Migração de ISE Cisco para RADIUS na nuvem: um plano de transição por fases

Pode migrar do Cisco ISE para o RADIUS na nuvem em cinco fases sem um dia de transição crítica, desde que todos os dispositivos confiem no novo certificado do servidor. Execute o Purple em paralelo com o ISE, local por local. Mantenha o IEEE 802.1X e o EAP-TLS inalterados no cliente. Faça a transição por vagas, mantendo o ISE como plano de recuperação até ao último local ser migrado.

O que muda quando se deixa o Cisco ISE e o que permanece igual?

O estado final é simples de descrever. Os seus pontos de acesso enviam pedidos de autenticação para o RADIUS na nuvem do Purple em vez dos nós ISE no seu data center. O Purple verifica a identidade em relação ao Microsoft Entra ID, Okta ou Google Workspace. Em seguida, devolve a VLAN à qual essa identidade pertence. O ISE é desligado, as suas licenças expiram e ninguém volta a aplicar patches no mesmo.

Alguns termos primeiro. O RADIUS (RFC 2865) é o protocolo de autenticação com o qual os seus controladores já comunicam. O IEEE 802.1X é a norma de controlo de acessos baseada em portas que transporta o início de sessão através de WiFi. O EAP-TLS (RFC 5216) autentica cada dispositivo com um certificado. O PEAP envolve uma troca de palavra-passe dentro de um túnel TLS encriptado. Uma VLAN, ou LAN virtual, é o segmento de rede onde um dispositivo entra após a autenticação.

Quatro aspetos mudam:

• Endereços de servidor RADIUS e segredos partilhados em cada dispositivo de acesso à rede (NAD), ou seja, o controlador, AP ou painel de controlo na nuvem que envia os pedidos.
• O certificado do servidor que os dispositivos veem durante o 802.1X.
• Onde reside a política. Os conjuntos de políticas e perfis de autorização do ISE tornam-se grupos de identidade mapeados para VLANs.
• De onde vem a identidade. Um diretório na nuvem substitui o ISE associado ao Active Directory local.

Os seus SSIDs, pontos de acesso, VLANs, comutação e quaisquer certificados de cliente da sua própria CA permanecem inalterados. É isso que possibilita uma migração faseada. As próprias funções do ISE precisam de um destino e nem todas vão para a rede segura.

O que o ISE faz hoje	Para onde vai	Rede Purple
802.1X para colaboradores e dispositivos empresariais	RADIUS na nuvem do Purple com EAP-TLS e o seu fornecedor de identidade	Segura
MAB (MAC Authentication Bypass) para scanners, impressoras e sensores	Uma chave por dispositivo ou grupo de dispositivos (iPSK ou PPSK, em conjunto xPSK)	xPSK
Portais de convidados e patrocinados	Um portal cativo, a página de início de sessão apresentada antes do acesso	Aberta
Onboarding BYOD com a CA interna do ISE	Certificados do seu MDM ou da sua própria CA	Segura
TACACS+, 802.1X com fios, postura, TrustSec	Fora do âmbito deste plano; atribua um responsável a cada um	Nenhuma

Este plano cobre a autenticação WiFi nos seus pontos de acesso. Se o ISE também gerir a administração de dispositivos, portas cabeadas ou postura, liste cada um antes da fase 1 e atribua um responsável separado. Se o ISE alojar um portal de convidados utilizado para marketing, este passa para a rede aberta e para o Purple Engage. O guia de rede segura sobre certificados, identidade e Passpoint aborda a arquitetura pretendida em detalhe.

O que tem de estar verificado antes da fase 1?

Seis condições, cada uma com resposta sim ou não. Não inicie a configuração até que todas as seis sejam sim.

