从 Cisco ISE 迁移到云端 RADIUS：分阶段割接计划

您可以在五个阶段内从 Cisco ISE 迁移到云端 RADIUS，无需设置必须让每个设备都信任新服务器证书的切换决胜日。按站点逐步并行运行 Purple 和 ISE。保持客户端上的 IEEE 802.1X 和 EAP-TLS 不变。分批次进行切换，在最后一个站点完成迁移之前，将 ISE 作为回滚路径。

迁出 Cisco ISE 时，有哪些变化和保持不变的内容？

最终状态描述起来很简单。您的无线接入点会将身份验证请求发送到 Purple 的云端 RADIUS，而不是您数据中心内的 ISE 节点。Purple 会对照 Microsoft Entra ID、Okta 或 Google Workspace 校验身份。然后，它会返回该身份所属的 VLAN。ISE 随之关机，其许可证失效，且无需再进行任何补丁升级。

首先介绍一些术语。RADIUS (RFC 2865) 是您的控制器已经在使用的身份验证协议。IEEE 802.1X 是基于端口的访问控制标准，通过 WiFi 传输登录信息。EAP-TLS (RFC 5216) 使用证书对每台设备进行身份验证。PEAP 在加密的 TLS 隧道内封装密码交换。VLAN 即虚拟局域网，是设备在通过身份验证后所进入的网络区段。

有四项内容会发生变化：

• 每个网络接入设备（NAD，即发送请求的控制器、AP 或云端仪表板）上的 RADIUS 服务器地址和共享密钥。
• 设备在 802.1X 期间看到的服务器证书。
• 策略所在的位置。ISE 策略集和授权配置文件将转换为映射到 VLAN 的身份组。
• 身份来源。云端目录将取代连接到本地 Active Directory 的 ISE。

您的 SSID、无线接入点、VLAN、交换以及来自您自身 CA 的任何客户端证书都将保持原样。这就是能够实现分阶段迁移的原因。ISE 功能本身需要有一个去处，但并非所有功能都会落脚在安全网络上。

ISE 当前功能	迁移去向	Purple 网络
适用于员工和企业设备的 802.1X	结合 EAP-TLS 和您的身份提供商的 Purple 云端 RADIUS	安全
适用于扫描仪、打印机和传感器的 MAB（MAC 身份验证绕过）	每个设备或设备组一个密钥（iPSK 或 PPSK，统称为 xPSK）	xPSK
访客与赞助者门户	强制门户，即获取访问权限前显示的登录页面	开放
使用 ISE 内部 CA 进行 BYOD 入网	来自您的 MDM 或您自身 CA 的证书	安全
TACACS+、有线 802.1X、Posture、TrustSec	不在本次计划范围内；为每项指定负责人	无
本方案涵盖接入点上的 WiFi 身份验证。如果 ISE 还运行设备管理、有线端口或姿态评估（posture），请在第 1 阶段前逐一列出并指定单独的负责人。如果 ISE 托管了用于营销的访客门户，则该门户需迁移至开放网络和 Purple Engage。关于目标设计的深入讨论，请参阅证书、身份和 Passpoint 安全网络指南。

第 1 阶段之前必须具备哪些条件？

共计六个条件，每个条件均为“是”或“否”。在所有六项均为“是”之前，请勿开始构建。

1. 资产盘点已完成。 包含每个 SSID、每个 NAD 及其共享密钥、每个策略集与授权配置文件，以及依赖 MAB 的每个端点组。
2. 已建立 ISE 基线。 捕获至少两周内每个站点、每个 SSID 每小时的身份验证次数和成功率。ISE 的实时日志和报告可提供这些数据。没有基线，您就无法判断某次迁移波次是否通过测试。
3. 证书计划已编写。 记录哪个 CA 颁发了客户端证书，以及 ISE 为 EAP 提供了哪个证书。记录是否有任何设备持有来自 ISE 内部 CA 的证书。
4. 目录中已存在身份组。 每个 ISE 授权规则都需要在 Microsoft Entra ID、Okta 或 Google Workspace 中有一个匹配的组，且每个组都需要分配一个 VLAN。
5. 站点可以连接到云端。 每个站点的防火墙均允许从控制器或 AP 发往 Purple RADIUS 服务器的 RADIUS 流量。
6. ISE 保持受支持状态。 在第 5 阶段结束之前，请保持 ISE 的许可证生效、补丁已更新且有人维护。这是您的回滚路径。

