Una alternativa a Cisco Umbrella para WiFi de invitados

Elija Purple Shield si necesita un DNS de protección para invitados anónimos en redes WiFi públicas. Aplica una política por SSID y VLAN, sin agentes ni hardware nuevo. Proviene de la plataforma que ya opera en más de 80,000 establecimientos en 90 países. Elija Cisco Umbrella si desea asegurar a empleados identificados y dispositivos gestionados dentro de un programa SASE más amplio.

La respuesta corta sobre las alternativas a Cisco Umbrella para WiFi para invitados

Cisco Umbrella es un producto maduro que resuelve un problema diferente. Surgió de OpenDNS, que Cisco adquirió en 2015. Ahora forma parte del portafolio SASE (Secure Access Service Edge) de Cisco, el cual ofrece redes y seguridad de manera conjunta desde la nube. Su entorno ideal es un equipo de trabajo conocido: empleados identificados, computadoras portátiles gestionadas, sucursales y personal en itinerancia, todos vinculados a un directorio.

El WiFi para invitados rompe con esas premisas. Las personas en su red son anónimas y cambian a cada hora. La afluencia varía según los eventos y las temporadas. Los visitantes no instalan ningún agente ni tienen una cuenta en su directorio. Una licencia que se calcula por usuario no tiene una base estable para realizar el cómputo.

Purple Shield es un DNS de protección diseñado para esa situación. El DNS de protección filtra amenazas y contenido no deseado cuando un dispositivo busca un nombre de dominio. Usted establece una política por SSID, por VLAN (LAN virtual, un segmento de red separado lógicamente) y por establecimiento. Shield opera desde la misma plataforma que su portal cautivo, la página de inicio de sesión que ven los invitados antes de conectarse a Internet.

La respuesta depende de la identidad. Si las personas a las que protege tienen cuentas que usted gestiona, el modelo de Umbrella se adapta a sus necesidades. Si son visitantes a los que no puede identificar, el modelo de Shield es el adecuado. Para ver la comparación completa, lea Shield frente a Cisco Umbrella. Para conocer el mercado en general, comience con nuestra visión general de alternativas de filtrado de DNS.

En qué comparamos Shield y Umbrella, y por qué

Por qué la ubicación es lo primero

El DNS de protección actúa cuando un dispositivo consulta dónde se ubica un dominio. Esa búsqueda se realiza antes de que se abra cualquier conexión. Si el dominio es malicioso o incumple las políticas, el resolutor lo rechaza y el dispositivo nunca se conecta. Por lo general, un firewall evalúa el tráfico después de que se inicia una sesión, y la mayor parte de ese tráfico ahora está cifrado. El filtrado en la resolución detiene el phishing, el malware y los dominios de comando y control antes de que lleguen al perímetro. El Centro Nacional de Ciberseguridad del Reino Unido opera su servicio de DNS de protección para el sector público bajo este mismo principio.

Tanto Shield como Umbrella filtran en la capa de DNS. La diferencia radica en todo lo que envuelve a esa capa.

Los criterios que evaluamos

Fijamos ocho criterios antes de evaluar cualquiera de los productos. Cada opción se evalúa únicamente a partir de su propio material público: documentación de Cisco Umbrella e información del producto de Purple.

1. En qué parte de la conexión se realiza el filtrado.
2. A quién está diseñado para proteger el producto.
3. Si los dispositivos de los visitantes necesitan un agente.
4. La unidad a la que se adjunta una política.
5. La unidad de licencia.
6. Si los precios están publicados.
7. Alcance más allá del DNS.
8. Integración con el hardware y la infraestructura de invitados que ya opera.

No mostramos precios de competidores. Cisco cotiza Umbrella a través de su propio equipo y socios, por lo que cualquier cifra no sería verificable y quedaría desactualizada rápidamente. Si está evaluando otros proveedores, consulte las alternativas a DNSFilter y Cloudflare Gateway vs Purple Shield.

Shield vs Cisco Umbrella: la matriz comparativa

La siguiente matriz es la forma más rápida de ver a qué objetivo se dirige cada producto.