1. O inventário está completo. Todos os SSIDs, todos os NADs com o respetivo segredo partilhado, todos os conjuntos de políticas e perfis de autorização, e todos os grupos de pontos finais que dependem de MAB.
2. Tem uma linha de base do ISE. Registe as autenticações por hora e a taxa de sucesso por SSID por local durante pelo menos duas semanas. Os registos em tempo real e os relatórios do ISE fornecem estes dados. Sem uma linha de base, não pode confirmar se uma vaga foi bem-sucedida.
3. O plano de certificados está elaborado. Indique que CA emitiu os seus certificados de cliente e que certificado o ISE apresenta para EAP. Confirme se algum dispositivo possui certificados da CA interna do ISE.
4. Os grupos de identidade existem no seu diretório. Cada regra de autorização do ISE precisa de um grupo correspondente no Microsoft Entra ID, Okta ou Google Workspace, e cada grupo precisa de uma VLAN.
5. Os locais conseguem aceder à nuvem. Os firewalls em cada local permitem o tráfego RADIUS a partir do controlador ou APs para os servidores RADIUS da Purple.
6. O ISE mantém-se suportado. Mantenha o ISE licenciado, atualizado e sob gestão até à conclusão da fase 5. É o seu caminho de reversão.

Uma decisão de arquitetura também pertence a este momento. O PEAP-MSCHAPv2 verifica uma hash de palavra-passe que os diretórios na nuvem, como o Microsoft Entra ID, não expõem aos servidores RADIUS. Se o ISE validar o PEAP em relação ao Active Directory local, migre primeiro esses dispositivos para EAP-TLS, enquanto o ISE ainda os autentica. Altere uma coisa por vaga: o método EAP e, depois, o servidor RADIUS.

{"tone":"warning","title":"O risco a ter em conta: confiança no certificado do servidor","text":"Todos os dispositivos verificam o certificado do servidor RADIUS durante o 802.1X. Os perfis que confiam apenas no certificado EAP do ISE ou na sua CA irão rejeitar a Purple até que o seu MDM envie a nova confiança, por isso implemente-a na fase 2 e não na noite de transição."}

Quais são as fases de uma migração do ISE, por ordem?

Cinco fases, cada uma com um responsável e um teste de saída. As durações abaixo aplicam-se a uma infraestrutura de 40 locais; ajuste-as à sua realidade. A transição em qualquer local é normalmente um trabalho de fim de semana. As semanas anteriores são o que permitem que assim seja.

{"kind":"timeline","direction":"lr","caption":"Cinco fases para uma infraestrutura de 40 locais a migrar do Cisco ISE para o Purple cloud RADIUS. O ISE permanece ativo até ao final da fase 5.","alt":"Uma cronologia de cinco fases de migração, desde a descoberta nas semanas 1 a 2 até ao encerramento do ISE a partir da semana 10.","nodes":[{"id":"p1","label":"Fase 1: descoberta e design","sub":"Inventariar NADs, conjuntos de políticas, certificados e dispositivos MAB","tone":"neutral","when":"Semanas 1-2"},{"id":"p2","label":"Fase 2: construção em paralelo","sub":"Cloud RADIUS, grupos de IdP, regras de VLAN, confiança em certificados","tone":"brand","when":"Semana 3"},{"id":"p3","label":"Fase 3: piloto num local","sub":"Cada classe de dispositivo autentica-se na VLAN correta","tone":"brand","when":"Semanas 4-5"},{"id":"p4","label":"Fase 4: transição por fases","sub":"Janelas de alteração ao fim de semana, ISE mantido para reversão","tone":"brand","when":"Semanas 6-9"},{"id":"p5","label":"Fase 5: desativação do ISE","sub":"Zero autenticações no ISE, nós desligados","tone":"success","when":"Semana 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"Plano de fases de migração de ISE para cloud RADIUS","asOf":"2026-06-10","columns":[{"key":"phase","label":"Fase"},{"key":"scope","label":"Âmbito"},{"key":"owner","label":"Responsável"},{"key":"exit","label":"Teste de saída"}],"rows":[["1. Descoberta e design","Todos os SSIDs, NADs, conjuntos de políticas, perfis de autorização, certificados e dispositivos MAB","Arquiteto de rede","Mapeamento assinado de cada regra do ISE para um grupo de identidades e VLAN"],["2. Construção em paralelo","Cloud RADIUS, ligação ao IdP, regras de VLAN, chaves xPSK, confiança no certificado do servidor","Líder de identidade e acessos","Dispositivos de teste autenticam-se no Purple a partir de um SSID de laboratório"],["3. Piloto num local","Um local representativo, todas as classes de dispositivos","Gestor de TI com o responsável pelo local","Cinco dias úteis a atingir ou superar a linha de base do ISE, VLAN correta para cada classe"],["4. Transição por fases","Locais em grupos, uma janela de alteração para cada um","Operações de rede","Cada fase mantém a linha de base durante 48 horas sem necessidade de reversão"],["5. Desativação do ISE","Nós de ISE, entradas de NAD, licenças, CA interna","Director de TI","Zero autenticações no ISE durante o período definido, evidências arquivadas"]],"footnote":"As durações e limiares são predefinições de planeamento para uma infraestrutura de 40 locais. Defina os seus próprios valores a partir da linha de base do ISE recolhida antes da fase 1.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

O que acontece em cada fase da migração do ISE?

