Cisco ISE-Alternativen für die WiFi-Authentifizierung: Was Sie vergleichen sollten

Die beste Cisco ISE-Alternative für die WiFi-Authentifizierung ist Cloud-RADIUS, vorausgesetzt, ISE verarbeitet hauptsächlich 802.1X über WiFi. Purple führt EAP-TLS gegen Microsoft Entra ID, Okta oder Google Workspace auf den Access Points aus, die Sie bereits besitzen. Es bietet eine SLA für die RADIUS-Betriebszeit von 99,9 % und es müssen keine Server gehostet werden. Die RADIUS-Migration ist in der Regel an einem Wochenende erledigt.

Die kurze Antwort: Wann Cloud-RADIUS die Lösung Cisco ISE schlägt

Für die meisten Umgebungen mit mehreren Standorten ist Purple der richtige Ersatz für Cisco ISE für WiFi. Dieses Urteil hängt von einer Bedingung ab: Wie viel der Arbeit von ISE findet außerhalb von WiFi statt.

Cisco ISE ist eine vollständige Network Access Control (NAC)-Plattform. Sie authentifiziert WiFi und kabelgebundene Ports, profiliert Geräte und überprüft deren Status. Zudem verwaltet sie Switches und Router über TACACS+, ein Geräteverwaltungsprotokoll. Viele Unternehmen haben all das erworben und nutzen nur einen Teil davon: IEEE 802.1X über WiFi.

IEEE 802.1X ist der Standard für die portbasierte Zugriffskontrolle. Der Access Point leitet Anmeldeinformationen an einen RADIUS-Server weiter, der das Gerät akzeptiert oder ablehnt. RADIUS ist das in RFC 2865 definierte Authentifizierungsprotokoll. EAP-TLS, definiert in RFC 5216, authentifiziert jedes Gerät mit einem Zertifikat statt mit einem Passwort.

Die Antwort ändert sich, wenn der Umfang über WiFi hinausgeht. Angenommen, ISE setzt auch kabelgebundenen Status und TACACS+ über eine Cisco-Switching-Umgebung durch. Ein vollständiger Ersatz bedeutet dann, dass auch diese Funktionen ersetzt werden müssen. Übertragen Sie in diesem Fall zuerst die WiFi-Authentifizierung auf Purple. Belassen Sie die kabelgebundene Arbeitslast dort, wo sie läuft, und planen Sie deren Ersetzung als separates Projekt.

Welche Kriterien entscheiden über einen Ersatz für Cisco ISE?

Wir haben vier Optionen bewertet. Cisco ISE ist der Status quo. Aruba ClearPass ist die andere On-Premises-NAC-Lösung, die Netzwerkteams in die engere Wahl ziehen. Microsoft Network Policy Server (NPS) ist die Windows Server-Rolle, auf die viele Teams zurückgreifen. Purple ist Cloud-RADIUS.

Sieben Kriterien entscheiden über die Wahl für eine WiFi-Umgebung mit mehreren Standorten:

1. Bereitstellungsmodell. Wer hostet, patcht und dimensioniert die RADIUS-Server: Sie oder der Anbieter.
2. Access-Point-Abdeckung. Ob die Option mit der bereits vorhandenen Cisco Meraki-, HPE Aruba-, Ruckus-, Juniper Mist- oder Ubiquiti UniFi-Umgebung funktioniert.
3. Identitätsquelle. Ob die Authentifizierung gegen ein lokales Active Directory, einen Cloud-Identity-Provider (IdP) oder beides erfolgt.
4. Authentifizierungsmethoden. EAP-TLS für zertifikatsbasierten Zugriff sowie Passpoint. Passpoint, auch Hotspot 2.0 genannt, ermöglicht Geräten mithilfe eines installierten Profils eine automatische und sichere Verbindung.
5. Netzwerktypen auf einer Plattform. Offene Netzwerke mit einem Captive Portal, sichere 802.1X-Netzwerke und xPSK. xPSK bedeutet einen eindeutigen Pre-Shared Key pro Gerät oder Bewohner, der von Anbietern als iPSK oder PPSK vertrieben wird.
6. Umfang über WiFi hinaus. Kabelgebundenes 802.1X, TACACS+, Geräteprofilierung und Statusbewertung.
7. Verfügbarkeit. Wer die Redundanz konzipiert und ob ein SLA diese absichert.

