Aruba ClearPass 替代方案：將地端 NAC 替換為雲端 RADIUS

對於大多數多案場企業而言，最強大的 ClearPass 替代方案就是 cloud RADIUS。Purple 可在您現有的基地台上，針對 Microsoft Entra ID、Okta 或 Google Workspace 執行 EAP-TLS 驗證。它擁有 99.999% 的平台正常運行時間。Cloud RADIUS 無需託管地端 RADIUS 設備，即可提供網路存取控制。

您應該使用 cloud RADIUS 來替換 ClearPass 嗎？

如果您的 WiFi 跨多個案場運行，且身分識別已經儲存在雲端，答案是肯定的。Aruba ClearPass Policy Manager 是一套成熟的網路存取控制 (NAC) 平台。NAC 負責決定哪些人員與裝置可以加入網路，以及他們落在哪些區段。ClearPass 是在由您自行託管、調整規格、修補與更新的設備上做出該決策。

Cloud RADIUS 則以服務形式做出相同的決策。RADIUS 是基地台用來向伺服器詢問裝置是否可以加入的協定 (RFC 2865)。IEEE 802.1X 則是基於連接埠的存取標準，負責處理裝置、基地台與伺服器之間的交換。使用 cloud RADIUS 時，基地台、SSID 與 802.1X 交換均保持不變。唯一改變的是回答需求的伺服器。

在以下條件下，選擇 Purple 是最佳解答：

• 您的身分識別儲存在 Microsoft Entra ID、Okta 或 Google Workspace 中。
• 您的企業網路運行超過一家基地台廠商，或在下次設備更新後可能會這麼做。
• 您的團隊寧可管理策略，也不願管理 RADIUS 伺服器。

Cloud RADIUS 可消除設備資產，同時不會降低控制能力，跨所有案場提供集中化的策略管理。

{"items":[{"value":"99.999%","label":"平台正常運行時間 SLA","note":"Purple Access"},{"value":"99.999%","label":"Purple 平台正常運行時間"},{"value":"80,000+","label":"遍布 90 個國家/地區的場館"},{"value":"5,000","label":"在 Purple 上運行的 JPMorgan 分行","note":"員工 WiFi"}]}

Purple 運行著全球最大的 cloud RADIUS。RADIUS 轉移通常只需要一個週末即可完成，而且您不需要更換任何基地台。

哪些標準決定了 ClearPass 的替代方案？

當 ClearPass 設備或授權面臨續約時，我們比較了網路團隊入圍的各項選擇：

• Aruba ClearPass Policy Manager（地端）。 許多 HPE Aruba 企業的現狀，以硬體或虛擬設備的形式部署。
• FreeRADIUS（自行託管）。 具備強大 Linux 技能的團隊經常考慮的開放原始碼 RADIUS 伺服器 (freeradius.org)。
• Purple cloud RADIUS。 Purple Access 中的安全網路 背後的驗證引擎。

我們排除了作為單一硬體廠商管理雲端一部分銷售的 NAC。您的企業網路運行了不止一家廠商，因此單一廠商策略引擎只能解決一部分問題。

決定多案場 WiFi 選擇的標準：

1. 營運模式。 由誰負責託管、修補與升級驗證伺服器。
2. 可用性。 如何實現正常運行時間，以及由誰承擔承諾。
3. 無線基地台相容性。 哪些基地台可以在不用變更的情況下，跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 及 Ubiquiti UniFi 運作。
4. 身分辨識。 目錄儲存於何處，以及新進、異動與離職人員如何套用網路策略。
5. 憑證式存取。 是否支援 EAP-TLS（RFC 5216），即每台裝置透過憑證而非密碼進行自我驗證。此標準亦涵蓋由誰營運公鑰基礎設施（PKI）。
6. 網路涵蓋範圍。 單一平台是否涵蓋開放式、安全性高及 xPSK 網路。

運行成本與轉移工作量將在下方獨立專節說明。每種選項僅根據其公開文件所述內容進行評分。

{"tone":"note","title":"本比較指南的範圍","text":"本指南涵蓋 WiFi 驗證。交換器連接埠上的有線 802.1X、TACACS+ 裝置管理及端點姿態代理程式，均屬於超出該範圍的 ClearPass 功能，我們會在影響評估結果之處加以標示。"}

