Migrazione da Cisco ISE a RADIUS in cloud: un piano di migrazione a fasi

È possibile passare da Cisco ISE al RADIUS cloud in cinque fasi senza un giorno di fermo in cui ogni dispositivo debba considerare affidabile il nuovo certificato del server. Esegua Purple affiancato a ISE sito per sito. Mantenga inalterati IEEE 802.1X e EAP-TLS sul client. Effettui il passaggio a scaglioni, utilizzando ISE come percorso di ripristino fino al trasferimento dell'ultimo sito.

Che cosa cambia con l'abbandono di Cisco ISE e che cosa rimane invariato?

Lo stato finale è semplice da descrivere. I Suoi access point inviano le richieste di autenticazione al RADIUS cloud di Purple invece che ai nodi ISE nel Suo data center. Purple verifica l'identità rispetto a Microsoft Entra ID, Okta o Google Workspace. Successivamente restituisce la VLAN a cui appartiene tale identità. ISE viene spento, le sue licenze scadono e nessuno dovrà più applicarvi patch.

Prima alcuni termini. RADIUS (RFC 2865) è il protocollo di autenticazione già utilizzato dai Suoi controller. IEEE 802.1X è lo standard di controllo dell'accesso basato su porta che gestisce l'accesso su WiFi. EAP-TLS (RFC 5216) autentica ciascun dispositivo con un certificato. PEAP incapsula uno scambio di password all'interno di un tunnel TLS crittografato. Una VLAN, o LAN virtuale, è il segmento di rete su cui atterra un dispositivo dopo l'autenticazione.

Quattro elementi cambiano:

• Indirizzi server RADIUS e segreti condivisi su ciascun dispositivo di accesso alla rete (NAD), ovvero il controller, l'AP o la dashboard cloud che invia le richieste.
• Il certificato del server che i dispositivi vedono durante 802.1X.
• Dove risiede la policy. I set di policy ISE e i profili di autorizzazione diventano gruppi di identità associati alle VLAN.
• Da dove proviene l'identità. Una directory cloud sostituisce ISE collegato ad Active Directory locale.

Gli SSID, gli access point, le VLAN, lo switching e gli eventuali certificati client della Sua CA rimangono invariati. È questo a rendere possibile un passaggio graduale. Le funzioni ISE stesse necessitano di una destinazione e non tutte atterrano sulla rete sicura.

Che cosa fa ISE oggi	Dove va a finire	Rete Purple
802.1X per il personale e i dispositivi aziendali	RADIUS cloud di Purple con EAP-TLS e il Suo provider di identità	Sicura
MAB (MAC Authentication Bypass) per scanner, stampanti e sensori	Una chiave per dispositivo o gruppo di dispositivi (iPSK o PPSK, insieme xPSK)	xPSK
Portali ospiti e sponsorizzati	Un portale captive, la pagina di accesso mostrata prima dell'accesso	Aperta
Onboarding BYOD con CA interna ISE	Certificati dal Suo MDM o dalla Sua CA	Sicura
TACACS+, 802.1X via cavo, postura, TrustSec	Fuori dall'ambito di questo piano; assegnare un responsabile a ciascuno	Nessuna

Questo piano copre l'autenticazione WiFi sui tuoi access point. Se ISE gestisce anche l'amministrazione dei dispositivi, le porte cablate o la posture, elenca ciascun elemento prima della fase 1 e assegna un responsabile dedicato. Se ISE ospita un portale ospiti utilizzato per il marketing, questo verrà spostato sulla rete aperta e su Purple Engage. La guida alla rete sicura per certificati, identità e Passpoint approfondisce l'architettura finale.

Cosa deve essere confermato prima della fase 1?

Sei condizioni, ciascuna con risposta sì o no. Non iniziare la configurazione finché non sono tutte confermate con un sì.