Fase 1: descoberta e design

Exporte o que o ISE conhece antes de alterar qualquer elemento. Liste cada conjunto de políticas, as suas condições e o perfil de autorização retornado. A maioria das infraestruturas descobre que anos de regras se resumem a um punhado de resultados reais: VLAN de funcionários, VLAN de prestadores de serviços, VLAN de IoT, bloquear.

Escreva cada resultado como um grupo de identidades e uma VLAN. A atribuição de VLAN através de RADIUS utiliza os atributos de túnel descritos na RFC 3580. Alguns controladores também leem atributos específicos do fornecedor (VSAs), tais como o atributo de função que os controladores HPE Aruba utilizam. Tome nota de quais são esperados pelo seu hardware.

Em seguida, identifique os dispositivos que não conseguem executar o 802.1X. A lista de pontos finais do ISE mostra quais os endereços MAC que se autenticam por MAB. Cada um necessita de uma chave xPSK e de uma VLAN antes da migração do respetivo local.

Fase 2: criar a Purple em paralelo

Ligue a Purple ao seu fornecedor de identidades e crie as regras de grupo para VLAN da fase 1. Faça o carregamento da CA que emitiu os seus certificados de cliente para que a EAP-TLS os valide. Emita chaves xPSK para os grupos de dispositivos sem monitor.

Envie a confiança do certificado de servidor da Purple para todos os dispositivos geridos através do seu MDM. Esta é a tarefa mais demorada da construção, pelo que deve iniciá-la no primeiro dia. Configure um SSID de laboratório apontado para a Purple e autentique um dispositivo de cada classe.

Fase 3: pilotar um local representativo

Escolha um local com todas as classes de dispositivos que possui: Windows, macOS, iOS, Android, scanners e qualquer item invulgar. Evite o seu local principal e o mais simples. Transfira-o com os mesmos passos que utilizará nas vagas.

Mantenha-o durante cinco dias úteis. Compare a taxa de sucesso da Purple com a linha de base do ISE para esse local. Verifique se todas as classes de dispositivos ficam na VLAN correta. Corrija tudo o que falhar aqui, não numa vaga.

Fase 4: migração em vagas

Agrupe os locais restantes em vagas que uma equipa possa suportar numa única janela de alteração. Execute a verificação de aprovação antes de cada vaga. Siga os mesmos passos em todos os locais.

{"title":"Migrar um local do ISE para o RADIUS na nuvem da Purple","steps":[{"title":"Registar a linha de base","body":"Anote as autenticações por hora do ISE do local e a taxa de sucesso por SSID no registo de migração.","check":"Os valores da linha de base são registados antes da abertura da janela."},{"title":"Apontar o SSID seguro para a Purple","body":"Substitua os servidores RADIUS do ISE pelos servidores e segredo partilhado da Purple. Mantenha as entradas do ISE anotadas para um eventual rollback.","check":"O painel de controlo mostra a Purple como o servidor RADIUS para este SSID.","variants":[{"label":"Cisco Meraki","body":"No painel de controlo da Meraki, edite as definições de controlo de acesso do SSID e atualize a lista de servidores RADIUS."},{"label":"HPE Aruba","body":"No Aruba Central ou no controlador, atualize o grupo de servidores utilizado pelo perfil WLAN 802.1X."},{"label":"Ruckus","body":"No RUCKUS One ou SmartZone, atualize o servidor AAA atribuído à WLAN."},{"label":"Juniper Mist","body":"No painel de controlo da Mist, edite as definições de segurança empresarial da WLAN e atualize os servidores RADIUS."},{"label":"Ubiquiti UniFi","body":"No UniFi Network, atualize o perfil RADIUS utilizado pelo SSID empresarial."}]},{"title":"Voltar a ligar os dispositivos de teste","body":"Volte a ligar um dispositivo de cada classe no local, incluindo dispositivos sem ecrã (headless) no xPSK.","check":"Cada dispositivo de teste fica alocado à respetiva VLAN prevista."},{"title":"Monitorizar a primeira hora","body":"Analise os registos de autenticação da Purple e agrupe as falhas por motivo.","check":"A taxa de sucesso está igual ou superior à linha de base do local."},{"title":"Manter ou reverter (rollback)","body":"Se a taxa permanecer abaixo da linha de base no final da janela acordada, restaure os servidores ISE no SSID.","check":"A decisão e o motivo constam do registo de migração."},{"title":"Concluir o local","body":"Marque o local como migrado após 48 horas. Mantenha a respetiva entrada NAD no ISE até à fase 5 para que o rollback continue a funcionar.","check":"O ISE não mostra novas autenticações deste local."}]}