{"tone":"note","title":"Umfang dieses Vergleichs","text":"Dieser Leitfaden vergleicht ausschließlich die WiFi-Authentifizierung. Die Einträge der Mitbewerber basieren auf der jeweiligen öffentlichen Dokumentation des Herstellers; es werden keine Preise von Mitbewerbern genannt."}

Vergleich von Purple, Cisco ISE, ClearPass und NPS

Die Matrix bewertet jede Option anhand der sieben Kriterien. Die Spalte für Purple ist hervorgehoben.

{"caption":"Cisco ISE-Alternativen für die WiFi-Authentifizierung im Vergleich nach sieben Kriterien","asOf":"2026-06-10","columns":[{"key":"c","label":"Kriterium"},{"key":"p","label":"Purple","highlight":true},{"key":"i","label":"Cisco ISE"},{"key":"a","label":"Aruba ClearPass"},{"key":"n","label":"Microsoft NPS"}],"rows":[["Bereitstellungsmodell","Cloud-RADIUS von Purple betrieben; nichts zu hosten","Appliance oder VM, die Sie betreiben, vor Ort oder in AWS, Azure oder OCI","Hardware oder virtuelle Appliance, die Sie betreiben","Windows Server-Rolle, die Sie betreiben"],["Access-Point-Abdeckung","Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks, Fortinet","Cisco an erster Stelle; Drittanbieter-Geräte über Netzwerkgeräte-Profile","Herstellerübergreifend für Kabel und WLAN","Jeder Access Point oder Controller, der RADIUS spricht"],["Identitätsquelle","Microsoft Entra ID, Okta, Google Workspace","Active Directory und LDAP; Cloud-IdPs über zusätzliche Integration","Active Directory, LDAP und SQL; Cloud-IdPs über zusätzliche Integration","On-Premises Active Directory"],["Authentifizierungsmethoden","EAP-TLS und Passpoint","EAP-TLS und PEAP","EAP-TLS und PEAP","EAP-TLS und PEAP"],["Netzwerktypen","Offene, sichere und xPSK-Netzwerke auf einer Plattform","Gäste-Portale plus iPSK über RADIUS-Attribute","ClearPass Guest plus MPSK","Nur sicheres 802.1X; kein Gäste-Portal oder Schlüssel pro Gerät"],["Umfang über WiFi hinaus","Nur WiFi-Zugang","Kabelgebundenes 802.1X, TACACS+, Profiling, Posture","Kabelgebundenes 802.1X, TACACS+, Profiling, OnGuard-Posture","Kabelgebundenes 802.1X und VPN-RADIUS"],["Verfügbarkeit","SLA über 99,9 % RADIUS-Betriebszeit auf einer Plattform mit 99,999 % Betriebszeit","Redundante Knoten, die Sie konzipieren und betreiben","Cluster, die Sie konzipieren und betreiben","Mehrere NPS-Server, die Sie konzipieren und betreiben"]],"footnote":"Die Einträge der Mitbewerber fassen die öffentliche Dokumentation des jeweiligen Anbieters zusammen. Die Angaben zu Purple sind Eigendaten von Purple.","download":{"filename":"cisco-ise-alternatives-matrix.csv"}}

Wo jede Cisco ISE-Alternative punktet und wo sie Nachteile hat

Die Matrix zeigt das Profil jeder Option. Die folgenden Details erläutern, wo jede einzelne ihren Platz verdient und wo sie Kosten verursacht.

