Migration de Cisco ISE vers le cloud RADIUS Cisco : un plan de basculement par phases

Vous pouvez passer d'ISE Cisco au RADIUS cloud en cinq phases, sans interruption brutale, dès lors que chaque appareil fait confiance au nouveau certificat serveur. Exécutez Purple en parallèle d'ISE site par site. Conservez les normes IEEE 802.1X et EAP-TLS inchangées sur le client. Effectuez la bascule par vagues, en conservant ISE comme solution de secours jusqu'au transfert du dernier site.

Qu'est-ce qui change lors de la migration depuis ISE Cisco, et qu'est-ce qui reste identique ?

L'état final se décrit rapidement. Vos points d'accès envoient des demandes d'authentification au RADIUS cloud de Purple au lieu des nœuds ISE de votre centre de données. Purple vérifie l'identité par rapport à Microsoft Entra ID, Okta ou Google Workspace. Il renvoie ensuite le VLAN auquel appartient cette identité. ISE est hors tension, ses licences expirent et plus personne ne les met à jour.

Précisons d'abord quelques termes. Le protocole RADIUS (RFC 2865) est le protocole d'authentification que vos contrôleurs utilisent déjà. IEEE 802.1X est la norme de contrôle d'accès basée sur les ports qui achemine la connexion via WiFi. EAP-TLS (RFC 5216) authentifie chaque appareil à l'aide d'un certificat. PEAP intègre un échange de mots de passe dans un tunnel TLS chiffré. Un VLAN, ou LAN virtuel, est le segment de réseau sur lequel un appareil arrive après s'être authentifié.

Quatre éléments changent :

• Les adresses de serveur RADIUS et les secrets partagés sur chaque équipement d'accès réseau (NAD), c'est-à-dire le contrôleur, le point d'accès ou le tableau de bord cloud qui envoie les demandes.
• Le certificat serveur que les appareils voient lors de l'IEEE 802.1X.
• L'emplacement des stratégies. Les jeux de stratégies ISE et les profils d'autorisation deviennent des groupes d'identités associés à des VLAN.
• La provenance de l'identité. Un annuaire cloud remplace ISE connecté à l'Active Directory sur site.

Vos SSID, points d'accès, VLAN, commutateurs et tous les certificats clients de votre propre autorité de certification restent inchangés. C'est ce qui rend possible une transition progressive. Les fonctions d'ISE elles-mêmes nécessitent une destination, et elles n'aboutissent pas toutes sur le réseau sécurisé.

Ce que fait ISE aujourd'hui	Sa nouvelle destination	Réseau Purple
IEEE 802.1X pour le personnel et les appareils d'entreprise	RADIUS cloud Purple avec EAP-TLS et votre fournisseur d'identités	Sécurisé
MAB (MAC Authentication Bypass) pour les scanners, imprimantes et capteurs	Une clé par appareil ou groupe d'appareils (iPSK ou PPSK, regroupés sous xPSK)	xPSK
Portails invités et sponsorisés	Un portail captif, la page de connexion affichée avant l'accès	Ouvert
Intégration BYOD avec l'autorité de certification interne ISE	Certificats provenant de votre MDM ou de votre propre autorité de certification	Sécurisé
TACACS+, IEEE 802.1X filaire, posture, TrustSec	Hors du périmètre de ce plan ; attribuer un responsable pour chacun	Aucun
Ce plan couvre l'authentification WiFi sur vos points d'accès. Si ISE gère également l'administration des équipements, les ports filaires ou le contrôle de posture, répertoriez chacun d'eux avant la phase 1 et attribuez-lui un responsable distinct. Si ISE héberge un portail invité utilisé pour le marketing, celui-ci est transféré vers le réseau ouvert et Purple Engage. Le guide des réseaux sécurisés sur les certificats, l'identité et Passpoint détaille l'architecture cible.

Que faut-il valider avant la phase 1 ?

Six conditions, chacune exigeant une réponse par oui ou non. Ne commencez pas la configuration tant que les six réponses ne sont pas oui.