Léalo como dos productos que responden a dos preguntas diferentes. Umbrella pregunta quién se está conectando. Shield pregunta en qué red está el dispositivo.

Dónde gana Cisco Umbrella

Si su problema es el personal laboral, Umbrella cubre un terreno que Shield no intenta abarcar.

Control guiado por la identidad para su propio personal

Umbrella vincula la política a las personas. Se integra con servicios de directorio, incluyendo Microsoft Entra ID, para que pueda establecer reglas por persona o grupo. Puede generar informes sobre la actividad de cada empleado. Cisco Secure Client lleva esa protección a las computadoras portátiles fuera de la red corporativa, en casa o en la calle.

Seguridad más allá de la capa DNS

El DNS es solo una capa de Umbrella. Según el paquete, Cisco agrega un gateway web seguro (SWG) que inspecciona el tráfico web cifrado. También agrega un firewall brindado desde la nube y un agente de seguridad de acceso a la nube (CASB) para gobernar el uso de SaaS. Esos son los bloques fundamentales de un programa SASE.

Inteligencia de amenazas y el entorno de Cisco

Umbrella se nutre de Cisco Talos, el grupo de inteligencia de amenazas de Cisco. Cisco documenta integraciones nativas de Umbrella con Cisco Meraki y otros equipos de red de Cisco. Si su equipo de operaciones de seguridad ya trabaja en consolas de Cisco, estandarizar en un solo proveedor tiene un valor real.

Para un equipo de trabajo administrado, Umbrella es una opción sólida, y esta guía no sostiene lo contrario.

Dónde gana Shield en WiFi de invitados

Diseñado para visitantes que no puede identificar

Shield no asume nada sobre la persona en la red: ni cuenta, ni agente, ni registro. La política pertenece a la red. Cada SSID, VLAN y lugar obtiene sus propias reglas desde un solo panel de control. Un hotel podría aplicar una política segura para familias en el SSID de su lobby y una más ligera en la VLAN de sus conferencias.

DNS protectivo sin agente, sin hardware nuevo

Solo apunta el DNS de la red a Shield y la política se aplicará a todos los dispositivos que se conecten. Eso cubre el teléfono de un invitado, una laptop y una smart TV que jamás podrían ejecutar un agente. Shield funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Ejecútalo de forma independiente en cualquier WiFi o agrégalo a Purple Access como un complemento de seguridad para WiFi de invitados.

Una sola plataforma para todo el ecosistema de invitados

Purple ya opera Captive Portals y analíticas de Guest WiFi en más de 80,000 lugares en 90 países. Shield agrega protección dentro de esa misma plataforma. El equipo que gestiona el inicio de sesión de los invitados también establece la política de seguridad, por lo que reemplazas una consola independiente con un solo panel de control.

Detección temprana de amenazas y redes más ligeras

Shield marca los dominios maliciosos en la resolución DNS antes de que se abran las conexiones, deteniendo las amenazas antes de que el tráfico llegue a la red. Con el bloqueo de anuncios activado, Shield suprime las solicitudes publicitarias no deseadas y las consultas de rastreo. En la red de un lugar concurrido, esa capacidad vuelve a estar disponible para los invitados a los que atiendes.

Lo que cuesta operar cada uno: estructura de licencias, no precio

Esta sección no muestra precios. Lo que puedes comparar es la estructura: qué se contabiliza, qué incrementa la factura y qué trabajo queda fuera de la licencia.

Umbrella: usuarios dimensionados para una fuerza laboral

Los paquetes de Umbrella se licencian por usuario, típicamente dimensionados según tu número de empleados nominativos. Eso se adapta a una empresa con una plantilla estable. Resulta incómodo en el vestíbulo de un estadio o en un centro comercial. Allí, el número de fanáticos y compradores aumenta y disminuye con cada evento y temporada.

El trabajo en los puntos de enlace agrega su propio costo. La política por persona y la protección en itinerancia dependen de la implementación de Cisco Secure Client en los dispositivos administrados. Alguien tiene que mantener esa implementación.