ClearPass 的替代方案比較結果如何？

{"caption":"針對多據點 WiFi 園區評估基準比較 ClearPass 替代方案","asOf":"2026-06-10","columns":[{"key":"c","label":"評估基準"},{"key":"cp","label":"Aruba ClearPass (地端)"},{"key":"fr","label":"FreeRADIUS (自託管)"},{"key":"pa","label":"Purple 雲端 RADIUS","highlight":true}],"rows":[["運行位置","您資料中心內的硬體或虛擬裝置","由您建置與託管的 Linux 伺服器","由 Purple 運行的雲端原生服務；現場無須部署任何設備"],["修補與升級","由您的團隊排定每次發布與修補程式","由您的團隊修補作業系統與套件","由 Purple 更新平台，保持 99.999% 正常運行時間"],["可用性","由您規劃規格與託管的 Publisher 和 Subscriber 集群","由您設計的備援伺服器與故障轉移","99.999% 平台正常運行時間"],["基地台相容性","來自多廠商網路設備的標準 RADIUS","來自任何網路設備的標準 RADIUS","Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme、Fortinet"],["身分驗證來源","Active Directory、LDAP、SQL 與 Token 伺服器","由您設定的 LDAP、SQL 與 Kerberos 模組","Microsoft Entra ID、Okta、Google Workspace；人員入職、異動與離職流程均直接自 IdP 同步"],["EAP-TLS 與憑證","支援；由 Onboard 模組設定裝置憑證","支援；由您運行 PKI","支援；憑證與 IdP 身分綁定"],["策略對應至 VLAN","Enforcement profiles 會傳回 RADIUS 屬性","由您撰寫與測試的策略檔案","身分驗證透過 RADIUS 屬性設定 VLAN"],["涵蓋網路","Policy Manager 加 Guest 與 Onboard 模組","僅限驗證；Portal 與 PKI 需另外建置","在單一平台上支援開放式、安全性與 xPSK 網路，以及 Passpoint"]],"footnote":"根據各方案自身的公開文件進行評分。有線連接埠存取控管、TACACS+ 以及姿態檢測代理程式（posture agents）不在本 WiFi 評估範圍內。","download":{"filename":"clearpass-alternatives-matrix.csv"}}

所有方案均支援標準 RADIUS，因此沒有任何方案會強迫您更換新的基地台。差異主要在於通訊協定之上的層級。ClearPass 與 FreeRADIUS 都需要您的團隊負責伺服器、備援設計與修補週期。Purple 則為您的團隊承擔這三者，並承諾平台正常運行時間。

身分驗證是第二個分水嶺。ClearPass 與 FreeRADIUS 是圍繞地端目錄服務發展起來的。兩者雖然都能連線至雲端身分驗證，但您必須自行設定與維護該連結。Purple 則直接整合 Microsoft Entra ID、Okta 或 Google Workspace。當離職者在 IdP 中被停用時，即刻失去網路存取權限，無須在 NAC 中進行額外變更。

各個方案各自在哪些情境勝出？

此處的每個方案都具備不同的功能。關鍵在於其架構設計是否符合您的園區需求。

ClearPass 在哪些情境勝出

Aruba ClearPass 專為地端硬體部署與舊有基礎架構需求而設計。Aruba 檔案涵蓋了交換器連接埠上的有線 802.1X 強制執行、用於交換器和路由器管理的 TACACS+，以及 OnGuard 狀態檢查。狀態檢查會在允許裝置存取前檢驗其安全性狀態，例如防毒軟體狀態。如果您的安全性模型依賴中央主控台提供的這些功能，ClearPass 能滿足此需求範疇。

ClearPass 對於已投資現有基礎架構的企業也極具吸引力。擁有多年調校強制執行服務經驗及受過良好訓練的 ClearPass 工程師團隊面臨著轉換成本。該成本主要是策略轉換，下方的轉移章節將對此進行說明。

