Shield vs Cisco Umbrella: selección de DNS protector para WiFi de invitados

Elija Shield para WiFi de invitados en instalaciones con múltiples ubicaciones que requieran una implementación rápida sin hardware, agentes ni tarifas por usuario. Elija Cisco Umbrella cuando busque proteger puntos finales corporativos y construir una arquitectura SASE. Purple se integra con plataformas como Cisco Meraki y se alinea con estándares como Keeping Children Safe in Education, respaldado por la certificación ISO 27001.

¿Cuál debería elegir: Shield o Cisco Umbrella para WiFi de invitados?

La elección correcta depende de a quién vaya a proteger. Pregúntese si se trata de sus empleados o del público general que entra por sus puertas.

Cisco Umbrella comenzó como OpenDNS antes de ser adquirida por Cisco. Ha evolucionado hasta convertirse en una plataforma de seguridad de borde para redes corporativas y fuerzas de trabajo híbridas. Protege a personas que Cisco puede contar, nombrar y asignar a una política, independientemente de adónde vaya su laptop.

Shield es el servicio de DNS de protección de Purple diseñado para redes públicas y de invitados. Se activa por cada SSID (el nombre de la red a la que se conecta un dispositivo). Filtra amenazas y contenido no apto, y bloquea anuncios para todos los usuarios de esa red. Nadie necesita instalar nada. Nadie requiere ser contabilizado.

Ambos servicios realizan la misma función principal. El DNS de protección es un resolvedor que verifica cada búsqueda de dominio con listas de amenazas y contenidos. Se niega a responder ante dominios bloqueados, por lo que el dispositivo nunca llega a conectarse. Las diferencias radican en torno a ese núcleo: cómo se adquiere, cómo se implementa y qué otras funciones incluye.

Si opera WiFi de invitados en hoteles, tiendas, estaciones, escuelas o clínicas, generalmente realiza la compra para una multitud y no por número de empleados. Ese es el enfoque principal para el resto de esta guía.

En qué se diferencian realmente Shield y Cisco Umbrella

Dónde se realiza el filtrado y qué omite un firewall

Ambos servicios actúan durante la búsqueda de DNS. Cuando un teléfono intenta abrir un sitio, primero solicita la dirección IP del dominio a un resolvedor. Un resolvedor de DNS de protección verifica el dominio antes de responder. Si el dominio es malicioso o está bloqueado por una política, la búsqueda falla y no se abre ninguna conexión. Para conocer los aspectos técnicos, consulte Qué es una búsqueda de DNS y por qué la utilizan las redes.

Un firewall opera más adelante en la secuencia. Inspecciona el tráfico después de que se ha iniciado la conexión. La mayor parte del tráfico web actual utiliza cifrado TLS, por lo que un firewall sin capacidad de descifrado solo ve una dirección IP y poco más. En todo caso, descifrar el tráfico de los invitados resulta inviable. No es posible instalar un certificado raíz en el teléfono personal de un visitante.

El bloqueo basado en IP también presenta dificultades con el alojamiento compartido. Varios dominios pueden alojarse detrás de una sola dirección de red de entrega de contenido. Si bloquea la IP, interrumpe sitios legítimos; si la permite, el dominio malicioso logra pasar.

El DNS identifica el nombre del dominio antes de que se transfiera cualquier dato. Es por eso que el DNS de protección resulta ideal para redes abiertas en las que usted no es propietario de los dispositivos.

Sea claro sobre los límites también. El filtrado DNS decide por dominio, no por página. No puede bloquear una ruta específica en un sitio que de otro modo está permitido. Los dispositivos que usan DNS cifrado, como DNS sobre HTTPS (DoH), pueden intentar evadir su resolvedor. Nuestra guía sobre DNS Over HTTPS explicado: Privacidad vs filtrado en WiFi público explica cómo los operadores manejan esa situación.

Unidad de licenciamiento: usuarios versus redes

Esta es la diferencia que más importa para el WiFi de invitados.

Cisco no publica listas de precios para Umbrella. Usted compra a través de ventas de Cisco o un distribuidor, mediante una cotización. Los paquetes incluyen DNS Security Essentials, DNS Security Advantage, SIG Essentials y SIG Advantage, cada uno con diferentes funcionalidades y opciones de plazo.

Umbrella se licencia por usuario (seat). Ese modelo se adapta a una empresa con un número conocido de empleados. Sin embargo, no se adapta bien cuando su red atiende a un grupo pequeño en un día tranquilo y a miles de visitantes en un día de evento de gran afluencia. Pregunte a su distribuidor cómo se contabilizan las redes de invitados frente a las licencias de usuario. La respuesta define toda la cotización.