Purple punktet bei Betrieb, Identität und standortübergreifender Skalierung

Purple entfernt die Serverebene vollständig. Sie richten Ihre Access Points auf den Cloud-RADIUS von Purple aus, und Purple betreibt den Dienst. Es gibt keine Knoten zu dimensionieren, keine Upgrade-Fenster zu planen und keine Cluster nach einem fehlgeschlagenen Patch neu aufzubauen.

Identität ist der zweite Vorteil. Purple authentifiziert direkt gegenüber Microsoft Entra ID, Okta und Google Workspace. Neue, wechselnde und ausscheidende Mitarbeiter in Ihrem IdP fließen direkt in den WiFi-Zugriff ein. Wenn die HR-Abteilung ein Konto deaktiviert, funktioniert die WiFi-Anmeldeinformation nicht mehr, ohne dass eine separate NAC-Richtlinienänderung erforderlich ist.

Der dritte Vorteil ist die Breite über verschiedene Netzwerktypen hinweg. Offene, sichere und xPSK Netzwerke laufen auf einer Plattform. Sie benötigen keinen NAC mehr für Mitarbeiter und kein separates Tool für Gäste und IoT-Geräte.

Purple konzentriert sich speziell auf den WiFi-Zugriff und nicht auf die Switch-Administration über TACACS+ oder kabelgebundene Posture-Prüfungen.

Cisco ISE-Architektur und -Umfang

Cisco ISE kombiniert WLAN-Authentifizierung, kabelgebundenes Profiling, Posture-Bewertung und Geräteverwaltung auf On-Premises-Appliances oder virtuellen Maschinen. Jeder Policy Service Node erfordert, dass Kunden-Teams die Software innerhalb ihrer unterstützten Version hosten, patchen und warten. Cloud-IdPs erfordern eine zusätzliche Integration, anstatt als native Identitätsquelle zu dienen.

Aruba ClearPass Architektur und Umfang

Aruba ClearPass bietet On-Premises-Netzwerkzugriffskontrolle unter Verwendung von Hardware oder virtuellen Appliances. Wie Cisco ISE erfordert es, dass Kunden-Teams die zugrundeliegenden Server-Cluster bereitstellen, hosten, patchen und warten. Eine vollständige Darstellung finden Sie in unserem Leitfaden zu Aruba ClearPass Alternativen.

Microsoft NPS-Architektur und -Umfang

Microsoft NPS wird als Rolle innerhalb von Windows Server für On-Premises Active Directory-Umgebungen bereitgestellt. Es authentifiziert jedoch gegenüber lokalem Active Directory statt gegenüber Cloud-Identitätsanbietern wie Entra ID und bietet keine nativen Gäste-Portale, gerätespezifischen Schlüssel oder standortübergreifende Transparenz.

Wo Purple als ISE-Ersatz passt

Purple passt überall dort, wo die WiFi-Authentifizierung die Aufgabe ist, für die Sie ISE gekauft haben. Es läuft als Cloud-Overlay auf den Access Points, die Sie bereits besitzen - ohne neue Hardware. In jedem Fall bestimmt die Identität das VLAN.