FreeRADIUS 的優勢

FreeRADIUS 提供開放原始碼的彈性與控制能力。它採用 GPL 開放原始碼授權，因此無需授權費用，且您可以檢視每一行程式碼。它非常適合精通 Linux 和 RADIUS 設定的團隊來執行自我管理的建置。

權衡之處在於您必須圍繞著它建構一切。這包括備援機制、用於 EAP-TLS 的 PKI、供訪客使用的強制入口以及監控系統。沒有廠商會承諾正常運作時間。在多據點規模下，這些工程時間會成為最主要的成本。

Purple 雲端 RADIUS 的優勢

Purple 在身分驗證已轉移至雲端的多據點、多廠商環境中脫穎而出。您可以從現有的主控台將每個 SSID 指向 Purple。這些主控台包含 Cisco Meraki 控制台、HPE Aruba Networking Central、Juniper Mist 以及 UniFi Network 應用程式。來自您 IdP 的身分驗證會設定 VLAN，且相同的規則適用於每個據點。

它還提供廣泛的營運範疇。Purple Access 可在單一平台上運行開放、安全與 xPSK 網路。開放網路涵蓋強制入口存取與 BYOD 註冊。安全網路涵蓋 EAP-TLS、IdP 整合、Passpoint 以及 雲端 RADIUS。xPSK 網路則為每台裝置或居民提供專屬金鑰。在 ClearPass 上，相等的架構涵蓋 Policy Manager 以及需單獨授權的 Guest 和 Onboard 模組。

{"kind":"lanes","direction":"lr","caption":"地端 ClearPass 會將 RADIUS 回傳至您託管的設備；Purple 則直接從雲端回應相同的 802.1X 請求","alt":"兩條泳道比較：存取點透過 WAN 將 RADIUS 傳送至託管的 ClearPass 叢集和 Active Directory，與相同的存取點將 RADIUS 傳送至 Purple 雲端 RADIUS（由其檢查身分驗證提供者並傳回 VLAN）的對比。","lanes":[{"id":"l1","label":"目前：地端 ClearPass"},{"id":"l2","label":"未來：Purple 雲端 RADIUS"}],"nodes":[{"id":"a1","label":"存取點","sub":"Aruba, Meraki, Ruckus, Mist, UniFi","lane":"l1","tone":"neutral"},{"id":"b1","label":"站點 WAN 或 VPN","sub":"RADIUS 回傳至資料中心","lane":"l1","tone":"neutral"},{"id":"c1","label":"ClearPass 叢集","sub":"您託管的發布者與訂閱者設備","lane":"l1","tone":"neutral"},{"id":"d1","label":"Active Directory","sub":"地端目錄與 LDAP","lane":"l1","tone":"neutral"},{"id":"a2","label":"存取點","sub":"相同的硬體，相同的 SSID","lane":"l2","tone":"neutral"},{"id":"c2","label":"Purple 雲端 RADIUS","sub":"具備 99.999% 正常運行時間的 EAP-TLS","lane":"l2","tone":"brand"},{"id":"d2","label":"您的身分驗證提供者","sub":"Microsoft Entra ID, Okta, Google Workspace","lane":"l2","tone":"neutral"},{"id":"e2","label":"依身分區分的 VLAN","sub":"傳回至存取點的 RADIUS 屬性","lane":"l2","tone":"success"}],"edges":[{"from":"a1","to":"b1","label":"802.1X 請求","style":"solid"},{"from":"b1","to":"c1","label":"RADIUS","style":"solid"},{"from":"c1","to":"d1","label":"目錄查詢","style":"solid"},{"from":"a2","to":"c2","label":"RADIUS","style":"solid"},{"from":"c2","to":"d2","label":"身分與群組","style":"solid"},{"from":"c2","to":"e2","label":"Access-Accept","style":"solid"},{"from":"e2","to":"a2","label":"已套用 VLAN","style":"dashed"}]}

