Shield frente a Cisco Umbrella: selección de DNS protector para WiFi de invitados

Elija Shield para WiFi de invitados en entornos multisede que requieran un despliegue rápido sin hardware, agentes ni tarifas por usuario. Elija Cisco Umbrella si busca proteger dispositivos corporativos y construir una arquitectura SASE. Purple se integra con plataformas como Cisco Meraki y cumple con estándares como Keeping Children Safe in Education, respaldado por la certificación ISO 27001.

¿Cuál debería elegir: Shield o Cisco Umbrella para el WiFi de invitados?

La elección correcta depende de a quién proteja. Pregúntese si se trata de sus empleados o del público que cruza sus puertas.

Cisco Umbrella comenzó como OpenDNS antes de ser adquirida por Cisco. Ha evolucionado hasta convertirse en una plataforma de seguridad en el extremo del servicio para redes corporativas y equipos de trabajo híbridos. Protege a personas que Cisco puede contar, nombrar y asignar una política, allá donde vaya su ordenador portátil.

Shield es el servicio de DNS protector de Purple para redes de invitados y públicas. Se activa por SSID (el nombre de la red a la que se conecta un dispositivo). Filtra amenazas y contenidos no adecuados, y bloquea anuncios para todos los usuarios de esa red. Nadie tiene que instalar nada. Nadie tiene que ser contabilizado.

Ambos servicios realizan la misma función principal. El DNS protector es un resolutor que verifica cada búsqueda de dominio con listas de amenazas y contenidos. Se niega a responder a los dominios bloqueados, por lo que el dispositivo nunca llega a conectarse. Las diferencias se encuentran alrededor de ese núcleo: cómo se adquiere, cómo se despliega y qué más incluye.

Si gestiona WiFi de invitados en hoteles, tiendas, estaciones, colegios o clínicas, normalmente está adquiriendo el servicio para una multitud, no para un número fijo de usuarios. Esa es la perspectiva para el resto de esta guía.

En qué se diferencian realmente Shield y Cisco Umbrella

Dónde se realiza el filtrado y qué se le escapa a un firewall

Ambos servicios actúan en la búsqueda de DNS. Cuando un teléfono quiere abrir un sitio web, primero solicita a un resolutor la dirección IP del dominio. Un resolutor de DNS protector comprueba el dominio antes de responder. Si el dominio es malicioso o está bloqueado por una política, la búsqueda falla y no se abre ninguna conexión. Para conocer el funcionamiento técnico, consulte Qué es una búsqueda de DNS y por qué la utilizan las redes.

Un firewall actúa más adelante en el proceso. Inspecciona el tráfico después de que se haya iniciado la conexión. La mayor parte del tráfico web utiliza actualmente cifrado TLS, por lo que un firewall sin descifrado solo ve una dirección IP y poco más. Descifrar el tráfico de invitados es impracticable en cualquier caso. No es posible instalar un certificado raíz en el teléfono personal de un visitante.

El bloqueo basado en IP también plantea problemas con el alojamiento compartido. Varios dominios pueden alojarse detrás de una sola dirección de una red de distribución de contenidos. Si se bloquea la IP, se rompen sitios legítimos. Si se permite, el dominio malicioso consigue acceder.

El DNS ve el nombre del dominio en sí, antes de que se mueva ningún dato. Por eso el DNS protector se adapta a redes abiertas donde no se tiene el control de los dispositivos.

Sea claro también sobre los límites. El filtrado DNS decide por dominio, no por página. No puede bloquear una sola ruta dentro de un sitio web por lo demás permitido. Los dispositivos que utilizan DNS cifrado, como DNS sobre HTTPS (DoH), pueden intentar eludir su resolutor. Nuestra guía explicativa en DNS Over HTTPS Explained: Privacy vs Public WiFi Filtering aborda cómo los operadores gestionan esta situación.

Unidad de licencia: usuarios frente a redes

Esta es la diferencia más importante para el WiFi de invitados.

