Une alternative à Cisco Umbrella pour le WiFi invité

Choisissez Purple Shield si vous avez besoin d'un DNS protecteur pour les visiteurs anonymes sur un réseau WiFi public. Il applique une politique par SSID et VLAN, sans agent ni nouveau matériel. Il provient de la plateforme qui équipe déjà plus de 80 000 établissements dans 90 pays. Choisissez Cisco Umbrella si vous sécurisez des employés identifiés et des appareils gérés dans le cadre d'un programme SASE plus large.

La réponse courte sur les alternatives à Cisco Umbrella pour le WiFi invité

Cisco Umbrella est un produit mature qui résout un problème différent. Il est issu d'OpenDNS, acquis par Cisco en 2015. Il s'inscrit désormais dans le portefeuille SASE (Secure Access Service Edge) de Cisco, qui fournit conjointement la connectivité réseau et la sécurité depuis le cloud. Son domaine de prédilection est un personnel connu : des employés identifiés, des ordinateurs portables gérés, des succursales et du personnel en déplacement, tous liés à un annuaire.

Le WiFi invité remet en cause ces hypothèses. Les personnes présentes sur votre réseau sont anonymes et changent d'une heure à l'autre. La fréquentation varie selon les événements et les saisons. Les visiteurs n'installent aucun agent et ne possèdent aucun compte dans votre annuaire. Une licence calculée par utilisateur n'a aucun élément stable sur lequel se baser.

Purple Shield est un DNS protecteur conçu pour cette situation. Le DNS protecteur filtre les menaces et les contenus indésirables lorsqu'un appareil recherche un nom de domaine. Vous définissez une politique par SSID, par VLAN (LAN virtuel, un segment de réseau séparé logiquement) et par établissement. Shield fonctionne à partir de la même plateforme que votre portail captif, la page de connexion que les visiteurs voient avant d'accéder à Internet.

La réponse dépend de l'identité. Si les personnes que vous protégez disposent de comptes que vous gérez, le modèle d'Umbrella convient. S'il s'agit de visiteurs que vous ne pouvez pas identifier, le modèle de Shield est adapté. Pour une comparaison détaillée, lisez Shield vs Cisco Umbrella. Pour une vue d'ensemble du marché, commencez par notre présentation des alternatives de filtrage DNS.

Sur quoi nous avons comparé Shield et Umbrella, et pourquoi

Pourquoi l'emplacement vient en premier

Le DNS protecteur intervient lorsqu'un appareil demande où se trouve un domaine. Cette recherche s'effectue avant l'ouverture de toute connexion. Si le domaine est malveillant ou enfreint la politique, le résolveur le rejette et l'appareil ne se connecte jamais. Un pare-feu évalue généralement le trafic après le démarrage d'une session, et la majeure partie de ce trafic est désormais chiffrée. Le filtrage lors de la résolution bloque le hameçonnage, les logiciels malveillants et les domaines de commande et contrôle avant qu'ils n'atteignent le périmètre. Le National Cyber Security Centre du Royaume-Uni exploite son service de DNS protecteur pour le secteur public sur ce même principe.

Shield et Umbrella filtrent tous deux au niveau de la couche DNS. La différence réside dans tout ce qui entoure cette couche.

Les critères que nous avons évalués

Nous avons défini huit critères avant d'évaluer chaque produit. Chaque option est notée uniquement à partir de ses propres documents publics : la documentation Cisco Umbrella et les informations produit de Purple.

1. Le niveau où s'effectue le filtrage dans la connexion.
2. Le public que le produit est conçu pour protéger.
3. La nécessité ou non d'un agent pour les appareils des visiteurs.
4. L'unité à laquelle s'attache une politique.
5. L'unité de tarification de la licence.
6. La publication ou non des tarifs.
7. La portée au-delà du DNS.
8. L'intégration avec le matériel et la pile réseau invité déjà en place.

Nous n'affichons aucun prix concurrent. Cisco fournit les devis Umbrella par l'intermédiaire de ses propres équipes et partenaires, de sorte que tout chiffre serait vérifiable avec difficulté et rapidement obsolète. Si vous évaluez d'autres fournisseurs, consultez les alternatives à DNSFilter et Cloudflare Gateway vs Purple Shield.

Shield vs Cisco Umbrella : la matrice comparative

La matrice ci-dessous est le moyen le plus rapide de voir le public cible de chaque produit.

Considérez ces deux produits comme répondant à deux questions différentes. Umbrella demande qui se connecte. Shield demande sur quel réseau se trouve l'appareil.

Les points forts de Cisco Umbrella

Si votre enjeu concerne votre personnel, Umbrella couvre des domaines que Shield ne cherche pas à traiter.

