Aruba ClearPass 替代方案：使用云端 RADIUS 替换本地 NAC

对于大多数多场所分支企业来说，最强劲的 ClearPass 替代方案是云 RADIUS。Purple 可以在您现有的无线接入点上，针对 Microsoft Entra ID、Okta 或 Google Workspace 运行 EAP-TLS 身份验证。它具备 99.999% 的平台可用性。云 RADIUS 无需在本地托管 RADIUS 设备即可提供网络访问控制。

您应该用云 RADIUS 替换 ClearPass 吗？

是的，如果您在多个场所运行 WiFi，并且您的身份信息已经部署在云端。Aruba ClearPass Policy Manager 是一个成熟的网络访问控制 (NAC) 平台。NAC 决定哪些人员和设备可以加入网络，以及它们进入哪个网络分段。ClearPass 会在由您托管、规划容量、打补丁和更新换代的本地设备上做出这一决策。

而云 RADIUS 则以服务形式做出相同的决策。RADIUS 是您的接入点用于询问服务器设备是否可以加入的协议 (RFC 2865)。IEEE 802.1X 是在设备、接入点和服务器之间传输该交互的基于端口的访问标准。使用云 RADIUS，接入点、SSID 和 802.1X 交互保持不变。改变的只有进行响应的服务器。

在以下条件下，选择 Purple 是最佳结论：

• 您的身份信息托管在 Microsoft Entra ID、Okta 或 Google Workspace 中。
• 您的企业运行着不止一家供应商的接入点，或者在下一次硬件更新后可能会这样。
• 您的团队更愿意管理策略，而不是管理 RADIUS 服务器。

云 RADIUS 消除硬件设备堆叠的同时不会削弱控制力，跨所有场所提供集中化的策略管理。

{"items":[{"value":"99.999%","label":"平台运行时间 SLA","note":"Purple Access"},{"value":"99.999%","label":"Purple 平台运行时间"},{"value":"80,000+","label":"遍布 90 个国家的场所"},{"value":"5,000","label":"运行于 Purple 的摩根大通分行","note":"员工 WiFi"}]}

Purple 运行着全球最大的云 RADIUS。RADIUS 迁移通常只需一个周末即可完成，且无需更换任何接入点。

哪些标准决定了 ClearPass 的替代方案？

当 ClearPass 设备或许可面临续约时，我们对比了网络团队通常会列入候选名单的选项：

• Aruba ClearPass Policy Manager（本地部署）。 许多 HPE Aruba 设施的现状，部署为硬件或虚拟设备。
• FreeRADIUS（自托管）。 拥有强劲 Linux 技能的团队经常考虑的开源 RADIUS 服务器 (freeradius.org)。
• Purple 云 RADIUS。 运行在 Purple Access 安全网络 背后的身份验证引擎。

我们排除了作为单一硬件供应商管理云的一部分出售的 NAC。您的企业运行着多家供应商的设备，因此单一供应商的策略引擎只能解决部分问题。

决定多场所 WiFi 选择的标准如下：

1. 运营模式。 谁负责托管、补丁修复和升级认证服务器。
2. 可用性。 如何实现正常运行时间，以及由谁承担服务承诺。
3. 无线 AP 适配性。 哪些无线 AP 无需修改即可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 之间通用。
4. 身份认证。 目录存储在哪里，以及入职、调岗和离职人员如何与网络策略同步。
5. 基于证书的接入。 对 EAP-TLS (RFC 5216) 的支持，即每个设备通过证书而非密码证明其身份。此标准还包括由谁运营公钥基础设施 (PKI)。
6. 网络覆盖范围。 单一平台是否能同时覆盖开放网络、安全网络和 xPSK 网络。

运行成本和迁移工作量在下方有专门的章节。每个选项仅根据其公开文档的描述进行评分。

{"tone":"note","title":"本比较的范围","text":"本指南涵盖 WiFi 认证。交换机端口上的有线 802.1X、TACACS+ 设备管理和端点姿态代理是该范围之外的 ClearPass 功能，我们会在影响结论的地方予以标注。"}