Fase 5: desativar o ISE

Inicie a fase 5 apenas quando o ISE não registar qualquer autenticação WiFi durante um período definido por si, como 30 dias. Exporte os relatórios de autenticação do ISE exigidos pela sua política de retenção para auditoria. Remova as entradas NAD e, em seguida, deslique os nós. Deixe as licenças expirar na renovação em vez de as cancelar antecipadamente.

Desative a CA interna do ISE em último lugar. Qualquer certificado emitido por ela deixa de ter cadeia de confiança para uma CA ativa assim que o ISE for removido.

Como funcionam o ISE e a Purple lado a lado durante a transição?

Existem dois padrões que se comportam de forma diferente.

SSID paralelo. Transmita um segundo SSID seguro autenticado pela Purple em paralelo com o SSID do ISE. O seu MDM move grupos de dispositivos para o novo perfil de SSID em lotes. Ambas as redes funcionam em simultâneo, garantindo uma execução lado a lado real. O custo é a utilização de tempo de antena (airtime) de mais um SSID durante o período de migração.

Mesmo SSID, servidor alterado. Mantenha um único SSID e altere o respetivo servidor RADIUS durante a janela de alteração. É uma solução mais limpa a nível de ar, contudo trata-se de uma alteração direta e não de uma transição gradual.

O ponto que a maioria das equipas ignora: o failover de RADIUS na maioria dos controladores é acionado quando o servidor primário deixa de responder, não quando este rejeita um dispositivo. Se colocar a Purple em primeiro lugar e a ISE em segundo, uma rejeição da Purple não faz fallback para a ISE. Não confie na ordem dos servidores como uma rede de segurança. Confie no piloto.

Cenário prático: um grupo de 40 hotéis com Cisco Meraki

Um grupo hoteleiro opera WiFi para funcionários em 40 hotéis com Cisco Meraki. Dois nós ISE num data center autenticam os funcionários com PEAP em relação ao Active Directory local. O grupo pretende desativar o data center.

A equipa dividiu a transição em duas partes. Primeiro, distribuiu certificados EAP-TLS e a confiança no servidor Purple através do seu MDM enquanto a ISE ainda autenticava tudo. A ISE validou os novos certificados, pelo que nada mudou para os funcionários. Segundo, realizou um piloto num hotel de dimensão média e, em seguida, migrou o restante em quatro vagas de fim de semana de nove ou dez hotéis.

O resultado mensurável foi o próprio teste de saída. A contagem de autenticações do SSID de funcionários da ISE atingiu zero após a última vaga. Nenhuma vaga precisou de reversão (rollback). Os nós ISE foram desligados no final do mês seguinte.

Como reverter uma vaga que falhe?

A reversão é o inverso do passo dois: repor os servidores ISE e o segredo partilhado nos SSID afetados. Como a ISE permanece ativa e as suas entradas NAD se mantêm no lugar, o local regressa ao seu estado anterior na ligação seguinte. Acorde previamente quem toma a decisão e quanto tempo deve esperar antes de a tomar.

