Una alternativa a Cisco Umbrella para el WiFi para invitados

Elija Purple Shield si necesita un sistema de DNS de protección para invitados anónimos en redes WiFi públicas. Aplica una directiva por SSID y VLAN, sin agentes ni hardware nuevo. Proviene de la plataforma que ya opera en más de 80 000 recintos en 90 países. Elija Cisco Umbrella si desea proteger a empleados identificados y dispositivos gestionados dentro de un programa SASE más amplio.

Respuesta rápida sobre las alternativas a Cisco Umbrella para WiFi para invitados

Cisco Umbrella es un producto consolidado que resuelve un problema diferente. Surgió de OpenDNS, que Cisco adquirió en 2015. Actualmente se integra dentro de la cartera SASE (Secure Access Service Edge) de Cisco, la cual ofrece redes y seguridad de forma conjunta desde la nube. Su ámbito principal es una plantilla conocida: empleados identificados, ordenadores portátiles gestionados, sucursales y personal itinerante, todos vinculados a un directorio.

La red WiFi para invitados rompe con esas premisas. Las personas conectadas a su red son anónimas y cambian constantemente a lo largo del día. La afluencia fluctúa en función de los eventos y las temporadas. Los visitantes no instalan ningún agente ni disponen de una cuenta en su directorio. Una licencia calculada por usuarios no encuentra nada estable que contabilizar.

Purple Shield es un sistema de DNS de protección diseñado para esa situación. El DNS de protección filtra amenazas y contenidos no deseados cuando un dispositivo consulta un nombre de dominio. Usted define una directiva por SSID, por VLAN (VLAN, un segmento de red separado lógicamente) y por recinto. Shield se ejecuta desde la misma plataforma que su portal cautivo, la página de inicio de sesión que ven los invitados antes de conectarse a Internet.

La respuesta depende de la identidad. Si las personas a las que protege disponen de cuentas gestionadas por usted, el modelo de Umbrella es el adecuado. Si son visitantes a los que no puede identificar, se adapta mejor el modelo de Shield. Para ver la comparativa completa, lea Shield frente a Cisco Umbrella. Si desea conocer el mercado general, comience con nuestra visión general sobre las alternativas de filtrado de DNS.

Criterios de comparación entre Shield y Umbrella, y su justificación

Por qué la ubicación es lo primero

El DNS de protección actúa cuando un dispositivo consulta la ubicación de un dominio. Esa búsqueda se produce antes de que se abra cualquier conexión. Si el dominio es malicioso o incumple la directiva, el resolvedor la rechaza y el dispositivo nunca llega a conectarse. Un cortafuegos suele evaluar el tráfico una vez iniciada la sesión, y la mayor parte de ese tráfico viaja ahora cifrado. El filtrado durante la resolución detiene el phishing, el software malicioso y los dominios de comando y control antes de que alcancen el perímetro. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) gestiona su servicio de DNS de protección para el sector público basándose en este mismo principio.

Tanto Shield como Umbrella filtran en la capa de DNS. La diferencia radica en todo lo que envuelve a dicha capa.

Los criterios que hemos evaluado

Fijamos ocho criterios antes de evaluar ambos productos. Cada opción se puntúa únicamente a partir de su propio material público: documentación de Cisco Umbrella e información sobre el producto de Purple.

1. En qué momento de la conexión se realiza el filtrado.
2. A quién está diseñado para proteger el producto.
3. Si los dispositivos de los visitantes necesitan un agente.
4. La unidad a la que se asocia una directiva.
5. La unidad de licencia.
6. Si los precios son públicos.
7. Alcance más allá del DNS.
8. Adaptación al hardware y a la pila de invitados de la que ya dispone.

No mostramos precios de competidores. Cisco presupuesta Umbrella a través de su propio equipo y socios, por lo que cualquier cifra no se podría verificar y se quedaría desfasada rápidamente. Si está evaluando otros proveedores, consulte alternativas a DNSFilter y Cloudflare Gateway frente a Purple Shield.

Shield frente a Cisco Umbrella: matriz comparativa

La siguiente matriz es la forma más rápida de ver a qué objetivo se dirige cada producto.

Interprételo como dos productos que responden a dos preguntas diferentes. Umbrella pregunta quién se está conectando. Shield pregunta en qué red se encuentra el dispositivo.

Dónde destaca Cisco Umbrella

Si su problema es la plantilla de empleados, Umbrella cubre aspectos que Shield no pretende abarcar.

Control basado en la identidad para su propio personal

Umbrella vincula las directivas a las personas. Se integra con servicios de directorio, incluido Microsoft Entra ID, para que pueda establecer reglas por persona o grupo. Puede generar informes sobre la actividad de cada empleado. Cisco Secure Client lleva esa protección a los portátiles fuera de la red corporativa, ya sea en casa o en desplazamientos.

