtuelle Appliances in Ihrem Rechenzentrum","Linux-Server, die Sie selbst aufbauen und hosten","Cloud-nativer Service von Purple; keine Hardware vor Ort"],["Patching und Upgrades","Ihr Team plant jedes Release und jeden Patch","Ihr Team patcht das Betriebssystem und die Pakete","Purple aktualisiert die Plattform, die mit 99,999 % Verfügbarkeit läuft"],["Verfügbarkeit","Publisher- und Subscriber-Cluster, die Sie dimensionieren und hosten","Redundante Server und Failover, die Sie selbst entwerfen","99,999 % Plattform-Verfügbarkeit"],["Access-Point-Kompatibilität","Standardbasiertes RADIUS von Multi-Vendor-Netzwerkgeräten","Standardbasiertes RADIUS von jedem Netzwerkgerät","Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, Fortinet"],["Identitätsquellen","Active Directory, LDAP, SQL- und Token-Server","LDAP-, SQL- und Kerberos-Module, die Sie konfigurieren","Microsoft Entra ID, Okta, Google Workspace; Ein-, Um- und Austritte fließen direkt aus dem IdP"],["EAP-TLS und Zertifikate","Unterstützt; Onboard-Modul stellt Geräte-Zertifikate bereit","Unterstützt; Sie betreiben die PKI","Unterstützt; Zertifikate an die IdP-Identität gebunden"],["Richtlinie zu VLAN","Enforcement-Profile geben RADIUS-Attribute zurück","Richtliniendateien, die Sie schreiben und testen","Identität legt das VLAN über RADIUS-Attribute fest"],["Abgedeckte Netzwerke","Policy Manager plus Guest- und Onboard-Module","Nur Authentifizierung; Portal und PKI sind separate Setups","Offene, sichere und xPSK-Netzwerke sowie Passpoint auf einer Plattform"]],"footnote":"Bewertet auf Basis der öffentlich zugänglichen Dokumentation der jeweiligen Option. Kabelgebundene Port-Durchsetzung, TACACS+ und Posture-Agenten liegen außerhalb dieses WiFi-Umfangs.","download":{"filename":"clearpass-alternatives-matrix.csv"}}

Alle Optionen nutzen standardmäßiges RADIUS, sodass keine davon neue Access Points erzwingt. Die Unterschiede liegen oberhalb des Protokolls. Bei ClearPass und FreeRADIUS verbleiben die Server, das Redundanzkonzept und der Patch-Zyklus in der Verantwortung Ihres Teams. Purple nimmt Ihrem Team alle drei Aufgaben ab und garantiert eine hohe Plattform-Verfügbarkeit.

Die Identitätsverwaltung ist die zweite Trennlinie. ClearPass und FreeRADIUS wurden für On-Premise-Verzeichnisse entwickelt. Beide können Cloud-Identitäten einbinden, aber Sie müssen diese Verbindung konfigurieren und warten. Purple setzt direkt bei Microsoft Entra ID, Okta oder Google Workspace an. Ein im IdP deaktivierter Mitarbeiter verliert sofort den Netzwerkzugriff, ohne dass eine separate Änderung im NAC erforderlich ist.

Wo punktet welche Option?

Jede Option bietet unterschiedliche Funktionen. Die Frage ist, ob ihre Architektur zu Ihrer Infrastruktur passt.

Wo ClearPass punktet

Aruba ClearPass wurde für On-Premise-Hardware-Implementierungen und ältere Infrastrukturanforderungen entwickelt. Aruba dokumentiert die kabelgebundene 802.1X-Durchsetzung auf Switch-Ports, TACACS+ für die Switch- und Router-Administration sowie OnGuard-Posture-Checks. Ein Posture-Check überprüft den Sicherheitsstatus eines Geräts, wie z. B. den Antivirenstatus, bevor der Zugriff gewährt wird. Wenn Ihr Sicherheitsmodell von diesen Funktionen einer zentralen Konsole abhängt, deckt ClearPass diesen Umfang ab.

ClearPass richtet sich auch an Unternehmen mit bestehenden Infrastrukturinvestitionen. Teams mit jahrelang feinabstimmten Durchsetzungsdiensten und geschulten ClearPass-Ingenieuren stehen vor Wechselkosten. Diese Kosten bestehen hauptsächlich in der Richtlinienübersetzung, die im folgenden Migrationsabschnitt behandelt wird.

