Migração do Cisco ISE para o RADIUS na nuvem: um plano de transição em fases

Você pode migrar do Cisco ISE para o RADIUS em nuvem em cinco fases, sem a necessidade de um dia de transição crítica no qual todos os dispositivos precisam confiar no novo certificado de servidor. Execute o Purple junto com o ISE, site por site. Mantenha o IEEE 802.1X e o EAP-TLS inalterados no cliente. Faça a transição em ondas, mantendo o ISE como caminho de reversão até que o último site seja migrado.

O que muda e o que permanece igual ao sair do Cisco ISE?

O estado final é simples de descrever. Seus pontos de acesso enviam solicitações de autenticação para o RADIUS em nuvem do Purple em vez dos nós do ISE no seu data center. O Purple verifica a identidade em relação ao Microsoft Entra ID, Okta ou Google Workspace. Em seguida, retorna a VLAN à qual essa identidade pertence. O ISE é desligado, suas licenças expiram e ninguém mais precisa aplicar patches nele.

Primeiro, alguns termos. RADIUS (RFC 2865) é o protocolo de autenticação que seus controladores já utilizam. IEEE 802.1X é o padrão de controle de acesso baseado em porta que transporta o login via WiFi. O EAP-TLS (RFC 5216) autentica cada dispositivo com um certificado. O PEAP envolve uma troca de senhas dentro de um túnel TLS criptografado. Uma VLAN, ou LAN virtual, é o segmento de rede no qual o dispositivo entra após a autenticação.

Quatro coisas mudam:

• Endereços de servidor RADIUS e segredos compartilhados em cada dispositivo de acesso à rede (NAD), ou seja, o controlador, AP ou painel em nuvem que envia as solicitações.
• O certificado de servidor que os dispositivos veem durante o 802.1X.
• Onde a política residem. Os conjuntos de políticas do ISE e perfis de autorização tornam-se grupos de identidade mapeados para VLANs.
• De onde vem a identidade. Um diretório em nuvem substitui o ISE integrado ao Active Directory local.

Seus SSIDs, pontos de acesso, VLANs, comutação e quaisquer certificados de cliente da sua própria AC permanecem como estão. É isso que possibilita uma migração em fases. As próprias funções do ISE precisam de um destino, e nem todas terminam na rede segura.

O que o ISE faz hoje	Para onde ele vai	Rede do Purple
802.1X para funcionários e dispositivos corporativos	RADIUS em nuvem do Purple com EAP-TLS e seu provedor de identidade	Segura
MAB (MAC Authentication Bypass) para escâneres, impressoras e sensores	Uma chave por dispositivo ou grupo de dispositivos (iPSK ou PPSK, juntos xPSK)	xPSK
Portais de convidados e patrocinados	Um portal cativo, a página de login exibida antes do acesso	Aberta
Integração de BYOD com a AC interna do ISE	Certificados do seu MDM ou da sua própria AC	Segura
TACACS+, 802.1X cabeado, postura, TrustSec	Fora do escopo deste plano; atribua um responsável para cada	Nenhuma
Este plano cobre a autenticação WiFi nos seus pontos de acesso. Se o ISE também executa a administração de dispositivos, portas cabeadas ou postura, liste cada um antes da fase 1 e atribua um responsável exclusivo. Se o ISE hospeda um portal de convidados usado para marketing, ele é migrado para a rede aberta e para o Purple Engage. O guia de rede segura para certificados, identidade e Passpoint cobre o projeto final em detalhes.

O que precisa ser verdade antes da fase 1?

Seis condições, cada uma com resposta sim ou não. Não inicie a configuração até que todas as seis sejam sim.