Seguridad más allá de la capa DNS

El DNS es solo una capa de Umbrella. En función del paquete, Cisco añade una pasarela web segura (SWG) que inspecciona el tráfico web cifrado. También incluye un firewall proporcionado desde la nube y un agente de seguridad de acceso a la nube (CASB) para gobernar el uso de SaaS. Esos son los componentes fundamentales de un programa SASE.

Inteligencia sobre amenazas y el entorno de Cisco

Umbrella se nutre de Cisco Talos, el grupo de inteligencia sobre amenazas de Cisco. Cisco documenta integraciones nativas de Umbrella con Cisco Meraki y otros equipos de red de Cisco. Si su equipo de operaciones de seguridad ya trabaja con consolas de Cisco, estandarizar en un solo proveedor aporta un valor real.

Para una plantilla gestionada, Umbrella es una opción solvente, y esta guía no sostiene lo contrario.

Dónde destaca Shield en WiFi de invitados

Diseñado para visitantes a los que no puede identificar

Shield no asume nada sobre la persona conectada a la red: sin cuenta, sin agente, sin registro. La directiva pertenece a la red. Cada SSID, VLAN y ubicación obtiene sus propias reglas desde un único panel de control. Un hotel podría aplicar una directiva segura para familias en el SSID del vestíbulo y una más flexible en la VLAN de conferencias.

DNS de protección sin agente y sin hardware adicional

Solo tiene que apuntar el DNS de la red a Shield y la directiva se aplicará a todos los dispositivos que se conecten. Esto cubre el teléfono de un invitado, un portátil y una Smart TV en los que jamás se podría ejecutar un agente. Shield funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Ejecútelo de forma independiente en cualquier WiFi o añádelo a Purple Access como un complemento de seguridad para WiFi de invitados.

Una plataforma para todo el ecosistema de invitados

Purple ya gestiona portales cautivos y analíticas de WiFi de invitados en más de 80.000 ubicaciones en 90 países. Shield añade protección dentro de esa misma plataforma. El equipo que gestiona el inicio de sesión de invitados también establece la directiva de seguridad, lo que le permite sustituir una consola independiente por un único panel de control.

Detección temprana de amenazas y redes más ligeras

Shield detecta dominios maliciosos durante la resolución DNS antes de que se abran las conexiones, deteniendo las amenazas antes de que el tráfico llegue a la red. Con el bloqueo de anuncios activado, Shield suprime las solicitudes publicitarias no deseadas y las consultas de seguimiento. En la red de una ubicación con mucho tráfico, esa capacidad se libera para dar servicio a sus invitados.

Costes de ejecución: estructura de licencias, no precio

Esta sección no muestra precios. Lo que puede comparar es la estructura: qué se contabiliza, qué hace aumentar la factura y qué trabajo queda fuera de la licencia.

Umbrella: licencias dimensionadas para la plantilla

Los paquetes de Umbrella se licencian por usuario o equipo, normalmente dimensionados según el número de empleados nominales. Esto se adapta a una empresa con una plantilla estable, pero resulta poco práctico en los pasillos de un estadio o en un centro comercial. En estos entornos, el número de aficionados y compradores varía con cada evento y temporada.

El trabajo en los puntos de servicio (endpoints) añade su propio coste. La directiva por persona y la protección en itinerancia dependen del despliegue de Cisco Secure Client en dispositivos gestionados, y alguien tiene que mantener ese despliegue.

Shield: sin licencias de usuario invitado que contabilizar

Shield no cuenta con licencias por usuario invitado. Se adquiere como un complemento de seguridad para los planes Connect, Capture o Engage, o bien de forma independiente para cualquier WiFi. Los invitados no instalan nada, por lo que no hay despliegue en puntos de servicio. La página de precios de Shield detalla las condiciones actuales para que pueda planificar su presupuesto antes de contactar con ventas.

¿Cuánto esfuerzo requiere migrar de Umbrella a Shield?

La migración es un cambio de configuración por cada red de invitados, no un proyecto de hardware. La mayoría de los entornos siguen cuatro pasos.

Analizar el uso actual de Umbrella

Enumere cada red que resuelva a través de Umbrella y quién la utiliza. Separe las redes de personal de los SSID de invitados y públicos. Las redes de personal que dependen de la pasarela web o CASB suelen mantenerse en Umbrella.

Migrar primero las redes de invitados

Cree una política de Shield para cada SSID o VLAN de invitados. Acuerde las categorías de contenido con el equipo de operaciones de los recintos antes de realizar el cambio. A continuación, cambie los DNS que asigna cada red de invitados, normalmente mediante DHCP en su controlador o pasarela. La documentación del fabricante de su hardware cubre los pasos exactos para su plataforma.

Cerrar las rutas de omisión

Ejecutar en paralelo y realizar la transición

Realice pruebas desde un dispositivo de invitado en cada SSID y compruebe que los bloqueos aparecen en el panel de control de Purple. Migre los recintos por fases, empezando por una sola ubicación. Una vez que el tráfico de invitados fluya a través de Shield, elimine las redes de salida de invitados de su configuración de Umbrella.