1. L'inventaire est complet. Chaque SSID, chaque NAD avec son secret partagé, chaque jeu de règles et profil d'autorisation, ainsi que chaque groupe d'équipements dépendant du MAB.
2. Vous disposez d'une référence d'activité ISE. Enregistrez le nombre d'authentifications par heure et le taux de réussite par SSID et par site pendant au moins deux semaines. Les journaux en direct et les rapports d'ISE vous fournissent ces données. Sans référence, impossible d'évaluer la réussite d'une vague de déploiement.
3. Le plan de certificats est établi. Notez quelle AC a émis vos certificats clients et quel certificat ISE présente pour EAP. Vérifiez si des équipements possèdent des certificats issus de l'AC interne d'ISE.
4. Les groupes d'identités existent dans votre annuaire. Chaque règle d'autorisation ISE doit correspondre à un groupe dans Microsoft Entra ID, Okta ou Google Workspace, et chaque groupe nécessite un VLAN.
5. Les sites peuvent joindre le cloud. Les pare-feux de chaque site autorisent le trafic RADIUS depuis le contrôleur ou les AP vers les serveurs RADIUS de Purple.
6. ISE reste pris en charge. Conservez ISE sous licence, à jour et sous la responsabilité d'une équipe jusqu'à la fin de la phase 5. Il constitue votre solution de retour en arrière.

Une décision d'architecture doit également être prise ici. PEAP-MSCHAPv2 vérifie un condensat de mot de passe que les annuaires cloud comme Microsoft Entra ID n'exposent pas aux serveurs RADIUS. Si ISE valide PEAP par rapport à Active Directory sur site, migrez d'abord ces équipements vers EAP-TLS pendant qu'ISE les authentifie encore. Ne modifiez qu'un seul élément par vague : la méthode EAP, puis le serveur RADIUS.

{"tone":"warning","title":"Le piège récurrent : la confiance envers le certificat serveur","text":"Chaque équipement vérifie le certificat du serveur RADIUS pendant l'authentification 802.1X. Les profils qui font confiance uniquement au certificat EAP d'ISE ou à son AC refuseront Purple tant que votre MDM n'aura pas déployé la nouvelle chaîne de confiance. Déployez-la en phase 2, et non la nuit de la bascule."}

Quelles sont les phases d'une migration ISE, dans l'ordre ?

Cinq phases, chacune avec un responsable et un test de validation finale. Les durées ci-dessous correspondent à un parc de 40 sites ; adaptez-les à votre échelle. La bascule sur un site donné s'effectue généralement le temps d'un week-end. Les semaines qui la précèdent garantissent son succès.

