Cisco ISE vs Aruba ClearPass vs FortiNAC: Comparativa NAC empresarial 2026

Elegir una plataforma Network Access Control (NAC) en 2026 implica menos el .1X/MAB básico y más la orquestación Zero Trust, la segmentación IoT/OT y la integridad de la cadena de suministro. Este análisis evalúa Cisco Identity Services Engine (ISE) 3.4, Aruba ClearPass Policy Manager (CPPM) 6.13 y Fortinet FortiNAC 9.5. Eliminamos el marketing para exponer las fortalezas arquitectónicas, la profundidad de la integración y el costo total de propiedad (TCO) para implementaciones que escalan a 100,000 endpoints.

Arquitectura Central y Escalabilidad

Cisco ISE opera como un sistema distribuido con nodos de administración, servicio de políticas y monitorización. Para 100,000 endpoints, una implementación típica involucraría dos PANs (Policy Administration Nodes) primarios en un par activo/en espera, de cuatro a ocho PSNs (Policy Service Nodes) para RADIUS/TACACS+ y postura, y dos MnTs (Monitoring and Troubleshooting nodes). Los PSNs requieren hardware robusto; un appliance Cisco SNS-3715 o una VM equivalente para ~25,000 sesiones concurrentes es típico. La latencia entre los PSNs y los endpoints es crítica para la autenticación dot1x, dictando la estrategia de distribución. La arquitectura de Cisco aprovecha PXGrid para el intercambio contextual en tiempo real con otras plataformas de seguridad, incluyendo Cisco Secure Firewall (FTD) y Cisco Secure Endpoint (anteriormente AMP for Endpoints).

Aruba ClearPass Policy Manager emplea un modelo distribuido similar: Publishers, Subscribers y Log Collectors. El Publisher (primario) maneja la configuración, mientras que los Subscribers (secundarios) realizan la autenticación y la aplicación de políticas. Para 100,000 endpoints, un clúster Publisher/Subscriber probablemente consistiría en dos Publishers (activo/en espera) y de ocho a doce Subscribers, utilizando potencialmente appliances virtuales ClearPass C3000V escalados para manejar 25,000-50,000 sesiones concurrentes cada uno. ClearPass sobresale en la integración de redes de múltiples proveedores utilizando OnConnect y su robusto soporte de diccionarios. Device Insight agrega una capa dedicada y cloud-native de visibilidad IoT, que efectivamente descarga la perfilación profunda de los nodos CPPM centrales.

FortiNAC 9.5 se distingue por su arquitectura de Agent (aplicación de políticas), Manager (configuración y reporting centralizados) y Data Collector. Para implementaciones a gran escala, se pueden implementar múltiples Managers para redundancia, con numerosos Agentes distribuidos geográficamente para manejar la carga de autenticación local. Un FortiNAC-VM64-Mgr puede manejar hasta 25,000 dispositivos, mientras que FortiNAC-VM64-Agent soporta una escala similar. FortiNAC aprovecha los FortiGates como puntos de aplicación inline y se integra estrechamente con el Fortinet Security Fabric, compartiendo inteligencia de amenazas y políticas con FortiAnalyzer y FortiManager. Su descubrimiento sin agente se basa en gran medida en SNMP, NetFlow/IPFIX y técnicas pasivas para una identificación precisa de activos, especialmente crucial para entornos OT/IoT que carecen de soporte de agente.

Servicios de Autenticación y Autorización (.1X, MAB, TACACS+)

La fortaleza de Cisco ISE reside en sus Policy Sets, que ofrecen un flujo de control granular para la autenticación y autorización. Soporta nativamente dot1x, MAB y tiene una profunda integración con Active Directory a través de AD Join. TACACS+ para la administración de dispositivos de red (ej., Catalyst 9300X-48HXN, FortiGate 1800F, PA-5440) es robusto, aprovechando command sets, shell profiles y filtros de atributos para un RBAC preciso. TrustSec Security Group Tags (SGTs) son fundamentales para la estrategia de microsegmentación de Cisco, permitiendo que los puntos de aplicación de red (switches, routers, firewalls) apliquen políticas basadas en la identidad del usuario/dispositivo, no solo en la dirección IP. Esto simplifica significativamente la gestión de ACLs en grandes campus.