1. O inventário está completo. Cada SSID, cada NAD com sua chave secreta compartilhada, cada conjunto de políticas e perfil de autorização, e cada grupo de endpoints que depende de MAB.
2. Você tem uma linha de base do ISE. Capture as autenticações por hora e a taxa de sucesso por SSID por local durante pelo menos duas semanas. Os logs em tempo real e relatórios do ISE fornecem esses dados. Sem uma linha de base, você não poderá confirmar se uma onda de migração foi bem-sucedida.
3. O plano de certificados está escrito. Anote qual AC emitiu os certificados dos seus clientes e qual certificado o ISE apresenta para EAP. Observe se algum dispositivo possui certificados da AC interna do ISE.
4. Grupos de identidade existem no seu diretório. Cada regra de autorização do ISE precisa de um grupo correspondente no Microsoft Entra ID, Okta ou Google Workspace, e cada grupo precisa de uma VLAN.
5. Os locais conseguem alcançar a nuvem. Os firewalls em cada local permitem o tráfego RADIUS do controlador ou dos APs para os servidores RADIUS do Purple.
6. O ISE permanece suportado. Mantenha o ISE licenciado, atualizado e sob gestão até a conclusão da fase 5. Ele é seu caminho de reversão (rollback).

Uma decisão de projeto também pertence a esta etapa. O PEAP-MSCHAPv2 verifica um hash de senha que diretórios em nuvem, como o Microsoft Entra ID, não expõem a servidores RADIUS. Se o ISE valida PEAP em relação ao Active Directory local, migre esses dispositivos para EAP-TLS primeiro, enquanto o ISE ainda os autentica. Altere uma coisa por onda: o método EAP e, depois, o servidor RADIUS.

{"tone":"warning","title":"O risco que costuma impactar: confiança no certificado do servidor","text":"Cada dispositivo verifica o certificado do servidor RADIUS durante o 802.1X. Perfis que confiam apenas no certificado EAP do ISE ou na sua AC recusarão o Purple até que o seu MDM envie a nova relação de confiança. Portanto, implante-a na fase 2, não na noite da migração."}

Quais são as fases de uma migração do ISE, em ordem?

Cinco fases, cada uma com um responsável e um teste de saída. As durações abaixo são adequadas para uma infraestrutura de 40 locais; adapte-as à sua realidade. A migração em qualquer local é geralmente uma atividade de fim de semana. As semanas anteriores são o que garantem o seu sucesso.

{"kind":"timeline","direction":"lr","caption":"Cinco fases para uma estrutura de 40 locais migrando do Cisco ISE para o Purple cloud RADIUS. O ISE permanece ativo até a conclusão da fase 5.","alt":"Uma linha do tempo de cinco fases de migração, desde a descoberta nas semanas 1 a 2 até a desativação do ISE a partir da semana 10.","nodes":[{"id":"p1","label":"Fase 1: descoberta e projeto","sub":"Mapeamento de NADs, conjuntos de políticas, certificados e dispositivos MAB","tone":"neutral","when":"Semanas 1-2"},{"id":"p2","label":"Fase 2: construção em paralelo","sub":"Cloud RADIUS, grupos de IdP, regras de VLAN, confiança de certificado","tone":"brand","when":"Semana 3"},{"id":"p3","label":"Fase 3: piloto em um local","sub":"Cada classe de dispositivo autentica na VLAN correta","tone":"brand","when":"Semanas 4-5"},{"id":"p4","label":"Fase 4: transição em ondas","sub":"Janelas de alteração no fim de semana, ISE mantido para rollback","tone":"brand","when":"Semanas 6-9"},{"id":"p5","label":"Fase 5: desativação do ISE","sub":"Zero autenticações no ISE, nós desligados","tone":"success","when":"Semana 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"Plano de fases de migração do ISE para o cloud RADIUS","asOf":"2026-06-10","columns":[{"key":"phase","label":"Fase"},{"key":"scope","label":"Escopo"},{"key":"owner","label":"Responsável"},{"key":"exit","label":"Teste de saída"}],"rows":[["1. Descoberta e projeto","Cada SSID, NAD, conjunto de políticas, perfil de autorização, certificado e dispositivo MAB","Arquiteto de redes","Mapeamento assinado de cada regra do ISE para um grupo de identidade e VLAN"],["2. Construção em paralelo","Cloud RADIUS, conexão com IdP, regras de VLAN, chaves xPSK, confiança de certificado de servidor","Líder de identidade e acesso","Dispositivos de teste autenticam no Purple a partir de um SSID de laboratório"],["3. Piloto em um local","Um local representativo, todas as classes de dispositivos","Gerente de TI com o responsável pelo local","Cinco dias úteis iguais ou superiores à linha de base do ISE, VLAN correta para cada classe"],["4. Transição em ondas","Locais em grupos, uma janela de alteração para cada um","Operações de rede","Cada onda mantém a linha de base por 48 horas sem rollback"],["5. Desativação do ISE","Nós do ISE, entradas de NAD, licenças, CA interna","Diretor de TI","Zero autenticações no ISE pelo período definido, evidências arquivadas"]],"footnote":"Durações e limites são padrões de planejamento para uma estrutura de 40 locais. Defina os seus com base na linha de base do ISE capturada antes da fase 1.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

O que acontece em cada fase da migração do ISE?