{"kind":"lanes","direction":"lr","caption":"Die gleiche WiFi-Anmeldung über ein lokales NAC und über Purple Cloud RADIUS","alt":"Zwei Spuren vergleichen eine WiFi-Anmeldung, die über einen gehosteten NAC-Knoten und Active Directory geroutet wird, mit derselben Anmeldung über Purple Cloud RADIUS und einen Cloud-Identitätsanbieter.","lanes":[{"id":"l1","label":"Lokales NAC (ISE, ClearPass)"},{"id":"l2","label":"Purple Cloud RADIUS"}],"nodes":[{"id":"a","label":"Access Point oder Controller","sub":"802.1X-Anfrage vom Gerät","lane":"l1","tone":"neutral"},{"id":"b","label":"Von Ihnen gehosteter Richtlinienknoten","sub":"Von Ihrem Team dimensioniert, gepatcht und redundant ausgelegt","lane":"l1","tone":"danger"},{"id":"c","label":"Active Directory oder LDAP","sub":"Lokales Verzeichnis","lane":"l1","tone":"neutral"},{"id":"d","label":"VLAN zurückgegeben","sub":"RFC 3580 Tunnel-Attribute","lane":"l1","tone":"neutral"},{"id":"e","label":"Ihr vorhandener Access Point","sub":"Meraki, Aruba, Ruckus, Mist, UniFi","lane":"l2","tone":"neutral"},{"id":"f","label":"Purple Cloud RADIUS","sub":"EAP-TLS, Passpoint, xPSK","lane":"l2","tone":"brand"},{"id":"g","label":"Cloud-Identitätsanbieter","sub":"Entra ID, Okta, Google Workspace","lane":"l2","tone":"brand"},{"id":"h","label":"Identität legt das VLAN fest","sub":"Gleiche RFC 3580 Attribute, keine Server","lane":"l2","tone":"success"}],"edges":[{"from":"a","to":"b","label":"RADIUS"},{"from":"b","to":"c","label":"Abfrage"},{"from":"c","to":"d"},{"from":"e","to":"f","label":"RADIUS"},{"from":"f","to":"g","label":"Identität"},{"from":"g","to":"h"}]}

Das sichere Netzwerk ersetzt die zentrale WiFi-Aufgabe von ISE

Im sicheren Netzwerk authentifizieren sich Mitarbeitergeräte mit EAP-TLS gegenüber Ihrem IdP. Purple gibt das VLAN über die Standard-Tunnel-Attribute in RFC 3580 zurück. Ihre Access Points unterstützen diese Attribute bereits, sodass sie den Datenverkehr genauso segmentieren wie unter ISE. Passpoint ermöglicht automatische, verschlüsselte Verbindungen für Mitarbeiter, die zwischen Standorten wechseln. Die Übersicht zum sicheren Netzwerk behandelt Zertifikate, Identität und Passpoint im Detail.

Das xPSK-Netzwerk deckt Geräte ab, die kein 802.1X unterstützen

Drucker, Scanner, Kassen-Terminals und Smart-TVs unterstützen selten EAP-TLS. xPSK weist jedem Gerät oder Nutzer einen eigenen Schlüssel zu, und dieser Schlüssel bestimmt das VLAN. Sie können den Zugriff für ein einzelnes Gerät widerrufen, ohne ein gemeinsames Passwort für den gesamten Standort ändern zu müssen.

Das offene Netzwerk übernimmt Gäste und das BYOD-Onboarding

Das offene Netzwerk bedient Gäste über ein Captive Portal und nimmt private Geräte auf. Guest Marketing ist in Engage enthalten, während Web-Filtering in Shield integriert ist. Beide sind separate Produkte und nicht Teil dieses Vergleichs.

{"items":[{"value":"80.000+","label":"aktive Standorte auf Purple","note":"Eigene Daten von Purple"},{"value":"90","label":"Länder","note":"Eigene Daten von Purple"},{"value":"99,9 %","label":"SLA für RADIUS-Betriebszeit","note":"Eigene Daten von Purple"},{"value":"99,999 %","label":"Plattform-Betriebszeit","note":"Eigene Daten von Purple"}]}

{"tone":"proof","title":"Mitarbeiter-WiFi in Bankengröße","text":"JPMorgan betreibt Mitarbeiter-WiFi auf Purple in über 5.000 Filialen auf dem größten Cloud-RADIUS der Welt."}