ClearPass 替代方案效果如何？

{"caption":"根据多维度标准评估比较 ClearPass 替代方案，助力构建多站点 WiFi 网络","asOf":"2026-06-10","columns":[{"key":"c","label":"评估标准"},{"key":"cp","label":"Aruba ClearPass (本地部署)"},{"key":"fr","label":"FreeRADIUS (自托管)"},{"key":"pa","label":"Purple 云端 RADIUS","highlight":true}],"rows":[["运行位置","数据中心内的硬件或虚拟设备","由您自行构建和托管的 Linux 服务器","由 Purple 运营的云原生服务；无需现场设备"],["补丁与升级","由您的团队计划每次发布和补丁更新","由您的团队为操作系统和软件包打补丁","Purple 负责更新平台，保持 99.999% 的正常运行时间"],["可用性","由您规划容量并托管的发布者和订阅者集群","由您设计的冗余服务器和故障转移机制","99.999% 的平台正常运行时间"],["无线 AP 适配度","支持来自多厂商网络设备的标准 RADIUS","支持来自任何网络设备的标准 RADIUS","Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, Fortinet"],["身份源","Active Directory、LDAP、SQL 和令牌服务器","由您配置的 LDAP、SQL 和 Kerberos 模块","Microsoft Entra ID, Okta, Google Workspace；入职、调岗和离职流程同步自 IdP"],["EAP-TLS 与证书","支持；Onboard 模块可配置设备证书","支持；由您运行 PKI","支持；证书与 IdP 身份绑定"],["策略映射至 VLAN","执行配置文件返回 RADIUS 属性","由您编写和测试的策略文件","身份通过 RADIUS 属性设置 VLAN"],["覆盖的网络类型","Policy Manager 加上 Guest 和 Onboard 模块","仅限身份验证；Portal 和 PKI 需单独构建","在单一平台上支持开放网络、安全网络和 xPSK 网络，以及 Passpoint"]],"footnote":"评分依据各选项公开的官方文档。有线端口执行、TACACS+ 和准入评估代理不在本次 WiFi 评估范围内。","download":{"filename":"clearpass-alternatives-matrix.csv"}}

所有选项均支持标准 RADIUS 协议，因此无需强制更换新的无线 AP。差异体现在协议之上的层级。ClearPass 和 FreeRADIUS 都需要您的团队承担服务器部署、冗余设计和补丁更新工作。Purple 则将这三项工作全部从您的团队中解脱出来，并承诺平台正常运行时间。

身份认证是第二个分水岭。ClearPass 和 FreeRADIUS 是围绕本地目录服务发展起来的。两者虽然都能连接云端身份源，但都需要由您来配置和维护该连接。Purple 则原生支持 Microsoft Entra ID, Okta 或 Google Workspace。在 IdP 中被停用的离职员工将直接失去网络访问权限，无需在 NAC 中进行单独修改。

各个选项的优势体现在哪里？

这里的每个选项都具备不同的能力。关键在于其设计是否符合您的网络架构。

ClearPass 的优势领域

Aruba ClearPass 围绕本地硬件部署和传统基础设施需求而设计。Aruba 说明了交换机端口上的有线 802.1X 实施、用于交换机和路由器管理的 TACACS+，以及 OnGuard 姿态检查。姿态检查会在准入前检查设备的安全状态（例如杀毒软件状态）。如果您的安全模型依赖于来自中央控制台的这些功能，ClearPass 即可满足该范围的要求。

ClearPass 同样对具有现有基础设施投资的企业具备吸引力。拥有多年调优实施服务经验和经过培训的 ClearPass 工程师团队面临着转换成本。该成本主要是策略转换，下文的迁移部分对此进行了探讨。