Wo FreeRADIUS punktet

FreeRADIUS bietet Open-Source-Flexibilität und Kontrolle. Es ist Open Source unter der GPL, sodass keine Lizenzgebühren anfallen und Sie jede Zeile einsehen können. Es eignet sich für selbstverwaltete Implementierungen, die von Teams betrieben werden, die mit Linux und der RADIUS-Konfiguration vertraut sind.

Der Kompromiss besteht darin, dass Sie alles selbst darum herum aufbauen müssen. Dazu gehören Redundanz, eine PKI für EAP-TLS, ein Captive Portal für Besucher und das Monitoring. Kein Anbieter übernimmt eine Verfügbarkeitsverpflichtung. Bei einer Skalierung über mehrere Standorte hinweg wird diese Entwicklungszeit zum dominanten Kostenfaktor.

Wo die Cloud-RADIUS von Purple punktet

Purple punktet bei standort- und herstellerübergreifenden Umgebungen, deren Identitätsverwaltung in die Cloud verlagert wurde. Sie richten jeden SSID über die Konsole, die Sie bereits nutzen, auf Purple aus. Zu diesen Konsolen gehören das Cisco Meraki Dashboard, HPE Aruba Networking Central, Juniper Mist und die UniFi Network-Anwendung. Die Identität aus Ihrem IdP legt die VLAN fest, und dieselbe Regel gilt an jedem Standort.

Zudem bietet es einen breiten operativen Umfang. Purple Access betreibt offene, sichere und xPSK Netzwerke auf einer einzigen Plattform. Das offene Netzwerk umfasst den Zugriff über ein Captive Portal und BYOD-Onboarding. Das sichere Netzwerk deckt EAP-TLS, IdP-Integration, Passpoint und Cloud-RADIUS ab. Das xPSK Netzwerk weist jedem Gerät oder Bewohner einen eigenen Schlüssel zu. Auf ClearPass umfasst das Äquivalent den Policy Manager plus separat lizenzierte Guest- und Onboard-Module.

{"kind":"lanes","direction":"lr","caption":"On-Premise ClearPass leitet RADIUS per Backhaul an von Ihnen gehostete Appliances weiter; Purple beantwortet dieselbe 802.1X-Anfrage aus der Cloud","alt":"Zwei Bahnen vergleichen Access Points, die RADIUS über das WAN an ein gehostetes ClearPass-Cluster und Active Directory senden, mit denselben Access Points, die RADIUS an Purple Cloud-RADIUS senden, das den Identity Provider prüft und ein VLAN zurückgibt.","lanes":[{"id":"l1","label":"Heute: On-Premise ClearPass"},{"id":"l2","label":"Später: Purple Cloud-RADIUS"}],"nodes":[{"id":"a1","label":"Access Points","sub":"Aruba, Meraki, Ruckus, Mist, UniFi","lane":"l1","tone":"neutral"},{"id":"b1","label":"Standort-WAN oder VPN","sub":"RADIUS per Backhaul ins Rechenzentrum weitergeleitet","lane":"l1","tone":"neutral"},{"id":"c1","label":"ClearPass-Cluster","sub":"Von Ihnen gehostete Publisher- und Subscriber-Appliances","lane":"l1","tone":"neutral"},{"id":"d1","label":"Active Directory","sub":"On-Premise-Verzeichnis und LDAP","lane":"l1","tone":"neutral"},{"id":"a2","label":"Access Points","sub":"Gleiche Hardware, gleiche SSIDs","lane":"l2","tone":"neutral"},{"id":"c2","label":"Purple Cloud-RADIUS","sub":"EAP-TLS mit 99,999 % Verfügbarkeit","lane":"l2","tone":"brand"},{"id":"d2","label":"Ihr Identity Provider","sub":"Microsoft Entra ID, Okta, Google Workspace","lane":"l2","tone":"neutral"},{"id":"e2","label":"VLAN nach Identität","sub":"An den Access Point zurückgegebene RADIUS-Attribute","lane":"l2","tone":"success"}],"edges":[{"from":"a1","to":"b1","label":"802.1X-Anfrage","style":"solid"},{"from":"b1","to":"c1","label":"RADIUS","style":"solid"},{"from":"c1","to":"d1","label":"Verzeichnisabfrage","style":"solid"},{"from":"a2","to":"c2","label":"RADIUS","style":"solid"},{"from":"c2","to":"d2","label":"Identität und Gruppen","style":"solid"},{"from":"c2","to":"e2","label":"Access-Accept","style":"solid"},{"from":"e2","to":"a2","label":"VLAN angewendet","style":"dashed"}]}

Wie ordnet sich Purple im Vergleich zu ClearPass ein?