Fase 1: descoberta e projeto

Exporte as informações do ISE antes de alterar qualquer coisa. Liste cada conjunto de políticas, suas condições e o perfil de autorização retornado. A maioria das empresas descobre que anos de regras se reduzem a poucos resultados reais: VLAN de funcionários, VLAN de prestadores de serviço, VLAN de IoT, negar.

Escreva cada resultado como um grupo de identidade e uma VLAN. A atribuição de VLAN por RADIUS usa os atributos de túnel descritos no RFC 3580. Alguns controladores também leem atributos específicos do fornecedor (VSAs), como o atributo de função que os controladores HPE Aruba usam. Observe quais deles o seu hardware espera.

Em seguida, encontre os dispositivos que não podem executar 802.1X. A lista de pontos de extremidade do ISE mostra quais endereços MAC se autenticam por MAB. Cada um precisa de uma chave xPSK e de uma VLAN antes que o seu site seja migrado.

Fase 2: crie a Purple em paralelo

Conecte a Purple ao seu provedor de identidade e crie as regras de grupo para VLAN da fase 1. Faça o upload da AC que emitiu seus certificados de cliente para que o EAP-TLS os valide. Emita chaves xPSK para os grupos de dispositivos sem interface gráfica (headless).

Envie a confiança para o certificado de servidor da Purple para todos os dispositivos gerenciados por meio do seu MDM. Essa é a tarefa mais demorada da construção, portanto, inicie-a no primeiro dia. Configure um SSID de laboratório apontado para a Purple e autentique um dispositivo de cada classe.

Fase 3: faça um piloto em um site representativo

Escolha um site que contenha todas as classes de dispositivos que você possui: Windows, macOS, iOS, Android, scanners e qualquer item incomum. Evite o seu site principal e o seu site mais simples. Faça a transição com os mesmos passos que você usará nas ondas de migração.

Mantenha por cinco dias úteis. Compare a taxa de sucesso da Purple com a linha de base do ISE para esse site. Verifique se cada classe de dispositivo cai na VLAN correta. Corrija tudo o que falhar aqui, não durante uma onda.

Fase 4: transição em ondas

Agrupe os sites restantes em ondas que uma equipe possa dar suporte em uma única janela de mudança. Execute a verificação de go ou no-go antes de cada onda. Siga os mesmos passos em cada site.

{"title":"Migrar um site do ISE para o RADIUS em nuvem do Purple","steps":[{"title":"Registrar a linha de base","body":"Anote as autenticações por hora do ISE no site e a taxa de sucesso por SSID no log de migração.","check":"Os números da linha de base são registrados antes da abertura da janela."},{"title":"Apontar o SSID seguro para o Purple","body":"Substitua os servidores RADIUS do ISE pelos servidores do Purple e pelo segredo compartilhado. Mantenha as entradas do ISE anotadas para rollback.","check":"O painel mostra o Purple como o servidor RADIUS para este SSID.","variants":[{"label":"Cisco Meraki","body":"No Meraki Dashboard, edite as configurações de controle de acesso do SSID e atualize a lista de servidores RADIUS."},{"label":"HPE Aruba","body":"No Aruba Central ou no controlador, atualize o grupo de servidores usado pelo perfil 802.1X da WLAN."},{"label":"Ruckus","body":"No RUCKUS One ou SmartZone, atualize o servidor AAA atribuído à WLAN."},{"label":"Juniper Mist","body":"No painel do Mist, edite as configurações de segurança enterprise da WLAN e atualize os servidores RADIUS."},{"label":"Ubiquiti UniFi","body":"No UniFi Network, atualize o perfil RADIUS usado pelo SSID enterprise."}]},{"title":"Reconectar dispositivos de teste","body":"Reconecte um dispositivo de cada classe no site, incluindo dispositivos sem interface gráfica no xPSK.","check":"Cada dispositivo de teste entra na sua VLAN esperada."},{"title":"Monitorar a primeira hora","body":"Leia os logs de autenticação do Purple e agrupe as falhas por motivo.","check":"A taxa de sucesso está igual ou acima da linha de base do site."},{"title":"Manter ou fazer rollback","body":"Se a taxa permanecer abaixo da linha de base ao final da janela combinada, restaure os servidores ISE no SSID.","check":"A decisão e o motivo estão registrados no log de migração."},{"title":"Encerrar o site","body":"Marque o site como migrado após 48 horas. Mantenha sua entrada NAD no ISE até a fase 5 para que o rollback ainda funcione.","check":"O ISE não mostra novas autenticações deste site."}]}