{"title":"Welche Cisco ISE-Alternative zu Ihrer Infrastruktur passt","options":[{"name":"Purple Cloud-RADIUS","fitsWhen":["ISE hauptsächlich WiFi authentifiziert","Identitäten in Microsoft Entra ID, Okta oder Google Workspace liegen","Sie viele Standorte auf Meraki, Aruba, Ruckus, Mist oder UniFi betreiben","Sie offene, sichere und xPSK-Netzwerke auf einer Plattform möchten"],"notWhen":["Sie lokales TACACS+ Gerätemanagement oder kabelgebundene Posture-Durchsetzung benötigen"]},{"name":"Cisco ISE (beibehalten)","fitsWhen":["Sie stark auf TACACS+, Switch-Profiling und kabelgebundene Posture-Prüfungen in einer Cisco Fabric angewiesen sind"],"notWhen":["Identitäten zu einem Cloud-IdP migriert wurden","Die Hauptlast WiFi an Filialstandorten ist","Sie lokale NAC-Infrastruktur eliminieren möchten"]},{"name":"Aruba ClearPass","fitsWhen":["Sie herstellerübergreifendes kabelgebundenes 802.1X, TACACS+ und Posture-Bewertung auf gehosteten Appliances benötigen"],"notWhen":["Sie NAC-Server stillegen möchten","Identitäten in einem Cloud-Identitätsanbieter liegen","Sie Cloud-RADIUS-Verwaltung wünschen"]},{"name":"Microsoft NPS","fitsWhen":["Sie lokales Active Directory betreiben und einfaches RADIUS für Windows Server-Umgebungen benötigen"],"notWhen":["Konten rein cloudbasiert sind","Sie Gastzugang oder gerätespezifische Schlüssel benötigen","Sie drahtlose Netzwerke an mehreren Standorten verwalten"]}],"recommendation":"Migrieren Sie die WiFi-Authentifizierung zu Purple Cloud-RADIUS. Belassen Sie kabelgebundene Posture- oder TACACS+-Workloads dort, wo sie heute laufen, bis deren eigene Ersetzung geplant ist."}

Was der Betrieb der einzelnen Optionen kostet

Wir nennen hier keine Preise von Mitbewerbern. Die Kostenstruktur entscheidet mehr über die Gesamtausgaben als der Listenpreis. Ein NAC, das pro Endpunkt günstiger aussieht, kann teurer werden, sobald Sie Knoten, Hosting und Upgrade-Aufwand hinzurechnen.

{"caption":"Wie die einzelnen Cisco ISE-Alternativen preislich gestaltet sind und was Sie für deren Betrieb zahlen","asOf":"2026-06-10","columns":[{"key":"c","label":"Kostenposition"},{"key":"p","label":"Purple","highlight":true},{"key":"i","label":"Cisco ISE"},{"key":"a","label":"Aruba ClearPass"},{"key":"n","label":"Microsoft NPS"}],"rows":[["Lizenzierungsmodell","Abonnement für den Cloud-RADIUS-Dienst","Essentials-, Advantage- und Premier-Tiers pro gleichzeitig aktivem Endpunkt gezählt","Zugriffslizenzen pro gleichzeitigem Endpunkt, mit Onboard und OnGuard als Add-ons","Als Rolle in der Windows Server-Lizenzierung enthalten"],["Zu kaufende Infrastruktur","Keine; RADIUS läuft in der Cloud von Purple","Appliances oder VM-Kapazität, zuzüglich Cloud-Ausgaben bei Hosting in AWS, Azure oder OCI","Hardware-Appliances oder VM-Kapazität","Windows Server-Hosts, physisch oder virtuell"],["Upgrades und Patching","Durchgeführt von Purple","Sie planen und testen jedes Release","Sie planen und testen jedes Release","Windows Server-Update-Zyklus auf jedem Host"],["Hohe Verfügbarkeit","Abgedeckt durch das RADIUS-Uptime-SLA von 99,9 %","Zusätzliche Nodes, die Sie hosten und warten","Zusätzliche Cluster-Mitglieder, die Sie hosten und warten","Zusätzliche Server, die Sie lizenzieren und warten"],["Spezialkenntnisse","WiFi- und IdP-Administration","ISE-Richtlinien- und Zertifikats-Expertise","ClearPass-Richtlinien-Expertise","Kenntnisse zu Windows Server und Zertifizierungsdiensten"],["Standort-Konnektivität","Jeder Standort erreicht Purple über seine Internetverbindung","Standorte ohne lokalen Node erreichen einen über das WAN","Standorte ohne lokalen Node erreichen einen über das WAN","Standorte ohne lokalen Server erreichen einen über das WAN"]],"footnote":"Nur Struktur. Die Lizenzierungsmodelle der Mitbewerber fassen die öffentliche Dokumentation des jeweiligen Anbieters zusammen; es werden keine Beträge genannt.","download":{"filename":"cisco-ise-alternatives-cost-structure.csv"}}