{"title":"Welche ClearPass-Alternative passt zu Ihrer Infrastruktur","options":[{"name":"Aruba ClearPass (On-Premise)","fitsWhen":["Legacy-Anforderungen eine On-Premise-Hardwareinfrastruktur vorschreiben","Sie vor dem Zugriff auf OnGuard-Posture-Prüfungen angewiesen sind","Eine einzige Engine auch TACACS+ und kabelgebundene Ports abdecken muss"],"notWhen":["Sie keine Appliances mehr betreiben möchten","Ihre ClearPass-Spezialisten das Unternehmen verlassen haben"]},{"name":"FreeRADIUS (Self-Hosted)","fitsWhen":["Kleiner Umfang mit starken Linux- und RADIUS-Kenntnissen","Sie Open-Source-Code wünschen, den Sie selbst steuern"],"notWhen":["Sie eine Uptime-Zusage eines Herstellers benötigen","Sie integrierten Gastzugang oder BYOD-Onboarding benötigen"]},{"name":"Purple Cloud RADIUS","fitsWhen":["Ihre Infrastruktur Meraki, Aruba, Ruckus, Mist oder UniFi kombiniert","Identitäten in Microsoft Entra ID, Okta oder Google Workspace liegen","Sie keine RADIUS-Server hosten oder patchen möchten","Sie offene, sichere und xPSK-Netzwerke betreiben"],"notWhen":["Sie On-Premise RADIUS-Appliances aufbauen und verwalten möchten"]}],"recommendation":"Für WiFi-Infrastrukturen an mehreren Standorten mit Cloud-Identität wählen Sie Purple Cloud RADIUS: hardwareunabhängig, 99,999 % Plattform-Uptime und eine Migration, die meist an einem Wochenende erledigt ist."}

Purple fügt sich als Cloud-Overlay in das Netzwerk ein, das Sie bereits betreiben. Es wird kein Controller ersetzt und keine Appliance installiert. Die Access Points arbeiten wie gewohnt weiter. Sie senden eine 802.1X-Anfrage, empfangen ein Access-Accept mit VLAN-Attributen und weisen das Gerät dem richtigen Segment zu.

Die VLAN-Zuweisung nutzt die Standard-Tunnelattribute, die für 802.1X in RFC 3580 definiert sind. Diese Attribute sind Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID. Jeder Hersteller in der kanonischen Liste unterstützt diese, weshalb eine einzige Richtlinie über eine gemischte Infrastruktur hinweg funktioniert.

{"tone":"proof","title":"Bewährt im Filialmaßstab","text":"JPMorgan betreibt Mitarbeiter-WiFi mit Purple über 5.000 Filialen hinweg auf dem größten Cloud RADIUS der Welt."}

Purple deckt auch die Netzwerke ab, die ClearPass auf verschiedene Module aufteilt. Besucher erreichen das offene Netzwerk über ein Captive Portal - die Webseite, die den Zugriff gewährt, bevor das Netzwerk es tut. Mitarbeitergeräte verbinden sich über EAP-TLS mit dem sicheren Netzwerk. Geräte, die 802.1X nicht ausführen können, wie Drucker und Smart-TVs, treten dem xPSK-Netzwerk mit einem eigenen Schlüssel bei. Passpoint, auch Hotspot 2.0 genannt, ermöglicht es registrierten Geräten, sich automatisch und sicher ohne Portal zu verbinden.

Angrenzende Funktionen sind in anderen Purple-Produkten enthalten. Gast-Marketing läuft in Purple Engage, und DNS-Filterung läuft in Purple Shield. Beides wird für das Ersetzen von ClearPass nicht benötigt.

Was kostet der Betrieb der einzelnen Optionen?

Lizenzzeilen entscheiden diesen Vergleich selten. Die Betriebskosten tun es. Die folgende Tabelle zeigt die Kostenstruktur jeder Option, nicht die genauen Beträge.