Contrôle axé sur l'identité pour votre propre personnel

Umbrella associe la politique de sécurité aux individus. La solution s'intègre aux services d'annuaire, notamment Microsoft Entra ID, afin que vous puissiez définir des règles par personne ou par groupe. Vous pouvez générer des rapports sur l'activité de chaque employé. Cisco Secure Client étend cette protection aux ordinateurs portables hors du réseau de l'entreprise, à domicile ou en déplacement.

Une sécurité au-delà de la couche DNS

Le DNS constitue une seule couche d'Umbrella. Selon l'offre choisie, Cisco ajoute une passerelle web sécurisée (SWG) qui inspecte le trafic web chiffré. La solution intègre également un pare-feu fourni par le cloud et un courtier de sécurité d'accès au cloud (CASB) pour régir l'utilisation du SaaS. Ce sont les briques fondamentales d'un programme SASE.

Renseignement sur les menaces et l'écosystème Cisco

Umbrella s'appuie sur Cisco Talos, le groupe de renseignement sur les menaces de Cisco. Cisco documente des intégrations natives d'Umbrella avec Cisco Meraki et d'autres équipements réseau Cisco. Si votre équipe d'opérations de sécurité travaille déjà sur les consoles Cisco, la standardisation sur un seul fournisseur présente un réel intérêt.

Pour une main-d'œuvre gérée, Umbrella est un choix crédible, et ce guide ne prétend pas le contraire.

Les points forts de Shield sur le WiFi invité

Conçu pour les visiteurs que vous ne pouvez pas identifier

Shield ne formule aucune hypothèse sur la personne présente sur le réseau : pas de compte, pas d'agent, pas d'inscription. La politique appartient au réseau. Chaque SSID, VLAN et site obtient ses propres règles depuis un tableau de bord unique. Un hôtel peut appliquer une politique de protection de la famille sur le SSID de son hall d'accueil et une politique plus souple sur le VLAN de sa salle de conférence.

Protective DNS sans agent, sans nouveau matériel

Vous pointez le DNS du réseau vers Shield, et la politique s'applique à chaque appareil qui se connecte. Cela couvre le téléphone d'un visiteur, un ordinateur portable et une Smart TV qui ne pourraient jamais exécuter d'agent. Shield fonctionne sur les réseaux Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Exécutez-le de manière autonome sur n'importe quel réseau WiFi, ou ajoutez-le à Purple Access en tant qu'extension de sécurité pour WiFi invité.

Une plateforme unique pour l'ensemble de la pile invité

Purple gère déjà les Captive Portals et l'analyse du Guest WiFi sur plus de 80 000 sites dans 90 pays. Shield ajoute une protection au sein de cette même plateforme. L'équipe qui gère la connexion des invités définit également la politique de sécurité, ce qui vous permet de remplacer une console distincte par un seul tableau de bord.

Signalement précoce des menaces et réseaux plus légers

Shield signale les domaines malveillants lors de la résolution DNS avant l'ouverture des connexions, arrêtant les menaces avant que le trafic n'atteigne le réseau. Lorsque le blocage des publicités est activé, Shield supprime les requêtes publicitaires indésirables et les requêtes de suivi. Sur le réseau d'un site très fréquenté, cette capacité est restituée aux invités que vous servez.

Coût de fonctionnement : structure de licence, pas tarif

Cette section ne présente aucun prix. Ce que vous pouvez comparer, c'est la structure : ce que vous comptez, ce qui augmente la facture et le travail qui se situe en dehors de la licence.

Umbrella : des postes dimensionnés pour un effectif

Les forfaits Umbrella sont sous licence par poste, généralement dimensionnés selon votre nombre d'employés nominatifs. Cela convient à une entreprise dont l'effectif est stable. La formule est moins adaptée à la tribune d'un stade ou à un centre commercial. Là-bas, le nombre de supporters et de clients varie à chaque match et à chaque saison.

Le travail sur les terminaux engendre ses propres coûts. La politique par personne et la protection en itinérance dépendent du déploiement de Cisco Secure Client sur les appareils gérés. Quelqu'un doit maintenir ce déploiement.

Shield : aucun poste invité à compter

Shield n'impose pas de poste par invité. Vous l'achetez sous forme d'extension de sécurité pour les forfaits Connect, Capture ou Engage, ou de manière autonome sur n'importe quel réseau WiFi. Les invités n'installent rien, il n'y a donc pas de déploiement sur les terminaux. La page des tarifs Shield détaille les conditions actuelles, afin que vous puissiez établir votre budget avant un appel commercial.