Fase 5: desativar o ISE

Inicie a fase 5 apenas quando o ISE registrar zero autenticações de WiFi por um período definido por você, como 30 dias. Exporte os relatórios de autenticação do ISE exigidos pela sua política de retenção de auditoria. Remova as entradas NAD e, em seguida, desligue os nós. Deixe as licenças expirarem na renovação em vez de cancelá-las antecipadamente.

Desative a CA interna do ISE por último. Qualquer certificado emitido por ela deixa de ter encadeamento para uma CA ativa assim que o ISE for removido.

Como o ISE e o Purple executam lado a lado durante a transição?

Existem dois padrões, e eles se comportam de maneira diferente.

SSID paralelo. Transmita um segundo SSID seguro autenticado pelo Purple ao lado do SSID do ISE. Seu MDM move grupos de dispositivos para o novo perfil de SSID em lotes. Ambas as redes funcionam ao mesmo tempo, proporcionando uma execução real lado a lado. O custo é o tempo de transmissão (airtime) de mais um SSID durante todo o período da migração.

Mesmo SSID, servidor alterado. Mantenha um único SSID e altere seu servidor RADIUS durante a janela de mudança. Isso é mais limpo no espaço aéreo, mas é uma alternância direta, não uma transição gradual.

O ponto que a maioria das equipes não percebe: o failover de RADIUS na maioria dos controladores é acionado quando o servidor primário para de responder, e não quando ele rejeita um dispositivo. Se você listar a Purple em primeiro lugar e o ISE em segundo, uma rejeição da Purple não fará o fallback para o ISE. Não confie na ordem dos servidores como uma rede de segurança. Confie no piloto.

Cenário prático: um grupo de 40 hotéis usando Cisco Meraki

Um grupo hoteleiro opera WiFi corporativo para funcionários em 40 hotéis com Cisco Meraki. Dois nós do ISE em um data center autenticam a equipe com PEAP no Active Directory local. O grupo deseja desativar o data center.

A equipe dividiu a migração em duas partes. Primeiro, enviou os certificados EAP-TLS e a confiança no servidor da Purple por meio do seu MDM enquanto o ISE ainda autenticava tudo. O ISE validou os novos certificados, portanto nada mudou para os funcionários. Segundo, fez o piloto em um hotel de porte médio e, em seguida, migrou o restante em quatro ondas de fim de semana com nove ou dez hotéis cada.

O resultado mensurável foi o próprio teste de saída. A contagem de autenticações do SSID de funcionários no ISE chegou a zero após a última onda. Nenhuma onda precisou de rollback. Os nós do ISE foram desligados no final do mês seguinte.

Como fazer o rollback de uma onda que falhou?

O rollback é o inverso da etapa dois: restaure os servidores ISE e o segredo compartilhado nos SSIDs afetados. Como o ISE continua ativo e suas entradas NAD permanecem no lugar, o local retorna ao seu estado anterior na próxima reconexão. Acorde com antecedência quem toma a decisão e quanto tempo você espera antes de tomá-la.