{"kind":"timeline","direction":"lr","caption":"Cinq phases pour un parc de 40 sites passant de Cisco ISE à Purple cloud RADIUS. ISE reste actif jusqu'à la fin de la phase 5.","alt":"Une chronologie de cinq phases de migration, de la découverte au cours des semaines 1 à 2 jusqu'au déclassement d'ISE à partir de la semaine 10.","nodes":[{"id":"p1","label":"Phase 1 : découverte et conception","sub":"Inventaire des NAD, ensembles de règles, certificats et appareils MAB","tone":"neutral","when":"Semaines 1-2"},{"id":"p2","label":"Phase 2 : déploiement en parallèle","sub":"Cloud RADIUS, groupes IdP, règles VLAN, confiance des certificats","tone":"brand","when":"Semaine 3"},{"id":"p3","label":"Phase 3 : site pilote","sub":"Chaque classe d'appareil s'authentifie sur le bon VLAN","tone":"brand","when":"Semaines 4-5"},{"id":"p4","label":"Phase 4 : basculement par vagues","sub":"Fenêtres de changement le week-end, ISE conservé comme secours","tone":"brand","when":"Semaines 6-9"},{"id":"p5","label":"Phase 5 : déclassement d'ISE","sub":"Zéro authentification ISE, nœuds hors tension","tone":"success","when":"Semaine 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"Plan de phase de migration d'ISE vers cloud RADIUS","asOf":"2026-06-10","columns":[{"key":"phase","label":"Phase"},{"key":"scope","label":"Périmètre"},{"key":"owner","label":"Responsable"},{"key":"exit","label":"Test de validation"}],"rows":[["1. Découverte et conception","Chaque SSID, NAD, ensemble de règles, profil d'autorisation, certificat et appareil MAB","Architecte réseau","Mappage validé de chaque règle ISE vers un groupe d'identité et un VLAN"],["2. Déploiement en parallèle","Cloud RADIUS, connexion IdP, règles VLAN, clés xPSK, confiance des certificats serveur","Responsable des identités et des accès","Les appareils de test s'authentifient auprès de Purple depuis un SSID de laboratoire"],["3. Site pilote","Un site représentatif, toutes les classes d'appareils","Responsable IT avec le responsable du site","Cinq jours ouvrés au niveau ou au-dessus de la référence ISE, VLAN correct pour chaque classe"],["4. Basculement par vagues","Sites répartis en groupes, une fenêtre de changement par groupe","Exploitation réseau","Chaque vague maintient le niveau de référence pendant 48 heures sans retour en arrière"],["5. Déclassement d'ISE","Nœuds ISE, entrées NAD, licences, CA interne","Directeur IT","Zéro authentification ISE pendant la période définie, preuves archivées"]],"footnote":"Les durées et seuils sont des paramètres de planification par défaut pour un parc de 40 sites. Définissez les vôtres à partir de la référence ISE capturée avant la phase 1.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

Que se passe-t-il dans chaque phase de la migration ISE ?

Phase 1 : découverte et conception

Exportez les données contenues dans ISE avant de modifier quoi que ce soit. Répertoriez chaque ensemble de règles, ses conditions et le profil d'autorisation qu'il renvoie. La plupart des parcs informatiques constatent que des années de règles se résument à une poignée de résultats réels : VLAN personnel, VLAN prestataires, VLAN IoT, refuser.

Rédigez chaque résultat sous la forme d'un groupe d'identités et d'un VLAN. L'attribution de VLAN via RADIUS utilise les attributs de tunnel décrits dans le RFC 3580. Certains contrôleurs lisent également les attributs spécifiques au fournisseur (VSA), tels que l'attribut de rôle utilisé par les contrôleurs HPE Aruba. Notez ceux que votre matériel attend.

Identifiez ensuite les appareils qui ne peuvent pas exécuter 802.1X. La liste des points de terminaison d'ISE indique quelles adresses MAC s'authentifient par MAB. Chacun d'eux a besoin d'une clé xPSK et d'un VLAN avant le déplacement de son site.

Phase 2 : créer Purple en parallèle

Connectez Purple à votre fournisseur d'identités et créez les règles de groupe vers VLAN de la phase 1. Téléversez l'AC qui a émis vos certificats clients afin que EAP-TLS effectue la validation par rapport à celle-ci. Émettez des clés xPSK pour les groupes d'appareils autonomes.

Déployez la confiance pour le certificat de serveur de Purple sur chaque appareil géré via votre MDM. Il s'agit de la tâche la plus longue de la configuration, commencez-la donc dès le premier jour. Configurez un SSID de laboratoire pointant vers Purple et authentifiez un appareil de chaque classe.

Phase 3 : piloter un site représentatif

Choisissez un site disposant de chaque classe d'appareils que vous détenez : Windows, macOS, iOS, Android, scanners et tout élément inhabituel. Évitez votre site principal et votre site le plus simple. Effectuez la bascule en suivant les mêmes étapes que celles que vous menerez lors des vagues.

Maintenez-la pendant cinq jours ouvrés. Comparez le taux de réussite de Purple avec la référence ISE pour ce site. Vérifiez que chaque classe d'appareils arrive sur le bon VLAN. Corrigez tout ce qui échoue ici, et non lors d'une vague.