这里还有一个设计决策。PEAP-MSCHAPv2 会检查密码哈希，而云端目录（如 Microsoft Entra ID）不会将该哈希暴露给 RADIUS 服务器。如果 ISE 对照本地 Active Directory 验证 PEAP，请在 ISE 仍对其进行身份验证时，先将这些设备迁移到 EAP-TLS。每个波次只更改一件事：先更改 EAP 方法，再更改 RADIUS 服务器。

{"tone":"warning","title":"潜在的最大风险：服务器证书信任","text":"每个设备在进行 802.1X 认证期间都会检查 RADIUS 服务器证书。仅信任 ISE EAP 证书或其 CA 的配置文件将拒绝连接 Purple，直到您的 MDM 推送新的信任凭证为止，因此请在第 2 阶段部署它，而不是在割接当晚。"}

ISE 迁移的各个阶段按顺序是怎样的？

共有五个阶段，每个阶段都有负责人和退出测试。以下持续时间适用于拥有 40 个站点的企业；请根据您自身的规模进行调整。任何单个站点的割接通常是一项周末作业。割接前的数周才是决定其成败的关键。

{"kind":"timeline","direction":"lr","caption":"40个站点的资产从 Cisco ISE 迁移到 Purple 云端 RADIUS 的五个阶段。在第5阶段退出前，ISE 保持在线。","alt":"包含五个迁移阶段的时间轴，从第1至2周的调研，一直到第10周起停用 ISE。","nodes":[{"id":"p1","label":"阶段 1：调研与设计","sub":"梳理 NAD、策略集、证书和 MAB 设备","tone":"neutral","when":"第 1-2 周"},{"id":"p2","label":"阶段 2：并行构建","sub":"云端 RADIUS、IdP 组、VLAN 规则、证书信任","tone":"brand","when":"第 3 周"},{"id":"p3","label":"阶段 3：单站点试点","sub":"每种设备类型均在正确的 VLAN 上完成认证","tone":"brand","when":"第 4-5 周"},{"id":"p4","label":"阶段 4：分批割接","sub":"周末变更窗口，保留 ISE 作为回滚方案","tone":"brand","when":"第 6-9 周"},{"id":"p5","label":"阶段 5：停用 ISE","sub":"ISE 零认证，节点关机","tone":"success","when":"第 10+ 周"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"ISE 到云端 RADIUS 阶段计划","asOf":"2026-06-10","columns":[{"key":"phase","label":"阶段"},{"key":"scope","label":"范围"},{"key":"owner","label":"负责人"},{"key":"exit","label":"退出测试"}],"rows":[["1. 调研与设计","每一个 SSID、NAD、策略集、授权配置文件、证书和 MAB 设备","网络架构师","签署将每个 ISE 规则映射到身份组和 VLAN 的文档"],["2. 并行构建","云端 RADIUS、IdP 连接、VLAN 规则、xPSK 密钥、服务器证书信任","身份与访问负责人","测试设备通过实验室 SSID 成功在 Purple 上完成认证"],["3. 单站点试点","一个具有代表性的站点，涵盖所有设备类型","IT 经理及站点负责人","连续五个工作日达到或超过 ISE 基线，每种类型均接入正确的 VLAN"],["4. 分批割接","分批次处理站点，每次占用一个变更窗口","网络运维团队","每个批次保持基线状态 48 小时且未发生回滚"],["5. 停用 ISE","ISE 节点、NAD 条目、许可证、内部 CA","IT 总监","在您设定的期限内 ISE 零认证，证据已归档"]],"footnote":"工期和阈值是针对 40 个站点资产的规划默认值。请根据阶段 1 前捕获的 ISE 基线自行设定。","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

ISE 迁移的各个阶段会发生什么？

阶段 1：调研与设计

在更改任何内容之前，先导出 ISE 中的已有配置。列出每个策略集、其匹配条件以及所返回的授权配置文件。大多数企业会发现，多年积累的繁杂规则最终都可以精简为少数几个实际结果：员工 VLAN、承包商 VLAN、IoT VLAN 以及拒绝访问。

将每个结果编写为一个身份组和一个 VLAN。VLAN 基于 RADIUS 的分配使用 RFC 3580 中描述的隧道属性。某些控制器还会读取特定于厂商的属性 (VSA)，例如 HPE Aruba 控制器使用的角色属性。请记录您的硬件所预期的属性。

然后找出无法进行 802.1X 的设备。ISE 的端点列表显示了哪些 MAC 地址通过 MAB 进行身份验证。每个设备在其站点迁移之前都需要一个 xPSK 密钥和一个 VLAN。