FreeRADIUS 的优势

FreeRADIUS 提供了开源的灵活性与控制力。它在 GPL 协议下开源，因此无需许可费用，您可以阅读每一行代码。它非常适合由精通 Linux 和 RADIUS 配置的团队运营的自托管实现。

权衡之处在于，您需要围绕它构建一切。包括冗余、用于 EAP-TLS 的 PKI、面向访客的强制门户以及监控。没有供应商会承担正常运行时间承诺。在多站点规模下，工程时间会成为主要成本。

Purple 云 RADIUS 的优势

Purple 在身份已迁移到云端的多站点、多供应商资产中脱颖而出。您可以从已在使用的控制台中将每个 SSID 指向 Purple。这些控制台包括 Cisco Meraki Dashboard、HPE Aruba Networking Central、Juniper Mist 和 UniFi Network 应用。来自 IdP 的身份信息会设置 VLAN，且相同的规则适用于每个站点。

它还提供了广泛的运维范围。Purple Access 在单一平台上运行开放网络、安全网络和 xPSK 网络。开放网络涵盖强制门户访问和 BYOD 入网。安全网络涵盖 EAP-TLS、IdP 集成、Passpoint 和 云 RADIUS。xPSK 网络为每个设备或住户提供其专属的密钥。在 ClearPass 上，等效的功能横跨 Policy Manager 以及单独许可的 Guest 和 Onboard 模块。

{"kind":"lanes","direction":"lr","caption":"本地 ClearPass 通过广域网将 RADIUS 回传至您托管的设备；Purple 则直接从云端响应相同的 802.1X 请求","alt":"两条泳道对比了接入点通过广域网将 RADIUS 发送到托管的 ClearPass 集群和 Active Directory，与相同的接入点将 RADIUS 发送到 Purple 云端 RADIUS（由其检查身份提供商并返回 VLAN）。","lanes":[{"id":"l1","label":"现状：本地 ClearPass"},{"id":"l2","label":"迁移后：Purple 云端 RADIUS"}],"nodes":[{"id":"a1","label":"接入点","sub":"Aruba, Meraki, Ruckus, Mist, UniFi","lane":"l1","tone":"neutral"},{"id":"b1","label":"站点广域网或 VPN","sub":"RADIUS 回传至数据中心","lane":"l1","tone":"neutral"},{"id":"c1","label":"ClearPass 集群","sub":"您托管的发布者和订阅者设备","lane":"l1","tone":"neutral"},{"id":"d1","label":"Active Directory","sub":"本地目录与 LDAP","lane":"l1","tone":"neutral"},{"id":"a2","label":"接入点","sub":"相同的硬件，相同的 SSID","lane":"l2","tone":"neutral"},{"id":"c2","label":"Purple 云端 RADIUS","sub":"支持 EAP-TLS，具备 99.999% 正常运行时间","lane":"l2","tone":"brand"},{"id":"d2","label":"您的身份提供商","sub":"Microsoft Entra ID, Okta, Google Workspace","lane":"l2","tone":"neutral"},{"id":"e2","label":"按身份划分 VLAN","sub":"返回给接入点的 RADIUS 属性","lane":"l2","tone":"success"}],"edges":[{"from":"a1","to":"b1","label":"802.1X 请求","style":"solid"},{"from":"b1","to":"c1","label":"RADIUS","style":"solid"},{"from":"c1","to":"d1","label":"目录查询","style":"solid"},{"from":"a2","to":"c2","label":"RADIUS","style":"solid"},{"from":"c2","to":"d2","label":"身份与组","style":"solid"},{"from":"c2","to":"e2","label":"Access-Accept","style":"solid"},{"from":"e2","to":"a2","label":"应用 VLAN","style":"dashed"}]}