Phase 4 : basculer par vagues

Regroupez les sites restants en vagues qu'une seule équipe peut prendre en charge au cours d'une même fenêtre de modification. Exécutez la vérification de validation ou de rejet avant chaque vague. Suivez les mêmes étapes sur chaque site.

{"title":"Basculer un site d'ISE vers le RADIUS cloud de Purple","steps":[{"title":"Enregistrer la référence","body":"Notez les authentifications ISE par heure du site et le taux de réussite par SSID dans le journal de migration.","check":"Les chiffres de référence sont enregistrés avant l'ouverture de la fenêtre."},{"title":"Pointeur le SSID sécurisé vers Purple","body":"Remplacez les serveurs RADIUS ISE par les serveurs de Purple et le secret partagé. Conservez les entrées ISE par écrit pour un retour en arrière.","check":"Le tableau de bord affiche Purple comme serveur RADIUS pour ce SSID.","variants":[{"label":"Cisco Meraki","body":"Dans le tableau de bord Meraki, modifiez les paramètres de contrôle d'accès du SSID et mettez à jour la liste des serveurs RADIUS."},{"label":"HPE Aruba","body":"Dans Aruba Central ou le contrôleur, mettez à jour le groupe de serveurs utilisé par le profil WLAN 802.1X."},{"label":"Ruckus","body":"Dans RUCKUS One ou SmartZone, mettez à jour le serveur AAA attribué au WLAN."},{"label":"Juniper Mist","body":"Dans le tableau de bord Mist, modifiez les paramètres de sécurité entreprise du WLAN et mettez à jour les serveurs RADIUS."},{"label":"Ubiquiti UniFi","body":"Dans UniFi Network, mettez à jour le profil RADIUS utilisé par le SSID entreprise."}]},{"title":"Reconnecter les appareils de test","body":"Reconnectez un appareil de chaque classe sur le site, y compris les appareils sans écran sur xPSK.","check":"Chaque appareil de test aboutit sur son VLAN prévu."},{"title":"Observer la première heure","body":"Lisez les journaux d'authentification de Purple et regroupez les échecs par raison.","check":"Le taux de réussite est égal ou supérieur à la référence du site."},{"title":"Maintenir ou annuler","body":"Si le taux reste inférieur à la référence à la fin de la fenêtre convenue, restaurez les serveurs ISE sur le SSID.","check":"La décision et la raison figurent dans le journal de migration."},{"title":"Clôturer le site","body":"Marquez le site comme migré après 48 heures. Conservez son entrée NAD dans ISE jusqu'à la phase 5 afin que le retour en arrière fonctionne toujours.","check":"ISE n'affiche aucune nouvelle authentification pour ce site."}]}

Phase 5 : décommissionner ISE

Ne commencez la phase 5 que lorsque ISE n'a enregistré aucune authentification WiFi pendant une période définie, par exemple 30 jours. Exportez les rapports d'authentification ISE requis par votre politique de conservation d'audit. Supprimez les entrées NAD, puis éteignez les nœuds. Laissez les licences expirer lors du renouvellement plutôt que de les résilier de manière anticipée.

Retirez l'AC interne d'ISE en dernier. Tout certificat qu'elle a émis cesse d'être rattaché à une AC active une fois ISE supprimé.

Comment ISE et Purple fonctionnent-ils côte à côte pendant le basculement ?

Il existe deux schémas, et ils se comportent différemment.

SSID parallèle. Diffusez un second SSID sécurisé authentifié par Purple à côté du SSID ISE. Votre MDM déplace les groupes d'appareils vers le nouveau profil SSID par lots. Les deux réseaux fonctionnent en même temps, il s'agit donc d'un véritable fonctionnement côte à côte. Le coût réside dans le temps d'antenne consommé par un SSID supplémentaire pendant toute la durée de la migration.

Même SSID, serveur permuté. Conservez un seul SSID et modifiez son serveur RADIUS pendant la fenêtre de changement. Cela est plus propre sur les ondes radio, mais il s'agit d'une permutation, pas d'une transition progressive.