Shield: sin usuarios invitados que contabilizar

Shield no cobra por usuario invitado. Lo adquieres como un complemento de seguridad para los planes Connect, Capture o Engage, o de forma independiente en cualquier WiFi. Los invitados no instalan nada, por lo que no hay implementación en puntos de enlace. La página de precios de Shield establece los términos actuales para que puedas presupuestar antes de una llamada de ventas.```pk:table {"caption":"Cómo se estructuran los costos de operación, no cuáles son","asOf":"2026-06-10","columns":[{"key":"d","label":"Generador de costo"},{"key":"u","label":"Cisco Umbrella"},{"key":"s","label":"Purple Shield","highlight":true}],"rows":[["Cómo se adquiere","Cotización de Cisco o un socio de negocio","Complemento para Connect, Capture o Engage, o independiente en cualquier WiFi"],["Qué se contabiliza","Licencias de usuario, típicamente empleados nominativos","Sin licencias de usuario para visitantes"],["Picos de temporada","Los visitantes anónimos no se mapean a una licencia de usuario","Sin conteo de licencias que redimensionar para los picos"],["Nuevo hardware","Ninguno para el DNS de la red","Ninguno; utiliza sus puntos de acceso existentes"],["Trabajo en puntos de enlace","Despliegue de Secure Client para políticas por persona","Ninguno"],["Consolas de administración","Independiente del entorno de WiFi para visitantes","Un solo panel de control con portal cautivo y analíticas"],["Lista de precios","No publicada","Página de precios de Shield"]],"footnote":"Solo estructura. Confirme los términos actuales de licenciamiento de Umbrella con Cisco o un socio autorizado.","download":{"filename":"umbrella-vs-shield-cost-structure.csv"}}

## ¿Cuánto esfuerzo requiere migrar de Umbrella a Shield?

Una migración es un cambio de configuración por cada red de visitantes, no un proyecto de hardware. La mayoría de las propiedades siguen cuatro pasos.

### Mapear lo que realiza Umbrella actualmente

Enliste cada red que resuelve a través de Umbrella y quién la utiliza. Separe las redes del personal de los SSID de visitantes y públicos. Las redes del personal que dependen de la pasarela web o CASB por lo general se mantienen en Umbrella.

### Migrar primero las redes de visitantes

Cree una política de Shield para cada SSID o VLAN de visitantes. Acuerde las categorías de contenido con las operaciones de la propiedad antes de realizar el cambio. Luego, cambie el DNS que asigna cada red de visitantes, generalmente a través de DHCP en su controlador o pasarela. La documentación del fabricante de su hardware cubre los pasos exactos para su plataforma.