Aruba ClearPass se destaca en entornos heterogéneos debido a su amplio soporte para diccionarios RADIUS y Vendor-Specific Attributes (VSAs). Sus plantillas de servicio simplifican la configuración para dot1x y MAB en varios proveedores de red. ClearPass también proporciona servicios TACACS+ robustos, con un motor de políticas intuitivo para la administración de dispositivos y la autorización de comandos. Su conocimiento de los tipos de dispositivos de los sistemas de onboarding, guest y profiling permite políticas de autorización altamente contextuales. ClearPass Guest es un módulo maduro y rico en funciones para acceso de invitados de autoservicio o patrocinado, incluyendo social logins y personalización de portal cautivo.

FortiNAC proporciona soporte integral para dot1x y MAB, con un fuerte enfoque en la visibilidad del dispositivo antes de la autenticación. Su motor de profiling, utilizando técnicas como DHCP fingerprinting, NMAP scans, SNMP y HTTP probes, intenta identificar dispositivos con precisión primero. Esto permite políticas como poner en cuarentena dispositivos desconocidos o asignarlos a una VLAN de invitado limitada hasta una mayor identificación o registro. El soporte de TACACS+ es funcional pero se inclina fuertemente hacia el ecosistema de Fortinet para atributos de integración. Si bien es compatible con dispositivos de red genéricos, sus integraciones más profundas son con FortiGate y FortiSwitch para la autorización y auditoría de comandos.

Profiling y Segmentación de Dispositivos IoT/OT

Cisco ISE aprovecha sus servicios de profiling, que analizan datos DHCP, HTTP, DNS, NetFlow y SNMP para identificar dispositivos. Para una visibilidad más profunda de IoT/OT, Cisco Cyber Vision (anteriormente SOTI) se integra con ISE a través de pxGrid, proporcionando análisis de protocolos industriales especializados e inventario de activos que ISE por sí solo no puede. Esto permite la asignación y aplicación granular de SGTs en dispositivos de red. Para entornos verdaderamente sin agente, la integración con CCV o soluciones de terceros es obligatoria, ya que el profiling nativo de ISE, aunque bueno para activos de TI, puede ser menos preciso para protocolos ICS/OT oscuros.

Aruba's Device Insight complementa ClearPass proporcionando un motor de descubrimiento y profiling cloud-native, impulsado por IA, diseñado específicamente para dispositivos IoT, médicos y OT. Utiliza técnicas pasivas y activas, incluida la inspección de paquetes, sin requerir agentes. Esto descarga el trabajo pesado de profiling de los ClearPass Subscribers, permitiendo que CPPM se centre en la aplicación de políticas. ClearPass OnConnect se integra con switches para asignar dinámicamente VLANs o reglas de firewall basadas en la clasificación de Device Insight, segmentando eficazmente estos dispositivos. Este enfoque de dos frentes es efectivo para implementaciones IoT grandes y complejas.

FortiNAC destaca por sus capacidades de descubrimiento sin agente y profiling robustas de fábrica. Emplea un enfoque multifacético, incluyendo recolección de sniffer, análisis NetFlow/IPFIX e integraciones API directas con plataformas IoT comunes. Esto permite una identificación precisa de dispositivos que no pueden ejecutar agentes. Una vez identificados, FortiNAC asigna políticas dinámicas que pueden aplicarse a través de firewalls FortiGate o dispositivos FortiSwitch, moviendo dispositivos a VLANs específicas o aplicando reglas de microsegmentación. Esta capacidad nativa reduce significativamente la complejidad de la implementación al tratar con un gran número de activos IoT/OT no administrados.

Evaluación de Postura y Cumplimiento de Endpoints

Cisco ISE ofrece amplias capacidades de evaluación de postura a través de su agente AnyConnect Network Access Manager (NAM), que puede verificar el estado del antivirus, los niveles de parches, los procesos en ejecución, las claves de registro y más. Para escenarios sin agente, puede realizar comprobaciones básicas del sistema operativo. La integración con soluciones MDM (ej., Microsoft Intune, VMware Workspace ONE) a través de pxGrid permite a ISE recuperar el estado de cumplimiento del dispositivo directamente de MDM. Las fallas de cumplimiento pueden resultar en cambios de política dinámicos, como mover un dispositivo no conforme a una VLAN de remediación o aplicar una Access Control List (ACL) restrictiva a través de TrustSec.

Aruba ClearPass OnGuard es un agente disoluble o persistente con muchas funciones para verificaciones de postura de endpoints, compatible con sistemas operativos Windows, macOS, Linux y móviles. Evalúa el antivirus, el estado de EDR (ej., CrowdStrike Falcon, SentinelOne), el cumplimiento de parches, el cifrado de disco y la presencia de aplicaciones prohibidas. ClearPass también se integra con varias plataformas MDM (ej., Jamf, Microsoft Intune) y soluciones EDR a través de API para verificaciones de cumplimiento avanzadas sin un agente en el propio endpoint. Los dispositivos no conformes pueden ser puestos en cuarentena automáticamente o se les puede restringir el acceso según políticas predefinidas.