1. L'inventario è completo. Ogni SSID, ogni NAD con il relativo segreto condiviso, ogni set di criteri e profilo di autorizzazione, e ogni gruppo endpoint che si affida a MAB.
2. Disponi di una baseline ISE. Raccogli le autenticazioni orarie e il tasso di successo per SSID e per sede per almeno due settimane. I log in tempo reale e i report di ISE forniscono questi dati. Senza una baseline, non è possibile stabilire se una fase di rilascio ha avuto successo.
3. Il piano per i certificati è redatto. Annota quale CA ha emesso i certificati client e quale certificato ISE presenta per EAP. Annota se alcuni dispositivi dispongono di certificati emessi dalla CA interna di ISE.
4. I gruppi di identità esistono nella tua directory. Ogni regola di autorizzazione ISE richiede un gruppo corrispondente in Microsoft Entra ID, Okta o Google Workspace, e ogni gruppo richiede una VLAN.
5. Le sedi possono raggiungere il cloud. I firewall in ciascuna sede consentono il traffico RADIUS dal controller o dagli AP verso i server RADIUS di Purple.
6. ISE rimane supportato. Mantieni ISE con licenza attiva, aggiornato e gestito fino al completamento della fase 5. Rappresenta il tuo percorso di ripristino.

Anche una decisione di progettazione appartiene a questo punto. PEAP-MSCHAPv2 verifica un hash della password che le directory cloud come Microsoft Entra ID non espongono ai server RADIUS. Se ISE convalida PEAP rispetto ad Active Directory in locale, sposta prima tali dispositivi su EAP-TLS, mentre ISE li autentica ancora. Modifica un elemento per ciascuna fase di rilascio: prima il metodo EAP, poi il server RADIUS.

{"tone":"warning","title":"Il rischio principale: l'affidabilità del certificato server","text":"Ogni dispositivo verifica il certificato del server RADIUS durante l'autenticazione 802.1X. I profili che si fidano solo del certificato EAP di ISE o della sua CA rifiuteranno Purple finché il tuo MDM non distribuirà la nuova catena di trust, quindi distribuiscila nella fase 2, non la notte del passaggio finale."}

Quali sono le fasi di una migrazione da ISE, in ordine?

Cinque fasi, ciascuna con un responsabile e un test di completamento. Le durate indicate di seguito si adattano a un'infrastruttura di 40 sedi; riproporzionale in base alle tue esigenze. Il passaggio finale in una singola sede è solitamente un'attività del fine settimana. Le settimane precedenti sono ciò che la rendono tale.

{"kind":"timeline","direction":"lr","caption":"Cinque fasi per un parco di 40 sedi che passa da Cisco ISE a Purple cloud RADIUS. ISE rimane attivo fino all'uscita dalla fase 5.","alt":"Una tempistica di cinque fasi di migrazione, dall'analisi nelle settimane 1 e 2 fino al decommissioning di ISE dalla settimana 10.","nodes":[{"id":"p1","label":"Fase 1: analisi e progettazione","sub":"Inventario NAD, set di policy, certificati e dispositivi MAB","tone":"neutral","when":"Settimane 1-2"},{"id":"p2","label":"Fase 2: creazione in parallelo","sub":"RADIUS cloud, gruppi IdP, regole VLAN, trust del certificato","tone":"brand","when":"Settimana 3"},{"id":"p3","label":"Fase 3: pilotaggio su una sede","sub":"Ogni classe di dispositivi si autentica sulla VLAN corretta","tone":"brand","when":"Settimane 4-5"},{"id":"p4","label":"Fase 4: migrazione a blocchi","sub":"Finestre di modifica nel fine settimana, ISE mantenuto per il ripristino","tone":"brand","when":"Settimane 6-9"},{"id":"p5","label":"Fase 5: decommissioning di ISE","sub":"Zero autenticazioni ISE, nodi spenti","tone":"success","when":"Settimana 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"Piano di fase da ISE a cloud RADIUS","asOf":"2026-06-10","columns":[{"key":"phase","label":"Fase"},{"key":"scope","label":"Ambito"},{"key":"owner","label":"Responsabile"},{"key":"exit","label":"Test di completamento"}],"rows":[["1. Analisi e progettazione","Ogni SSID, NAD, set di policy, profilo di autorizzazione, certificato e dispositivo MAB","Architetto di rete","Mappatura firmata di ogni regola ISE su un gruppo di identità e VLAN"],["2. Creazione in parallelo","RADIUS cloud, connessione IdP, regole VLAN, chiavi xPSK, trust del certificato server","Responsabile identità e accessi","I dispositivi di test si autenticano su Purple da un SSID di laboratorio"],["3. Pilotaggio su una sede","Una sede rappresentativa, ogni classe di dispositivi","IT manager con il responsabile di sede","Cinque giorni lavorativi pari o superiori alla baseline ISE, VLAN corretta per ogni classe"],["4. Migrazione a blocchi","Sedi suddivise in gruppi, una finestra di modifica per ciascuno","Operations di rete","Ogni blocco mantiene la baseline per 48 ore senza ripristini"],["5. Decommissioning di ISE","Nodi ISE, voci NAD, licenze, CA interna","Direttore IT","Zero autenticazioni ISE per il periodo impostato, prove archiviate"]],"footnote":"Le durate e le soglie sono impostazioni predefinite di pianificazione per un parco di 40 sedi. Personalizzale in base alla baseline ISE rilevata prima della fase 1.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