Drei Kostenpositionen werden bei der Erstellung des Business Cases leicht übersehen.

Redundanz vervielfacht die Infrastruktur. Ein On-Premises NAC benötigt mindestens zwei Richtlinien-Nodes, um einen Ausfall zu überstehen, und weitere für die geografische Resilienz. Jeder Node muss gehostet, überwacht und gepatcht werden. Das RADIUS-Uptime-SLA von 99,9 % von Purple deckt diese Redundanz innerhalb des Abonnements ab.

Upgrades beanspruchen Wartungsfenster. Jedes ISE- oder ClearPass-Release erfordert das Testen von Richtliniensätzen, Zertifikaten und Integrationen vor dem Produktionseinsatz. In einer Umgebung mit mehreren Standorten wiederholt sich diese Arbeit jedes Jahr.

Lizenzstufen richten sich nach Funktionen, nicht nach Standorten. ISE beschränkt Profiling und Posture auf höhere Tiers. Wenn Sie 802.1X nur über WiFi nutzen, lizenzieren Sie möglicherweise Funktionen, die Sie nie aktivieren. Vergleichen Sie Ihre tatsächliche Nutzung mit den Kosten.

Was erforderlich ist, um Cisco ISE für WiFi zu ersetzen

Eine RADIUS-Migration ist in der Regel eine Aufgabe für ein Wochenende. Ihre Access Points bleiben am selben Ort, und Sie ändern lediglich den RADIUS-Server, auf den sie verweisen. Die Vorbereitung vor diesem Wochenende entscheidet darüber, ob die Umstellung reibungslos verläuft.

1. Erfassen Sie Ihre Richtliniensätze. Exportieren Sie jeden ISE-Richtliniensatz und jedes Autorisierungsprofil, das für WiFi genutzt wird. Erfassen Sie das VLAN, das jedes Profil zurückgibt, und die dahinterstehende Identitätsgruppe.
2. Identität Ihrem IdP zuordnen. Ordnen Sie jede ISE-Identitätsgruppe einer Gruppe in Microsoft Entra ID, Okta oder Google Workspace zu. Gruppen bestimmen das VLAN auf Purple.
3. Zertifikatsvertrauen planen. Geräte, die EAP-TLS verwenden, validieren das Zertifikat des RADIUS-Servers. Übertragen Sie die neuen Vertrauenseinstellungen zuerst über Ihre Mobile Device Management (MDM)-Plattform.
4. Eine SSID testen. Fügen Sie Purple als RADIUS-Server für eine einzelne Test-SSID an einem Standort hinzu. Bestätigen Sie, dass jede Identitätsgruppe im richtigen VLAN landet.
5. Den RADIUS-Eintrag in jeder Konsole ändern. Bearbeiten Sie im Cisco Meraki Dashboard die RADIUS-Server der SSID. Aktualisieren Sie in HPE Aruba Central den Authentifizierungsserver des WLANs. Aktualisieren Sie in Ruckus das AAA-Serverprofil. Ändern Sie im Juniper Mist Dashboard die RADIUS-Einstellungen des WLANs. Bearbeiten Sie in Ubiquiti UniFi Network das RADIUS-Profil.
6. Standort für Standort umstellen. Stellen Sie Standorte in Gruppen um und beobachten Sie nach jeder Gruppe die Authentifizierungsprotokolle.
7. Die WiFi-Richtliniensätze stilllegen. Entfernen Sie die WiFi-Regeln aus ISE, sobald jeder Standort eine vollständige Arbeitswoche lang über Purple gelaufen ist.