Purple 与 ClearPass 相比定位如何？

{"title":"哪种 ClearPass 替代方案适合您的网络环境","options":[{"name":"Aruba ClearPass (本地部署)","fitsWhen":["遗留需求指定了本地硬件基础设施","您依赖 OnGuard 进行准入前的合规性检查","单个引擎还必须涵盖 TACACS+ 和有线端口"],"notWhen":["您希望停止运行硬件设备","您的 ClearPass 专家已经离职"]},{"name":"FreeRADIUS (自托管)","fitsWhen":["规模较小且具备强劲的 Linux 和 RADIUS 技能","您希望拥有完全可控的开源代码"],"notWhen":["您需要供应商的可用性承诺","您需要内置访客接入或 BYOD 入网功能"]},{"name":"Purple 云端 RADIUS","fitsWhen":["您的网络环境混合了 Meraki、Aruba、Ruckus、Mist 或 UniFi","身份认证托管在 Entra ID、Okta 或 Google Workspace 中","您不希望托管或补丁任何 RADIUS 服务器","您运营着开放式、安全式和 xPSK 网络"],"notWhen":["您希望构建和管理本地 RADIUS 硬件设备"]}],"recommendation":"对于采用云端身份认证的多站点 WiFi 网络环境，请选择 Purple 云端 RADIUS：独立于硬件厂商，拥有 99.999% 的平台可用性，且迁移通常仅需一个周末的练习时间。"}

Purple 可以作为云端覆盖层嵌入到您现有的网络中。无需更换控制器，也无需安装任何硬件设备。无线接入点继续执行其原有工作：发送 802.1X 请求，接收带有 VLAN 属性的 Access-Accept，并将设备分配至正确的网络段。

VLAN 分配使用的是 RFC 3580 中为 802.1X 定义的标准隧道属性。这些属性包括 Tunnel-Type、Tunnel-Medium-Type 以及 Tunnel-Private-Group-ID。规范列表中的每家供应商都支持这些属性，这也是单个策略能够贯穿整个混合网络环境的原因。

{"tone":"proof","title":"在分支机构规模下获得验证","text":"摩根大通在 5,000 个分支机构中基于全球最大的云端 RADIUS，利用 Purple 运行员工 WiFi。"}

Purple 同样涵盖了 ClearPass 分散在各个模块中的网络功能。访客通过 Captive Portal（在授予网络访问权限之前显示的网页）接入开放网络。员工设备通过 EAP-TLS 接入安全网络。打印机和智能电视等无法运行 802.1X 的设备，则通过专属密钥接入 xPSK 网络。Passpoint（也称为 Hotspot 2.0）允许已注册的设备自动且安全地接入网络，无需通过 Portal 页面。

相邻的功能存在于其他 Purple 产品中。访客营销在 Engage 中运行，DNS 过滤在 Shield 中运行。这两者都不是替代 ClearPass 所必需的。

每种方案的运行成本是多少？

许可明细很少决定这场对比，运行成本才是关键。下表列出了每种方案的成本结构，而非具体金额。

{"caption":"各方案运行成本结构（仅结构，不含具体金额）","asOf":"2026-06-10","columns":[{"key":"line","label":"成本项目"},{"key":"cp","label":"Aruba ClearPass (本地部署)"},{"key":"fr","label":"FreeRADIUS (自托管)"},{"key":"pa","label":"Purple 云端 RADIUS","highlight":true}],"rows":[["软件","按并发终端计算的许可证，外加附加模块","无许可证费用；GPL 开源","订阅 Purple Access"],["基础架构","您提供的硬件设备或虚拟机容量","您配置的服务器或云实例","无需托管；由 Purple 运行 RADIUS 基础设施"],["高可用性","您购买和托管的额外集群节点","您构建的额外服务器和故障转移系统","已包含：99.999% 平台正常运行时间"],["证书","Onboard 许可证及您的证书颁发机构","您的证书颁发机构和注册工具","由 Purple Access 安全网络涵盖"],["升级","每次发布的员工时间和变更窗口","每次操作系统和软件包更新的员工时间","由 Purple 负责运行"],["技能需求","ClearPass 专家或合作伙伴支持","Linux 和 RADIUS 工程能力","网络团队在单一控制台中管理策略"],["设备更新","支持结束时的设备更新","基于您硬件周期的服务器更新","无需硬件更新"]],"footnote":"ClearPass 许可证结构来源于 Aruba 的公开许可证文档。FreeRADIUS 许可证条款来源于 freeradius.org。"}