Cosa succede in ciascuna fase della migrazione da ISE?

Fase 1: analisi e progettazione

Esporta i dati di ISE prima di modificare qualsiasi elemento. Elenca ciascun set di policy, le relative condizioni e il profilo di autorizzazione restituito. Nella maggior parte delle infrastrutture, anni di regole si riducono a pochi risultati effettivi: VLAN personale, VLAN fornitori, VLAN IoT, negato.

Scrivere ogni risultato come gruppo di identità e un VLAN. L'assegnazione VLAN su RADIUS utilizza gli attributi tunnel descritti in RFC 3580. Alcuni controller leggono anche attributi specifici del produttore (VSA), come l'attributo di ruolo utilizzato dai controller HPE Aruba. Prendere nota di quali attributi richiede l'hardware in uso.

Individuare quindi i dispositivi che non possono eseguire 802.1X. L'elenco degli endpoint di ISE mostra quali indirizzi MAC si autenticano tramite MAB. Ognuno di essi necessita di una chiave xPSK e di un VLAN prima del trasferimento del relativo sito.

Fase 2: configurare Purple in parallelo

Connettere Purple al proprio provider di identità e creare le regole da gruppo a VLAN della fase 1. Caricare la CA che ha emesso i certificati client in modo che EAP-TLS li convalidi. Emettere le chiavi xPSK per i gruppi di dispositivi headless.

Distribuire la fiducia per il certificato del server di Purple a tutti i dispositivi gestiti tramite l'MDM. Si tratta dell'attività che richiede più tempo nell'intera configurazione, pertanto è consigliabile avviarla fin dal primo giorno. Configurare un laboratorio SSID puntato su Purple e autenticare un dispositivo per ciascuna classe.

Fase 3: pilota su un sito rappresentativo

Scegliere un sito in cui sia presente ogni classe di dispositivi: Windows, macOS, iOS, Android, scanner e qualsiasi elemento insolito. Evitare la sede principale e quella più semplice. Eseguire il passaggio con le stesse fasi che verranno utilizzate nelle successive ondate.

Mantenere la configurazione per cinque giorni lavorativi. Confrontare il tasso di successo di Purple con il parametro di riferimento ISE per quel sito. Verificare che ogni classe di dispositivi sia associata al VLAN corretto. Correggere eventuali errori in questa fase e non durante le ondate.

Fase 4: passaggio graduale ad ondate

Raggruppare i siti rimanenti in ondate che un singolo team possa gestire all'interno di un'unica finestra di modifica. Eseguire la verifica di autorizzazione (go / no-go) prima di ogni ondata. Seguire i medesimi passaggi per ciascun sito.