En cambio, Shield se dimensiona por red. Lo habilita en los SSIDs que desea proteger. Un fin de semana concurrido no cambia lo que contabiliza.

Esfuerzo de implementación

Umbrella ofrece varias rutas de implementación. Puede apuntar el DNS de la red a Umbrella y registrar sus direcciones IP de salida. Puede agregar appliances virtuales para atribuir direcciones IP internas. Puede implementar el módulo de roaming en Cisco Secure Client en laptops administradas. Esa flexibilidad es una fortaleza para el departamento de TI corporativo. También implica más trabajo de diseño, documentación y mantenimiento.

Shield se implementa por SSID en minutos, sin hardware ni agentes. Purple es independiente del hardware y se ejecuta como una superposición en la nube. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Sus puntos de acceso existentes se mantienen en su lugar.

Bloqueo de anuncios y experiencia del invitado

El bloqueo de anuncios es una función para redes de invitados, no corporativa. Shield bloquea dominios de anuncios y rastreadores en la consulta, por lo que las páginas se cargan más ligeras en un ancho de banda compartido.

Al bloquear anuncios y dominios de rastreo a nivel de resolvedor, Shield ofrece tiempos de carga de página más rápidos, un menor uso de datos y menos consultas DNS, al tiempo que reduce el volumen general de tráfico web. En la red congestionada de un hotel o en un tren que funciona con respaldo celular, esa es capacidad que recupera sin necesidad de nuevo hardware.

Umbrella no está posicionado como un producto de bloqueo de anuncios. Puede bloquear dominios seleccionados a través de sus listas de destinos, pero esa es una lista manual que usted debe mantener.

Detección de amenazas

Umbrella se apoya en Cisco Talos, uno de los equipos comerciales de inteligencia de amenazas más grandes. Esa profundidad es una verdadera fortaleza.

Shield identifica tempranamente los dominios emergentes de phishing y malware, lo que ayuda a proteger los dispositivos de invitados no administrados que usted no puede actualizar. Para obtener una visión más amplia de las opciones, consulte Opciones de software de protección contra phishing para WiFi compartido.

Estándares de filtrado seguro para la familia

El WiFi público en lugares donde se conectan niños implica responsabilidades adicionales. Las escuelas en Inglaterra deben cumplir con los estándares de filtrado y monitoreo del Departamento de Educación bajo la guía Keeping Children Safe in Education. Los establecimientos a menudo recurren al programa Friendly WiFi del Reino Unido como una señal pública de navegación segura.

Ambos servicios filtran por categoría de contenido. Pregunte a cada proveedor cómo se alinean sus categorías con el estándar con el que usted debe cumplir. Solicite evidencias, no solo un sí por respuesta.

Comparación lado a lado

Criterio	Shield	Cisco Umbrella
Enfoque de diseño	WiFi para invitados y público	Dispositivos corporativos y fuerza de trabajo híbrida
Dónde ocurre el filtrado	Búsqueda de DNS, antes de la conexión	Búsqueda de DNS, más proxy web en paquetes SIG
Precios publicados	Ajustados a sitios y SSIDs, cotizados por Purple	Sin lista de precios pública; cotización mediante Cisco o distribuidor
Unidad de licencia	Por SSID	Por usuario
Implementación para un SSID de invitados	Minutos, por SSID	Registro de redes y DNS; el uso de appliances es opcional
Hardware adicional	Ninguno	Ninguno para DNS; appliances virtuales para atribución interna
Agentes en dispositivos	Ninguno	Cisco Secure Client para protección fuera de la red
Bloqueo de publicidad	Integrado	Manual, mediante listas de destinos
Protección fuera de la red	No aplica para dispositivos de invitados	Sí, mediante el módulo de roaming
Suite de seguridad más amplia	Capa DNS, con los complementos Purple SecurePass y Verify	SWG, CASB, FWaaS, ZTNA en paquetes superiores
Mejor uso	Redes de invitados en múltiples sitios con afluencia variable	Organizaciones que protegen a personal identificado en cualquier lugar

¿Cuándo es Shield la opción correcta?

Shield es adecuado cuando su red brinda servicio a personas que no emplea y que no puede contabilizar por adelantado. Diversas situaciones justifican su uso claramente.

Administra WiFi para invitados en múltiples sitios

Una propiedad con múltiples sitios necesita la misma política en todas partes y un solo lugar para gestionarla. Con Shield, la unidad de implementación es el SSID. Implementar en un nuevo hotel, tienda o estación es un cambio de configuración, no un proceso de adquisición. Puede ver cada sitio a través de la misma plataforma Purple que ejecuta su Guest WiFi.