Purple 相較於 ClearPass 的定位為何？

{"title":"哪一種 ClearPass 替代方案最適合您的網路環境","options":[{"name":"Aruba ClearPass (地端)","fitsWhen":["舊有需求指定必須使用地端硬體架構","您依賴 OnGuard 姿勢檢查作為存取前置條件","單一引擎必須同時支援 TACACS+ 和有線連接埠"],"notWhen":["您希望停止維運硬體設備","您的 ClearPass 專家已經離職"]},{"name":"FreeRADIUS (自行託管)","fitsWhen":["規模較小，且具備強大的 Linux 及 RADIUS 技能","您希望掌控開源程式碼"],"notWhen":["您需要廠商保證服務運作時間","您需要內建訪客存取或 BYOD 啟用流程"]},{"name":"Purple 雲端 RADIUS","fitsWhen":["您的網路環境混合了 Meraki、Aruba、Ruckus、Mist 或 UniFi","身分驗證託管於 Entra ID、Okta 或 Google Workspace","您希望完全無需託管或修補 RADIUS 伺服器","您維運開放、安全及 xPSK 網路"],"notWhen":["您希望建置並管理地端 RADIUS 硬體設備"]}],"recommendation":"針對採用雲端身分驗證的多據點 WiFi 環境，請選擇 Purple 雲端 RADIUS：硬體無關性、高達 99.999% 的平台可用性，且轉移通常只需一個週末即可完成。"}

Purple 能以雲端覆蓋層（cloud overlay）的形式無縫整合至您現有的網路。無須更換任何控制器，也不必安裝任何硬體設備。基地台繼續執行原有功能：發送 802.1X 請求，接收包含 VLAN 屬性的 Access-Accept，並將裝置派定至正確的網路區段。

VLAN 指派採用 RFC 3580 中為 802.1X 定義的標準通道屬性。這些屬性為 Tunnel-Type、Tunnel-Medium-Type 與 Tunnel-Private-Group-ID。標準清單中的每個廠商皆支援這些屬性，這正是單一原則能跨異質環境運作的原因。

{"tone":"proof","title":"已在分行規模得到驗證","text":"JPMorgan 透過全球最大的雲端 RADIUS，在 5,000 家分行中使用 Purple 運作員工 WiFi。"}

Purple 還涵蓋了 ClearPass 分散在不同模組中的網路功能。訪客可透過 Captive Portal（在授予網路存取權限前顯示的網頁）連線至開放網路。員工裝置透過 EAP-TLS 連線至安全網路。無法執行 802.1X 的裝置（例如印表機和智慧電視）則透過專屬金鑰加入 xPSK 網路。Passpoint（亦稱為 Hotspot 2.0）可讓已註冊的裝置自動且安全地加入網路，無需透過 Portal 登入。

其他相鄰功能分佈於其他 Purple 產品中。訪客行銷功能於 Engage 中運作，DNS 過濾功能則於 Shield 中運作。兩者皆非替換 ClearPass 所必需的模組。

每種方案的維運成本是多少？

許可證項目很少決定這項比較，營運成本才是關鍵。下表列出了每種方案的成本結構，而非具體金額。

{"caption":"各方案營運成本結構（僅結構，不含金額）","asOf":"2026-06-10","columns":[{"key":"line","label":"成本項目"},{"key":"cp","label":"Aruba ClearPass (地端)"},{"key":"fr","label":"FreeRADIUS (自託管)"},{"key":"pa","label":"Purple 雲端 RADIUS","highlight":true}],"rows":[["軟體","依同時連線端點數計算的授權，加上附加模組","無授權費用；GPL 開源軟體","訂閱 Purple Access"],["基礎架構","由您提供的硬體設備或虛擬機器容量","由您配置的伺服器或雲端執行個體","無須託管；由 Purple 運行 RADIUS 資產"],["高可用性","您購買並託管的額外叢集節點","您建置的額外伺服器與故障轉移機制","已包含：99.999% 平台正常運行時間"],["憑證","Onboard 授權加上您的憑證授權單位 (CA)","您的憑證授權單位 (CA) 與註冊工具","由 Purple Access 安全網路涵蓋"],["升級","每次版本的維運人員時間與變更維護時間","每次作業系統與套件更新的維運人員時間","由 Purple 負責維運"],["技能","ClearPass 專家或合作夥伴支援","Linux 與 RADIUS 工程技術","網路團隊在單一主控台中管理策略"],["汰換","支援到期時的設備汰換","依硬體週期進行的伺服器汰換","無硬體汰換"]],"footnote":"ClearPass 授權結構引用自 Aruba 公開授權文件。FreeRADIUS 授權條款引用自 freeradius.org。"}