Cisco no publica listas de precios oficiales para Umbrella. Se adquiere a través de ventas de Cisco o de un distribuidor, mediante presupuesto. Los paquetes incluyen DNS Security Essentials, DNS Security Advantage, SIG Essentials y SIG Advantage, cada uno con diferentes funcionalidades y opciones de duración del contrato.

Umbrella se licencia por usuario (seat). Este modelo se adapta a una empresa con un número conocido de empleados. Sin embargo, resulta inadecuado cuando su red presta servicio a un grupo reducido en un día tranquilo y a miles de visitantes en un día de gran afluencia. Pregunte a su distribuidor cómo se contabilizan las redes de invitados con respecto a las licencias por usuario. La respuesta condicionará todo el presupuesto.

Purple Shield se dimensiona por red. Se habilita en los SSIDs que desee proteger. Un fin de semana de gran actividad no cambia su recuento de licencias.

Esfuerzo de despliegue

Umbrella ofrece varias rutas de despliegue. Puede apuntar el DNS de la red hacia Umbrella y registrar sus direcciones IP de salida. Puede añadir dispositivos virtuales para atribuir direcciones IP internas. Puede desplegar el módulo de roaming en Cisco Secure Client en portátiles gestionados. Esa flexibilidad es un punto fuerte para el departamento de TI corporativo, pero también implica más trabajo de diseño, documentación y mantenimiento.

Purple Shield se despliega por SSID en cuestión de minutos, sin necesidad de hardware ni agentes. Purple es independiente del hardware y funciona como una superposición en la nube. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Sus puntos de acceso actuales se mantienen en su lugar.

Bloqueo de publicidad y experiencia del invitado

El bloqueo de publicidad es una función orientada a redes de invitados, no al entorno corporativo. Purple Shield bloquea los dominios de publicidad y rastreadores en la propia consulta, por lo que las páginas se cargan con mayor ligereza en anchos de banda compartidos.

Al bloquear los dominios de publicidad y rastreo a nivel de resolutor, Purple Shield ofrece tiempos de carga de página más rápidos, un menor uso de datos y menos consultas DNS, reduciendo el volumen general de tráfico web. En la red de un hotel congestionada o en un tren que funciona con conexión móvil de respaldo, esa es una capacidad que recupera sin necesidad de adquirir nuevo hardware.

Umbrella no está posicionado como un producto para el bloqueo de publicidad. Puede bloquear dominios específicos mediante sus listas de destinos, pero se trata de una lista manual que debe mantener usted mismo.

Detección de amenazas

Umbrella se apoya en Cisco Talos, uno de los equipos comerciales de inteligencia contra amenazas más grandes del mundo. Esa profundidad es un punto fuerte inequívoco.

Purple Shield identifica de forma temprana los dominios emergentes de phishing y malware, ayudando a proteger los dispositivos de invitados no gestionados que usted no puede parchear. Para obtener una visión más amplia de las opciones disponibles, consulte Phishing Protection Software Options for Shared WiFi.

Estándares de filtrado seguro para familias

La WiFi pública en lugares donde se conectan menores implica responsabilidades adicionales. Las escuelas de Inglaterra deben cumplir los estándares de filtrado y supervisión del Ministerio de Educación en virtud de la normativa Keeping Children Safe in Education. Además, los recintos suelen recurrir al programa Friendly WiFi del Reino Unido como distintivo público de navegación segura.

Ambos servicios filtran por categoría de contenido. Pregunte a cada proveedor cómo se corresponden sus categorías con el estándar con el que usted debe cumplir. Solicite pruebas, no un simple sí.