Su afluencia varía según la temporada o el evento

Los parques vacacionales, estadios, centros comerciales y atracciones turísticas ven multiplicarse su asistencia en días de mayor afluencia. Las licencias basadas en usuarios lo obligan a adivinar ese punto máximo y pagarlo durante todo el año. La protección delimitada por la red elimina las suposiciones.

No puede intervenir los dispositivos

Los invitados, compradores, pasajeros y pacientes traen sus propios teléfonos. No puede instalar un agente en ellos y no debería intentarlo. La protección a nivel de DNS funciona para cada dispositivo que se une al SSID, sin tener que instalar nada.

El ancho de banda es limitado o medido

El bloqueo de publicidad se paga solo cuando el enlace de retorno es escaso. Los trenes con conexiones celulares, los sitios para eventos temporales y los recintos rurales son ideales para esto. Reducir el tráfico web innecesario recupera capacidad sin necesidad de contratar nuevos circuitos.

¿Cuándo es Cisco Umbrella la opción correcta?

Umbrella es la opción más sólida en varias situaciones, y una comparación honesta debe reconocerlo.

Está protegiendo a una fuerza laboral corporativa

Si su prioridad son las computadoras portátiles del personal en la oficina, en casa y en sus desplazamientos, Umbrella está diseñado para eso. El módulo de itinerancia mantiene la política activa fuera de la red. La política se vincula a las identidades de su directorio, incluyendo Microsoft Entra ID y Okta.

Busca una vía hacia SASE

El servicio de acceso seguro en el borde (SASE) combina redes y seguridad en un solo servicio en la nube. Los paquetes superiores de Umbrella se extienden desde la seguridad DNS hasta una pasarela web segura (SWG) que realiza proxy e inspecciona el tráfico web. Añaden un agente de seguridad para el acceso a la nube (CASB), que regula el uso de aplicaciones en la nube. También incluyen firewall como servicio (FWaaS) y, a través del portafolio más amplio de Cisco, acceso a la red de confianza cero (ZTNA) para aplicaciones privadas. Si está consolidando esa arquitectura, un servicio DNS exclusivo para invitados no lo reemplazará.

Se ha estandarizado en la seguridad de Cisco

Las organizaciones que ya ejecutan herramientas de seguridad de Cisco se benefician de la inteligencia compartida sobre amenazas a través de Talos. También se benefician del soporte de un solo proveedor y de una relación de distribución existente.

Necesita inspección a nivel de página en dispositivos administrados

DNS decide por dominio. Si la política requiere inspeccionar URLs individuales o descargas de archivos en dispositivos corporativos, necesita un proxy. Los paquetes SIG de Umbrella ofrecen uno. Eso tiene sentido en los dispositivos que le pertenecen y administra. Rara vez tiene sentido en los teléfonos de los invitados.

¿Cuánto cuesta ejecutar Shield y Cisco Umbrella?

El precio de lista es solo una línea. El costo total proviene de varios componentes.

Costo de licencia

El costo de Umbrella depende del paquete, el número de usuarios, el plazo y el margen del distribuidor. Dado que el precio es únicamente bajo cotización, no puede preverlo desde un sitio web. Necesita una conversación comercial y una cifra justificable de usuarios. Para el WiFi de invitados, esa cifra es lo más difícil de generar.

El costo de Shield escala según las sedes y los SSID que proteja. Puede preverlo a partir de su lista de propiedades. Solicite los precios actuales a Purple a través de la página de Shield.

Tiempo de implementación y mantenimiento

La implementación de red de Umbrella es sencilla solo para DNS. Cada componente adicional suma diseño y mantenimiento: dispositivos virtuales, clientes de itinerancia, cadenado de proxies y gestión de certificados. Para el departamento de TI corporativo con un equipo de seguridad, ese es un trabajo normal. Para el operador de un establecimiento con un solo administrador de red, representa un costo real.

Shield no añade hardware ni agentes. Lo configura por SSID y administra la política de forma centralizada.

Ancho de banda recuperado

El bloqueo de anuncios se refleja en su factura de ancho de banda. El bloqueo de anuncios reduce el consumo general de datos y el volumen de tráfico web con Shield. En enlaces medidos, compare eso con su gasto mensual por exceso de uso.

Riesgo asumido

Calcule el riesgo que asume cuando falta el filtrado. Esto incluye el malware que llega a la red, las quejas sobre contenido inadecuado y las revisiones de protección fallidas. Ambos servicios reducen ese riesgo. La cuestión es cuál puede permitirse ejecutar en cada SSID de invitados, en cada sede, durante todo el año.

