Migración de Cisco ISE a RADIUS en la nube: un plan de transición por fases

Puede migrar de Cisco ISE a RADIUS en la nube en cinco fases sin necesidad de un día de corte crítico cuando cada dispositivo confía en el nuevo certificado de servidor. Ejecute Purple junto con ISE sitio por sitio. Mantenga IEEE 802.1X y EAP-TLS sin cambios en el cliente. Realice la transición por olas, utilizando ISE como la ruta de reversión hasta que el último sitio se haya migrado.

¿Qué cambia al migrar desde Cisco ISE y qué permanece igual?

El estado final es sencillo de describir. Sus puntos de acceso envían solicitudes de autenticación a RADIUS en la nube de Purple en lugar de a los nodos de ISE en su centro de datos. Purple verifica la identidad con Microsoft Entra ID, Okta o Google Workspace. Posteriormente, devuelve la VLAN a la que pertenece esa identidad. ISE se apaga, sus licencias vencen y nadie vuelve a aplicar parches en él.

Primero, algunos términos. RADIUS (RFC 2865) es el protocolo de autenticación que sus controladores ya utilizan. IEEE 802.1X es el estándar de control de acceso basado en puertos que transporta el inicio de sesión a través de WiFi. EAP-TLS (RFC 5216) autentica cada dispositivo mediante un certificado. PEAP envuelve un intercambio de contraseñas dentro de un túnel TLS cifrado. Una VLAN, o LAN virtual, es el segmento de red en el que se ubica un dispositivo tras autenticarse.

Cuatro cosas cambian:

• Las direcciones del servidor RADIUS y los secretos compartidos en cada dispositivo de acceso a la red (NAD), es decir, el controlador, AP o panel en la nube que envía las solicitudes.
• El certificado del servidor que ven los dispositivos durante 802.1X.
• La ubicación de la directiva. Los conjuntos de directivas y perfiles de autorización de ISE se convierten en grupos de identidad vinculados a VLAN.
• El origen de la identidad. Un directorio en la nube sustituye a ISE unido al Active Directory local.

Sus SSID, puntos de acceso, VLAN, conmutación y cualquier certificado de cliente de su propia CA permanecen tal como están. Eso es lo que permite llevar a cabo una migración gradual. Las funciones de ISE en sí necesitan un destino, y no todas se ubican en la red segura.

Lo que hace ISE hoy	A dónde va	Red de Purple
802.1X para el personal y dispositivos corporativos	RADIUS en la nube de Purple con EAP-TLS y su proveedor de identidades	Segura
MAB (Omisión de autenticación MAC) para escáneres, impresoras y sensores	Una clave por dispositivo o grupo de dispositivos (iPSK o PPSK, conjuntamente xPSK)	xPSK
Portales de invitados y patrocinados	Un portal cautivo, la página de inicio de sesión que se muestra antes del acceso	Abierta
Incorporación BYOD con la CA interna de ISE	Certificados desde su MDM o su propia CA	Segura
TACACS+, 802.1X por cable, postura, TrustSec	Fuera del alcance de este plan; asigne un responsable a cada uno	Ninguna

Este plan cubre la autenticación WiFi en sus puntos de acceso. Si ISE también ejecuta la administración de dispositivos, puertos cableados o postura, liste cada uno antes de la fase 1 y asígnele un responsable independiente. Si ISE aloja un portal de invitados utilizado para marketing, este se traslada a la red abierta y a Purple Engage. La guía de red segura para certificados, identidad y Passpoint cubre el diseño objetivo en detalle.

¿Qué debe ser cierto antes de la fase 1?

Seis condiciones, cada una con un sí o un no. No comience la construcción hasta que las seis sean afirmativas.

1. El inventario está completo. Cada SSID, cada NAD con su secreto compartido, cada conjunto de políticas y perfil de autorización, y cada grupo de endpoints que dependa de MAB.
2. Cuenta con una línea base de ISE. Capture autenticaciones por hora y la tasa de éxito por SSID por sitio durante al menos dos semanas. Los registros en vivo y reportes de ISE le brindan esto. Sin una línea base, no puede evaluar si una ola fue exitosa.
3. El plan de certificados está escrito. Anote qué CA emitió sus certificados de cliente y qué certificado presenta ISE para EAP. Note si algún dispositivo contiene certificados de la CA interna de ISE.
4. Los grupos de identidad existen en su directorio. Cada regla de autorización de ISE necesita un grupo coincidente en Microsoft Entra ID, Okta o Google Workspace, y cada grupo necesita una VLAN.
5. Los sitios pueden alcanzar la nube. Los firewalls en cada sitio permiten el tráfico RADIUS desde el controlador o APs hacia los servidores RADIUS de Purple.
6. ISE se mantiene con soporte. Mantenga ISE con licencia, parches y responsable asignado hasta que finalice la fase 5. Es su ruta de reversión.