Comparativa frente a frente

Criterio	Shield	Cisco Umbrella
Enfoque de diseño	WiFi para invitados y pública	Dispositivos corporativos y plantilla híbrida
Dónde se realiza el filtrado	Búsqueda DNS, antes de la conexión	Búsqueda DNS, más proxy web en paquetes SIG
Precios publicados	Adaptados a sedes y SSID, presupuestados por Purple	Sin precios de lista; presupuesto a través de Cisco o distribuidor
Unidad de licencia	Por SSID	Por usuario
Despliegue para un SSID de invitados	Minutos, por SSID	Registro de redes y DNS; dispositivos virtuales opcionales
Hardware adicional	Ninguno	Ninguno para DNS; dispositivos virtuales para atribución interna
Agentes en dispositivos	Ninguno	Cisco Secure Client para protección fuera de la red
Bloqueo de anuncios	Integrado	Manual, a través de listas de destinos
Protección fuera de la red	No aplicable a dispositivos de invitados	Sí, a través del módulo de roaming
Stack de seguridad más amplio	Capa DNS, con complementos Purple SecurePass y Verify	SWG, CASB, FWaaS y ZTNA en paquetes superiores
Mejor opción para	Entornos de invitados multisede con afluencia variable	Organizaciones que protegen a personal identificado en cualquier lugar

¿Cuándo es Shield la opción correcta?

Shield se adapta perfectamente cuando su red da servicio a personas a las que no emplea y no puede contabilizar con antelación. Diversas situaciones lo justifican claramente.

Gestiona WiFi para invitados en múltiples sedes

Un entorno multisede necesita la misma directiva en todas partes y un único lugar para gestionarla. Con Shield, la unidad de despliegue es el SSID. La implementación en un nuevo hotel, tienda o estación es un cambio de configuración, no un proceso de compra. Puede ver cada sede a través de la misma plataforma Purple que gestiona su WiFi para invitados.

Su afluencia fluctúa según la temporada o los eventos

Los parques de vacaciones, estadios, centros comerciales y atracciones turísticas ven cómo su asistencia se multiplica en los días de mayor actividad. Las licencias basadas en usuarios le obligan a adivinar ese pico y pagarlo durante todo el año. La protección a nivel de red elimina las incertidumbres.

No puede intervenir en los dispositivos

Los invitados, compradores, pasajeros y pacientes traen sus propios teléfonos. No puede instalar un agente en ellos y no debería intentarlo. La protección a nivel de DNS funciona para todos los dispositivos que se conectan al SSID, sin necesidad de instalar nada.

El ancho de banda es limitado o medido

El bloqueo de anuncios se amortiza solo en lugares donde la conexión de respaldo es escasa. Los trenes con enlaces celulares, las sedes de eventos temporales y los espacios rurales encajan perfectamente en este escenario. Al reducir el tráfico web innecesario se recupera capacidad sin necesidad de contratar nuevos circuitos.

¿Cuándo es Cisco Umbrella la opción correcta?

Umbrella es la opción más sólida en varias situaciones, y una comparativa honesta debe reconocerlo.

Está protegiendo a la plantilla corporativa

Si su prioridad son los portátiles del personal en la oficina, en casa y durante sus desplazamientos, Umbrella se ha diseñado para ello. El módulo de roaming mantiene la política activa fuera de la red. La política se vincula a las identidades de su directorio, incluidos Microsoft Entra ID y Okta.

Busca una vía de transición hacia SASE

El acceso seguro al servicio de borde (SASE) combina conectividad y seguridad en un único servicio en la nube. Los paquetes superiores de Umbrella van más allá de la seguridad DNS para ofrecer una pasarela web segura (SWG) que realiza el proxy e inspecciona el tráfico web. Añaden un agente de seguridad para el acceso a la nube (CASB), que regula el uso de aplicaciones en la nube. También incluyen firewall como servicio (FWaaS) y, a través del catálogo más amplio de Cisco, acceso a la red de confianza cero (ZTNA) para aplicaciones privadas. Si está consolidando esa arquitectura, un servicio DNS exclusivo para invitados no lo sustituirá.

