Onderwijsinstellingen die hun netwerktoegang willen beveiligen, komen al snel uit bij twee gebaande paden. Het eerste is aansluiting op eduroam via SURF of Kennisnet, waarmee studenten en medewerkers toegang krijgen tot een wereldwijd federatief wifi-netwerk. Het tweede is de implementatie van een volwaardige Network Access Control oplossing zoals Cisco ISE, FortiNAC of Aruba ClearPass, die diepgaande controle biedt over elk apparaat dat het netwerk betreedt.
Beide routes hebben onmiskenbare voordelen, maar ook aanzienlijke nadelen op het vlak van kosten, complexiteit en operationele afhankelijkheid. RUCKUS Cloudpath positioneert zich precies in de ruimte tussen die twee uitersten, en dat maakt het voor een groeiend aantal onderwijsorganisaties tot een aantrekkelijk alternatief.
De beperkingen van eduroam via SURF voor onderwijsinstellingen
eduroam is een bewezen dienst die naadloze wifi-roaming biedt voor de onderwijs- en onderzoeksgemeenschap. In Nederland beheert SURF de federatie voor het hoger onderwijs, terwijl Kennisnet de aansluiting verzorgt voor het primair en voortgezet onderwijs. De technische basis is solide: WPA2-Enterprise authenticatie via het RADIUS-protocol, waarbij het thuisdomein van de gebruiker altijd de identiteit verifieert. Dat roaming-principe is de grote kracht van eduroam, maar het brengt ook afhankelijkheden en beperkingen met zich mee.
De eerste beperking is de afhankelijkheid van de federatieve infrastructuur. Authenticatieverzoeken worden doorgerouteerd via SURF-servers naar de thuisinstelling van de gebruiker. Dat betekent dat een storing of DDoS-aanval op de SURF-infrastructuur direct de wifi-beschikbaarheid op aangesloten instellingen kan raken, zoals begin 2025 pijnlijk zichtbaar werd toen meerdere hogescholen en universiteiten netwerkproblemen ondervonden door aanvallen op het SURF-netwerk.
De tweede beperking is de onboardingervaring. SURF biedt met de geteduroam-app een eigen configuratietool die het instellen van eduroam vereenvoudigt. Die app functioneert goed als lichtgewicht oplossing, maar biedt beperkte mogelijkheden voor device profiling, health checks of granulaire beleidsregels per apparaattype. Voor instellingen die meer controle willen over welke apparaten onder welke voorwaarden op het netwerk komen, schiet geteduroam tekort als beheerplatform.
De derde beperking betreft IoT en headless devices. Smart-tv’s in collegezalen, digitale borden, sensoren en printers kunnen zich niet aanmelden via een eduroam-workflow die is ontworpen voor gebruikers met een browser en een instellingsaccount. SURF heeft hiervoor de dienst iotroam ontwikkeld, maar dat is een aparte oplossing die naast eduroam moet worden beheerd. De complexiteit van het totale landschap neemt daardoor toe.
Waarom traditionele NAC-oplossingen vaak te zwaar en te duur zijn voor het onderwijs
Aan de andere kant van het spectrum staan gespecialiseerde NAC-platformen. Oplossingen als Cisco ISE, FortiNAC of Forescout bieden vergaande controle: posture assessment van endpoints, continue monitoring van apparaatstatus, geautomatiseerde quarantaine bij afwijkingen en fijnmazige beleidsregels op poortniveau. Voor ziekenhuizen, overheidsinstellingen of financiële organisaties met strikte compliance-eisen is die diepgang onmisbaar.
In de onderwijspraktijk blijkt die zwaarte echter vaak eerder een last dan een zegen. Traditionele NAC-implementaties vereisen specialistische kennis voor configuratie en onderhoud, kennis die op de IT-afdelingen van scholen en hogescholen schaars is. De complexiteit van het policy-model, het fine-tunen van device profiling en het continu bijwerken van compliance-regels vreten tijd en aandacht die IT-teams liever besteden aan directe ondersteuning van het onderwijsproces.