Una decisión de diseño también pertenece a esta sección. PEAP-MSCHAPv2 verifica un hash de contraseña que los directorios en la nube como Microsoft Entra ID no exponen a los servidores RADIUS. Si ISE valida PEAP contra Active Directory local, migre esos dispositivos a EAP-TLS primero, mientras ISE todavía los autentica. Cambie una cosa por ola: el método EAP, luego el servidor RADIUS.

{"tone":"warning","title":"El riesgo que afecta: confianza en el certificado del servidor","text":"Cada dispositivo verifica el certificado del servidor RADIUS durante 802.1X. Los perfiles que confían únicamente en el certificado EAP de ISE o su CA rechazarán a Purple hasta que su MDM distribuya la nueva confianza, por lo que debe desplegarla en la fase 2, no en la noche del cambio directo."}

¿Cuáles son las fases de una migración de ISE, en orden?

Cinco fases, cada una con un responsable y una prueba de salida. Las duraciones a continuación se adaptan a una propiedad de 40 sitios; ajústelas a la suya. El cambio directo en cualquier sitio suele ser un ejercicio de fin de semana. Las semanas previas son las que permiten que lo sea.

{"kind":"timeline","direction":"lr","caption":"Cinco fases para una propiedad de 40 sitios que migra de Cisco ISE a Purple cloud RADIUS. ISE permanece activo hasta completar la fase 5.","alt":"Cronograma de cinco fases de migración, desde el descubrimiento en las semanas 1 a 2 hasta el desmantelamiento de ISE a partir de la semana 10.","nodes":[{"id":"p1","label":"Fase 1: descubrimiento y diseño","sub":"Inventario de NADs, conjuntos de políticas, certificados y dispositivos MAB","tone":"neutral","when":"Semanas 1-2"},{"id":"p2","label":"Fase 2: construcción en paralelo","sub":"Cloud RADIUS, grupos de IdP, reglas de VLAN, confianza en certificados","tone":"brand","when":"Semana 3"},{"id":"p3","label":"Fase 3: prueba piloto en un sitio","sub":"Cada clase de dispositivo se autentica en la VLAN correcta","tone":"brand","when":"Semanas 4-5"},{"id":"p4","label":"Fase 4: transición por olas","sub":"Ventanas de cambio en fin de semana, ISE se conserva para reversión","tone":"brand","when":"Semanas 6-9"},{"id":"p5","label":"Fase 5: desmantelamiento de ISE","sub":"Cero autenticaciones en ISE, nodos apagados","tone":"success","when":"Semana 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"Plan de fases de ISE a cloud RADIUS","asOf":"2026-06-10","columns":[{"key":"phase","label":"Fase"},{"key":"scope","label":"Alcance"},{"key":"owner","label":"Responsable"},{"key":"exit","label":"Prueba de salida"}],"rows":[["1. Descubrimiento y diseño","Cada SSID, NAD, conjunto de políticas, perfil de autorización, certificado y dispositivo MAB","Arquitecto de red","Mapeo firmado de cada regla de ISE a un grupo de identidad y VLAN"],["2. Construcción en paralelo","Cloud RADIUS, conexión de IdP, reglas de VLAN, claves xPSK, confianza en certificado del servidor","Líder de identidad y acceso","Dispositivos de prueba se autentican contra Purple desde un SSID de laboratorio"],["3. Prueba piloto en un sitio","Un sitio representativo, cada clase de dispositivo","Gerente de TI con el líder del sitio","Cinco días hábiles alcanzando o superando la línea base de ISE, VLAN correcta para cada clase"],["4. Transición por olas","Sitios en grupos, una ventana de cambio para cada uno","Operaciones de red","Cada ola mantiene la línea base durante 48 horas sin reversión"],["5. Desmantelamiento de ISE","Nodos de ISE, entradas de NAD, licencias, CA interna","Director de TI","Cero autenticaciones en ISE durante el período establecido, evidencia archivada"]],"footnote":"Las duraciones y umbrales son valores predeterminados de planificación para una propiedad de 40 sitios. Defina los propios a partir de la línea base de ISE capturada antes de la fase 1.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

¿Qué sucede en cada fase de la migración de ISE?