{"title":"Avançar, não avançar ou reverter para uma vaga de migração","start":"q1","nodes":[{"id":"q1","question":"O piloto ou a vaga anterior mantiveram a linha de base da taxa de sucesso da ISE?","help":"Compare a taxa de sucesso da Purple por SSID com a linha de base da ISE para os mesmos locais.","options":[{"label":"Sim","to":"q2"},{"label":"Não","to":"o3"}]},{"id":"q2","question":"Todos os dispositivos nesta vaga confiam no certificado de servidor da Purple?","help":"Verifique o estado de implementação do MDM para cada grupo de dispositivos nestes locais.","options":[{"label":"Sim","to":"q3"},{"label":"Não","to":"o2"}]},{"id":"q3","question":"Todos os locais da vaga conseguem aceder aos servidores RADIUS da Purple?","help":"Teste através do firewall de cada local antes de a janela abrir.","options":[{"label":"Sim","to":"q4"},{"label":"Não","to":"o2"}]},{"id":"q4","question":"A ISE ainda está ativa, com um responsável de reversão designado de prevenção?","options":[{"label":"Sim","to":"o1"},{"label":"Não","to":"o2"}]},{"id":"o1","outcome":"Avançar","detail":"Abra a janela de alteração e siga os passos de migração do local."},{"id":"o2","outcome":"Não avançar: corrigir e reagendar","detail":"Resolva a lacuna e execute novamente esta verificação antes da próxima janela."},{"id":"o3","outcome":"Reverter e diagnosticar","detail":"Restaure a ISE nos SSID afetados, identifique a classe de dispositivo ou regra com falha e corrija-a primeiro no local piloto.","link":"[Comparar alternativas à ISE](guide:cisco-ise-alternatives)"}]}

Cenário prático: uma rede de retalho de 300 lojas com HPE Aruba

Um retalhista gere 300 lojas em HPE Aruba. O ISE autentica os portáteis dos funcionários com EAP-TLS e os scanners de stock portáteis com MAB. A loja piloto foi aprovada, pelo que a equipa avançou com o primeiro lote de 30 lojas.

Os scanners falharam em quatro lojas no segundo lote. Essas lojas tinham um modelo de scanner mais recente cujos endereços MAC nunca tinham chegado ao inventário da fase 1. O responsável pelo rollback repôs o grupo de servidores ISE nas WLANs afetadas dentro da janela de alteração, e a leitura de códigos de barras foi retomada.

A equipa extraiu os endereços do novo modelo da lista de endpoints do ISE e atribuiu-lhe chaves xPSK. Testou um scanner na loja piloto e voltou a executar o lote. Todas as 300 lojas concluíram a transição para a Purple. Todas as regras MAB foram desativadas e os terminais de pagamento estão agora na sua própria VLAN. Essa segmentação serviu de evidência para o âmbito do PCI-DSS do retalhista.

Como comprovar que a migração do ISE está concluída?

"Concluída" é um conjunto de factos, não um sentimento. A migração está terminada quando todas as seguintes condições forem verdadeiras:

• O ISE registou zero autenticações WiFi durante o período definido.
• A taxa de sucesso da Purple em cada local é igual ou superior à sua linha de base no ISE.
• Cada grupo de identidades é encaminhado para a respetiva VLAN pretendida, verificado com um dispositivo de teste por classe.
• Nenhum dispositivo possui um certificado associado à CA interna do ISE.
• Os relatórios do ISE para o seu período de retenção foram exportados e armazenados.
• Os nós do ISE foram desligados e a renovação foi cancelada.

Mantenha um único registo para todo o programa. A lista de verificação abaixo é esse registo.