### Cerrar las rutas de evasión

```pk:callout
{"tone":"warning","title":"Cierre la evasión de DNS","text":"Cualquier filtro DNS de red, ya sea Shield o Umbrella, puede ser evadido por un dispositivo que utilice su propio resolvedor o DNS sobre HTTPS. Bloquee el DNS saliente hacia otros resolvedores en la pasarela y restrinja los puntos de enlace conocidos de DNS sobre HTTPS donde su firewall lo permita."}

Operar en paralelo y luego realizar la transición definitiva

Realice pruebas desde un dispositivo de visitante en cada SSID y verifique que los bloqueos aparezcan en el panel de control de Purple. Migre las propiedades por etapas, comenzando con una sola ubicación. Una vez que el tráfico de visitantes fluya a través de Shield, elimine las redes de salida de visitantes de su configuración de Umbrella.

Cómo decidir entre Shield y Umbrella

Utilice una sola pregunta como regla de decisión: ¿cada persona en esta red posee una cuenta administrada por usted? Si la respuesta es sí, un producto basado en la identidad como Umbrella es el indicado. Si la respuesta es no, elija Shield.

Muchos entornos utilizan ambos: Umbrella en los dispositivos del personal y Shield en los SSID de invitados. Su siguiente paso es cotizar sus redes de invitados en la página de precios de Shield. Después, lea nuestra guía de seguridad para WiFi empresarial para conocer la segmentación subyacente. Puede encontrar más información sobre la plataforma completa en Purple.

Preguntas frecuentes

¿Cuál es una buena alternativa a Cisco Umbrella para el WiFi de invitados?

Purple Shield es un servicio de DNS de protección diseñado para WiFi público y de invitados, en lugar de una fuerza laboral gestionada. Filtra amenazas y contenido mediante resolución DNS, con una política por SSID, VLAN y sitio. Los dispositivos de los visitantes no requieren ningún agente. Whitbread, AGS Airports y St George's Healthcare NHS Trust lo utilizan. DNSFilter y Cloudflare Gateway también merecen evaluarse para entornos específicos.

¿Por qué Cisco Umbrella no se adapta bien al WiFi de invitados anónimos?

Las funciones más avanzadas de Umbrella asumen que se conoce quién está en la red. Las políticas por persona, la protección en itinerancia y los informes de identidad dependen de un directorio y de Cisco Secure Client en dispositivos gestionados. Los invitados no tienen ninguno de los dos. Puede apuntar el DNS de una red de invitados a Umbrella. Sin embargo, terminará pagando por un producto SASE centrado en la identidad utilizando únicamente su capa DNS, bajo una licencia por usuario.

¿Cómo funciona el licenciamiento por usuario de Umbrella para WiFi público?

Funciona de forma compleja, ya que la licencia cuenta usuarios y el WiFi público no tiene un número fijo de ellos. Cisco comercializa los paquetes de Umbrella a través de su propio equipo y socios mediante cotización, generalmente dimensionados para empleados nombrados. Los visitantes anónimos que cambian cada hora y varían según la temporada no se ajustan fácilmente a esa unidad. Consulte a Cisco o a su socio comercial cómo licenciarían una red de invitados.

¿Existe una alternativa sin hardware a Umbrella para recintos?

Sí. Shield opera en la nube, por lo que no necesita agregar ningún equipo ni reemplazar puntos de acceso. Simplemente apunte el SSID o VLAN para invitados a Shield para la resolución de DNS, generalmente a través de DHCP en su controlador o gateway. Funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, ya sea de forma independiente o junto con Purple Access.

¿Cómo se compara Shield con Umbrella en transparencia de precios?

Shield es más fácil de cotizar desde el principio. Sus términos se establecen en la página de precios de Shield y puede adquirirlo como un complemento para Connect, Capture o Engage, o de forma independiente en cualquier WiFi. El precio de Umbrella se basa en cotizaciones a través de Cisco y sus socios, sin una lista de precios pública. Solo un modelo le permite presupuestar una red de invitados antes de una llamada de ventas.

¿Podemos usar Cisco Umbrella para el personal y Shield para los invitados?

Sí, y para muchas propiedades es la distribución adecuada. Mantenga Umbrella en los dispositivos administrados del personal, donde su gateway web, CASB e integración de directorio justifican su uso. Implemente Shield en los SSID de invitados y públicos, donde los visitantes son anónimos. Cada red se resuelve a través de su propio filtro, por lo que nunca se empalman. Segmente las VLAN para que el tráfico de invitados no pueda llegar a los sistemas del personal.

¿El DNS de protección ayuda con el cumplimiento de GDPR o PCI DSS?

Ayuda al cumplimiento, pero no lo garantiza por sí solo. PCI DSS requiere que segmente los sistemas de pago de las redes de invitados, y el filtrado de DNS agrega un control adicional sobre esa segmentación. Bajo la normativa GDPR, la capa de DNS ve qué dominios solicita un dispositivo, por lo que debe elegir un proveedor con un manejo de datos claro. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials.

¿Qué tanto esfuerzo requiere migrar de Umbrella a Shield?

Es un cambio de configuración por red de invitados, no un proyecto de hardware. Usted crea una directiva de Shield para cada SSID o VLAN, cambia el DNS que asignan esas redes y bloquea las rutas de omisión. Después, realiza una prueba desde un dispositivo de invitado. Las redes del personal en Umbrella se mantienen intactas. La mayor parte del esfuerzo se dedica a auditar qué redes usan Umbrella actualmente y a acordar la directiva de contenido para cada recinto.