Fase 1: descubrimiento y diseño

Exporte la información registrada en ISE antes de realizar cualquier cambio. Enumere cada conjunto de políticas, sus condiciones y el perfil de autorización que devuelve. La mayoría de las organizaciones descubren que años de reglas se reducen a unos cuantos resultados reales: VLAN de personal, VLAN de contratistas, VLAN de IoT, denegar.

Escriba cada resultado como un grupo de identidad y una VLAN. La asignación de VLAN a través de RADIUS utiliza los atributos de túnel descritos en RFC 3580. Algunos controladores también leen atributos específicos del fabricante (VSA), como el atributo de rol que utilizan los controladores HPE Aruba. Tome nota de los que espera su hardware.

A continuación, busque los dispositivos que no puedan realizar 802.1X. La lista de puntos de conexión de ISE muestra qué direcciones MAC se autentican mediante MAB. Cada una necesita una clave xPSK y una VLAN antes de trasladar su sitio.

Fase 2: construir Purple en paralelo

Conecte Purple a su proveedor de identidades y cree las reglas de grupo a VLAN de la fase 1. Cargue la CA que emitió sus certificados de cliente para que EAP-TLS los valide con ella. Emita claves xPSK para los grupos de dispositivos sin interfaz de usuario.

Envíe la confianza del certificado de servidor de Purple a cada dispositivo administrado a través de su MDM. Esta es la tarea que requiere más tiempo en el proceso de construcción, así que iníciela el primer día. Configure un SSID de laboratorio orientado a Purple y autentique un dispositivo de cada clase.

Fase 3: prueba piloto en un sitio representativo

Elija un sitio que tenga todas las clases de dispositivos que posea: Windows, macOS, iOS, Android, escáneres y cualquier elemento inusual. Evite su sitio principal y el más sencillo. Realice la transición con los mismos pasos que utilizará en las oleadas.

Manténgala durante cinco días laborables. Compare la tasa de éxito de Purple con la línea de base de ISE para ese sitio. Verifique que cada clase de dispositivo llegue a la VLAN correcta. Solucione cualquier falla aquí y no durante una oleada.

Fase 4: transición en oleadas

Agrupe los sitios restantes en oleadas a las que un solo equipo pueda dar soporte en una sola ventana de cambio. Ejecute la verificación de aprobación o rechazo antes de cada oleada. Siga los mismos pasos en cada sitio.

{"title":"Migrar un sitio de ISE a RADIUS en la nube de Purple","steps":[{"title":"Registrar la línea base","body":"Anote las autenticaciones de ISE por hora y la tasa de éxito por SSID del sitio en el registro de migración.","check":"Las cifras de la línea base quedan registradas antes de abrir la ventana."},{"title":"Apuntar el SSID seguro a Purple","body":"Reemplace los servidores RADIUS de ISE con los servidores de Purple y el secreto compartido. Conserve las entradas de ISE por escrito para una reversión.","check":"El panel muestra a Purple como el servidor RADIUS para este SSID.","variants":[{"label":"Cisco Meraki","body":"En el panel de Meraki, edite la configuración de control de acceso del SSID y actualice la lista de servidores RADIUS."},{"label":"HPE Aruba","body":"En Aruba Central o en el controlador, actualice el grupo de servidores utilizado por el perfil 802.1X de la WLAN."},{"label":"Ruckus","body":"En RUCKUS One o SmartZone, actualice el servidor AAA asignado a la WLAN."},{"label":"Juniper Mist","body":"En el panel de Mist, edite la configuración de seguridad empresarial de la WLAN y actualice los servidores RADIUS."},{"label":"Ubiquiti UniFi","body":"En UniFi Network, actualice el perfil RADIUS utilizado por el SSID empresarial."}]},{"title":"Reconectar dispositivos de prueba","body":"Vuelva a conectar un dispositivo de cada clase en el sitio, incluidos los dispositivos sin interfaz de usuario en xPSK.","check":"Cada dispositivo de prueba se ubica en su VLAN esperada."},{"title":"Monitorear la primera hora","body":"Consulte los registros de autenticación de Purple y agrupe las fallas por motivo.","check":"La tasa de éxito es igual o superior a la línea base del sitio."},{"title":"Mantener o revertir","body":"Si la tasa se mantiene por debajo de la línea base al final de la ventana acordada, restaure los servidores de ISE en el SSID.","check":"La decisión y el motivo quedan asentados en el registro de migración."},{"title":"Cerrar el sitio","body":"Marque el sitio como migrado después de 48 horas. Mantenga su entrada de NAD en ISE hasta la fase 5 para que la reversión siga funcionando.","check":"ISE no muestra nuevas autenticaciones desde este sitio."}]}