阶段 2：并行构建 Purple

将 Purple 连接到您的身份提供商，并创建阶段 1 中的组到 VLAN 规则。上传颁发客户端证书的 CA，以便 EAP-TLS 对其进行验证。为无头设备组颁发 xPSK 密钥。

通过 MDM 将对 Purple 服务器证书的信任推送到每台托管设备。这是构建过程中耗时最长的任务，因此请在第一天就开始执行。设置一个指向 Purple 的实验 SSID，并对每个类别的其中一台设备进行身份验证。

阶段 3：试点一个具有代表性的站点

选择一个包含您拥有的所有设备类别的站点：Windows、macOS、iOS、Android、扫描仪和任何特殊设备。避开您的旗舰站点和最简单的站点。使用与后续批次相同的步骤对其进行切换。

保持观察五个工作日。将 Purple 的成功率与该站点的 ISE 基线进行比较。检查每个设备类别是否都分配到了正确的 VLAN。在此处修复所有失败项，而不是在批次迁移过程中修复。

阶段 4：分批切换

将剩余的站点分组到若干批次中，确保一个团队可以在单个变更窗口内提供支持。在每批次实施前运行“继续或终止”检查。在每个站点遵循相同的步骤。

{"title":"将单站点从 ISE 切换至 Purple 云端 RADIUS","steps":[{"title":"记录基线数据","body":"在迁移日志中记录该站点每小时的 ISE 认证数以及每个 SSID 的成功率。","check":"在变更窗口开启前已记录基线数据。"},{"title":"将安全 SSID 指向 Purple","body":"将 ISE RADIUS 服务器替换为 Purple 的服务器和共享密钥。请妥善记录 ISE 配置项以便回滚。","check":"仪表板显示 Purple 为该 SSID 的 RADIUS 服务器。","variants":[{"label":"Cisco Meraki","body":"在 Meraki Dashboard 中，编辑 SSID 访问控制设置并更新 RADIUS 服务器列表。"},{"label":"HPE Aruba","body":"在 Aruba Central 或控制器中，更新 WLAN 802.1X 配置文件所使用的服务器组。"},{"label":"Ruckus","body":"在 RUCKUS One 或 SmartZone 中，更新分配给该 WLAN 的 AAA 服务器。"},{"label":"Juniper Mist","body":"在 Mist 仪表板中，编辑 WLAN 企业级安全设置并更新 RADIUS 服务器。"},{"label":"Ubiquiti UniFi","body":"在 UniFi Network 中，更新企业级 SSID 所使用的 RADIUS 配置文件。"}]},{"title":"重新连接测试设备","body":"重新连接该站点每种类型的一台设备，包括使用 xPSK 的无头设备。","check":"每台测试设备都成功分配至预期的 VLAN。"},{"title":"观察首个小时","body":"读取 Purple 的认证日志，并按原因归类失败记录。","check":"成功率达到或高于站点基线。"},{"title":"保持或回滚","body":"如果在预定窗口结束时成功率仍低于基线，请恢复该 SSID 上的 ISE 服务器配置。","check":"决策及其原因已记入迁移日志。"},{"title":"关闭站点迁移阶段","body":"在 48 小时后将该站点标记为已迁移。保留其在 ISE 中的 NAD 条目直至第 5 阶段，以确保回滚机制依然有效。","check":"ISE 显示该站点没有新的认证产生。"}]}

第 5 阶段：停用 ISE

仅当 ISE 在您设定的期限（例如 30 天）内没有收到任何 WiFi 认证时，才启动第 5 阶段。导出您的审计保留策略所需的 ISE 认证报告。删除 NAD 条目，然后将节点关机。在到期续订时让许可自动失效，而不是提前取消。

最后退役 ISE 内部 CA。一旦 ISE 移除，它颁发的所有证书都将停止链接到活动 CA。

在切换期间，ISE 和 Purple 如何并行运行？

有两种模式，它们的表现有所不同。

并行 SSID。 广播第二个由 Purple 认证的安全 SSID，与 ISE SSID 并存。您的 MDM 会分批将设备组迁移到新的 SSID 配置文件。网络同时运行，因此这是真正的并行运行。代价是在迁移期间增加了一个 SSID 带来的空口开销。