{"title":"Esegui il cutover di un sito da ISE a Purple cloud RADIUS","steps":[{"title":"Registra il riferimento di base","body":"Annota nel registro di migrazione le autenticazioni orarie di ISE e il tasso di successo per SSID per il sito.","check":" Le cifre di riferimento sono registrate prima dell'apertura della finestra."},{"title":"Indirizza l'SSID sicuro verso Purple","body":"Sostituisci i server RADIUS di ISE con i server e il segreto condiviso di Purple. Mantieni le voci ISE annotate per il rollback.","check":"La dashboard mostra Purple come server RADIUS per questo SSID.","variants":[{"label":"Cisco Meraki","body":"Nella Meraki Dashboard, modifica le impostazioni di controllo degli accessi dell'SSID e aggiorna l'elenco dei server RADIUS."},{"label":"HPE Aruba","body":"In Aruba Central o nel controller, aggiorna il gruppo di server utilizzato dal profilo WLAN 802.1X."},{"label":"Ruckus","body":"In RUCKUS One o SmartZone, aggiorna il server AAA assegnato alla WLAN."},{"label":"Juniper Mist","body":"Nella dashboard di Mist, modifica le impostazioni di sicurezza enterprise della WLAN e aggiorna i server RADIUS."},{"label":"Ubiquiti UniFi","body":"In UniFi Network, aggiorna il profilo RADIUS utilizzato dall'SSID enterprise."}]},{"title":"Riconnetti i dispositivi sonda","body":"Riconnetti un dispositivo per ciascuna classe nel sito, inclusi i dispositivi headless su xPSK.","check":"Ogni dispositivo sonda atterra sulla VLAN prevista."},{"title":"Monitora la prima ora","body":"Leggi i log di autenticazione di Purple e raggruppa i problemi per motivo.","check":"Il tasso di successo è pari o superiore al riferimento di base del sito."},{"title":"Mantieni o effettua il rollback","body":"Se il tasso rimane al di sotto del riferimento di base al termine della finestra concordata, ripristina i server ISE sull'SSID.","check":"La decisione e il motivo sono registrati nel log di migrazione."},{"title":"Chiudi il sito","body":"Contrassegna il sito come migrato dopo 48 ore. Mantieni la sua voce NAD in ISE fino alla fase 5 affinché il rollback continui a funzionare.","check":"ISE non mostra nuove autenticazioni da questo sito."}]}

Fase 5: dismissione di ISE

Avvia la fase 5 solo quando ISE registra zero autenticazioni WiFi per un periodo impostato, ad esempio 30 giorni. Esporta i report di autenticazione ISE richiesti dalla tua politica di conservazione per gli audit. Rimuovi le voci NAD, quindi spegni i nodi. Lascia scadere le licenze al rinnovo anziché annullarle in anticipo.

Dismetti la CA interna di ISE per ultima. Qualsiasi certificato emesso smette di collegarsi a una CA attiva una volta rimosso ISE.

Come funzionano affiancati ISE e Purple durante il cutover?

Esistono due modelli e si comportano in modo diverso.

SSID parallelo. Trasmetti un secondo SSID sicuro autenticato da Purple insieme all'SSID ISE. Il tuo MDM sposta a blocchi i gruppi di dispositivi sul nuovo profilo SSID. Entrambe le reti funzionano contemporaneamente, quindi si tratta di un vero e proprio funzionamento affiancato. Il costo è rappresentato dal tempo d'antenna consumato da un SSID aggiuntivo per tutta la durata della migrazione.

Stesso SSID, server sostituito. Mantieni un unico SSID e modifica il relativo server RADIUS durante la finestra di modifica. Questa opzione è più pulita a livello di frequenze radio, ma si tratta di un'interruzione diretta, non di una transizione graduale.