Fase 5: desmantelar ISE

Inicie la fase 5 únicamente cuando ISE no haya registrado ninguna autenticación de WiFi durante un periodo establecido por usted, como 30 días. Exporte los informes de autenticación de ISE que exija su política de retención de auditoría. Elimine las entradas de NAD y, a continuación, apague los nodos. Deje que las licencias expiren al momento de la renovación en lugar de cancelarlas antes de tiempo.

Retire la CA interna de ISE al final. Cualquier certificado que haya emitido dejará de encadenarse a una CA activa una vez que ISE ya no esté.

¿Cómo operan ISE y Purple a la par durante la transición?

Existen dos patrones y se comportan de manera distinta.

SSID paralelo. Transmita un segundo SSID seguro autenticado por Purple junto con el SSID de ISE. Su MDM mueve los grupos de dispositivos al nuevo perfil de SSID por lotes. Ambas redes funcionan al mismo tiempo, por lo que se trata de una ejecución a la par real. El costo es el tiempo de aire consumido por un SSID adicional durante el tiempo que dure la migración.

Mismo SSID, servidor cambiado. Mantenga un solo SSID y cambie su servidor RADIUS durante la ventana de cambio. Esto es más limpio para el espectro de aire, pero se trata de una conmutación, no de una combinación de tráfico.

El punto que la mayoría de los equipos pasa por alto: el failover de RADIUS en la mayoría de los controladores se activa cuando el servidor primario deja de responder, no cuando rechaza un dispositivo. Si coloca a Purple en primer lugar e ISE en segundo, un rechazo de Purple no recurrirá a ISE. No confíe en el orden de los servidores como red de seguridad. Confíe en la prueba piloto.

Escenario práctico: un grupo de 40 hoteles con Cisco Meraki

Un grupo hotelero opera la red WiFi para personal en 40 hoteles con Cisco Meraki. Dos nodos de ISE en un centro de datos autentican al personal con PEAP frente a un Active Directory local. El grupo desea retirar el centro de datos.

El equipo dividió la migración en dos fases. Primero, implementó los certificados EAP-TLS y la confianza en el servidor de Purple a través de su MDM mientras ISE aún autenticaba todo. ISE validó los nuevos certificados, por lo que nada cambió para el personal. Segundo, realizó una prueba piloto en un hotel mediano y luego migró el resto en cuatro olas de fin de semana de nueve o diez hoteles.

El resultado medible fue la propia prueba de salida. El recuento de autenticaciones del SSID del personal en ISE llegó a cero después de la última ola. Ninguna ola requirió reversión. Los nodos de ISE se apagaron al final del mes siguiente.

¿Cómo revertir una ola que falla?

La reversión es lo opuesto al paso dos: restaurar los servidores ISE y el secreto compartido en los SSID afectados. Debido a que ISE se mantiene activo y sus entradas NAD permanecen en su lugar, el sitio vuelve a su estado anterior en la siguiente reconexión. Acuerde con anticipación quién toma la decisión y cuánto tiempo esperará antes de tomarla.