{"title":"Aprovar, rejeitar ou fazer rollback para uma onda de migração","start":"q1","nodes":[{"id":"q1","question":"O piloto ou a onda anterior mantiveram a linha de base de taxa de sucesso do ISE?","help":"Compare a taxa de sucesso da Purple por SSID com a linha de base do ISE para os mesmos locais.","options":[{"label":"Sim","to":"q2"},{"label":"Não","to":"o3"}]},{"id":"q2","question":"Todos os dispositivos nesta onda confiam no certificado de servidor da Purple?","help":"Verifique o status de implantação do MDM para cada grupo de dispositivos nesses locais.","options":[{"label":"Sim","to":"q3"},{"label":"Não","to":"o2"}]},{"id":"q3","question":"Todos os locais da onda conseguem alcançar os servidores RADIUS da Purple?","help":"Teste através do firewall de cada local antes da abertura da janela.","options":[{"label":"Sim","to":"q4"},{"label":"Não","to":"o2"}]},{"id":"q4","question":"O ISE ainda está ativo, com um responsável pelo rollback designado de plantão?","options":[{"label":"Sim","to":"o1"},{"label":"Não","to":"o2"}]},{"id":"o1","outcome":"Aprovar","detail":"Abra a janela de mudança e siga as etapas de migração do local."},{"id":"o2","outcome":"Rejeitar: corrigir e reagendar","detail":"Resolva a pendência e execute esta verificação novamente antes da próxima janela."},{"id":"o3","outcome":"Fazer rollback e diagnosticar","detail":"Restaure o ISE nos SSIDs afetados, identifique a classe de dispositivo ou regra com falha e corrija-a primeiro no local piloto.","link":"[Compare alternativas ao ISE](guide:cisco-ise-alternatives)"}]}

Cenário prático: uma rede de 300 lojas usando HPE Aruba

Uma empresa de varejo opera 300 lojas com HPE Aruba. O ISE autentica laptops de funcionários com EAP-TLS e leitores de estoque portáteis com MAB. A loja piloto foi aprovada, então a equipe avançou com a primeira leva de 30 lojas.

Os leitores falharam em quatro lojas na segunda leva. Essas lojas tinham um modelo de leitor mais recente cujos endereços MAC nunca haviam chegado ao inventário da fase 1. O responsável pelo rollback restaurou o grupo de servidores ISE nas WLANs afetadas dentro da janela de alteração, e a leitura foi reestabelecida.

A equipe extraiu os endereços do novo modelo da lista de endpoints do ISE e emitiu chaves xPSK para ele. Testou um leitor na loja piloto e executou a leva novamente. Todas as 300 lojas concluíram a transição na Purple. Todas as regras MAB foram desativadas e os terminais de cartão agora ficam em sua própria VLAN. Essa segmentação tornou-se evidência para o escopo de PCI-DSS do varejista.

Como provar que a migração do ISE foi concluída?

"Concluída" é um conjunto de fatos, não um sentimento. Você terminou quando todas estas condições forem verdadeiras:

• O ISE registrou zero autenticações WiFi pelo período que você definiu.
• A taxa de sucesso da Purple em cada local está igual ou acima da sua linha de base do ISE.
• Cada grupo de identidade é direcionado para a VLAN pretendida, verificado com um dispositivo de teste por classe.
• Nenhum dispositivo possui um certificado vinculado à CA interna do ISE.
• Os relatórios do ISE para o seu período de retenção foram exportados e armazenados.
• Os nós do ISE foram desligados e a renovação foi cancelada.

Mantenha um único registro para todo o programa. A lista de verificação abaixo é esse registro.