De kostenstructuur van enterprise NAC in perspectief
Naast de operationele complexiteit vormen de kosten van traditionele NAC een serieuze drempel voor onderwijsorganisaties. Een platform als Cisco ISE werkt met een subscriptiemodel in drie tiers (Essentials, Advantage en Premier) waarbij de kosten per endpoint worden berekend. De basislicentie ligt doorgaans tussen de 100 en 400 dollar per endpoint voor een driejarige abo, afhankelijk van het volume en de gekozen functionaliteit. Voor een middelgrote hogeschool met vijfduizend endpoints kan de jaarlijkse licentiekost daarmee al snel oplopen tot tienduizenden euro’s, exclusief de benodigde serverinfrastructuur, VM-licenties en ondersteuningscontracten. Grote enterprise-implementaties rapporteren jaarlijkse kosten tussen de 50.000 en 100.000 dollar. Daar komen dan nog de kosten bij voor gespecialiseerd personeel dat het platform moet beheren en onderhouden.
Vergelijkbare platformen als Aruba ClearPass en Forescout hanteren soortgelijke prijsmodellen. FortiNAC positioneert zich doorgaans iets lager in prijs, maar vereist evengoed een significante investering in implementatie, training en doorlopend beheer. Het resultaat is dat NAC als eerste verdedigingslinie in het onderwijs weliswaar wenselijk is, maar dat de drempel om het daadwerkelijk in te voeren met een traditioneel platform voor veel instellingen te hoog ligt. Dat creëert een gat tussen de beveiligingsambities en de operationele realiteit.
Hoe Cloudpath dat gat vult tegen een fractie van de kosten
RUCKUS Cloudpath Enrollment System richt zich op precies het probleem dat in het onderwijs het meest urgent is: hoe zorg je ervoor dat duizenden uiteenlopende apparaten snel, veilig en zonder helpdeskbelasting op het juiste netwerksegment terechtkomen? De kern van de oplossing is een geautomatiseerd onboardingproces op basis van digitale certificaten, gecombineerd met rolgebaseerde netwerksegmentatie via dynamic VLAN assignment.
Licentiemodel en kosten van Cloudpath vergeleken met traditionele NAC
Cloudpath hanteert een transparant licentiemodel op basis van het aantal gebruikers (niet endpoints), waarbij elke gebruiker een onbeperkt aantal apparaten mag verbinden. De licentie is beschikbaar als jaarlijks abonnement of als eenmalige perpetual licentie. Bij de cloud-gehoste variant betaalt de instelling uitsluitend per gebruiker inclusief serverinfrastructuur en ondersteuning, zonder eigen hardwareinvestering. Bij de on-premises variant komt daar een eenmalige serverlicentiefee bij voor de virtuele appliance.
De kosten per gebruiker dalen naarmate het aantal gebruikers toeneemt. Voor grotere onderwijsinstellingen met meer dan duizend gebruikers resulteert dat in een kostenniveau dat aanzienlijk lager ligt dan bij een enterprise NAC-platform. Waar Cisco ISE honderden euro’s per endpoint per drie jaar kan kosten, exclusief infrastructuur en beheer, biedt Cloudpath vergelijkbare toegangscontrolefunctionaliteit voor een fractie daarvan. eduroam via SURF is voor aangesloten instellingen kosteloos wat de eduroam-dienst zelf betreft, maar biedt dan ook niet de device profiling, health checks en granulaire beleidscontrole die Cloudpath wel levert. Het verschil zit dus niet zozeer in “goedkoper dan gratis” maar in de vraag hoeveel extra controle en zichtbaarheid een instelling wil boven op basale wifi-authenticatie.
Selfservice onboarding die de helpdesk ontlast
Het grootste operationele voordeel van Cloudpath in een onderwijsomgeving is de drastische verlaging van de helpdeskbelasting. Het jaarlijkse ritueel waarbij honderden studenten aan de balie staan omdat ze hun wifi niet verbonden krijgen, verdwijnt grotendeels. Cloudpath detecteert automatisch het besturingssysteem van het apparaat en biedt een passende configuratietool aan. Op Android wordt de gebruiker doorverwezen naar de Cloudpath-app, op iOS naar een profiel dat via de instellingen wordt geïnstalleerd, en op Windows en macOS verloopt het proces via een lichtgewicht installer. De IT-afdeling beheert het beleid centraal, de gebruiker voert de configuratie zelf uit.
Het certificaat dat Cloudpath op het apparaat installeert is onafhankelijk van het wachtwoord van de gebruiker. Wanneer een student zijn wachtwoord wijzigt, blijft de wifi-verbinding gewoon functioneren. Omgekeerd kan de IT-afdeling bij uitdiensttreding het certificaat intrekken, waarmee de netwerktoegang onmiddellijk stopt zonder dat wachtwoorden gewijzigd hoeven te worden.