ClearPass 成本随终端数量和复原能力需求而扩展。每增加一个集群节点，就会增加硬件或虚拟机容量，以及另一个需要打补丁的系统。Onboard 和 OnGuard 等附加模块会增加其自身的许可证费用项目。无论您的网络规模是否扩大，设备更新都会按固定周期循环。

FreeRADIUS 将成本从许可证转移到了人力上。虽然软件是免费的，但冗余、PKI、监控和访客接入都是工程项目。在构建这些项目的工程师离职后，每一个项目都需要持续维护。

Purple 将这些费用项目整合为一个统一的订阅服务。您无需再购买集群节点、为设备打补丁或规划设备更新。Purple 承担正常运行时间的承诺。在制定商业计划时，请计算每年升级 ClearPass 所消耗的员工工时。这一项往往是促成最终决策的关键因素。

迁移出 ClearPass 涉及哪些工作？

迁移出 ClearPass 是一项策略转换工作，而非硬件工程。RADIUS 切换本身通常只需在一个周末内完成。确保切换平稳无虞的工作主要集中在之前的几周内。

1. 梳理您的 ClearPass 服务。 列出每项服务、其身份验证源、其执行策略以及返回的 RADIUS 属性。大多数网络环境都会发现，极少数服务承担了几乎所有的流量。
2. 将角色映射至 VLAN。 将每个执行规则重写为身份组到 VLAN 的映射。注意哪些规则依赖于分析（profiling）或姿态（posture），因为这些规则需要在切换前做出决策。
3. 连接您的身份提供者。 将 Microsoft Entra ID、Okta 或 Google Workspace 关联至 Purple。IdP 中的用户组将成为网络策略的输入项。
4. 规划证书信任。 确定设备将如何信任新的 RADIUS 服务器证书，以及 ClearPass Onboard 设备将如何针对 EAP-TLS 重新注册。
5. 在一个站点进行试点。 在现有控制台中的一个 SSID 上添加 Purple 作为 RADIUS 服务器。确认每个身份组的 VLAN 分配。
6. 分批次切换。 按站点逐个重新指定 SSID，通常安排在周末进行，同时仍保留 ClearPass 作为备用退路。
7. 正式停用 ClearPass。 经过一段观察期后，停用该集群。在此之前，请根据您的数据保留策略导出审计日志。

{"tone":"warning","title":"潜在风险点：证书信任","text":"PEAP 和 EAP-TLS 客户端会验证 RADIUS 服务器证书，因此新的服务器证书会导致未托管配置文件的连接中断。请在切换前通过 MDM 推送更新后的信任设置，而不是在切换当晚才处理。"}

PEAP (Protected EAP) 将密码登录封装在 TLS 隧道内，因此它同样依赖该服务器证书。MDM（移动设备管理）是在企业设备上更新信任设置最快捷的方式，常见工具包括 Microsoft Intune 和 Jamf。BYOD 设备则通过开放网络重新入网。

{"tone":"tip","title":"试点期间同时运行两个服务器","text":"在试点 SSID 上将 Purple 列为主 RADIUS 服务器，并将 ClearPass 列为备用 RADIUS 服务器。这样您既可以在真实流量上验证策略，又能在需要回滚时仅需在控制台中进行单项更改。"}

这些阶段与 Cisco ISE 的迁移退场方案非常相似。如果您还在其他地方运行 ISE，Cisco ISE 分阶段切换计划 采用了相同的结构。

您应该如何决策？

在评估您的网络架构时，请考虑管理本地服务器基础设施的运维成本。云 RADIUS 删除了设备托管、日常维护和手动升级的需求，同时提供集中式访问控制。对于多站点场所、混合硬件环境或云身份集成场景，请选择 Purple 云 RADIUS。