{"title":"Registro de migração do ISE para RADIUS na nuvem","groups":[{"heading":"Antes da fase 1","items":[{"text":"Todos os SSIDs, NADs e segredos compartilhados listados"},{"text":"Cada conjunto de políticas mapeado para um grupo de identidade e VLAN"},{"text":"Duas semanas de linha de base do ISE capturadas por local e SSID","why":"Sem isso, nenhuma leva pode ser aprovada ou reprovada"},{"text":"Dispositivos PEAP identificados e um plano de EAP-TLS alinhado"},{"text":"Dispositivos MAB listados a partir da lista de endpoints do ISE"},{"text":"Escopos de rede cabeada, TACACS+ e postura com responsáveis distintos"}]},{"heading":"Construção e piloto","items":[{"text":"Provedor de identidade conectado e grupos mapeados para VLANs"},{"text":"CA de certificado do cliente confiada para EAP-TLS"},{"text":"Confiança do certificado do servidor Purple enviada via MDM","why":"O risco que afeta a noite de migração"},{"text":"Chaves xPSK emitidas para grupos de dispositivos sem interface"},{"text":"Firewalls dos locais permitem tráfego RADIUS para a Purple"},{"text":"Local piloto manteve a linha de base por cinco dias úteis"}]},{"heading":"Levas","items":[{"text":"Verificação de avanço ou interrupção registrada para cada leva"},{"text":"Responsável pelo rollback designado para cada janela"},{"text":"Cada leva manteve a linha de base por 48 horas"}]},{"heading":"Concluído","items":[{"text":"Zero autenticações WiFi no ISE pelo período combinado"},{"text":"Nenhum certificado vinculado à CA interna do ISE"},{"text":"Relatórios do ISE exportados para retenção de auditoria"},{"text":"Entradas de NAD removidas e nós do ISE desligados"},{"text":"Renovação de licença do ISE cancelada"}]}],"download":{"filename":"ise-migration-log.csv"}}

Quais modos de falha aparecem na prática?

A maioria das ondas que falham se deve a uma lista curta de causas.

• Certificado de servidor não confiável. Os dispositivos solicitam confirmação ou recusam silenciosamente a conexão. Corrija isso na fase 2 por meio do seu MDM, nunca pedindo à equipe para aceitar uma mensagem de aviso.
• Alterar duas coisas ao mesmo tempo. Mudar de PEAP para EAP-TLS na mesma janela da alteração de servidor oculta qual alteração causou a falha.
• Dispositivos headless esquecidos. Scanners, impressoras e sensores no MAB falham primeiro, como a rede de varejo descobriu. Reconstrua a lista MAB a partir do ISE logo antes de cada onda.
• Divergências de segredo compartilhado (shared secret). Um segredo digitado incorretamente em um único controlador rejeita um site inteiro. Copie os segredos de uma única fonte, nunca manualmente.
• Egress do firewall. Sites com breakout local ou regras de firewall mais antigas bloqueiam o tráfego RADIUS para a nuvem. Teste cada site antes da sua janela de migração.
• Diferenças de atributos de VLAN. Os perfis de autorização do ISE podem retornar um nome de VLAN, um ID de VLAN ou uma função específica do fabricante. Valide o que cada controlador espera no site piloto.
• Consumidores downstream silenciosos. Se um firewall obtinha identidades do ISE por meio do pxGrid, esse feed é interrompido no momento da migração. Se você depende do Change of Authorisation (RFC 5176) para encerrar sessões, teste-o durante o piloto.
• Depender do failover. Listar o ISE como o servidor secundário não captura rejeições. Apenas um rollback testado garante o processo.

Onde o Purple se encaixa

O Purple Access executa três redes nos access points que você já possui: aberta, segura e xPSK. A migração do ISE é direcionada para a rede segura. O Purple cloud RADIUS autentica via EAP-TLS no Microsoft Entra ID, Okta ou Google Workspace. O Passpoint, o padrão Hotspot 2.0 para conexões automáticas e criptografadas, estende a mesma identidade entre os sites. A identidade define a VLAN em todas as redes.

O Purple é independente de hardware. Ele funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, sem a necessidade de novos equipamentos. O Purple opera a maior infraestrutura de cloud RADIUS do mundo. Ele oferece um SLA de disponibilidade de RADIUS de 99,9% em uma plataforma que opera com 99,999% de disponibilidade.

{"items":[{"value":"99.9%","label":"SLA de disponibilidade RADIUS","note":"SLA contratual do Purple"},{"value":"99.999%","label":"disponibilidade da plataforma","note":"Dados próprios do Purple"},{"value":"80,000+","label":"locais ativos","note":"Dados próprios do Purple"},{"value":"90","label":"países","note":"Dados próprios do Purple"}]}

{"tone":"proof","title":"WiFi para funcionários em escala de filiais","text":"O JPMorgan opera o WiFi para funcionários no Purple em mais de 5.000 filiais."}

O Purple possui as certificações ISO 27001, Cyber Essentials e B Corp, e opera sob o GDPR e a CCPA. Essas certificações agilizam a avaliação de fornecedores que sua equipe de segurança realizará. Para ter uma visão ampla sobre segurança, leia o guia de segurança de WiFi corporativo. Se você ainda está escolhendo um destino, consulte alternativas ao Cisco ISE para autenticação WiFi.