Ha estandarizado su seguridad con Cisco

Las organizaciones que ya utilizan herramientas de seguridad de Cisco se benefician de la inteligencia sobre amenazas compartida a través de Talos. También se benefician del soporte de un único proveedor y de una relación comercial ya existente con su distribuidor.

Necesita inspección a nivel de página en dispositivos gestionados

El DNS decide por dominio. Si la política exige inspeccionar URLs individuales o descargas de archivos en dispositivos corporativos, necesita un proxy. Los paquetes SIG de Umbrella lo proporcionan. Esto resulta lógico en dispositivos que son de su propiedad y que gestiona. Rara vez tiene sentido en los teléfonos de los invitados.

¿Cuánto cuesta ejecutar Shield y Cisco Umbrella?

El precio de tarifa es solo una partida. El coste total procede de varios componentes.

Coste de licencias

El coste de Umbrella depende del paquete, el número de licencias, el plazo y el margen del distribuidor. Dado que el precio solo se ofrece mediante presupuesto, no es posible calcularlo desde una página web. Necesita una conversación comercial y una cifra justificada de licencias. Para el WiFi de invitados, ese número es lo más difícil de determinar.

El coste de Shield se escala en función de los centros y los SSID que proteja. Puede calcularlo a partir de la lista de sus instalaciones. Solicite la tarifa actual a Purple a través de la página de Shield.

Tiempo de despliegue y mantenimiento

El despliegue en red de Umbrella es sencillo si solo se utiliza DNS. Cada componente adicional añade diseño y mantenimiento: dispositivos virtuales, clientes de roaming, encadenamiento de proxies y gestión de certificados. Para el departamento de TI corporativo que cuenta con un equipo de seguridad, es un trabajo habitual. Para un operador de un recinto con un solo administrador de red, representa un coste real.

Shield no añade hardware ni agentes. Lo configura por SSID y gestiona la política de forma centralizada.

Ancho de banda recuperado

El bloqueo de anuncios se refleja en su factura de ancho de banda. El bloqueo de anuncios reduce el consumo total de datos y el volumen de tráfico web con Shield. En conexiones con tarificación por uso, compare este ahorro con su gasto mensual por exceso de datos.

Riesgo asumido

Evalúe el riesgo que asume cuando no dispone de filtrado. Esto incluye la llegada de malware a la red, las reclamaciones por contenido no adecuado y la no superación de las revisiones de protección digital. Ambos servicios reducen ese riesgo. La cuestión es cuál puede permitirse ejecutar en cada SSID de invitados, en cada centro y durante todo el año.

¿Cómo tomar la decisión para su infraestructura?

Empiece por hacerse algunas preguntas clave. ¿Quién se conecta: empleados identificados o el público general? ¿Desde dónde se conectan: portátiles gestionados en cualquier lugar o dispositivos personales en sus instalaciones? ¿Qué necesita además de DNS: un plan de adopción de SASE o protección y páginas más rápidas en redes de invitados?

Matriz de decisión

Su situación	Recomendación
Solo WiFi para invitados, varias ubicaciones, afluencia variable	Shield
Portátiles corporativos fuera de la red, empleados identificados	Cisco Umbrella
Redes de invitados y de empleados, SSID independientes	Shield en SSID de invitados, Umbrella en SSID corporativos
Consolidación de SWG, CASB y FWaaS	Cisco Umbrella
Conexión medida o red de transporte móvil	Shield, para el bloqueo de anuncios
Presencia de menores, se requiere filtrado seguro para familias	Shield en SSID públicos, adaptado a su normativa
MSP que gestiona numerosos locales pequeños	Shield, con delimitación por SSID en cada ubicación del cliente

Caso práctico: grupo hotelero con ocupación estacional

Situación. Un grupo hotelero utilizaba Umbrella para los portátiles de la sede central. El responsable de seguridad pidió al distribuidor ampliarlo al WiFi para invitados. El presupuesto requería una estimación del número de usuarios de invitados. La ocupación variaba enormemente entre la temporada baja y el pico del verano, a lo que se sumaban los picos por conferencias. Nadie podía justificar una cifra exacta.