{"caption":"Laufende Kostenstruktur nach Option (nur Struktur, keine Beträge)","asOf":"2026-06-10","columns":[{"key":"line","label":"Kostenart"},{"key":"cp","label":"Aruba ClearPass (On-Premise)"},{"key":"fr","label":"FreeRADIUS (Self-Hosted)"},{"key":"pa","label":"Purple Cloud RADIUS","highlight":true}],"rows":[["Software","Lizenzen pro gleichzeitigen Endpunkt, zuzüglich Add-on-Module","Keine Lizenzgebühr; GPL-Open-Source","Abonnement für Purple Access"],["Infrastruktur","Appliances oder Hypervisor-Kapazitäten, die Sie bereitstellen","Server oder Cloud-Instanzen, die Sie bereitstellen","Keine zum Hosten; Purple betreibt die RADIUS-Umgebung"],["Hochverfügbarkeit","Zusätzliche Cluster-Knoten, die Sie kaufen und hosten","Zusätzliche Server und Failover, die Sie aufbauen","Enthalten: 99,999 % Plattform-Betriebszeit"],["Zertifikate","Onboard-Lizenzierung plus Ihre Zertifizierungsstelle","Ihre Zertifizierungsstelle und Enrolment-Tools","Abgedeckt durch das sichere Netzwerk von Purple Access"],["Upgrades","Personalaufwand und Wartungsfenster pro Release","Personalaufwand pro Betriebssystem- und Paket-Update","Wird von Purple durchgeführt"],["Skills","ClearPass-Spezialisten oder Partner-Support","Linux- und RADIUS-Engineering","Netzwerkteam verwaltet Richtlinien in einer Konsole"],["Erneuerung","Appliance-Erneuerung am Ende des Supports","Server-Erneuerung im Rahmen Ihres Hardware-Zyklus","Keine Hardware-Erneuerung"]],"footnote":"ClearPass-Lizenzierungsstruktur aus den öffentlichen Lizenzierungsdokumenten von Aruba. FreeRADIUS-Lizenzbedingungen von freeradius.org."}

Die Kosten für ClearPass skalieren mit den Endpunkten und der Ausfallsicherheit. Jeder zusätzliche Cluster-Knoten bedeutet mehr Hardware- oder Hypervisor-Kapazität sowie ein weiteres System, das gepatcht werden muss. Add-on-Module wie Onboard und OnGuard bringen eigene Lizenzpositionen mit sich. Die Erneuerung der Appliances erfolgt in einem festen Zyklus - unabhängig davon, ob Ihre Umgebung gewachsen ist oder nicht.

FreeRADIUS verlagert die Kosten von den Lizenzen auf das Personal. Die Software ist kostenlos, aber Redundanz, PKI, Überwachung und Gastzugang sind Engineering-Projekte. Jedes einzelne davon muss gewartet werden, selbst wenn der Ingenieur, der es aufgebaut hat, das Unternehmen verlässt.

Purple fasst diese Positionen in einem einzigen Abonnement zusammen. Sie müssen keine Cluster-Knoten mehr kaufen, keine Appliances mehr patchen und keine Erneuerungen mehr planen. Purple übernimmt die Verpflichtung zur Betriebszeit. Wenn Sie Ihren Business Case erstellen, rechnen Sie die Arbeitsstunden ein, die ClearPass-Upgrades jedes Jahr in Anspruch nehmen. Diese Position ist meist diejenige, die den Ausschlag gibt.

Was beinhaltet die Migration von ClearPass?

Die Migration von ClearPass ist eine Übung zur Übersetzungsarbeit von Richtlinien und kein Hardware-Projekt. Die eigentliche RADIUS-Umstellung ist meist an einem Wochenende erledigt. Die Arbeit, die für einen reibungslosen Ablauf sorgt, findet in den Wochen davor statt.