{"tone":"warning","title":"Das Risiko, das schmerzt: Server-Zertifikatsvertrauen","text":"Bei EAP-TLS verweigern Geräte einen RADIUS-Server, dessen Zertifikat sie nicht vertrauen. Bereitstellen Sie das neue Vertrauensprofil vor der Umstellung per MDM, da sich die Geräte der Mitarbeiter sonst nicht verbinden können."}

{"tone":"tip","title":"Behalten Sie während des Pilots eine Ausweichoption bei","text":"Fügen Sie Purple neben ISE auf der Pilot-SSID hinzu. Stufen Sie Purple zum primären Server hoch, sobald der Pilot einwandfrei läuft, und entfernen Sie ISE dann von dieser SSID."}

Der Support-Artikel von Purple deckt die Konsolenschritte für jeden Anbieter ab. Für den vollständigen phasenweisen Plan lesen Sie Migrieren von Cisco ISE zu Cloud-RADIUS.

So entscheiden Sie sich zwischen Cisco ISE-Alternativen

Verwenden Sie eine Entscheidungsregel. Ziehen Sie ISE-Authentifizierungsberichte von 30 Tagen heran und teilen Sie diese nach Netzwerkgerätetyp auf. Wenn die meisten Authentifizierungen von Access Points stammen, ist ISE in der Praxis ein WiFi-RADIUS-Server.

• Der größte Teil des Datenverkehrs ist WiFi, und die Identität liegt in einem Cloud-IdP. Wählen Sie Purple. Sie legen die NAC-Server still, authentifizieren gegen Microsoft Entra ID, Okta oder Google Workspace und behalten Ihre Access Points.
• WiFi dominiert, aber ISE führt auch TACACS+ oder kabelgebundenes Posture aus. Verlegen Sie die WiFi-Authentifizierung zuerst zu Purple. Behandeln Sie die kabelgebundene Arbeitslast als separates Projekt mit eigenem Zeitplan.
• Sie müssen auch Gäste und gerätespezifische Komponenten ohne Benutzeroberfläche abdecken. Die offenen und xPSK-Netzwerke von Purple laufen auf derselben Plattform wie das sichere Netzwerk. Ihre Access Points müssen nicht mit einem separaten Gästetool kommunizieren.

Für Audits bieten die ISO 27001-Zertifizierung und die Authentifizierungsprotokolle pro Gerät von Purple Nachweise für Zugangskontrollanforderungen unter Rahmenwerken wie PCI-DSS. Lesen Sie den Leitfaden für Enterprise-WiFi-Sicherheit für das umfassendere Sicherheitsbild.

Ihr nächster Schritt ist der Authentifizierungsbericht. Sobald Sie die Aufteilung zwischen WiFi und kabelgebundenem Netzwerk haben, vergleichen Sie diese mit Purple Cloud-RADIUS und planen Sie eine Pilot-SSID.

Häufig gestellte Fragen

Ist Purple ein vollständiger Ersatz für Cisco ISE?

Purple ersetzt Cisco ISE für die WiFi-Authentifizierung, nicht für jede ISE-Funktion. Es deckt 802.1X mit EAP-TLS, Passpoint, Gästezugang über ein Captive Portal und schlüsselbasierte Zugänge pro Gerät ab. Es führt keine TACACS+-Switch-Administration oder kabelgebundenen Posture-Prüfungen aus. Wenn ISE in Ihrer Umgebung nur WiFi authentifiziert, ersetzt Purple es vollständig. Wenn ISE mehr leistet, verlagern Sie WiFi zu Purple und planen den Rest separat.