ClearPass 的成本會隨端點數量和高可用性需求而擴增。每增加一個叢集節點，就會增加硬體或虛擬機器容量，並多出一台需要修補的系統。Onboard 和 OnGuard 等附加模組也都有各自的授權費用。無論您的網路規模是否成長，設備汰換週期都會按時來臨。

FreeRADIUS 則是將成本從軟體授權轉移到人力上。軟體本身雖然免費，但備援機制、PKI、監控與訪客存取都是工程專案。在建置這些系統的工程師離職後，每一個專案都需要持續維護。

Purple 將這些項目整合為單一訂閱服務。您不再需要購買叢集節點、修補硬體設備或規劃汰換時程。Purple 為您承擔正常運行時間的承諾。在評估商業效益時，請計算每年 ClearPass 升級所消耗的人工時數 - 這一項通常是促成決策的關鍵因素。

遷離 ClearPass 包含哪些步驟？

遷離 ClearPass 是一項策略轉換的工作，而非硬體專案。RADIUS 切換本身通常可以在週末完成。確保過程平順的準備工作則會在前幾週進行。

1. 檢視您的 ClearPass 服務。 列出每項服務、其驗證來源、執行策略以及返回的 RADIUS 屬性。大多數企業會發現少數幾項服務就承載了幾乎所有的流量。
2. 將角色映射至 VLAN。 將每條執行規則重寫為「身份群組對應至 VLAN」。請注意哪些規則依賴剖析 (profiling) 或姿態評估 (posture)，因為這些規則需要在切換前做好決策。
3. 連接您的身分識別提供者。 將 Microsoft Entra ID、Okta 或 Google Workspace 連結至 Purple。IdP 中的群組將成為網路策略的輸入來源。
4. 規劃憑證信任。 決定裝置如何信任新的 RADIUS 伺服器憑證，以及 ClearPass Onboard 裝置如何重新註冊 EAP-TLS。
5. 試行單一據點。 在您現有的控制台中，將 Purple 新增為單一 SSID 的 RADIUS 伺服器。確認每個身分群組的 VLAN 分配。
6. 分批次切換。 按據點分批重新指向 SSID，通常安排在週末進行，並保留 ClearPass 作為後備方案。
7. 除役 ClearPass。 經過觀察期後，退役該叢集。在此之前，請先根據您的保留策略匯出計費日誌。

{"tone":"warning","title":"最棘手的風險：憑證信任","text":"PEAP 和 EAP-TLS 用戶端會驗證 RADIUS 伺服器憑證，因此新的伺服器憑證會中斷未管理設定檔的連線。請在切換前透過您的 MDM 推送更新後的信任設定，而不是在切換當晚才進行。"}

PEAP (Protected EAP) 將密碼登入包裝在 TLS 隧道內，因此它同樣依賴該伺服器憑證。MDM (行動裝置管理) 是更新公司裝置信任設定最快的方式，例如 Microsoft Intune 與 Jamf。BYOD 裝置則透過開放網路重新辦理啟用。

{"tone":"tip","title":"在試行期間同時執行兩台伺服器","text":"在您的試行 SSID 上，將 Purple 列為主要 RADIUS 伺服器，並將 ClearPass 列為次要伺服器。您可以透過實際流量驗證策略，且回滾只需在控制台中進行單一變更。"}

這些階段與 Cisco ISE 的退出計畫非常相似。若您也在其他地方執行 ISE，分階段切換計畫 (Cisco ISE) 採用了相同的架構。

您該如何決定？

在評估您的網路架構時，請考量管理地端伺服器基礎架構的維運成本。Cloud RADIUS 消除設備託管、維護與手動升級的需求，同時提供集中化的存取控制。針對多據點物業、混合硬體環境或雲端身分整合，請選擇 Purple 雲端 RADIUS。