Perguntas frequentes

Quanto tempo leva para migrar do Cisco ISE para o RADIUS em nuvem?

A transição em si costuma ser uma atividade de fim de semana; a preparação leva mais tempo. Para um parque de 40 locais, planeje duas semanas de descoberta, uma semana de construção, um piloto de duas semanas e várias fases no fim de semana. Os certificados são a maior variável. Se os dispositivos já usam EAP-TLS com certificados de sua própria CA, o plano é encurtado. Se a autenticação PEAP com o Active Directory estiver em uso, adicione uma fase para mover esses dispositivos para o EAP-TLS primeiro.

Preciso de novos pontos de acesso para migrar do Cisco ISE?

Não. O RADIUS em nuvem funciona com os pontos de acesso e controladores que você já utiliza: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. A migração é uma alteração de configuração em cada SSID: novos endereços de servidor RADIUS, um novo segredo compartilhado e, onde necessário, novos atributos de VLAN. Seus switches, VLANs e SSIDs permanecem exatamente como estão.

Podemos manter os certificados de cliente que já emitimos?

Sim, se foram emitidos pela sua própria CA ou MDM. O RADIUS em nuvem valida certificados EAP-TLS em relação à CA emissora, portanto eles continuam funcionando assim que essa CA for confiável. Os certificados da CA interna do ISE são a exceção. Eles se encadeiam a um sistema que você está prestes a desativar, portanto, reemita-os a partir do seu MDM ou CA antes do início da fase 5.

O que acontece com os dispositivos que usam MAC Authentication Bypass no ISE?

Eles migram para a rede xPSK. O MAB confia em um endereço MAC, que é fácil de forjar. Uma chave por dispositivo ou grupo de dispositivos fornece a scanners, impressoras e sensores sua própria credencial e os aloca em sua própria VLAN. Localize-os na fase 1 a partir da lista de endpoints do ISE. Emita as chaves na fase 2 e, em seguida, teste um de cada modelo no local piloto.

A migração do ISE afeta nossas evidências de PCI DSS ou ISO 27001?

Isso altera a origem das evidências, não a existência delas. Exporte os relatórios de autenticação do ISE para o seu período de retenção antes do comissionamento. A partir da transição, os logs de autenticação da Purple e as atribuições de VLAN fornecem evidências para segmentação de rede e controle de acesso. A própria certificação ISO 27001 e Cyber Essentials da Purple também dá suporte à avaliação de fornecedores que seus auditores esperarão ver.

Como o preço do RADIUS em nuvem se compara ao do Cisco ISE?

Compare o custo total em vez das linhas de licença. O custo do ISE inclui licenças, os nós ou máquinas virtuais que o executam, contratos de suporte e o tempo dos engenheiros gasto em correções e atualizações. O RADIUS em nuvem é uma assinatura sem servidores para você gerenciar. A Purple fornece cotações para o seu parque, portanto, reúna a quantidade de locais, SSIDs e número de dispositivos. O guia de alternativas ao ISE detalha o que mais comparar.

Devemos migrar o 802.1X cabeado ao mesmo tempo que a rede WiFi?

Não. Mova a WiFi primeiro e trate o 802.1X cabeado como um projeto separado, com o seu próprio piloto. As portas cabeadas geralmente possuem dispositivos MAB, telefones de mesa e regras de postura que precisam de seu próprio inventário. Alterar ambos em uma única janela duplica o número de itens que podem falhar simultaneamente. Além disso, torna a decisão de reversão (rollback) mais difícil sob pressão.

A migração a partir do Aruba ClearPass é diferente?

As cinco fases são as mesmas; a exportação é que difere. O ClearPass armazena políticas como serviços, políticas de imposição e perfis, em vez dos conjuntos de políticas do ISE. Mapear esses itens para grupos de identidade e VLANs é a principal tarefa da fase 1. O risco de confiança de certificado e o comportamento de failover se aplicam exatamente da mesma forma. O guia de migração do ClearPass cobre a exportação em detalhes.