Il punto che la maggior parte dei team trascura è questo: il failover RADIUS sulla maggior parte dei controller si attiva quando il server primario smette di rispondere, non quando rifiuta un dispositivo. Se inserisci Purple per primo e ISE per secondo, un rifiuto da parte di Purple non esegue il fallback su ISE. Non affidarti all'ordine dei server come rete di sicurezza. Affidati al pilota.

Scenario reale: un gruppo di 40 hotel su Cisco Meraki

Un gruppo alberghiero gestisce la WiFi per lo staff in 40 strutture su Cisco Meraki. Due nodi ISE in un data center autenticano il personale con PEAP tramite Active Directory on-premise. Il gruppo desidera dismettere il data center.

Il team ha diviso la migrazione in due fasi. In primo luogo, ha distribuito i certificati EAP-TLS e la fiducia nel server Purple tramite il proprio MDM mentre ISE autenticava ancora tutto. ISE ha convalidato i nuovi certificati, quindi nulla è cambiato per il personale. In secondo luogo, ha condotto un pilota in un hotel di medie dimensioni, per poi migrare il resto in quattro fasi nei fine settimana, coinvolgendo nove o dieci hotel alla volta.

Il risultato misurabile è stato il test di uscita stesso. Il conteggio delle autenticazioni SSID dello staff di ISE ha raggiunto lo zero dopo l'ultima fase. Nessuna fase ha richiesto un rollback. I nodi ISE sono stati spenti alla fine del mese successivo.

Come si esegue il rollback di una fase non riuscita?

Il rollback è l'opposto della seconda fase: ripristinare i server ISE e la chiave condivisa (shared secret) sugli SSID interessati. Poiché ISE rimane attivo e le sue voci NAD restano in configurazione, il sito torna allo stato precedente alla riconnessione successiva. Concordate in anticipo chi prende la decisione e quanto tempo attendere prima di prenderla.

{"title":"Go, no-go o rollback per una fase di cutover","start":"q1","nodes":[{"id":"q1","question":"Il pilota o la fase precedente hanno mantenuto la baseline del tasso di successo di ISE?","help":"Confronta il tasso di successo di Purple per SSID con la baseline ISE per gli stessi siti.","options":[{"label":"Sì","to":"q2"},{"label":"No","to":"o3"}]},{"id":"q2","question":"Ogni dispositivo in questa fase considera attendibile il certificato server di Purple?","help":"Verifica lo stato di distribuzione MDM per ogni gruppo di dispositivi in questi siti.","options":[{"label":"Sì","to":"q3"},{"label":"No","to":"o2"}]},{"id":"q3","question":"Ogni sito della fase può raggiungere i server RADIUS di Purple?","help":"Esegui un test attraverso il firewall di ciascun sito prima dell'apertura della finestra.","options":[{"label":"Sì","to":"q4"},{"label":"No","to":"o2"}]},{"id":"q4","question":"ISE è ancora attivo, con un responsabile del rollback designato e reperibile?","options":[{"label":"Sì","to":"o1"},{"label":"No","to":"o2"}]},{"id":"o1","outcome":"Go","detail":"Apri la finestra di modifica e segui i passaggi di cutover del sito."},{"id":"o2","outcome":"No-go: risolvi e riprogramma","detail":"Risolvi il problema, quindi esegui nuovamente questo controllo prima della finestra successiva."},{"id":"o3","outcome":"Esegui il rollback e diagnostica","detail":"Ripristina ISE sugli SSID interessati, individua la classe di dispositivi o la regola che genera l'errore e risolvila prima nel sito pilota.","link":"[Confronta le alternative a ISE](guide:cisco-ise-alternatives)"}]}

Scenario reale: un retailer con 300 punti vendita su HPE Aruba

Un rivenditore gestisce 300 punti vendita su HPE Aruba. ISE autentica i laptop del personale con EAP-TLS e gli scanner da banco per l'inventario con MAB. Il negozio pilota ha superato il test, quindi il team ha trasferito il primo gruppo di 30 punti vendita.