Vendor onafhankelijke architectuur als praktisch voordeel
Anders dan sommige NAC-oplossingen die optimaal functioneren binnen het ecosysteem van de eigen fabrikant, is Cloudpath bewust vendor onafhankelijk ontworpen. Het werkt met access points en switches van RUCKUS, maar even goed met hardware van Aruba, Cisco, Extreme Networks, Juniper of andere fabrikanten die het 802.1X-protocol ondersteunen. Voor onderwijsinstellingen die historisch zijn gegroeid met apparatuur van verschillende leveranciers, of die bij een aanbesteding niet gebonden willen zijn aan één merk, is dat een wezenlijk voordeel.
Dynamic VLAN assignment voor rolgebaseerde segmentatie
Cloudpath fungeert niet alleen als onboardingtool maar ook als beleidsserver die aan de netwerkhardware communiceert in welk segment een apparaat thuishoort. Op basis van het certificaat en de gekoppelde gebruikersrol bepaalt Cloudpath het juiste VLAN. Studenten komen in een studentensegment, docenten in een medewerkersnetwerk, gasten op een gescheiden internetverbinding en IoT-apparaten in een apart segment met beperkte rechten. Die segmentatie sluit aan bij wat wij eerder beschreven over het inrichten van een toekomstbestendig wifi-netwerk voor scholengemeenschappen.
IoT-onboarding via Dynamic Pre-Shared Keys
Een specifiek voordeel ten opzichte van de SURF-route is de ondersteuning voor headless en IoT-apparaten via Dynamic Pre-Shared Keys (DPSK). Apparaten zonder browser of gebruikersinterface, zoals sensoren, digitale borden of printers, kunnen geen certificaat ontvangen via een captive portal. Cloudpath lost dit op door per apparaat een unieke pre-shared key te genereren, waardoor elk IoT-apparaat een eigen identiteit krijgt zonder de complexiteit van een apart IoT-netwerk. De instelling beheert wifi-toegang voor gebruikers en apparaten vanuit één platform in plaats van twee of drie losse systemen.
Cloudpath als standalone oplossing: eduroam-functionaliteit zonder federatieve afhankelijkheid
Een scenario dat steeds vaker voorkomt, is dat onderwijsinstellingen de technische voordelen van certificaatgebaseerde wifi-authenticatie willen benutten zonder de afhankelijkheid van de SURF-federatie. Cloudpath maakt dat mogelijk als standalone RADIUS-server en Certificate Authority. In deze opzet genereert Cloudpath zijn eigen root-certificaat, authenticeert rechtstreeks tegen de lokale gebruikersdatabase en handelt alle verzoeken intern af. Er is geen RADIUS-proxykoppeling met SURF nodig.
De instelling verliest daarmee het roaming-voordeel: studenten en medewerkers hebben geen automatische wifi-toegang bij andere eduroam-deelnemers. Het netwerk draagt dan ook niet de naam “eduroam” maar een eigen SSID. Voor organisaties waar roaming geen prioriteit heeft, bijvoorbeeld beroepsopleidingen, particuliere onderwijsinstellingen of trainingscentra met voornamelijk intern gebruik, is dat geen bezwaar. Wat overblijft is de volledige controle over het authenticatieproces, de certificaatuitgifte en het beveiligingsbeleid, zonder lidmaatschapsverplichtingen of afhankelijkheid van externe infrastructuur.
Waar Cloudpath niet de beste keuze is
Eerlijkheid gebiedt te zeggen dat Cloudpath niet in elke situatie de optimale oplossing is. Instellingen met strenge compliance-eisen die continue posture assessment vereisen, zoals de controle of antivirussoftware actief is, of het besturingssysteem de laatste patches heeft en of er geen ongeautoriseerde processen draaien, hebben meer nodig dan wat Cloudpath biedt. Cloudpath voert basale device health checks uit, maar de diepgang is beperkter dan bij gespecialiseerde NAC-platformen.