相同 SSID，切换服务器。 保持一个 SSID，并在变更窗口期间更改其 RADIUS 服务器。这种方式空口环境更干净，但它是一种直接切换，而不是渐进混合。

大多数团队忽略的一点是：在多数控制器上，RADIUS 故障转移只有在主服务器无响应时才会触发，而不是在它拒绝设备时触发。如果您将 Purple 列为第一项，将 ISE 列为第二项，那么来自 Purple 的拒绝访问不会回退到 ISE。切勿将服务器顺序作为安全保障，而应依赖试点测试。

实际案例：采用 Cisco Meraki 的 40 家酒店集团

某酒店集团在 40 家酒店中使用 Cisco Meraki 运行员工 WiFi。位于数据中心的两个 ISE 节点通过 PEAP 对照本地 Active Directory 对员工进行身份验证。该集团希望停用数据中心。

团队将迁移分为两步。首先，在 ISE 仍然负责所有身份验证的同时，通过 MDM 推送 EAP-TLS 证书和 Purple 服务器信任。ISE 验证了新证书，因此员工端体验没有任何改变。其次，团队在一个中等规模的酒店进行了试点，然后在四个周末分批将剩余的九到十家酒店进行了迁移。

可衡量的结果就是退出测试本身。在最后一批迁移完成后，ISE 的员工 SSID 身份验证次数降为零。没有一批迁移需要回滚。ISE 节点在次月月底正式关机。

如何回滚失败的迁移批次？

回滚是第二步的反向操作：在受影响的 SSID 上恢复 ISE 服务器和共享密钥。由于 ISE 保持在线且其 NAD 条目依然保留，该站点将在下一次重新连接时恢复到先前的状态。请提前约定由谁做出决定，以及做出决定前需要等待多长时间。

{"title":"切换批次的推进、暂缓或回滚决策","start":"q1","nodes":[{"id":"q1","question":"试点或上一批次是否保持了 ISE 的成功率基线？","help":"将每个 SSID 的 Purple 成功率与相同站点的 ISE 基线进行比较。","options":[{"label":"是","to":"q2"},{"label":"否","to":"o3"}]},{"id":"q2","question":"本批次中的每台设备是否都信任 Purple 的服务器证书？","help":"检查这些站点中每个设备组的 MDM 部署状态。","options":[{"label":"是","to":"q3"},{"label":"否","to":"o2"}]},{"id":"q3","question":"本批次中的每个站点都能连接到 Purple 的 RADIUS 服务器吗？","help":"在窗口开启前通过每个站点的防火墙进行测试。","options":[{"label":"是","to":"q4"},{"label":"否","to":"o2"}]},{"id":"q4","question":"ISE 是否仍然在线，且有指定的负责回滚的人员随时待命？","options":[{"label":"是","to":"o1"},{"label":"否","to":"o2"}]},{"id":"o1","outcome":"推进","detail":"开启变更窗口并按照站点切换步骤操作。"},{"id":"o2","outcome":"暂缓：修复并重新排期","detail":"解决问题，然后在下一个窗口前重新运行此检查。"},{"id":"o3","outcome":"回滚并诊断","detail":"在受影响的 SSID 上恢复 ISE，找出失败的设备类型或规则，并首先在试点站点上进行修复。","link":"[比较 ISE 替代方案](guide:cisco-ise-alternatives)"}]}

实际案例：采用 HPE Aruba 的 300 家门店零售商

某零售商在 300 家门店中运行 HPE Aruba 系统。ISE 通过 EAP-TLS 认证员工笔记本电脑，并通过 MAB 认证手持库存扫描枪。试点门店顺利通过验证，因此团队开始了包含 30 家门店的第一波迁移。

在第二波迁移中，有四家门店的扫描枪认证失败。这些门店使用的是较新的扫描枪型号，其 MAC 地址未包含在第一阶段的资产清单中。回滚负责人及时在变更窗口内恢复了受影响 WLAN 上的 ISE 服务器组，扫描作业得以恢复。

团队从 ISE 的终端列表中提取了新型号的地址，并为其颁发了 xPSK 密钥。在试点门店测试了一台扫描枪后，团队重新运行了该波次迁移。最终所有 300 家门店全部顺利完成并接入 Purple。所有 MAB 规则均被停用，刷卡机终端现在运行在独立的 VLAN 上。这种网络隔离成为了该零售商通过 PCI-DSS 合规审核的有力证据。

如何证明从 ISE 的迁移已经完成？

“完成”是一系列客观事实，而不是一种主观感觉。只有当满足以下所有条件时，迁移才算真正完成：

• ISE 在您设定的时间段内记录到的 WiFi 认证次数为零。
• Purple 在每个站点的成功率达到或高于其 ISE 基线水平。
• 每个身份组都归属于其预期的 VLAN，并已通过每类设备的探测测试验证。
• 没有任何设备持有链接到 ISE 内部 CA 的证书。
• 满足您留存期限要求的 ISE 报告已全部导出并妥善保存。
• ISE 节点已关机，且相关续订已取消。