La evaluación de postura de FortiNAC, FortiClient, está estrechamente integrada en el Fortinet Security Fabric. FortiClient ofrece un conjunto completo de verificaciones de postura para endpoints Windows, macOS y Linux, incluida la presencia de aplicaciones, el estado del sistema, los cambios de archivos y el estado del servicio. Para dispositivos sin FortiClient, FortiNAC puede aprovechar técnicas de escaneo de host como NMAP o WMI para inferir el cumplimiento, y también se integra con plataformas MDM. FortiNAC puede activar políticas de FortiGate para aislar o remediar dispositivos no conformes, extendiendo el dominio de aplicación más allá de la capa de acceso.

Integración con el Ecosistema de Seguridad (NGFW, EDR, MDM)

El framework pxGrid de Cisco ISE es su joya de la corona para la integración del ecosistema. Permite compartir contexto en tiempo real con productos Cisco Secure (Firewall, Endpoint, Cloud Mail) y más de 60 proveedores de terceros. Esto habilita casos de uso de Advanced Threat Protection (ATP) donde, por ejemplo, una detección de amenaza en una estación de trabajo por Cisco Secure Endpoint puede activar ISE para poner en cuarentena ese dispositivo a través de un cambio de SGT en un switch Catalyst 9k o FTD. La integración de MDM para la postura de dispositivos móviles y la información de propiedad es común, lo que permite políticas de segmentación Zero Trust basadas en la confianza del dispositivo.

Aruba ClearPass aprovecha su enfoque API-first y su diseño agnóstico al proveedor para una integración extensa. Tiene conectores listos para usar para NGFWs líderes (Palo Alto PA-5440, Check Point, FortiGate), soluciones EDR (CrowdStrike, SentinelOne) y plataformas MDM (Intune, Workspace ONE). ClearPass Exchange es un diferenciador clave, proporcionando un marketplace para integraciones y extensiones predefinidas. Las actualizaciones de políticas se pueden enviar a los firewalls para la aplicación dinámica de reglas basada en el contexto de identidad de ClearPass, extendiendo efectivamente la microsegmentación al perímetro o al centro de datos.

La fortaleza de FortiNAC reside en su estrecha integración dentro del Fortinet Security Fabric. Puede compartir el contexto del dispositivo con FortiGate (para la aplicación de políticas de firewall), FortiAnalyzer (para registro y análisis), FortiManager (para la gestión centralizada) y FortiClient EMS (para la gestión de endpoints). Esto permite una aplicación de políticas unificada en toda la red y las capas de seguridad. Si bien admite RADIUS/TACACS+ genéricos para dispositivos que no son Fortinet, sus integraciones más profundas y efectivas se encuentran dentro del ecosistema Fortinet, lo que permite una orquestación simplificada de las políticas de seguridad desde el endpoint hasta el firewall.

Complejidad de Implementación y Licenciamiento, TCO

El licenciamiento de Cisco ISE puede ser complejo, involucrando los niveles Base, Plus, Apex y Advantage, a veces con licencias Device Admin adicionales. Es perpetuo, con un contrato de soporte anual. Para una implementación de 20,000 endpoints, espere una combinación de Plus (para profiling/guest avanzado), Apex (para integración MDM/EPP, postura) y quizás Advantage para TrustSec. Una implementación típica de 20,000 endpoints (5k concurrentes) podría involucrar 3-4 PSN, un par de PANs y un par de MnT. El precio de lista solo para licencias perpetuas para 20,000 endpoints con características Plus/Apex podría oscilar entre $300,000 y $600,000 para software, más hardware SNS (~$80,000-$150,000) y 3 años de SMARTnet (~$100,000-$200,000). El TCO total a 3 años podría acercarse a $1M-$1.5M, dependiendo en gran medida de las características y la negociación.