¿Cómo tomar la decisión para sus instalaciones?

Comience con preguntas clave. ¿Quién se conecta: personal identificado o el público en general? ¿Desde dónde se conectan: laptops gestionadas en cualquier lugar o dispositivos personales dentro de sus instalaciones? ¿Qué necesita además de DNS: una ruta hacia SASE o protección y páginas más rápidas en redes de invitados?

Matriz de decisión

Su situación	Recomendación
Solo WiFi de invitados, múltiples sedes, afluencia variable	Shield
Laptops corporativas fuera de la red, personal identificado	Cisco Umbrella
Redes de invitados y de personal, SSIDs independientes	Shield en SSIDs de invitados, Umbrella en corporativas
Consolidación de SWG, CASB y FWaaS	Cisco Umbrella
Enlace de retorno medido o celular	Shield, para bloqueo de publicidad
Presencia de niños, se requiere filtrado seguro para familias	Shield en SSIDs públicos, adaptado a su estándar
MSP que gestiona muchos establecimientos pequeños	Shield, alcance por SSID para cada sede de cliente
Ejemplo práctico: grupo hotelero con ocupación de temporada

Situación. Un grupo hotelero utilizaba Umbrella para las laptops de su oficina central. El responsable de seguridad solicitó al distribuidor extenderlo al WiFi de invitados. La cotización requería una estimación de usuarios invitados. La ocupación variaba drásticamente entre la temporada baja y el pico de verano, además de los picos por conferencias. Nadie podía justificar una cifra exacta.

Qué se hizo. El grupo mantuvo Umbrella en los dispositivos corporativos. Activó Shield en el SSID de invitados en todos los hoteles durante una sola ventana de mantenimiento, utilizando la misma plataforma Purple que gestiona su Captive Portal. El Captive Portal es la página de inicio de sesión que ven los invitados al conectarse. No se envió hardware a ninguna sede y ningún invitado instaló nada.

Resultado. El grupo protegió sus redes de invitados con cero agentes y cero hardware nuevo. Eliminó por completo el pronóstico de usuarios del presupuesto para invitados. Su equipo de red estableció una línea base para el tráfico web de invitados y midió un ahorro de ancho de banda considerable. El resultado proporcionó al equipo de red evidencia clara para presentar en la siguiente revisión de capacidad.

Ejemplo práctico: bibliotecas y centros deportivos municipales

Situación. Un ayuntamiento ofrecía WiFi público en sus bibliotecas y centros deportivos. Los niños utilizaban ambos servicios. El ayuntamiento necesitaba un filtrado seguro para familias y deseaba mantener todas las sedes bajo una sola política. Su administrador de red no podía dar mantenimiento a clientes roaming ni a equipos físicos.

Qué se hizo. El ayuntamiento activó Shield en el SSID público de cada sede y aplicó una política única de protección familiar. Los dispositivos del personal permanecieron en un SSID independiente bajo los controles corporativos existentes. El equipo de red bloqueó los puntos de enlace DoH conocidos en la VLAN pública, el segmento de red virtual que separa el tráfico público del tráfico del personal. Esto evitó que los dispositivos eludieran el navegador de DNS.

Resultado. Todas las sedes operaron con una sola política, gestionada desde un solo lugar, sin software en los dispositivos de los visitantes. El ayuntamiento pudo mostrar a su responsable de protección una configuración de filtrado única y documentada. El bloqueo de DoH cerró la ruta de evasión más común en la red pública.

Ejemplo práctico: festival con enlace de retorno celular

Situación. Un festival ofreció WiFi a los asistentes a través de enlaces celulares agregados. Los datos estaban medidos y en eventos anteriores los enlaces se saturaron durante las horas pico.

Lo que se hizo. El organizador habilitó Shield en el SSID de los asistentes antes de que se abrieran las puertas. Los dominios de anuncios y rastreadores se bloquearon en la búsqueda, junto con dominios de phishing conocidos que apuntaban a páginas de boletos y pagos.

Resultado. El organizador comparó el uso de datos con la referencia anterior, logrando cargas de página más rápidas y un menor consumo de datos. Licenciar a la multitud de un festival por usuario habría significado pronosticar la asistencia antes de que se agotaran los boletos.

Preguntas para hacer a ambos proveedores

• ¿Cómo se contabiliza una red de invitados para el licenciamiento y qué sucede en un día de máxima afluencia?
• ¿Cuánto tiempo toma la implementación para un SSID y qué se tiene que instalar?
• ¿Cómo se mapean sus categorías de contenido con el estándar de seguridad familiar al que respondemos?
• ¿Cómo manejan los dispositivos que usan DNS sobre HTTPS?
• ¿Dónde se almacenan los registros de consultas, por cuánto tiempo y bajo qué certificación?