请在整个项目期间维护一份日志。以下清单即为该日志。

{"title":"ISE 迁移至云端 RADIUS 日志","groups":[{"heading":"第一阶段之前","items":[{"text":"列出每个 SSID、NAD 和共享密钥"},{"text":"将每个策略集映射到身份组和 VLAN"},{"text":"捕获每个站点和 SSID 为期两周的 ISE 基线","why":"没有基线，就无法判断波次迁移成功与否"},{"text":"识别 PEAP 设备并确定 EAP-TLS 方案"},{"text":"从 ISE 终端列表中列出 MAB 设备"},{"text":"为有线网络、TACACS+ 和姿态感知范围指定单独负责人"}]},{"heading":"构建与试点","items":[{"text":"已连接身份提供者并将组映射到 VLAN"},{"text":"EAP-TLS 客户端证书 CA 已受信任"},{"text":"已通过 MDM 推送 Purple 服务器证书信任","why":"这是在切断原有系统当晚最容易引发故障的风险点"},{"text":"为无界面设备组颁发 xPSK 密钥"},{"text":"站点防火墙已允许 RADIUS 流量传输至 Purple"},{"text":"试点站点连续五个工作日保持基线水平"}]},{"heading":"分波次实施","items":[{"text":"记录每个波次的执行或终止决策检查"},{"text":"为每个变更窗口指定回滚负责人"},{"text":"每个波次均保持基线水平达 48 小时"}]},{"heading":"完成","items":[{"text":"在约定时间内 ISE 的 WiFi 认证次数为零"},{"text":"没有证书链接到 ISE 内部 CA"},{"text":"已导出用于审计留存的 ISE 报告"},{"text":"已删除 NAD 条目并关闭 ISE 节点电源"},{"text":"已取消 ISE 许可证续订"}]}],"download":{"filename":"ise-migration-log.csv"}}

实际应用中会出现哪些故障模式？

大多数失败的迁移批次都可以追溯到以下几个常见原因：

• 不受信任的服务器证书。 设备提示警告或静默拒绝连接。请在第 2 阶段通过 MDM 修复此问题，切勿要求员工手动接受提示。
• 同时更改两项设置。 在更换服务器的同一窗口期内从 PEAP 迁移到 EAP-TLS，会导致无法排查具体是哪项更改引发了问题。
• 遗忘无头设备（Headless Devices）。 正如该零售商所发现的，依赖 MAB 的扫描仪、打印机和传感器最先出现故障。请在每批次迁移前，从 ISE 重新生成 MAB 列表。
• 共享密钥不匹配。 在一个控制器上输错一次密钥就会导致整个站点认证失败。请统一从单一源头复制密钥，切勿手动输入。
• 防火墙出站限制。 采用本地出局（Local Breakout）或旧防火墙规则的站点会拦截发往云端的 RADIUS 流量。请在迁移窗口期之前测试每个站点。
• VLAN 属性差异。 ISE 授权策略可能会返回 VLAN 名称、VLAN ID 或特定厂商的角色。请在试点站点核对并匹配每个控制器所期望的格式。
• 静默的下游接收端。 如果防火墙此前通过 pxGrid 从 ISE 获取身份信息，该数据流将在切接时中断。如果您依赖授权变更（RFC 5176）来终止会话，请在试点期间对其进行测试。
• 过度依赖故障转移。 将 ISE 列为备用服务器无法捕获拒绝（reject）消息。只有经过测试的回滚方案才能起作用。

Purple 的适用场景

Purple Access 可在您现有的接入点上运行三种网络：开放网络、安全网络和 xPSK 网络。ISE 迁移将落在安全网络上。Purple cloud RADIUS 基于 EAP-TLS 对 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。Passpoint（用于自动加密连接的 Hotspot 2.0 标准）可将相同的身份延伸跨越多个站点。身份决定了每个网络上的 VLAN。

Purple 独立于硬件平台。它支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet，无需添加新硬件。Purple 运营着全球最大的云 RADIUS。在保持 99.999% 平台运行时间的同时，提供 99.9% 的 RADIUS 正常运行时间 SLA承诺。