{"title":"Registo de migração do ISE para RADIUS na nuvem","groups":[{"heading":"Antes da fase 1","items":[{"text":"Todos os SSIDs, NADs e segredos partilhados listados"},{"text":"Cada conjunto de políticas mapeado para um grupo de identidades e VLAN"},{"text":"Duas semanas de linha de base do ISE capturadas por local e SSID","why":"Sem isto, nenhum lote pode ser aprovado ou reprovado"},{"text":"Dispositivos PEAP identificados e plano EAP-TLS acordado"},{"text":"Dispositivos MAB listados a partir da lista de endpoints do ISE"},{"text":"Âmbito de rede cablada, TACACS+ e postura com responsáveis distintos"}]},{"heading":"Construção e piloto","items":[{"text":"Fornecedor de identidades ligado e grupos mapeados para VLANs"},{"text":"CA de certificados de cliente fiável para EAP-TLS"},{"text":"Confiança no certificado do servidor Purple distribuída via MDM","why":"O risco que afeta na noite da transição"},{"text":"Chaves xPSK emitidas para grupos de dispositivos sem ecrã"},{"text":"Firewalls dos locais permitem tráfego RADIUS para a Purple"},{"text":"Local piloto manteve a linha de base durante cinco dias úteis"}]},{"heading":"Lotes","items":[{"text":"Verificação de avanço ou não avanço registada para cada lote"},{"text":"Responsável pelo rollback designado para cada janela"},{"text":"Cada lote manteve a linha de base durante 48 horas"}]},{"heading":"Concluído","items":[{"text":"Zero autenticações WiFi no ISE durante o período acordado"},{"text":"Nenhum certificado associado à CA interna do ISE"},{"text":"Relatórios do ISE exportados para retenção de auditoria"},{"text":"Entradas NAD removidas e nós do ISE desligados"},{"text":"Renovação da licença ISE cancelada"}]}],"download":{"filename":"ise-migration-log.csv"}}

Que modos de falha surgem no terreno?

A maioria das vagas malsucedidas tem origem numa lista curta de causas.

• Certificado de servidor não confiável. Os dispositivos pedem confirmação ou recusam silenciosamente a ligação. Corrija-o na fase 2 através do seu MDM, nunca pedindo aos colaboradores para aceitarem uma solicitação.
• Alterar duas coisas ao mesmo tempo. Mudar de PEAP para EAP-TLS na mesma janela temporal da alteração do servidor oculta qual das alterações causou a falha.
• Dispositivos sem ecrã (headless) esquecidos. Scanners, impressoras e sensores no MAB falham primeiro, como a empresa de retalho descobriu. Reconstrua a lista de MAB a partir do ISE logo antes de cada vaga.
• Incompatibilidade de segredos partilhados. Um segredo mal introduzido num controlador rejeita um local inteiro. Copie os segredos a partir de uma única fonte, nunca manualmente.
• Saída de firewall (egress). Locais com breakout local ou regras de firewall mais antigas bloqueiam o tráfego RADIUS para a nuvem. Teste cada local antes da respetiva janela temporal.
• Diferenças nos atributos de VLAN. Os perfis de autorização do ISE podem retornar um nome de VLAN, um ID de VLAN ou uma função específica do fornecedor. Garanta a correspondência com o que cada controlador espera no local piloto.
• Consumidores secundários silenciosos. Se uma firewall obteve identidades do ISE através do pxGrid, esse fluxo é interrompido na transição. Se depende do Change of Authorisation (RFC 5176) para terminar sessões, teste-o durante o piloto.
• Confiar no failover. Listar o ISE como servidor secundário não captura rejeições. Apenas um rollback testado o faz.

Onde a Purple se enquadra

O Purple Access executa três redes nos pontos de acesso que já possui: aberta, segura e xPSK. Uma migração de ISE incide na rede segura. O Purple cloud RADIUS autentica com EAP-TLS em conjunto com o Microsoft Entra ID, Okta ou Google Workspace. O Passpoint, o padrão Hotspot 2.0 para ligações automáticas e encriptadas, estende a mesma identidade entre locais. A identidade define a VLAN em todas as redes.

A Purple é independente de hardware. Funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet, sem necessidade de novo hardware. A Purple opera o maior cloud RADIUS do mundo. Inclui um SLA de tempo de atividade do RADIUS de 99,9% numa plataforma que funciona com 99,999% de tempo de atividade.

{"items":[{"value":"99.9%","label":"SLA de tempo de atividade do RADIUS","note":"SLA contratual da Purple"},{"value":"99.999%","label":"tempo de atividade da plataforma","note":"Dados próprios da Purple"},{"value":"80,000+","label":"locais no ativo","note":"Dados próprios da Purple"},{"value":"90","label":"países","note":"Dados próprios da Purple"}]}

{"tone":"proof","title":"WiFi para colaboradores à escala de sucursais","text":"A JPMorgan executa o WiFi para colaboradores na Purple em mais de 5.000 sucursais."}

A Purple possui as certificações ISO 27001, Cyber Essentials e B Corp, e opera em conformidade com o GDPR e a CCPA. Estas certificações reduzem a avaliação de fornecedores que a sua equipa de segurança irá realizar. Para uma visão global da segurança, leia o guia de segurança WiFi empresarial. Se ainda está a escolher a sua solução final, consulte as alternativas ao Cisco ISE para autenticação WiFi.