{"title":"Avanzar, detener o revertir para una ola de transición","start":"q1","nodes":[{"id":"q1","question":"¿La prueba piloto o la ola anterior mantuvieron la línea base de tasa de éxito de ISE?","help":"Compare la tasa de éxito de Purple por SSID con la línea base de ISE para los mismos sitios.","options":[{"label":"Sí","to":"q2"},{"label":"No","to":"o3"}]},{"id":"q2","question":"¿Cada dispositivo en esta ola confía en el certificado de servidor de Purple?","help":"Verifique el estado de despliegue del MDM para cada grupo de dispositivos en estos sitios.","options":[{"label":"Sí","to":"q3"},{"label":"No","to":"o2"}]},{"id":"q3","question":"¿Todos los sitios de la ola pueden alcanzar los servidores RADIUS de Purple?","help":"Pruebe a través de cada firewall de sitio antes de que se abra la ventana.","options":[{"label":"Sí","to":"q4"},{"label":"No","to":"o2"}]},{"id":"q4","question":"¿ISE sigue activo, con un encargado de reversión designado de guardia?","options":[{"label":"Sí","to":"o1"},{"label":"No","to":"o2"}]},{"id":"o1","outcome":"Avanzar","detail":"Abra la ventana de cambio y siga los pasos de transición del sitio."},{"id":"o2","outcome":"No avanzar: corregir y reprogramar","detail":"Resuelva la falla y vuelva a ejecutar esta verificación antes de la siguiente ventana."},{"id":"o3","outcome":"Revertir y diagnosticar","detail":"Restaure ISE en los SSID afectados, identifique la clase de dispositivo o regla con fallas y corríjala primero en el sitio piloto.","link":"[Compare ISE alternatives](guide:cisco-ise-alternatives)"}]}

Escenario práctico: una empresa minorista de 300 tiendas con HPE Aruba

Un minorista opera 300 tiendas sobre HPE Aruba. ISE autentica las laptops del personal con EAP-TLS y los escáneres de inventario portátiles con MAB. La tienda piloto aprobó la prueba, por lo que el equipo movió la primera ola de 30 tiendas.

Los escáneres fallaron en cuatro tiendas durante la segunda ola. Esas tiendas tenían un modelo de escáner más nuevo cuyas direcciones MAC nunca ingresaron al inventario de la fase 1. El responsable de la reversión restauró el grupo de servidores ISE en las WLAN afectadas dentro de la ventana de cambio y el escaneo se reanudó.

El equipo extrajo las direcciones del nuevo modelo de la lista de endpoints de ISE y le asignó llaves xPSK. Probó un escáner en la tienda piloto y luego volvió a ejecutar la ola. Las 300 tiendas completaron la migración en Purple. Cada regla MAB fue retirada y las terminales de tarjeta ahora residen en su propia VLAN. Esa segmentación se convirtió en evidencia para el alcance de PCI-DSS del minorista.

¿Cómo demostrar que la migración desde ISE ha finalizado?

"Finalizado" es un conjunto de hechos, no una sensación. Ha terminado cuando todo esto sea verdadero:

• ISE ha registrado cero autenticaciones WiFi durante el periodo que estableció.
• La tasa de éxito de Purple en cada sitio se mantiene igual o por encima de su línea base en ISE.
• Cada grupo de identidad llega a su VLAN prevista, verificado con un dispositivo de prueba por clase.
• Ningún dispositivo conserva un certificado encadenado a la CA interna de ISE.
• Los reportes de ISE para su periodo de retención están exportados y almacenados.
• Los nodos de ISE se han apagado y la renovación ha sido cancelada.

Mantenga un solo registro para todo el programa. La lista de verificación a continuación es ese registro.