{"items":[{"value":"99.9%","label":"RADIUS 正常运行时间 SLA","note":"Purple 合同承诺的 SLA"},{"value":"99.999%","label":"平台正常运行时间","note":"Purple 自有数据"},{"value":"80,000+","label":"活跃场所","note":"Purple 自有数据"},{"value":"90","label":"覆盖国家","note":"Purple 自有数据"}]}

{"tone":"proof","title":"分支机构规模的员工 WiFi","text":"摩根大通在 5,000 个分支机构中使用 Purple 运行员工 WiFi。"}

Purple 拥有 ISO 27001、Cyber Essentials 和 B Corp 认证，并在 GDPR 与 CCPA 合规框架下运营。这些认证将缩短您的安全团队所需的供应商评估流程。如需了解更广泛的安全概貌，请参阅 企业 WiFi 安全指南。如果您仍处于方案选型阶段，请参考 用于 WiFi 身份验证的 Cisco ISE 替代方案。

常见问题解答

从 Cisco ISE 迁移到云端 RADIUS 需要多长时间？

系统切换本身通常在一个周末即可完成；准备阶段所需的时间较长。对于拥有 40 个分区的网络，请计划两周的调研、一周的构建、两周的试点以及几个周末的分批切换。证书是最大的变量。如果设备已经在使用自带 CA 颁发的证书进行 EAP-TLS 认证，计划时间可以缩短。如果需要针对 Active Directory 进行 PEAP 认证，请增加一个阶段，先将这些设备迁移到 EAP-TLS。

停用 Cisco ISE 是否需要更换新的无线接入点？

不需要。云端 RADIUS 支持您现有的接入点和控制器：Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。迁移过程只需修改每个 SSID 上的配置：添加新的 RADIUS 服务器地址、新的共享密钥以及在需要时添加新的 VLAN 属性。您的交换机配置、VLAN 和 SSID 可以完全保持不变。

我们能否保留现有的客户端证书？

可以，前提是这些证书是由您自己的 CA 或 MDM 颁发的。云端 RADIUS 会根据颁发 CA 验证 EAP-TLS 证书，因此只要信任该 CA，证书即可继续生效。例外情况是 ISE 内部 CA 颁发的证书，它们链接到您即将停用的系统，因此在第 5 阶段开始之前，请通过您的 MDM 或 CA 重新颁发这些证书。

在 ISE 中使用 MAC 身份验证绕过 (MAB) 的设备会受到什么影响？

这些设备将迁移到 xPSK 网络。MAB 信任 MAC 地址，而该地址很容易被伪造。为每个设备或设备组分配一个密钥，可以为扫描仪、打印机和传感器提供独立的凭据，并将其划分到各自的 VLAN 中。请在第 1 阶段从 ISE 端点列表中查明这些设备。在第 2 阶段颁发密钥，然后在试点站点测试每种型号的设备。

停用 ISE 会影响我们的 PCI DSS 或 ISO 27001 认证合规证据吗？

这只会改变证据的出处，不会改变您是否拥有证据。在停用系统前，请导出您保留期限所需的 ISE 身份验证报告。从切换之日起，Purple 的身份验证日志和 VLAN 分配将为网络分段和访问控制提供证据。Purple 本身的 ISO 27001 和 Cyber Essentials 认证也为审计员期望看到的供应商评估提供支持。

云端 RADIUS 的价格与 Cisco ISE 相比如何？

请对比总成本，而不仅仅是许可证条目。ISE 的成本包括许可证、运行它的节点或虚拟机、支持合同以及工程师用于打补丁和升级的时间。云端 RADIUS 是一种订阅服务，无需您运行任何服务器。Purple 会根据您的网络规模提供报价，因此请准备好您的站点数量、SSID 和设备数量。ISE 替代方案指南 列出了其他需要对比的项目。

我们应该在迁移 WiFi 的同时迁移有线 802.1X 吗？

否。请先迁移 WiFi，并将有线 802.1X 作为一个独立的项目进行单独试点。有线端口通常连接着 MAB 设备、桌面电话和需要独立资产盘点的姿态规则。在同一个窗口中同时更改两者，会导致可能同时失败的事项翻倍。这也会使在压力之下做出回滚决定变得更加困难。

从 Aruba ClearPass 迁移有什么不同吗？

五个阶段完全相同；区别在于导出过程。ClearPass 将策略存储为服务、执行策略和配置文件，而不是 ISE 策略集。将这些映射到身份组和 VLAN 是阶段 1 的主要任务。证书信任风险和故障转移行为适用方式完全相同。ClearPass 迁移指南 详细介绍了导出过程。