Cisco ISE : guide NAC enterprise

Cisco ISE (Identity Services Engine) est le NAC (Network Access Control) de Cisco. Authentifie les utilisateurs/devices via 802.1X, MAB, WebAuth, applique des policies de sécurité dynamiques, intègre Cisco TrustSec pour segmentation. Concurrent Aruba ClearPass et FortiNAC. Guide complet 2026.

Composants

• PAN (Policy Administration Node) : gestion centrale, GUI
• MNT (Monitoring Node) : logs, reports
• PSN (Policy Service Node) : RADIUS, évaluation policies
• Distributed deployment : 1 PAN primary + 1 PAN secondary + 2-5 MNT + 5-40 PSN

Fonctionnalités

• 802.1X : authentification forte EAP-TLS, PEAP, EAP-FAST
• MAB : fallback par MAC pour imprimantes/caméras
• WebAuth : portail captif pour invités
• Profiling : fingerprinting devices (DHCP, HTTP UA, SNMP, Nmap)
• Posture : vérification conformité endpoint (antivirus, patches)
• Guest portal personnalisé
• BYOD enrollment + MDM integration

Deployment

• Standalone : PAN+MNT+PSN sur 1 seul nœud (lab/PME)
• Distributed 2-nœuds : 2× PAN (HA)
• Large deployment : 2× PAN + 2× MNT + 5-40× PSN (10 000+ endpoints)

Licences

• ISE Essentials : 802.1X, guest, basic profiling — 1 200€ HT/1000 endpoints/an
• ISE Advantage : + Posture, BYOD, MDM integration — 2 400€ HT/1000 endpoints/an
• ISE Premier : + TrustSec, Rapid Threat Containment — 3 600€ HT/1000 endpoints/an
• Device Admin (TACACS+) : licence séparée — 4 900€ HT par appliance

Appliances hardware

• SNS-3615 : 8 000 concurrent sessions — 7 900€ HT
• SNS-3655 : 20 000 sessions — 18 500€ HT
• SNS-3695 : 50 000 sessions — 32 000€ HT
• VM ISE : sur VMware/Hyper-V/KVM — licence identique

Intégrations Cisco

• Catalyst + ISE : 802.1X + TrustSec SGT pour micro-segmentation
• FMC (Firepower) : policies dynamiques basées sur identité
• DNA Center : orchestration SD-Access avec ISE comme policy engine
• StealthWatch : corrélation ISE identity + NetFlow

Comparatif

• Aruba ClearPass : équivalent features, 20% moins cher, multi-vendor (Cisco, HPE, Juniper supportés)
• FortiNAC : intégration Fabric Fortinet, moins puissant en profiling
• Meraki Systems Manager + ISE Cloud : option cloud-first (pas d'onprem)

Commander chez OPTINOC

Cisco ISE hardware SNS ou VM + licences. Deployment distribuée clé-en-main. Intégration TrustSec/DNA Center. Devis NAC 500-10000 endpoints sous 48h.