Si DNSFilter también está en su lista de opciones, lea Shield vs DNSFilter: a protective DNS comparison for WiFi operators. Para ver más guías de decisión, explore All guides.

Preguntas frecuentes

¿Existe una alternativa a Cisco Umbrella para WiFi de invitados?

Sí. Shield es el servicio de DNS protectivo de Purple creado para WiFi de invitados y público en lugar de endpoints corporativos. Lo habilita por SSID en minutos, sin hardware y sin agentes en los dispositivos de los visitantes. Filtra amenazas y contenido no apto, y bloquea anuncios en la búsqueda de DNS. Muchas organizaciones mantienen Umbrella en los dispositivos del personal y ejecutan Shield en las redes de invitados. De este modo, cada herramienta realiza el trabajo para el que fue diseñada.

¿Cómo se cotiza Cisco Umbrella para WiFi de invitados?

Cisco Umbrella no tiene un precio de lista publicado. Se compra a través de ventas de Cisco o un distribuidor mediante una cotización, a través de paquetes como DNS Security Essentials, DNS Security Advantage, SIG Essentials y SIG Advantage. El licenciamiento es por usuario. Para WiFi de invitados, pregunte cómo se cuentan los visitantes anónimos como usuarios antes de aceptar una cotización. La afluencia estacional o por eventos hace que ese número sea difícil de pronosticar y más difícil de defender.

¿Es Umbrella demasiado complejo para el filtrado de WiFi público?

A menudo, sí, si las redes de invitados son todo lo que necesita proteger. Los puntos fuertes de Umbrella son la protección de itinerancia para laptops administradas, políticas basadas en la identidad y una ruta hacia SWG, CASB, FWaaS y ZTNA. Los dispositivos de invitados no usan nada de eso. Para el WiFi público, la necesidad principal es el filtrado de contenido y amenazas a nivel de DNS en cada dispositivo que se conecta. Shield ofrece eso por SSID sin recuento de usuarios ni agentes.

¿Shield funciona con nuestros puntos de acceso actuales?

Sí. Purple es independiente del hardware y funciona como una superposición en la nube en la red que ya posee. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Shield actúa en la capa DNS, por lo que se configura por SSID sin necesidad de hardware nuevo. Sus puntos de acceso, switches y controladores se mantienen en su lugar.

¿Podemos ejecutar Shield y Cisco Umbrella al mismo tiempo?

Sí, y para entornos mixtos suele ser el diseño más limpio. Mantenga Umbrella en los SSID corporativos y laptops administradas, donde las licencias por usuario y la protección contra itinerancia se ajustan mejor. Ejecute Shield en los SSID de invitados y públicos, donde las personas que se conectan son anónimas y variables. Los SSID y VLAN independientes mantienen separadas las dos políticas. Cada red utiliza entonces el resolutor adecuado para las personas que la utilizan.

¿Cuánto tiempo toma implementar Shield?

Minutos por SSID. Shield no requiere hardware ni software en los dispositivos de los visitantes, por lo que la implementación es un cambio de configuración en lugar de un proyecto completo. Un entorno multisitio puede proteger cada red de invitados en una sola ventana de mantenimiento. La documentación de soporte de Purple cubre los pasos de configuración para su hardware. La política se administra de forma centralizada una vez que cada SSID está activo.

¿Cómo afecta el DNS de protección al GDPR y al manejo de datos?

Trate los registros de consultas DNS como datos personales cuando se puedan vincular a un dispositivo y configure la retención según corresponda. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR, y Shield se ubica dentro de ese marco. Para cualquier proveedor, pregunte dónde se almacenan los registros, cuánto tiempo se conservan y quién puede acceder a ellos. Luego, registre las respuestas en su evaluación de impacto de protección de datos.

¿Pueden los visitantes eludir el filtrado DNS en la WiFi de invitados?

Algunos pueden intentarlo, principalmente mediante el uso de DNS sobre HTTPS o una VPN que envíe las búsquedas a otro resolutor. Esto se reduce bloqueando los puntos de acceso DoH conocidos y los resolutores públicos en la VLAN de invitados. Eso fuerza las búsquedas a través de su servicio de DNS de protección. Ningún filtro DNS detiene todos los intentos decididos de evasión. Combinado con controles de red, cubre a la mayoría de los visitantes en la mayoría de los dispositivos.