Gli scanner hanno smesso di funzionare in quattro punti vendita del secondo gruppo. Quei negozi avevano un modello di scanner più recente i cui indirizzi MAC non erano mai stati inclusi nell'inventario della fase 1. Il responsabile del ripristino ha ripristinato il gruppo di server ISE sulle WLAN interessate entro la finestra di modifica e le scansioni sono riprese.

Il team ha estratto gli indirizzi del nuovo modello dall'elenco degli endpoint di ISE e gli ha assegnato chiavi xPSK. Ha testato uno scanner nel negozio pilota, poi ha eseguito nuovamente la migrazione del gruppo. Tutti i 300 punti vendita sono passati a Purple. Ogni regola MAB è stata dismessa e i terminali POS ora risiedono sulla propria VLAN. Tale segmentazione è diventata una prova concreta ai fini del perimetro PCI-DSS del rivenditore.

Come si dimostra che la migrazione da ISE è completata?

L'essere "completato" è un insieme di fatti concreti, non una sensazione. Il lavoro è finito quando tutte queste condizioni sono verificate:

• ISE ha registrato zero autenticazioni WiFi per il periodo impostato.
• Il tasso di successo di Purple in ogni sede è pari o superiore al suo valore di riferimento su ISE.
• Ogni gruppo di identità viene instradato sulla VLAN prevista, verificato con un dispositivo di prova per classe.
• Nessun dispositivo possiede un certificato che si concatena alla CA interna di ISE.
• I report di ISE per il periodo di conservazione sono stati esportati e archiviati.
• I nodi ISE sono stati spenti e il rinnovo è stato annullato.

Conserva un unico registro per l'intero programma. La lista di controllo sottostante rappresenta tale registro.

{"title":"Registro di migrazione da ISE a RADIUS cloud","groups":[{"heading":"Prima della fase 1","items":[{"text":"Ogni SSID, NAD e chiave condivisa elencati"},{"text":"Ogni set di criteri mappato su un gruppo di identità e VLAN"},{"text":"Due settimane di valore di riferimento ISE rilevate per sede e SSID","why":"Senza di questo, nessun gruppo può essere approvato o respinto"},{"text":"Dispositivi PEAP identificati e piano EAP-TLS concordato"},{"text":"Dispositivi MAB elencati dall'elenco degli endpoint ISE"},{"text":"Perimetro cablato, TACACS+ e postura assegnati a responsabili distinti"}]},{"heading":"Configurazione e pilota","items":[{"text":"Identity provider connesso e gruppi mappati sulle VLAN"},{"text":"CA dei certificati client riconosciuta per EAP-TLS"},{"text":"Fiducia nel certificato del server Purple distribuita tramite MDM","why":"Il rischio principale durante la notte del passaggio"},{"text":"Chiavi xPSK emesse per gruppi di dispositivi headless"},{"text":"I firewall aziendali consentono il traffico RADIUS verso Purple"},{"text":"La sede pilota ha mantenuto il valore di riferimento per cinque giorni lavorativi"}]},{"heading":"Gruppi di migrazione","items":[{"text":"Verifica di approvazione o arresto registrata per ciascun gruppo"},{"text":"Responsabile del ripristino nominato per ogni finestra temporale"},{"text":"Ciascun gruppo ha mantenuto il valore di riferimento per 48 ore"}]},{"heading":"Completato","items":[{"text":"Zero autenticazioni WiFi su ISE per il periodo concordato"},{"text":"Nessun certificato concatenato alla CA interna di ISE"},{"text":"Report ISE esportati per la conservazione ai fini di audit"},{"text":"Voci NAD rimosse e nodi ISE spenti"},{"text":"Rinnovo della licenza ISE annullato"}]}],"download":{"filename":"ise-migration-log.csv"}}

Quali modalità di errore si riscontrano sul campo?

La maggior parte delle fasi non riuscite è riconducibile a un breve elenco di cause.