1. Analysieren Sie Ihre ClearPass-Dienste. Listen Sie jeden Dienst, seine Authentifizierungsquelle, seine Durchsetzungsrichtlinie und die von ihm zurückgegebenen RADIUS-Attribute auf. In den meisten Umgebungen stellt sich heraus, dass eine kleine Anzahl von Diensten fast den gesamten Datenverkehr abdeckt.
2. Ordnen Sie Rollen den VLANs zu. Schreiben Sie jede Durchsetzungsregel als Identitätsgruppe für ein VLAN um. Notieren Sie, welche Regeln von Profiling oder Posture abhängen, da für diese vor der Umstellung eine Entscheidung getroffen werden muss.
3. Verbinden Sie Ihren Identity Provider. Verknüpfen Sie Microsoft Entra ID, Okta oder Google Workspace mit Purple. Gruppen im IdP werden zu den Eingangsgrößen für Ihre Netzwerkrichtlinien.
4. Zertifikats-Trust planen. Entscheiden Sie, wie Geräte dem neuen RADIUS-Serverzertifikat vertrauen und wie ClearPass-Onboard-Geräte sich erneut für EAP-TLS registrieren.
5. Pilotprojekt an einem Standort. Füg Sie Purple als RADIUS-Server für eine SSID in Ihrer bestehenden Konsole hinzu. Bestätigen Sie die VLAN-Zuweisung für jede Identitätsgruppe.
6. Umschaltung in Wellen. Richten Sie die SSIDs Standort für Standort neu aus, gewöhnlich über ein Wochenende, während ClearPass weiterhin als Fallback bereitsteht.
7. ClearPass stillegen. Nach einer Testphase können Sie den Cluster außer Betrieb nehmen. Exportieren Sie zuvor die Accounting-Logs gemäß Ihren Aufbewahrungsrichtlinien.

{"tone":"warning","title":"Das Risiko, das schmerzt: Zertifikats-Trust","text":"PEAP- und EAP-TLS-Clients validieren das RADIUS-Serverzertifikat. Ein neues Serverzertifikat unterbricht daher die Verbindungen bei nicht verwalteten Profilen. Übertragen Sie die aktualisierten Vertrauenseinstellungen vor der Umschaltung über Ihr MDM, nicht erst in der Nacht der Umstellung."}

PEAP (Protected EAP) hüllt eine Passwort-Anmeldung in einen TLS-Tunnel ein und ist daher ebenfalls auf dieses Serverzertifikat angewiesen. MDM (Mobile Device Management) ist der schnellste Weg, um Vertrauenseinstellungen auf Unternehmensgeräten zu aktualisieren. Beispiele hierfür sind Microsoft Intune und Jamf. BYOD-Geräte werden über das offene Netzwerk neu registriert.

{"tone":"tip","title":"Betreiben Sie während des Pilots beide Server","text":"Tragen Sie Purple als primären RADIUS-Server und ClearPass als sekundären Server für Ihre Pilot-SSID ein. So validieren Sie Richtlinien bei live übertragenem Datenverkehr, und ein Rollback erfordert nur eine einzige Änderung in der Konsole."}

Die Phasen ähneln einer Migration von Cisco ISE sehr stark. Wenn Sie ISE auch an anderen Standorten betreiben, nutzt der Schritt-für-Schritt-Umschaltplan für Cisco ISE dieselbe Struktur.

Wie sollten Sie sich entscheiden?

Berücksichtigen Sie bei der Bewertung Ihrer Netzwerkarchitektur die betrieblichen Kosten für die Verwaltung einer lokalen Serverinfrastruktur. Cloud RADIUS erübrigt das Hosting von Appliances, die Wartung sowie manuelle Upgrades und bietet gleichzeitig eine zentrale Zugriffskontrolle. Wählen Sie Purple Cloud RADIUS für Standorte an mehreren Orten, gemischte Hardware-Umgebungen oder Cloud-Identitätsintegrationen.

Prüfen Sie vor dem Start einer Migration etwaige spezielle Anforderungen im Vergleich zu Ihrer ClearPass-Konfiguration. Wenn bestimmte Dienste von OnGuard-Posture, TACACS+ oder der Durchsetzung von Richtlinien an kabelgebundenen Ports abhängen, planen Sie diese separat und stellen Sie die WiFi-Authentifizierung zuerst um. Das WiFi verursacht den Großteil der Appliance-Auslastung, der Lizenzanzahl und des Upgrade-Aufwands.

Ihr nächster Schritt ist ein Pilotprojekt. Exportieren Sie Ihre ClearPass-Dienste und verbinden Sie Ihren IdP mit Purple. Richten Sie dann eine SSID an einem Standort neu aus. Für den weiteren Sicherheitskontext lesen Sie den Leitfaden für Enterprise WiFi Security. Wenn ISE ebenfalls in Ihrer Umgebung im Einsatz ist, vergleichen Sie es mit dem Leitfaden zu Cisco ISE Alternativen.

Häufig gestellte Fragen

Ist Purple ein direkter Ersatz für Aruba ClearPass?