Funktioniert Purple mit den Access Points, die wir bereits nutzen?

Ja. Purple ist hardwareunabhängig und läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie ändern den RADIUS-Servereintrag in Ihrer bestehenden Konsole und kaufen keine neue Hardware. Die VLAN-Zuweisung nutzt die Standard-RADIUS-Tunnelattribute in RFC 3580, die von diesen Plattformen bereits unterstützt werden.

Wie lange dauert es, Cisco ISE für WiFi zu ersetzen?

Die eigentliche Umstellung ist meist an einem Wochenende erledigt. Die Vorbereitung dauert länger: Exportieren von ISE-Richtliniensätzen, Zuordnen von Identitätsgruppen zu Ihrem IdP und Bereitstellen von Zertifikatsvertrauen auf Geräten via MDM. Eine Pilot-SSID an einem Standort geht der unternehmensweiten Umstellung voraus. Der Großteil des Aufwands liegt in der Vorbereitung, nicht am Umstellungswochenende.

Wie wird Cloud-RADIUS im Vergleich zu Cisco ISE preislich gestaltet?

Purple ist ein Abonnement für einen gehosteten Dienst, ohne dass Server oder Appliances gekauft werden müssen. Cisco ISE nutzt die Stufen Essentials, Advantage und Premier, die pro gleichzeitig aktivem Endpunkt gezählt werden. Zudem zahlen Sie für die Appliances oder VM-Kapazitäten, auf denen es gehostet wird. Vergleichen Sie die Gesamtbetriebskosten einschließlich redundanter Knoten, Upgrade-Aufwand und Hosting, nicht nur die Lizenzkosten allein.

Können wir Cisco ISE für kabelgebundenen Zugriff und TACACS+ behalten?

Ja. Viele Unternehmen verlagern die WiFi-Authentifizierung zu Purple und belassen kabelgebundenes 802.1X sowie TACACS+ auf ISE. Ihre Access Points verweisen auf Purple und Ihre Switches verweisen weiterhin auf ISE. Das reduziert den ISE-Fußabdruck, und Sie können die kabelgebundene Arbeitslast als separates Projekt planen.

Müssen wir Zertifikate auf jedem Gerät neu ausstellen?

Nicht zwingend. Sie können bestehende Gerätezertifikate oft behalten, wenn Purple Ihrer ausstellenden Zertifizierungsstelle vertraut. Was sich ändert, ist das RADIUS-Serverzertifikat, das Geräte validieren. Übertragen Sie die neuen Vertrauenseinstellungen vor der Umstellung über Ihre MDM-Plattform, da sich EAP-TLS-Geräte sonst weigern, eine Verbindung herzustellen.

Wie unterstützt Purple Audits wie ISO 27001 und PCI DSS?

Purple besitzt eine ISO 27001-Zertifizierung und seine Authentifizierungsprotokolle dienen als Nachweis für Zugriffssteuerungsanforderungen. Jede Verbindung ist an eine namentlich genannte Identität in Microsoft Entra ID, Okta oder Google Workspace oder an einen gerätespezifischen Schlüssel gebunden. Das bietet Prüfern einen klaren Nachweis darüber, wer welchem Netzwerk beigetreten ist und welches VLAN sie segmentiert hat.

Wie schneidet Purple im Vergleich zu Aruba ClearPass ab?

Purple überzeugt dort, wo Sie NAC-Server stillegen und sich gegenüber einem Cloud-IdP authentifizieren möchten. ClearPass ist eine On-Premises-Appliance, die Sie selbst hosten, clustern und aktualisieren. Wie ISE bietet es zusätzlich Posture und TACACS+, was Purple nicht ausführt. Für die WiFi-Authentifizierung über viele Standorte hinweg entfernt Purple die Appliance-Schicht und bietet ein SLA für die Verfügbarkeit von 99,9 % RADIUS.