Perguntas frequentes

Quanto tempo demora a migração do Cisco ISE para o RADIUS na nuvem?

A transição em si é normalmente realizada num fim de semana; a preparação demorar mais tempo. Para um parque de 40 locais, planeie duas semanas de levantamento, uma semana de configuração, um piloto de duas semanas e várias fases aos fins de semana. Os certificados são a maior variável. Se os dispositivos já utilizarem EAP-TLS com certificados da sua própria CA, o plano encurta. Se a autenticação por PEAP contra o Active Directory estiver em curso, adicione uma fase para mover primeiro esses dispositivos para EAP-TLS.

Preciso de novos pontos de acesso para deixar o Cisco ISE?

Não. O RADIUS na nuvem funciona com os pontos de acesso e controladores que já utiliza: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. A mudança consiste numa alteração de configuração em cada SSID: novos endereços de servidor RADIUS, um novo segredo partilhado e, onde necessário, novos atributos de VLAN. A sua comutação, VLANs e SSIDs permanecem exatamente como estão.

Podemos manter os certificados de cliente que já emitimos?

Sim, caso tenham sido emitidos pela sua própria CA ou MDM. O RADIUS na nuvem valida os certificados EAP-TLS contra a CA emissora, pelo que continuam a funcionar assim que essa CA for considerada de confiança. Os certificados da CA interna do ISE são a exceção. Estão associados a um sistema que está prestes a desativar, pelo que deve reemiti-los a partir do seu MDM ou CA antes do início da fase 5.

O que acontece aos dispositivos que utilizam MAC Authentication Bypass no ISE?

Eles mudam para a rede xPSK. O MAB confia num endereço MAC, o qual é fácil de falsificar. Uma chave por dispositivo ou grupo de dispositivos fornece a scanners, impressoras e sensores a sua própria credencial e coloca-os na sua própria VLAN. Identifique-os na fase 1 a partir da lista de pontos de extremidade do ISE. Emita chaves na fase 2 e, em seguida, teste um modelo de cada no local piloto.

A saída do ISE afeta as nossas evidências de conformidade PCI DSS ou ISO 27001?

Altera a origem das evidências, não a sua existência. Exporte os relatórios de autenticação do ISE para o seu período de retenção antes da desativação. A partir da transição, os registos de autenticação e atribuições de VLAN da Purple fornecem evidências para segmentação de rede e controlo de acessos. A própria certificação ISO 27001 e Cyber Essentials da Purple também suporta a avaliação de fornecedores que os seus auditores esperarão ver.

Como é que o preço do RADIUS na nuvem se compara com o Cisco ISE?

Compare o custo total em vez das linhas de licença. O custo do ISE inclui licenças, os nós ou máquinas virtuais que o executam, contratos de suporte e o tempo dos engenheiros gasto em atualizações e correções. O RADIUS na nuvem é uma subscrição sem servidores para gerir. A Purple fornece orçamentos para o seu parque, por isso reúna o seu número de locais, SSIDs e número de dispositivos. O guia de alternativas ao ISE define o que mais deve comparar.

Devemos migrar o 802.1X por cabo ao mesmo tempo que o WiFi?

Não. Mova a WiFi primeiro e trate o 802.1X por cabo como um projeto separado com o seu próprio piloto. As portas por cabo contêm frequentemente dispositivos MAB, telefones de secretária e regras de postura que necessitam do seu próprio inventário. Alterar ambos numa única janela duplica o número de elementos que podem falhar em simultâneo. Além disso, torna a decisão de reversão mais difícil sob pressão.

A migração do Aruba ClearPass é diferente?

As cinco fases são as mesmas; o processo de exportação é que difere. O ClearPass armazena políticas sob a forma de serviços, políticas de aplicação e perfis, em vez de conjuntos de políticas do ISE. O mapeamento desses elementos para grupos de identidades e VLANs é a principal tarefa da fase 1. O risco de confiança do certificado e o comportamento de failover aplicam-se exatamente da mesma forma. O guia de migração do ClearPass abrange a exportação em pormenor.