Ja, für die WiFi-Authentifizierung. Purple ersetzt ClearPass Policy Manager, Guest und Onboard für den drahtlosen Zugriff durch Cloud-RADIUS, ein Captive Portal und BYOD-Onboarding. Es läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Bevor Sie ClearPass abschalten, sollten Sie die Durchsetzung kabelgebundener Ports, TACACS+ oder Posture-Prüfungen separat prüfen. Diese liegen außerhalb der WiFi-Authentifizierung und erfordern eine eigene Entscheidung.

Funktioniert Cloud-RADIUS mit den Aruba Access Points, die wir bereits besitzen?

Ja. HPE Aruba Access Points senden standardmäßige 802.1X-RADIUS-Anfragen, sodass Sie die SSID auf Purple statt auf ClearPass ausrichten. Es wird kein Access Point ausgetauscht und es trifft keine neue Hardware vor Ort ein. Das Gleiche gilt für Cisco Meraki, Ruckus, Juniper Mist und Ubiquiti UniFi. Eine gemischte Umgebung wechselt somit zu einer einzigen Richtlinienquelle, die über die Konsolen konfiguriert wird, die Ihr Team bereits nutzt.

Wie lange dauert eine ClearPass-Migration?

Die RADIUS-Umstellung ist in der Regel eine Aufgabe fürs Wochenende. Die Planung davor dauert länger. Sie analysieren Ihre ClearPass-Dienste, ordnen Rollen den VLANs zu, binden Ihren Identitätsanbieter an und entscheiden, wie Geräte dem neuen Serverzertifikat vertrauen sollen. Die meisten Teams führen zuerst an einem Standort einen Pilotversuch durch und stellen die restlichen Standorte dann schrittweise um. ClearPass bleibt als Fallback verfügbar, bis die Testphase endet.

Wie sind die Preise für Cloud-RADIUS im Vergleich zu ClearPass?

Purple ist ein Abonnement ohne Appliances, Hypervisor-Kapazitäten oder zu hostende Clusterknoten. ClearPass wird pro gleichzeitigem Endpunkt lizenziert, mit Zusatzmodulen wie Onboard und OnGuard. Zudem läuft es auf von Ihnen bereitgestellten Appliances oder virtuellen Maschinen. Vergleichen Sie die Gesamtbetriebskosten und nicht nur die Lizenzposition. Berücksichtigen Sie Clusterknoten, Upgrade-Aufwand, Spezialistenzeit und Appliance-Erneuerungen.

Benötigen Geräte neue Zertifikate, wenn wir ClearPass verlassen?

In der Regel ja. Geräte, die über ClearPass Onboard registriert wurden, verfügen über Zertifikate dieser Zertifizierungsstelle, sodass sie sich für EAP-TLS erneut registrieren müssen. PEAP-Clients validieren auch das RADIUS-Serverzertifikat, daher muss ihr WiFi-Profil dem neuen Zertifikat vertrauen. Übertragen Sie die Änderung vor der Umstellung über Ihr MDM. Die Mitarbeiter verbinden sich anschließend neu, ohne zu merken, dass sich der antwortende Server geändert hat.

Kann Cloud-RADIUS Nachweise für PCI DSS- oder ISO 27001-Audits liefern?

Ja. Purple verfügt über eine ISO 27001- und Cyber Essentials-Zertifizierung. Die identitätsbasierte VLAN-Zuweisung liefert Ihnen Nachweise für die PCI DSS-Netzwerksegmentierung und für Zugriffsüberprüfungen. Ihr Auditor bewertet weiterhin Ihre gesamte Umgebung. Cloud-RADIUS liefert Nachweise für die Zugriffskontrollen und stellt keine Selbstzertifizierung dar. Planen Sie daher vor der Umstellung, welche Berichte Ihr Auditor benötigt.

Unterstützt Purple sowohl Passpoint und xPSK als auch 802.1X?

Ja. Purple Access betreibt offene, sichere und xPSK Netzwerke auf einer Plattform. Über Passpoint können registrierte Geräte automatisch und sicher beitreten, ohne ein Captive Portal. xPSK weist jedem Gerät oder Bewohner einen eigenen Schlüssel zu, was sich für Geräte eignet, auf denen 802.1X nicht ausgeführt werden kann, wie z. B. Drucker und Smart-TVs. Die Identität legt die VLAN in allen drei Netzwerken fest, sodass die Segmentierung in Ihrer gesamten Umgebung konsistent bleibt.