{"title":"Registro de migración de ISE a RADIUS en la nube","groups":[{"heading":"Antes de la fase 1","items":[{"text":"Lista completa de cada SSID, NAD y secreto compartido"},{"text":"Cada conjunto de políticas mapeado a un grupo de identidad y VLAN"},{"text":"Dos semanas de línea base de ISE capturadas por sitio y SSID","why":"Sin esto, ninguna ola puede aprobarse o reprobarse"},{"text":"Dispositivos PEAP identificados y plan EAP-TLS acordado"},{"text":"Dispositivos MAB enlistados desde la lista de endpoints de ISE"},{"text":"Alcance cableado, TACACS+ y de postura asignados a responsables independientes"}]},{"heading":"Construcción y piloto","items":[{"text":"Proveedor de identidad conectado y grupos mapeados a VLANs"},{"text":"CA de certificados de cliente confiable para EAP-TLS"},{"text":"Confianza en el certificado de servidor de Purple desplegada mediante MDM","why":"El riesgo que afecta durante la noche de migración"},{"text":"Llaves xPSK emitidas para grupos de dispositivos sin interfaz"},{"text":"Firewalls del sitio permiten tráfico RADIUS hacia Purple"},{"text":"El sitio piloto mantuvo la línea base durante cinco días hábiles"}]},{"heading":"Olas","items":[{"text":"Verificación de avance o detención registrada para cada ola"},{"text":"Responsable de reversión asignado para cada ventana"},{"text":"Cada ola mantuvo la línea base durante 48 horas"}]},{"heading":"Finalizado","items":[{"text":"Cero autenticaciones WiFi en ISE durante el periodo acordado"},{"text":"Ningún certificado se encadena a la CA interna de ISE"},{"text":"Reportes de ISE exportados para retención de auditoría"},{"text":"Entradas NAD eliminadas y nodos ISE apagados"},{"text":"Renovación de licencia de ISE cancelada"}]}],"download":{"filename":"ise-migration-log.csv"}}

¿Qué modos de falla se presentan en el campo?

La mayoría de las olas fallidas se deben a una corta lista de causas.

• Certificado de servidor no confiable. Los dispositivos solicitan confirmación o rechazan la conexión de forma silenciosa. Corríjalo en la fase 2 mediante su MDM, nunca pidiendo al personal que acepte una advertencia.
• Cambiar dos cosas al mismo tiempo. Pasar de PEAP a EAP-TLS en la misma ventana de tiempo que el cambio de servidor oculta qué cambio causó la falla.
• Dispositivos desatendidos olvidados. Los escáneres, impresoras y sensores en MAB fallan primero, como descubrió la empresa minorista. Reconstruya la lista MAB desde ISE justo antes de cada ola.
• Discrepancias en el secreto compartido. Un secreto mal escrito en un solo controlador rechaza todo un sitio. Copie los secretos desde una sola fuente, nunca a mano.
• Egresos de firewall. Los sitios con salida local o reglas de firewall antiguas bloquean el tráfico RADIUS hacia la nube. Pruebe cada sitio antes de su ventana de migración.
• Diferencias en los atributos de VLAN. Los perfiles de autorización de ISE pueden devolver un nombre de VLAN, un ID de VLAN o el rol específico de un fabricante. Verifique que coincida con lo que espera cada controlador en el sitio piloto.
• Consumidores secundarios silenciosos. Si un firewall obtenía identidades desde ISE a través de pxGrid, esa transmisión se detiene durante la transición. Si depende de Change of Authorisation (RFC 5176) para finalizar sesiones, pruébelo durante el piloto.
• Confiar en la conmutación por error. Listar ISE como servidor secundario no captura los rechazos. Solo lo hace una reversión probada.

Dónde se integra Purple

Purple Access ejecuta tres redes en los puntos de acceso que ya posee: abierta, segura y xPSK. La migración de ISE se realiza en la red segura. Purple cloud RADIUS autentica mediante EAP-TLS con Microsoft Entra ID, Okta o Google Workspace. Passpoint, el estándar Hotspot 2.0 para conexiones automáticas y cifradas, extiende la misma identidad entre sitios. La identidad asigna la VLAN en cada red.

Purple es independiente del hardware. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, sin necesidad de hardware nuevo. Purple opera el RADIUS-as-a-Service en la nube más grande del mundo. Cuenta con un SLA de disponibilidad RADIUS del 99.9% en una plataforma que opera con una disponibilidad del 99.999%.

{"items":[{"value":"99.9%","label":"SLA de disponibilidad RADIUS","note":"SLA contractual de Purple"},{"value":"99.999%","label":"disponibilidad de la plataforma","note":"Datos propios de Purple"},{"value":"80,000+","label":"ubicaciones activas","note":"Datos propios de Purple"},{"value":"90","label":"países","note":"Datos propios de Purple"}]}

{"tone":"proof","title":"WiFi para personal a escala de sucursales","text":"JPMorgan opera el WiFi para el personal con Purple en más de 5,000 sucursales."}

Purple cuenta con las certificaciones ISO 27001, Cyber Essentials y B Corp, y opera bajo GDPR y CCPA. Esas certificaciones agilizan la evaluación de proveedores que realizará su equipo de seguridad. Para obtener una visión integral sobre la seguridad, lea la guía de seguridad para WiFi empresarial. Si aún está evaluando opciones, consulte las alternativas a Cisco ISE para la autenticación WiFi.