在开始迁移之前，请根据您的 ClearPass 配置核对任何特殊需求。如果有特定服务依赖于 OnGuard 准入状态检查、TACACS+ 或有线端口强制执行，请单独评估这些范围，并优先迁移 WiFi 认证。因为 WiFi 占据了绝大部分设备负载、许可数量和升级工作量。

您的下一步是开展试点。导出您的 ClearPass 服务，并将您的 IdP 连接到 Purple。然后重新指定一个站点上的一个 SSID。如需了解更广泛的安全背景，请阅读企业 WiFi 安全指南。如果您的场所中也部署了 ISE，可以将其与 Cisco ISE 替代方案 指南进行对比。

常见问题解答

Purple 是 Aruba ClearPass 的直接替代品吗？

是的，适用于 WiFi 认证。Purple 结合云端 RADIUS、强制门户和 BYOD 入网功能，取代了用于无线接入的 ClearPass Policy Manager、Guest 和 Onboard。它可运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。在关闭 ClearPass 之前，请单独评估所有有线端口强制执行、TACACS+ 或合规性检查。这些项目不属于 WiFi 认证范畴，需要单独做出决策。

云端 RADIUS 能否与我们现有的 Aruba 接入点配合使用？

可以。HPE Aruba 接入点会发送标准 802.1X RADIUS 请求，因此您只需将 SSID 指向 Purple 而非 ClearPass。无需更换任何接入点，现场也不会增加任何新硬件。这同样适用于 Cisco Meraki、Ruckus、Juniper Mist 和 Ubiquiti UniFi。因此，混合基础设施可迁移至统一的策略源，并通过您团队已在使用的控制台进行配置。

ClearPass 迁移需要多长时间？

RADIUS 切换通常在一个周末即可完成。之前的规划工作则需要较长时间。您需要读取 ClearPass 服务，将角色映射至 VLAN，连接您的身份提供商，并确定设备信任新服务器证书的方式。大多数团队会先在一个站点进行试点，然后分批迁移其余站点。在观察期结束前，ClearPass 将继续可用作为回退选项。

与 ClearPass 相比，云端 RADIUS 如何计费？

Purple 是一项订阅服务，无需托管任何设备、虚拟机管理器容量或集群节点。ClearPass 按并发终端进行许可授权，并提供 Onboard 和 OnGuard 等附加模块。它还运行在您提供的设备或虚拟机上。请对比总运行成本，而不仅仅对比许可账单。总成本应包括集群节点、升级维护、专家工时以及设备更新迭代。

离开 ClearPass 时，设备是否需要新证书？

通常需要。通过 ClearPass Onboard 注册的设备拥有来自该证书颁发机构的证书，因此它们需要为 EAP-TLS 重新注册。PEAP 客户端也会验证 RADIUS 服务器证书，因此它们的 WiFi 配置文件必须信任新证书。请在切换前通过 MDM 推送此更改。这样，员工在重新连接时就不会注意到响应它们的服务器已发生变更。

云端 RADIUS 能否为 PCI DSS 或 ISO 27001 审计提供证据？

可以。Purple 拥有 ISO 27001 和 Cyber Essentials 认证。基于身份的 VLAN 分配可为您提供 PCI DSS 网络隔离和访问审查的证据。您的审计员仍会评估您的整个环境。云端 RADIUS 提供的是访问控制措施的证明证据，而非合规评估本身，因此请在切换前规划好您的审计员需要哪些报告。

Purple 是否支持 Passpoint、xPSK 以及 802.1X？

是的。Purple Access 在同一个平台上运行开放网络、安全网络和 xPSK 网络。Passpoint 允许已登记的设备自动且安全地加入，无需强制门户。xPSK 为每个设备或住户提供专属密钥，这适用于无法运行 802.1X 的设备（例如打印机和智能电视）。身份信息会在所有这三种网络上设置 VLAN，从而确保整个资产中的网络隔离保持一致。