Qué se hizo. El grupo mantuvo Umbrella en los dispositivos corporativos. Activó Shield en el SSID de invitados en todos los hoteles durante una misma ventana de cambio, utilizando la misma plataforma Purple que ejecuta su Captive Portal. El Captive Portal es la página de inicio de sesión que ven los invitados al conectarse. No se envió hardware a ninguna ubicación ni los invitados tuvieron que instalar nada.

Resultado. El grupo protegió sus redes de invitados sin agentes y sin hardware nuevo. Eliminó por completo la previsión de usuarios del presupuesto para invitados. Su equipo de redes estableció una línea base para el tráfico web de invitados y midió un ahorro de ancho de banda notable. El resultado aportó al equipo de redes pruebas claras para presentar en la siguiente revisión de capacidad.

Caso práctico: bibliotecas municipales y centros deportivos

Situación. Un ayuntamiento ofrecía WiFi público en sus bibliotecas y centros deportivos. Los menores utilizaban ambos espacios. El ayuntamiento necesitaba un filtrado seguro para familias y quería supervisar todas las instalaciones bajo una misma directiva. Su administrador de redes no podía mantener clientes itinerantes ni dispositivos físicos.

Qué se hizo. El ayuntamiento activó Shield en el SSID público de cada centro y aplicó una única directiva de protección familiar. Los dispositivos del personal permanecieron en un SSID independiente bajo los controles corporativos existentes. El equipo de redes bloqueó los puntos de extremo DoH conocidos en la VLAN pública, el segmento de red virtual que mantiene separado el tráfico público del tráfico del personal. Esto impidió que los dispositivos eludieran el resolutor.

Resultado. Todos los centros pasaron a funcionar con una sola directiva, gestionada desde un único lugar y sin necesidad de software en los dispositivos de los visitantes. El ayuntamiento pudo mostrar a su responsable de protección de menores una configuración de filtrado única y documentada. El bloqueo de DoH cerró la vía de elusión más habitual en la red pública.

Caso práctico: festival con red de transporte móvil

Situación. Un festival ofreció WiFi a los asistentes a través de enlaces celulares agrupados. Los datos estaban medidos y en eventos anteriores los enlaces se saturaron durante las horas punta.

Qué se hizo. El organizador habilitó Shield en la SSID de los asistentes antes de abrir las puertas. Los dominios de anuncios y rastreadores se bloquearon en la consulta, junto con dominios de phishing conocidos que apuntaban a páginas de entradas y pagos.

Resultado. El organizador comparó el uso de datos con la referencia anterior, logrando cargas de página más rápidas y un menor consumo de datos. Licenciar a la multitud de un festival por asiento habría significado prever la asistencia antes de que se agotaran las entradas.

Preguntas para plantear a ambos proveedores

• ¿Cómo se contabiliza una red de invitados para el licenciamiento y qué ocurre en un día de máxima afluencia?
• ¿Cuánto tiempo lleva la implementación para un SSID y qué se debe instalar?
• ¿Cómo se asignan sus categorías de contenido al estándar de seguridad familiar que debemos cumplir?
• ¿Cómo gestionan los dispositivos que utilizan DNS sobre HTTPS?
• ¿Dónde se almacenan los registros de consultas, durante cuánto tiempo y bajo qué certificación?

Si DNSFilter también está en su lista de candidatos, lea Shield frente a DNSFilter: una comparación de DNS de protección para operadores de WiFi. Para ver más guías de decisión, explore Todas las guías.

Preguntas frecuentes

¿Existe una alternativa a Cisco Umbrella para el WiFi de invitados?