Preguntas frecuentes

¿Cuánto tiempo lleva migrar de Cisco ISE a RADIUS en la nube?

La transición en sí suele ser una tarea de fin de semana; la preparación lleva más tiempo. Para una propiedad de 40 sitios, planifique dos semanas de descubrimiento, una semana de compilación, una prueba piloto de dos semanas y varias fases de fin de semana. Los certificados son la variable más grande. Si los dispositivos ya utilizan EAP-TLS con certificados de su propia AC, el plan se acorta. Si la PEAP con Active Directory está en juego, agregue una fase para mover esos dispositivos a EAP-TLS primero.

¿Necesito nuevos puntos de acceso para dejar de usar Cisco ISE?

No. RADIUS en la nube funciona con los puntos de acceso y controladores que ya opera: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. El cambio es una modificación de configuración en cada SSID: nuevas direcciones de servidor RADIUS, un nuevo secreto compartido y, donde sea necesario, nuevos atributos VLAN. Sus switches, VLAN y SSID se mantienen exactamente como están.

¿Podemos conservar los certificados de cliente que ya emitimos?

Sí, si los emitió su propia AC o MDM. RADIUS en la nube valida los certificados EAP-TLS con la AC emisora, por lo que siguen funcionando una vez que se confía en esa AC. Los certificados de la AC interna de ISE son la excepción. Están vinculados a un sistema que está a punto de retirar, así que vuelva a emitirlos desde su MDM o AC antes de que comience la fase 5.

¿Qué sucede con los dispositivos que usan MAC Authentication Bypass en ISE?

Se mueven a la red xPSK. MAB confía en una dirección MAC, la cual es fácil de falsificar. Una clave por dispositivo o grupo de dispositivos proporciona a los escáneres, impresoras y sensores su propia credencial y los ubica en su propia VLAN. Encuéntrelos en la fase 1 desde la lista de puntos de conexión de ISE. Emita las claves en la fase 2 y luego pruebe un modelo de cada uno en el sitio piloto.

¿Dejar de usar ISE afecta nuestras evidencias de PCI DSS o ISO 27001?

Cambia la fuente de donde provienen las evidencias, no el hecho de tenerlas o no. Exporte los informes de autenticación de ISE para su período de retención antes del desmantelamiento. A partir del cambio en adelante, los registros de autenticación y las asignaciones de VLAN de Purple proporcionan evidencia para la segmentación de red y el control de acceso. La propia certificación ISO 27001 y Cyber Essentials de Purple también respalda la evaluación de proveedores que sus auditores esperarán ver.

¿Cómo se compara el precio de RADIUS en la nube con el de Cisco ISE?

Compare el costo total en lugar de las líneas de licencia. El costo de ISE incluye licencias, los nodos o máquinas virtuales que lo ejecutan, los contratos de soporte y el tiempo que los ingenieros dedican a parchear y actualizar. RADIUS en la nube es una suscripción sin servidores que usted deba administrar. Purple realiza cotizaciones para su empresa, así que tenga a la mano su número de sitios, SSID y cantidad de dispositivos. La guía de alternativas a ISE establece qué más comparar.

¿Debemos mover la red por cable 802.1X al mismo tiempo que WiFi?

No. Traslade WiFi primero y trate el 802.1X cableado como un proyecto independiente con su propia prueba piloto. Los puertos cableados a menudo admiten dispositivos MAB, teléfonos de escritorio y reglas de postura que requieren su propio inventario. Cambiar ambos en una sola ventana duplica la cantidad de elementos que pueden fallar al mismo tiempo. También dificulta la decisión de revertir los cambios bajo presión.

¿La migración desde Aruba ClearPass es diferente?

Las cinco fases son las mismas; la exportación difiere. ClearPass almacena políticas como servicios, políticas de aplicación y perfiles, en lugar de conjuntos de políticas de ISE. Mapear dichos elementos a grupos de identidad y VLAN es la tarea principal de la fase 1. El riesgo de confianza en los certificados y el comportamiento de conmutación por error se aplican exactamente de la misma manera. La guía de migración de ClearPass cubre la exportación en detalle.