Voor onderwijsinstellingen en organisaties die wél behoefte hebben aan die diepere laag van controle, biedt FortiNAC van Fortinet een overtuigend alternatief. Waar Cloudpath primair is ontworpen voor draadloze onboarding en certificaatbeheer, positioneert FortiNAC zich als een volwaardig netwerktoegangsplatform dat zowel bekabelde als draadloze infrastructuur met dezelfde granulariteit beveiligt. Elke switchpoort, elk toegangspunt en elke VPN-verbinding valt binnen het bereik van één centraal beheerde omgeving, wat voor campussen met tientallen gebouwen en duizenden aansluitingen een wezenlijk verschil maakt.
De kracht van FortiNAC zit in de combinatie van diepgaande posture assessment en geautomatiseerde respons. Het platform controleert niet alleen of een apparaat over een geldig certificaat beschikt, maar voert een volledige compliance-scan uit: is de antivirussoftware actief en up-to-date, heeft het besturingssysteem de actuele patches ontvangen, en draaien er geen ongeautoriseerde processen? Op basis van die beoordeling kent FortiNAC dynamisch netwerksegmenten toe, plaatst het niet-conforme apparaten automatisch in quarantaine of beperkt hun toegang tot een isolatienetwerk totdat herstel heeft plaatsgevonden. Die cyclus van detectie, beoordeling en respons verloopt zonder handmatige tussenkomst, wat de operationele last voor netwerkbeheerders aanzienlijk verlaagt.
Een tweede onderscheidend kenmerk is de brede ondersteuning voor IoT-apparaten, die in onderwijsomgevingen in rap tempo toenemen: van slimme displays en IP-camera’s tot gespecialiseerde labhardware. FortiNAC profileert deze apparaten automatisch op basis van gedrag, MAC-adres en netwerkkentekens, en past er specifieke toegangspolicies op toe zonder dat er een agent vereist is. Dat maakt de oplossing geschikt voor apparaten die geen softwareinstallatie ondersteunen, een categorie die in het onderwijs structureel groeit.
FortiNAC integreert naadloos in de bredere Fortinet Security Fabric, waardoor het platform niet als losstaand silo functioneert maar actief communiceert met FortiGate, FortiSwitch en FortiAP. Beveiligingsgebeurtenissen op netwerkniveau leiden zo direct tot beleidsaanpassingen op firewall- of switchniveau, zonder dat er aparte workflows nodig zijn. Voor organisaties die al investeren in een Fortinet-infrastructuur versterkt dit de waarde van FortiNAC aanzienlijk. Cloudpath en FortiNAC sluiten elkaar overigens niet per definitie uit: in hybride omgevingen is het denkbaar dat Cloudpath de draadloze onboarding en certificaatuitgifte voor studenten en medewerkers afhandelt, terwijl FortiNAC de volledige compliance-controle en bekabelde poortenbeveiliging voor de rest van het netwerk verzorgt. De juiste architectuurkeuze hangt af van de specifieke beveiligingseisen, de bestaande infrastructuur en de mate waarin continue device posture een compliancevereiste is.
Voor welke onderwijsorganisaties is Cloudpath het juiste alternatief?
Cloudpath is op zijn sterkst in onderwijsomgevingen waar de nadruk ligt op snelle, veilige selfservice-onboarding van grote aantallen BYOD-apparaten, gecombineerd met rolgebaseerde netwerksegmentatie en een beperkte beheerlast. Het biedt meer controle dan eduroam via SURF alleen, zonder de complexiteit en hoge kosten van een volwaardige enterprise NAC.
Het platform is vendor onafhankelijk, ondersteunt zowel gebruikersapparaten als IoT, en kan naar keuze worden ingezet als aanvulling op eduroam of als volledig zelfstandige oplossing. Qua licentiekosten positioneert Cloudpath zich duidelijk onder het prijsniveau van traditionele NAC-platformen, terwijl het een aanzienlijk rijkere functionaliteit biedt dan de geteduroam-route van SURF.
De keuze voor Cloudpath, geteduroam of een dedicated NAC-platform hangt uiteindelijk af van de schaal van de instelling, de gewenste mate van endpoint-controle, het beschikbare budget en de expertise op de IT-afdeling. Voor organisaties die willen verkennen welke route het beste past bij hun specifieke netwerk en beveiligingseisen, denken de netwerk- en security-engineers van SolidBE graag mee. Neem contact op voor een vrijblijvend gesprek over de inrichting van veilige en beheersbare netwerktoegang in uw onderwijsomgeving.