Le point que la plupart des équipes manquent : le basculement RADIUS sur la plupart des contrôleurs se déclenche lorsque le serveur primaire ne répond plus, et non lorsqu'il rejette un appareil. Si vous listez Purple en premier et ISE en second, un rejet de Purple ne bascule pas vers ISE. Ne vous fiez pas à l'ordre des serveurs comme filet de sécurité. Fiez-vous au pilote.

Scénario concret : un groupe de 40 hôtels sur Cisco Meraki

Un groupe hôtelier exploite le WiFi du personnel dans 40 hôtels sur Cisco Meraki. Deux nœuds ISE dans un centre de données authentifient le personnel avec PEAP par rapport à Active Directory sur site. Le groupe souhaite fermer ce centre de données.

L'équipe a divisé la transition en deux étapes. Tout d'abord, elle a déployé les certificats EAP-TLS et la confiance envers les serveurs Purple via son MDM, pendant qu'ISE continuait de tout authentifier. ISE a validé les nouveaux certificats, si bien que rien n'a changé pour le personnel. Deuxièmement, elle a mené un pilote dans un hôtel de taille moyenne, puis a migré le reste au cours de quatre vagues le week-end, à raison de neuf ou dix hôtels par vague.

Le résultat mesurable a été le test de sortie lui-même. Le nombre d'authentifications du personnel sur le SSID d'ISE est tombé à zéro après la dernière vague. Aucune vague n'a nécessité de retour en arrière. Les nœuds ISE ont été mis hors tension à la fin du mois suivant.

Comment faire revenir en arrière une vague qui échoue ?

Le retour en arrière est l'inverse de la deuxième étape : restaurez les serveurs ISE et le secret partagé sur les SSID concernés. Comme ISE reste actif et que ses entrées NAD restent en place, le site revient à son état précédent dès la connexion suivante. Convenez à l'avance de la personne qui prend la décision et du délai d'attente avant de la prendre.

{"title":"Go, no-go ou retour en arrière pour une vague de migration","start":"q1","nodes":[{"id":"q1","question":"Le pilote ou la vague précédente a-t-il maintenu le taux de réussite de référence d'ISE ?","help":"Comparez le taux de réussite de Purple par SSID avec la valeur de référence d'ISE pour les mêmes sites.","options":[{"label":"Oui","to":"q2"},{"label":"Non","to":"o3"}]},{"id":"q2","question":"Chaque appareil de cette vague fait-il confiance au certificat serveur de Purple ?","help":"Vérifiez le statut du déploiement MDM pour chaque groupe d'appareils sur ces sites.","options":[{"label":"Oui","to":"q3"},{"label":"Non","to":"o2"}]},{"id":"q3","question":"Chaque site de la vague peut-il joindre les serveurs RADIUS de Purple ?","help":"Testez à travers le pare-feu de chaque site avant l'ouverture de la fenêtre d'intervention.","options":[{"label":"Oui","to":"q4"},{"label":"Non","to":"o2"}]},{"id":"q4","question":"ISE est-il toujours actif, avec un responsable du retour en arrière désigné d'astreinte ?","options":[{"label":"Oui","to":"o1"},{"label":"Non","to":"o2"}]},{"id":"o1","outcome":"Go","detail":"Ouvrez la fenêtre d'intervention et suivez les étapes de basculement du site."},{"id":"o2","outcome":"No-go : corriger et planifier à nouveau","detail":"Comblez l'écart, puis réexécutez cette vérification avant la prochaine fenêtre."},{"id":"o3","outcome":"Rétablir l'état antérieur et diagnostiquer","detail":"Restaurez ISE sur les SSID concernés, identifiez la classe d'appareils ou la règle défaillante, et corrigez-la d'abord sur le site pilote.","link":"[Compare ISE alternatives](guide:cisco-ise-alternatives)"}]}

Scénario concret : une enseigne de 300 magasins sur HPE Aruba

Un détaillant exploite 300 magasins sur HPE Aruba. ISE authentifie les ordinateurs portables du personnel avec EAP-TLS et les lecteurs de code-barres portables de stock avec MAB. Le magasin pilote ayant réussi le test, l'équipe a fait migrer la première vague de 30 magasins.