Sí. Shield es el servicio de DNS de protección de Purple diseñado para WiFi de invitados y público en lugar de puntos finales corporativos. Lo habilita por SSID en minutos, sin hardware ni agentes en los dispositivos de los visitantes. Filtra amenazas y contenido no adecuado y bloquea anuncios en la consulta DNS. Muchas organizaciones mantienen Umbrella en los dispositivos del personal y ejecutan Shield en las redes de invitados. De este modo, cada herramienta realiza la función para la que fue diseñada.

¿Cómo se calcula el precio de Cisco Umbrella para WiFi de invitados?

Cisco Umbrella no tiene un precio de lista publicado. Se compra a través de ventas de Cisco o un distribuidor mediante presupuesto, entre paquetes como DNS Security Essentials, DNS Security Advantage, SIG Essentials y SIG Advantage. El licenciamiento es por asiento. Para el WiFi de invitados, pregunte cómo se contabilizan los visitantes anónimos en relación con los asientos antes de aceptar un presupuesto. La afluencia estacional o basada en eventos hace que esa cifra sea difícil de prever y aún más difícil de justificar.

¿Es Umbrella excesivo para el filtrado de WiFi público?

A menudo, sí, si las redes de invitados son todo lo que necesita proteger. Los puntos fuertes de Umbrella son la protección contra roaming para portátiles gestionados, las políticas basadas en la identidad y una vía hacia SWG, CASB, FWaaS y ZTNA. Los dispositivos de los invitados no utilizan nada de eso. Para el WiFi público, la necesidad principal es el filtrado de contenido y amenazas a nivel de DNS en cada dispositivo que se conecta. Shield ofrece eso por SSID sin recuento de asientos ni agentes.

¿Funciona Shield con nuestros puntos de acceso actuales?

Sí. Purple es independiente del hardware y se ejecuta como una capa en la nube sobre la red que ya posee. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Shield actúa en la capa DNS, por lo que lo configura por SSID sin necesidad de nuevo hardware. Sus puntos de acceso, switches y controladores permanecen en su lugar.

¿Podemos ejecutar Shield y Cisco Umbrella simultáneamente?

Sí, y para entornos mixtos suele ser el diseño más limpio. Mantenga Umbrella en los SSID corporativos y en los portátiles gestionados, donde las licencias por usuario y la protección en itinerancia resultan adecuadas. Ejecute Shield en los SSID de invitados y públicos, donde las personas que se conectan son anónimas y variables. Los SSID y las VLAN independientes mantienen separadas ambas directivas. Cada red utiliza entonces el resolutor adecuado para las personas que la usan.

¿Cuánto tiempo se tarda en desplegar Shield?

Minutos por SSID. Shield no requiere hardware ni software en los dispositivos de los visitantes, por lo que el despliegue es un cambio de configuración en lugar de un proyecto completo. Un entorno multisitio puede proteger cada red de invitados en una sola ventana de mantenimiento. La documentación de soporte de Purple cubre los pasos de configuración para su hardware. La directiva se gestiona de forma centralizada una vez que cada SSID está activo.

¿Cómo afecta el DNS de protección al GDPR y a la gestión de datos?

Trate los registros de consultas DNS como datos personales cuando se puedan vincular a un dispositivo y configure la retención en consecuencia. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR, y Shield se enmarca dentro de esa estructura. Para cualquier proveedor, pregunte dónde se almacenan los registros, cuánto tiempo se conservan y quién puede acceder a ellos. A continuación, registre las respuestas en su evaluación de impacto de protección de datos.

¿Pueden los visitantes eludir el filtrado DNS en la red WiFi de invitados?

Algunos pueden intentarlo, principalmente utilizando DNS sobre HTTPS o una VPN que envíe las búsquedas a otro resolutor. Esto se reduce bloqueando los puntos de extremo DoH conocidos y los resolutores públicos en la VLAN de invitados. Eso fuerza las búsquedas a través de su servicio DNS de protección. Ningún filtro DNS detiene todos los intentos decididos de evasión. Combinado con controles de red, cubre a la mayoría de los visitantes en la mayoría de los dispositivos.