Cómo decidir entre Shield y Umbrella

Utilice una sola pregunta como regla de decisión: ¿cada persona en esta red posee una cuenta gestionada por usted? En caso afirmativo, un producto orientado a la identidad como Umbrella es el adecuado. En caso negativo, elija Shield.

Muchas instalaciones utilizan ambos: Umbrella en los dispositivos de los empleados y Shield en los SSID de invitados. Su siguiente paso es consultar los precios de sus redes de invitados en la página de precios de Shield. A continuación, lea nuestra guía de seguridad para WiFi de empresa para conocer la segmentación subyacente. Puede encontrar más información sobre la plataforma completa en Purple.

Preguntas frecuentes

¿Cuál es una buena alternativa a Cisco Umbrella para el WiFi de invitados?

Purple Shield es un servicio de DNS de protección diseñado para WiFi de invitados y público en lugar de para una plantilla gestionada. Filtra amenazas y contenidos en la resolución de DNS, con una directiva por SSID, VLAN y recinto. Los dispositivos de los visitantes no necesitan ningún agente. Whitbread, AGS Airports y St George's Healthcare NHS Trust ya lo utilizan. También vale la pena incluir DNSFilter y Cloudflare Gateway en la lista de candidatos para instalaciones específicas.

¿Por qué Cisco Umbrella no se adapta bien a un WiFi de invitados anónimo?

Las funciones más avanzadas de Umbrella asumen que usted sabe quién está en la red. Las directivas por persona, la protección en itinerancia y los informes de identidad dependen de un directorio y de Cisco Secure Client en dispositivos gestionados. Los invitados no tienen ninguno de los dos. Puede apuntar el DNS de una red de invitados a Umbrella, pero entonces estará pagando por un producto SASE basado en identidades utilizando únicamente su capa de DNS, bajo una licencia por usuario.

¿Cómo funciona el licenciamiento por usuario de Umbrella para el WiFi público?

Funciona de forma compleja, porque la licencia cuenta usuarios y el WiFi público no tiene un número fijo de usuarios. Cisco vende los paquetes de Umbrella a través de su propio equipo y socios mediante presupuestos, normalmente dimensionados para empleados identificados. Los visitantes anónimos que cambian cada hora y varían según la temporada no encajan bien en esa unidad. Pregunte a Cisco o a su socio cómo licenciarían una red de invitados.

¿Existe una alternativa a Umbrella sin hardware para grandes espacios?

Sí. Shield se ejecuta en la nube, por lo que no necesita añadir ningún dispositivo ni sustituir los puntos de acceso. Simplemente redirige la red SSID o el VLAN de invitados a Shield para el DNS, normalmente a través de DHCP en su controlador o pasarela. Funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, ya sea de forma independiente o junto con Purple Access.

¿Cómo se compara Shield con Umbrella en cuanto a transparencia de precios?

Es más fácil calcular el precio de Shield por adelantado. Sus condiciones se detallan en la página de precios de Shield y puede adquirirlo como un complemento para Connect, Capture o Engage, o de forma independiente en cualquier WiFi. Los precios de Umbrella se basan en presupuestos a través de Cisco y sus socios, sin una lista de precios pública. Solo un modelo le permite presupuestar una red de invitados antes de una llamada comercial.

¿Podemos utilizar Cisco Umbrella para el personal y Shield para los invitados?

Sí, y para muchas instalaciones es la distribución adecuada. Mantenga Umbrella en los dispositivos gestionados del personal, donde su pasarela web, CASB y la integración de directorios justifican su uso. Implemente Shield en los SSID de invitados y públicos, donde los visitantes son anónimos. Cada red se resuelve a través de su propio filtro, por lo que ambas nunca se solapan. Segmente las VLAN para que el tráfico de invitados no pueda acceder a los sistemas del personal.

¿Ayuda el DNS de protección al cumplimiento del GDPR o PCI DSS?

Ayuda al cumplimiento, pero no lo garantiza por sí solo. PCI DSS exige segmentar los sistemas de pago de las redes de invitados, y el filtrado DNS añade un control adicional sobre esa segmentación. En virtud del GDPR, la capa DNS ve qué dominios solicita un dispositivo, por lo que conviene elegir un proveedor con una gestión de datos transparente. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials.

¿Cuánto esfuerzo requiere migrar de Umbrella a Shield?

Se trata de un cambio de configuración por red de invitados, no de un proyecto de hardware. Debe crear una directiva de Shield para cada SSID o VLAN, cambiar el DNS que asignan esas redes y bloquear las rutas de omisión. A continuación, realice una prueba desde un dispositivo de invitado. Las redes del personal en Umbrella no sufren ningún cambio. La mayor parte del esfuerzo se dedica a auditar qué redes utilizan Umbrella actualmente y a acordar la directiva de contenidos de cada centro.