Les lecteurs ont échoué dans quatre magasins de la deuxième vague. Ces magasins disposaient d'un modèle de lecteur plus récent dont les adresses MAC n'avaient jamais été intégrées à l'inventaire de la phase 1. Le responsable du rollback a restauré le groupe de serveurs ISE sur les WiFi WLAN affectés pendant la fenêtre de changement, et le traitement des stocks a pu reprendre.

L'équipe a extrait les adresses du nouveau modèle depuis la liste des points d'accès d'ISE et lui a attribué des clés xPSK. Elle a testé un lecteur dans le magasin pilote, puis a réexécuté la vague. Les 300 magasins ont tous finalisé leur transition sur Purple. Chaque règle MAB a été retirée, et les terminaux de paiement par carte se trouvent désormais sur leur propre VLAN. Cette segmentation est devenue une preuve pour le périmètre d'application PCI-DSS du détaillant.

Comment prouver que la migration depuis ISE est terminée ?

Être « terminé » repose sur un ensemble de faits, pas sur un ressenti. Votre projet est achevé lorsque l'ensemble de ces conditions sont remplies :

• ISE a enregistré zéro authentification WiFi pendant la période que vous avez définie.
• Le taux de réussite de Purple sur chaque site est égal ou supérieur à sa valeur de référence sur ISE.
• Chaque groupe d'identités arrive sur son VLAN prévu, ce qui a été vérifié à l'aide d'un appareil de test par classe.
• Aucun appareil ne détient de certificat rattaché à l'autorité de certification interne d'ISE.
• Les rapports ISE pour votre période de conservation sont exportés et stockés.
• Les nœuds ISE sont mis hors tension et le renouvellement est annulé.

Conservez un seul journal pour l'ensemble du programme. La liste de contrôle ci-dessous constitue ce journal.

{"title":"Journal de migration d'ISE vers cloud RADIUS","groups":[{"heading":"Avant la phase 1","items":[{"text":"Chaque SSID, NAD et secret partagé est répertorié"},{"text":"Chaque jeu de politiques est associé à un groupe d'identités et à un VLAN"},{"text":"Deux semaines de référence ISE capturées par site et SSID","why":"Sans cela, aucune vague ne peut réussir ou échouer"},{"text":"Appareils PEAP identifiés et plan EAP-TLS validé"},{"text":"Appareils MAB répertoriés à partir de la liste des points d'accès ISE"},{"text":"Les périmètres filaires, TACACS+ et de posture ont des responsables distincts"}]},{"heading":"Génération et pilote","items":[{"text":"Fournisseur d'identités connecté et groupes associés aux VLAN"},{"text":"CA du certificat client approuvée pour EAP-TLS"},{"text":"Approbation du certificat de serveur Purple déployée via MDM","why":"Le risque qui survient lors de la nuit de basculement"},{"text":"Clés xPSK émises pour les groupes d'appareils sans interface"},{"text":"Les pare-feu des sites autorisent le trafic RADIUS vers Purple"},{"text":"Le site pilote a maintenu le niveau de référence pendant cinq jours ouvrés"}]},{"heading":"Vagues","items":[{"text":"Vérification de validation ou de refus enregistrée pour chaque vague"},{"text":"Responsable du rollback désigné pour chaque fenêtre"},{"text":"Chaque vague a maintenu le niveau de référence pendant 48 heures"}]},{"heading":"Terminé","items":[{"text":"Zéro authentification WiFi ISE pendant la période convenue"},{"text":"Aucun certificat rattaché à la CA interne d'ISE"},{"text":"Rapports ISE exportés pour la conservation d'audit"},{"text":"Entrées NAD supprimées et nœuds ISE mis hors tension"},{"text":"Renouvellement de la licence ISE annulé"}]}],"download":{"filename":"ise-migration-log.csv"}}

Quels modes de défaillance apparaissent sur le terrain ?