在開始遷移前，請對照您的 ClearPass 設定檢查是否有任何特殊需求。如果特定服務依賴 OnGuard 姿勢、TACACS+ 或有線連接埠強制執行，請單獨評估這些服務，並優先遷移 WiFi 驗證。WiFi 是佔用大部分設備負載、授權數量以及升級工作量的核心之處。

您的下一步是進行試行。匯出您的 ClearPass 服務，並將您的 IdP 連接至 Purple。然後重新將一個據點的一個 SSID 指向新伺服器。如需了解更廣泛的安全背景，請閱讀 企業 WiFi 安全指南。若您的環境中也包含 ISE，請將其與 Cisco ISE 替代方案 指南進行比較。

常見問題

Purple 是 Aruba ClearPass 的直接替代方案嗎？

是的，這適用於 WiFi 驗證。Purple 能以雲端 RADIUS、強制入口與 BYOD 註冊，取代用於無線存取的 ClearPass Policy Manager、Guest 和 Onboard。它支援在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 及 Fortinet 上執行。在您關閉 ClearPass 之前，請單獨評估任何有線連接埠強制執行、TACACS+ 或合規性狀態檢查（posture checks）的範圍。這些項目不在 WiFi 驗證範圍內，需要單獨決定處理方式。

雲端 RADIUS 是否能與我們現有的 Aruba 無線基地台配合使用？

是的。HPE Aruba 無線基地台會傳送標準的 802.1X RADIUS 請求，因此您只需將 SSID 指向 Purple，而不是指向 ClearPass。無需更換任何無線基地台，現場也不會收到新硬體。這同樣適用於 Cisco Meraki、Ruckus、Juniper Mist 及 Ubiquiti UniFi。因此，混合環境可以轉移至單一策略來源，並直接從您團隊現有的主控台進行設定。

ClearPass 的轉移需要多長時間？

RADIUS 的切換通常是在週末進行。切換前的規劃會需要較多時間。您需要讀取 ClearPass 服務、將角色對映至 VLAN、連線您的身份提供者（identity provider），並決定裝置如何信任新的伺服器憑證。大多數團隊會先在單一據點進行試點，然後分批轉移其餘據點。在觀察期結束前，ClearPass 會保持可用狀態作為備援。

雲端 RADIUS 的定價與 ClearPass 相比如何？

Purple 採用訂閱制，無需託管硬體設備、虛擬化平台容量或叢集節點。ClearPass 則是按併發端點計價授權，並包含 Onboard 與 OnGuard 等附加模組。它還需在您提供的硬體設備或虛擬機器上執行。請比較整體營運成本，而非僅比較授權項目。成本應包含叢集節點、升級工作量、專家時間與硬體更新。

當我們離開 ClearPass 時，裝置是否需要新的憑證？

通常需要。透過 ClearPass Onboard 註冊的裝置持有該憑證頒發機構核發的憑證，因此需要重新註冊以取得 EAP-TLS。PEAP 用戶端也會驗證 RADIUS 伺服器憑證，因此其 WiFi 設定檔必須信任新的憑證。請在切換前透過您的 MDM 推送變更。這樣員工就能重新連線，且不會察覺回應他們的伺服器已經更換。

雲端 RADIUS 是否能為 PCI DSS 或 ISO 27001 稽核提供證明？

是的。Purple 擁有 ISO 27001 及 Cyber Essentials 認證。基於身份的 VLAN 分配可為您提供 PCI DSS 網路隔離與存取審查的證明。您的稽核員仍會評估您的整體環境。雲端 RADIUS 是提供存取控制項目的證明，而非本身直接通過稽核，因此請在切換前規劃稽核員需要哪些報告。

Purple 除支援 802.1X 外，是否也支援 Passpoint 與 xPSK？

是的。Purple Access 可在單一平台上運行開放、安全與 xPSK 網路。Passpoint 讓已註冊的裝置能夠自動且安全地連線，無需透過強制入口。xPSK 為每台裝置或居民提供專屬金鑰，這非常適合無法執行 802.1X 的裝置，例如印表機與智慧電視。身分驗證會在所有三個網路上設定 VLAN，因此整個環境的網路區隔能保持一致。