• Certificato server non attendibile. I dispositivi richiedono conferme o rifiutano silenziosamente di connettersi. Risolvi il problema nella fase 2 tramite il tuo MDM, mai chiedendo al personale di accettare un avviso.
• Modifica di due elementi contemporaneamente. Il passaggio da PEAP a EAP-TLS nella stessa finestra temporale del cambio di server impedisce di capire quale modifica abbia causato l'errore.
• Dispositivi headless dimenticati. Scanner, stampanti e sensori con MAB sono i primi a presentare errori, come riscontrato dal rivenditore. Ricostruisci l'elenco MAB da ISE subito prima di ogni fase.
• Mancata corrispondenza dei secret condivisi. Un solo secret digitato in modo errato su un controller rifiuta un intero sito. Copia i secret da un'unica fonte, mai manualmente.
• Egress del firewall. I siti con breakout locale o regole firewall più datate bloccano il traffico RADIUS verso il cloud. Esegui un test su ciascun sito prima della relativa finestra temporale.
• Differenze negli attributi VLAN. I profili di autorizzazione ISE possono restituire un nome VLAN, un ID VLAN o un ruolo specifico del vendor. Verifica la corrispondenza con quanto previsto da ciascun controller nel sito pilota.
• Sistemi integrati a valle non notificati. Se un firewall acquisiva le identità da ISE tramite pxGrid, tale flusso si interrompe al momento del passaggio definitivo. Se ti affidi a Change of Authorisation (RFC 5176) per terminare le sessioni, testalo durante il pilota.
• Affidarsi al failover. Inserire ISE come server secondario non intercetta i rifiuto. Solo un rollback testato garantisce il ripristino.

Il ruolo di Purple

Purple Access gestisce tre reti sugli access point già in tuo possesso: aperta, sicura e xPSK. Una migrazione ISE si attesta sulla rete sicura. Purple cloud RADIUS esegue l'autenticazione tramite EAP-TLS con Microsoft Entra ID, Okta o Google Workspace. Passpoint, lo standard Hotspot 2.0 per la connessione automatica e crittografata, estende la stessa identità su più siti. L'identità imposta la VLAN su ciascuna rete.

Purple è indipendente dall'hardware. Funziona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, senza richiedere nuovo hardware. Purple gestisce il più grande servizio cloud RADIUS al mondo. Offre uno SLA di uptime RADIUS del 99,9% su una piattaforma con un uptime del 99,999%.

{"items":[{"value":"99.9%","label":"SLA uptime RADIUS","note":"SLA contrattuale di Purple"},{"value":"99.999%","label":"uptime piattaforma","note":"Dati interni di Purple"},{"value":"80,000+","label":"sedi attive","note":"Dati interni di Purple"},{"value":"90","label":"paesi","note":"Dati interni di Purple"}]}

{"tone":"proof","title":"WiFi per il personale su scala geografica","text":"JPMorgan gestisce il WiFi per il personale su Purple in 5.000 filiali."}

Purple possiede le certificazioni ISO 27001, Cyber Essentials e B Corp, ed opera nel rispetto di GDPR e CCPA. Tali certificazioni semplificano la valutazione dei fornitori condotta dal tuo team di sicurezza. Per un quadro di sicurezza più ampio, consulta la guida alla sicurezza WiFi enterprise. Se stai ancora valutando la soluzione ideale, consulta le alternative a Cisco ISE per l'autenticazione WiFi.

Domande frequenti

Quanto tempo occorre per migrare da Cisco ISE a RADIUS in cloud?

Il passaggio effettivo richiede solitamente un fine settimana; la preparazione richiede più tempo. Per una struttura di 40 sedi, è opportuno pianificare due settimane di analisi (discovery), una settimana di configurazione (build), un pilota di due settimane e diverse fasi nei fine settimana. I certificati rappresentano la variabile principale. Se i dispositivi utilizzano già EAP-TLS con certificati della propria CA, la tempistica si riduce. Se è attivo l'autenticazione PEAP tramite Active Directory, occorre aggiungere una fase per migrare prima tali dispositivi a EAP-TLS.