La plupart des vagues défaillantes découlent d'une courte liste de causes.

• Certificat de serveur non approuvé. Les appareils demandent une confirmation ou refusent silencieusement de se connecter. Résolvez le problème lors de la phase 2 via votre MDM, jamais en demandant au personnel d'accepter une invite.
• Changer deux choses à la fois. Passer de PEAP à EAP-TLS dans la même fenêtre d'intervention que le changement de serveur masque le changement responsable de la panne.
• Appareils autonomes oubliés. Les lecteurs de code-barres, imprimantes et capteurs sur MAB échouent en premier, comme l'a constaté le détaillant. Reconstruisez la liste MAB à partir d'ISE juste avant chaque vague.
• Disparités de secret partagé. Un seul secret mal saisi sur un contrôleur rejette un site entier. Copiez les secrets depuis une source unique, jamais manuellement.
• Sortie pare-feu. Les sites avec sortie Internet locale ou règles de pare-feu plus anciennes bloquent le trafic RADIUS vers le cloud. Testez chaque site avant sa fenêtre d'intervention.
• Différences d'attributs VLAN. Les profils d'autorisation ISE peuvent renvoyer un nom de VLAN, un ID de VLAN ou un rôle spécifique au fournisseur. Alignez ce que chaque contrôleur attend sur le site pilote.
• Consommateurs en aval silencieux. Si un pare-feu apprenait les identités depuis ISE via pxGrid, ce flux s'arrête lors du basculement. Si vous comptez sur le Change of Authorisation (RFC 5176) pour mettre fin aux sessions, testez-le pendant le pilote.
• Compter sur le basculement automatique. Lister ISE comme serveur secondaire ne capture pas les rejets. Seul un retour en arrière testé le permet.

Le rôle de Purple

Purple Access gère trois réseaux sur les points d'accès que vous possédez déjà : ouvert, sécurisé et xPSK. Une migration ISE s'effectue sur le réseau sécurisé. Purple cloud RADIUS s'authentifie avec EAP-TLS auprès de Microsoft Entra ID, Okta ou Google Workspace. Passpoint, la norme Hotspot 2.0 pour une connexion automatique et chiffrée, étend la même identité à tous les sites. L'identité définit le VLAN sur chaque réseau.

Purple est indépendant du matériel. Il fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet, sans aucun nouveau matériel. Purple exploite le plus grand RADIUS cloud au monde. Il bénéficie d'un SLA de disponibilité RADIUS de 99,9 % sur une plateforme qui fonctionne avec une disponibilité de 99,999 %.

{"items":[{"value":"99.9%","label":"SLA de disponibilité RADIUS","note":"SLA contractuel de Purple"},{"value":"99.999%","label":"disponibilité de la plateforme","note":"Données propres à Purple"},{"value":"80,000+","label":"sites actifs","note":"Données propres à Purple"},{"value":"90","label":"pays","note":"Données propres à Purple"}]}

{"tone":"proof","title":"WiFi du personnel à l'échelle des succursales","text":"JPMorgan gère le WiFi de son personnel sur Purple dans 5 000 succursales."}

Purple détient les certifications ISO 27001, Cyber Essentials et B Corp, et opère selon les normes GDPR et CCPA. Ces certifications raccourcissent l'évaluation des fournisseurs que votre équipe de sécurité effectuera. Pour avoir une vue d'ensemble sur la sécurité, consultez le guide de sécurité WiFi d'entreprise. Si vous hésitez encore sur le choix de votre destination, consultez les alternatives à Cisco ISE pour l'authentification WiFi.

Foire aux questions

Combien de temps faut-il pour migrer de Cisco ISE vers le RADIUS cloud ?

La bascule elle-même s'effectue généralement le temps d'un week-end ; c'est la préparation qui prend le plus de temps. Pour un parc de 40 sites, prévoyez deux semaines de découverte, une semaine de création, un pilote de deux semaines et plusieurs vagues au cours des week-ends. Les certificats constituent la variable la plus importante. Si les appareils utilisent déjà EAP-TLS avec des certificats issus de votre propre AC, le calendrier se réduit. Si PEAP par rapport à Active Directory est utilisé, ajoutez une phase pour faire passer d'abord ces appareils à EAP-TLS.