El licenciamiento de Aruba ClearPass se basa en suscriptores (Entry, Access, Policy Manager, Guest, OnGuard, Device Insight) y a menudo se vende como un modelo de suscripción anual o perpetuo con servicios separados. Para 20,000 endpoints (5k concurrentes), se requeriría una combinación de licencias Policy Manager, OnGuard y Device Insight. Un precio de lista indicativo para 20,000 licencias de Policy Manager, 5,000 OnGuard y 20,000 Device Insight, con 3 años de suscripción, podría estar en el rango de $400,000-$700,000. El hardware (VMs equivalentes a C3000V) generalmente lo proporciona el cliente, lo que reduce el CapEx inicial pero lo deriva a OpEx para los recursos del hipervisor. El TCO total a 3 años para una empresa de 20k podría ser alrededor de $800,000-$1.2M.

El licenciamiento de FortiNAC es más simple, típicamente basado en dispositivos (Endpoint, IoT, Guest) y en características (Basic, Advanced, Premium). Puede ser perpetuo o por suscripción. Una implementación de 20,000 endpoints con características Advanced requeriría licencias para el manager y los agentes, además de licencias de endpoint/dispositivos IoT. Para 20,000 dispositivos, se implementarían un FortiNAC-VM64-Mgr y dos appliances FortiNAC-VM64-Agent. El precio de lista para 20,000 dispositivos con características Advanced más 3 años de soporte podría ser de $250,000-$450,000. El hardware suele ser basado en VM. El TCO total a 3 años podría rondar entre $600,000 y $900,000, lo que lo convierte generalmente en la opción de menor TCO para entornos centrados en Fortinet.

Comparación de TCO (Precio de Lista Indicativo para 20,000 Endpoints, Total a 3 Años)

Plataforma	Licencias de Software/Suscripción (20k Endpoints)	Costos de Hardware/VM (Estimado)	TCO Indicativo Total a 3 Años	Diferenciador Clave
Cisco ISE	$300,000 - $600,000 (Plus/Apex)	$80,000 - $150,000 (equivalente a SNS-3715)	$1,000,000 - $1,500,000	TrustSec/SGTs, Ecosistema pxGrid
Aruba ClearPass	$400,000 - $700,000 (PM, OG, DI)	VMs proporcionadas por el cliente ($50,000 - $100,000 equivalente)	$800,000 - $1,200,000	Soporte multiventor, Device Insight
FortiNAC	$250,000 - $450,000 (Advanced)	VMs proporcionadas por el cliente ($30,000 - $60,000 equivalente)	$600,000 - $900,000	Integración Fortinet Fabric, ADN sin agente

Veredicto

Cisco ISE es el ganador para organizaciones profundamente invertidas en el ecosistema de Cisco, especialmente switches Catalyst 9000 y productos Cisco Secure. Su microsegmentación basada en TrustSec SGT y las integraciones pxGrid brindan capacidades de orquestación incomparables para una arquitectura verdaderamente Zero Trust, aunque con un costo premium y una sobrecarga de configuración significativa. Si su red es 80%+ Cisco y necesita una segmentación profunda, impulsada por la identidad y que escale, ISE sigue siendo un jugador dominante, aunque complejo. TrustSec todavía proporciona la solución más elegante para la segmentación de capa 2/3 a escala sin depender únicamente de VLANs.

Aruba ClearPass es el claro ganador para entornos de red heterogéneos que requieren una aplicación de políticas agnóstica al proveedor. Su robusto profiling, el acceso completo para invitados y Device Insight para IoT/OT proporcionan una solución flexible y potente sin forzar una dependencia de un solo proveedor. Para empresas con una mezcla de hardware de capa de acceso (ej., Extreme, Juniper, HP, Cisco) y una fuerte necesidad de visibilidad IoT, ClearPass ofrece el mejor equilibrio de características, integración y un TCO razonable. Su enfoque API-first asegura la adaptabilidad a futuras herramientas de seguridad.

Fortinet FortiNAC destaca para organizaciones comprometidas con el Fortinet Security Fabric. Su profunda integración con firewalls FortiGate, FortiSwitch y FortiClient simplifica la gestión y extiende la aplicación de políticas de manera transparente en toda la red. Para entornos con un gran contingente de dispositivos IoT/OT no administrados y un objetivo principal de consolidar proveedores de seguridad bajo Fortinet, FortiNAC ofrece la solución más rentable y altamente integrada para el descubrimiento, profiling y segmentación. Sus capacidades sin agente son un fuerte argumento de venta para sistemas industriales y embebidos.

Lectura relacionada

• Protegiendo los sistemas de control industrial con Cisco Cyber Vision
• Diseñando redes Zero Trust robustas con Wi-Fi 6E con Aruba
• FortiGate 1800F: Desafíos de implementación y mejores prácticas
• Implementando microsegmentación Zero Trust con SGTs
• Palo Alto Networks IoT Security para infraestructura crítica