Sono necessari nuovi access point per abbandonare Cisco ISE?

No. RADIUS in cloud funziona con gli access point e i controller già in uso: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Il passaggio consiste in una modifica della configurazione su ciascun SSID: nuovi indirizzi del server RADIUS, un nuovo segreto condiviso e, ove necessario, nuovi attributi VLAN. Lo switching, le VLAN e gli SSID rimarranno esattamente come sono.

È possibile mantenere i certificati client già emessi?

Sì, qualora siano stati emessi dalla propria CA o MDM. RADIUS in cloud convalida i certificati EAP-TLS confrontandoli con la CA emittente, pertanto continueranno a funzionare una volta definita l'affidabilità di tale CA. I certificati della CA interna di ISE costituiscono l'unica eccezione. Facendo riferimento a un sistema in fase di dismissione, occorre riemetterli dal proprio MDM o dalla propria CA prima dell'inizio della fase 5.

Cosa accade ai dispositivi che utilizzano il MAC Authentication Bypass in ISE?

Verranno trasferiti alla rete xPSK. Il MAB si basa sull'indirizzo MAC, facilmente vulnerabile a spoofing. Una chiave per ciascun dispositivo o gruppo di dispositivi fornisce a scanner, stampanti e sensori le relative credenziali, inserendoli nella propria VLAN. È possibile individuarli nella fase 1 dall'elenco degli endpoint di ISE. Si consiglia di emettere le chiavi nella fase 2, per poi testarne una per ciascun modello presso la sede pilota.

La dismissione di ISE influisce sulla documentazione di conformità PCI DSS o ISO 27001?

Modifica la provenienza della documentazione, non la sua disponibilità. Prima della dismissione, è necessario esportare i report di autenticazione di ISE per il periodo di conservazione richiesto. A partire dal passaggio definitivo, i log di autenticazione e le assegnazioni VLAN di Purple forniranno la documentazione per la segmentazione della rete e il controllo degli accessi. La certificazione ISO 27001 e Cyber Essentials di Purple supporta inoltre la valutazione del fornitore richiesta dai revisori.

Qual è il confronto tra i prezzi di RADIUS in cloud e quelli di Cisco ISE?

È opportuno confrontare il costo totale anziché le singole voci di licenza. Il costo di ISE include le licenze, i nodi o le macchine virtuali su cui viene eseguito, i contratti di supporto e il tempo impiegato dai tecnici per l'applicazione delle patch e gli aggiornamenti. RADIUS in cloud è un abbonamento che non richiede l'gestione di alcun server. Purple elabora preventivi personalizzati per la Sua infrastruttura; pertanto, è necessario fornire il numero di sedi, di SSID e di dispositivi. La guida alle alternative a ISE illustra gli ulteriori elementi da confrontare.

È consigliabile migrare la rete cablata 802.1X contemporaneamente a quella WiFi?

No. Trasferire prima WiFi e gestire il 802.1X via cavo come un progetto separato dotato di un proprio pilota. Le porte cablate ospitano spesso dispositivi MAB, telefoni fissi e regole di posture che richiedono un inventario dedicato. Modificare entrambi gli elementi in un'unica finestra raddoppia il numero di potenziali punti di errore simultanei. Inoltre, rende più complessa la decisione di ripristino (rollback) in situazioni di criticità.

La migrazione da Aruba ClearPass presenta differenze?

Le cinque fasi rimangono identiche; a cambiare è la procedura di esportazione. ClearPass memorizza le policy sotto forma di servizi, policy di applicazione e profili, anziché come set di policy ISE. La mappatura di tali elementi nei gruppi di identità e nelle VLAN costituisce l'attività principale della fase 1. Il rischio legato alla fiducia nei certificati e il comportamento di failover si applicano esattamente allo stesso modo. La guida alla migrazione di ClearPass descrive l'esportazione nel dettaglio.