Faut-il de nouveaux points d'accès pour quitter Cisco ISE ?

Non. Le RADIUS cloud fonctionne avec les points d'accès et contrôleurs que vous utilisez déjà : Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. La migration consiste en une modification de la configuration sur chaque SSID : de nouvelles adresses de serveur RADIUS, un nouveau secret partagé et, si nécessaire, de nouveaux attributs VLAN. Vos commutations, VLAN et SSID restent exactement en l'état.

Pouvons-nous conserver les certificats clients que nous délivrons déjà ?

Oui, si votre propre AC ou MDM les a délivrés. Le RADIUS cloud valide les certificats EAP-TLS par rapport à l'AC émettrice, ils continuent donc de fonctionner une fois cette AC approuvée. Les certificats provenant de l'AC interne d'ISE font exception. Ils sont liés à un système que vous êtes sur le point de retirer ; réémettez-les donc depuis votre MDM ou votre AC avant le début de la phase 5.

Qu'advient-il des appareils qui utilisent le MAC Authentication Bypass dans ISE ?

Ils migrent vers le réseau xPSK. Le MAB fait confiance à une adresse MAC, ce qui est facile à usurper. Une clé par appareil ou groupe d'appareils fournit aux scanners, imprimantes et capteurs leurs propres identifiants et les place sur leur propre VLAN. Identifiez-les lors de la phase 1 à partir de la liste des points de terminaison d'ISE. Émettez des clés lors de la phase 2, puis testez un modèle de chaque type sur le site pilote.

L'abandon d'ISE a-t-il un impact sur nos preuves PCI DSS ou ISO 27001 ?

Cela modifie l'origine des preuves, mais ne remet pas en cause leur existence. Exportez les rapports d'authentification ISE pour votre période de conservation avant le déclassement. À partir de la bascule, les journaux d'authentification et les attributions VLAN de Purple fournissent des preuves pour la segmentation du réseau et le contrôle d'accès. La propre certification ISO 27001 et Cyber Essentials de Purple vient également étayer l'évaluation des fournisseurs à laquelle vos auditeurs s'attendront.

Comment les tarifs du RADIUS cloud se comparent-ils à ceux de Cisco ISE ?

Comparez le coût total plutôt que les lignes de licence. Le coût d'ISE comprend les licences, les nœuds ou machines virtuelles qui l'exécutent, les contrats d'assistance et le temps d'ingénierie consacré aux correctifs et aux mises à niveau. Le RADIUS cloud est un abonnement sans aucun serveur à gérer pour vous. Purple établit un devis pour votre parc : rassemblez donc votre nombre de sites, de SSID et d'appareils. Le guide des alternatives à ISE détaille les autres points à comparer.

Devrions-nous migrer le réseau 802.1X filaire en même temps que le WiFi ?

Non. Déplacez d'abord WiFi et traitez le 802.1X filaire comme un projet distinct avec son propre pilote. Les ports filaires intègrent souvent des appareils MAB, des téléphones fixes et des règles de posture qui nécessitent leur propre inventaire. Modifier les deux au cours d'une même fenêtre double le nombre d'éléments susceptibles d'échouer simultanément. Cela rend également la décision de retour en arrière plus difficile à prendre sous pression.

La migration depuis Aruba ClearPass est-elle différente ?

Les cinq phases sont identiques ; seul l'exportation diffère. ClearPass stocke la politique sous forme de services, de politiques d'application et de profils plutôt que sous forme de jeux de politiques ISE. Mapper ces éléments vers des groupes d'identités et des VLAN constitue la tâche principale de la phase 1. Le risque de confiance dans les certificats et le comportement de basculement s'appliquent exactement de la même manière. Le guide de migration ClearPass détaille l'exportation.