Quel effort représente la migration d'Umbrella vers Shield ?

Une migration est un changement de configuration par réseau invité, pas un projet matériel. La plupart des parcs suivent quatre étapes.

Cartographier ce qu'Umbrella fait aujourd'hui

Listez chaque réseau dont la résolution passe par Umbrella et qui l'utilise. Séparez les réseaux du personnel des SSID invités et publics. Les réseaux du personnel qui dépendent de la passerelle web ou du CASB restent généralement sur Umbrella.

Migrer d'abord les réseaux invités

Créez une politique Shield pour chaque SSID ou VLAN invité. Validez les catégories de contenu avec les équipes d'exploitation des sites avant de basculer. Modifiez ensuite le DNS fourni par chaque réseau invité, généralement via DHCP sur votre contrôleur ou passerelle. La documentation de votre fournisseur de matériel couvre les étapes exactes pour votre plateforme.

Fermer les voies de contournement

Exécuter en parallèle, puis basculer

Effectuez des tests depuis un appareil invité sur chaque SSID et vérifiez que les blocages apparaissent dans le tableau de bord Purple. Migrez les sites par vagues, en commençant par un seul site. Une fois que le trafic invité passe par Shield, supprimez les réseaux de sortie invités de votre configuration Umbrella.

Comment choisir entre Shield et Umbrella

Utilisez une seule question comme règle de décision : chaque personne sur ce réseau possède-t-elle un compte que vous gérez ? Si oui, un produit basé sur l'identité comme Umbrella convient. Si non, choisissez Shield.

De nombreux sites utilisent les deux : Umbrella sur les appareils du personnel, Shield sur les SSID invités. Votre prochaine étape consiste à évaluer le coût de vos réseaux invités sur la page des tarifs Shield. Consultez ensuite notre guide de sécurité WiFi pour entreprises pour découvrir la segmentation sous-jacente. Vous pouvez en savoir plus sur la plateforme globale sur Purple.

Foire aux questions

Quelle est une bonne alternative à Cisco Umbrella pour le WiFi invité ?

Purple Shield est un service DNS de protection conçu pour le WiFi invité et public plutôt que pour un personnel géré. Il filtre les menaces et les contenus lors de la résolution DNS, avec une politique appliquée par SSID, VLAN et site. Les appareils des visiteurs n'ont besoin d'aucun agent. Whitbread, AGS Airports et St George's Healthcare NHS Trust l'utilisent. DNSFilter et Cloudflare Gateway méritent également d'être sélectionnés pour certains sites spécifiques.

Pourquoi Cisco Umbrella est-il mal adapté au WiFi invité anonyme ?

Les fonctionnalités les plus avancées d'Umbrella reposent sur le fait de savoir qui est connecté au réseau. Les politiques par personne, la protection en itinérance et les rapports d'identité s'appuient sur un annuaire et sur Cisco Secure Client installé sur des appareils gérés. Les invités ne disposent ni de l'un ni de l'autre. Vous pouvez pointer le DNS d'un réseau invité vers Umbrella. Mais vous payez alors pour un produit SASE fondé sur l'identité tout en n'utilisant que sa couche DNS, dans le cadre d'une licence par utilisateur.

Comment fonctionne la tarification par utilisateur d'Umbrella pour le WiFi public ?

Elle fonctionne difficilement, car la licence compte les utilisateurs alors que le WiFi public n'a pas d'utilisateurs fixes. Cisco vend les offres Umbrella par l'intermédiaire de ses propres équipes et partenaires sur devis, généralement dimensionnés pour des employés identifiés. Les visiteurs anonymes qui changent toutes les heures et varient selon la saison ne correspondent pas clairement à cette unité. Demandez à Cisco ou à votre partenaire comment ils délivreraient une licence pour un réseau invité.

Existe-t-il une alternative sans matériel à Umbrella pour les sites d'accueil ?

Oui. Shield fonctionne dans le cloud, vous n'avez donc aucun équipement à ajouter ni aucun point d'accès à remplacer. Vous pointez le SSID ou le VLAN visiteurs vers Shield pour le DNS, généralement via DHCP sur votre contrôleur ou votre passerelle. Cela fonctionne sur les réseaux Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet, de manière autonome ou aux côtés de Purple Access.

Comment Shield se compare-t-il à Umbrella en matière de transparence des prix ?

Il est plus simple d'évaluer le prix de Shield au préalable. Ses conditions sont détaillées sur la page des tarifs de Shield, et vous pouvez l'acheter sous forme de module complémentaire pour Connect, Capture ou Engage, ou de manière autonome sur n'importe quel WiFi. La tarification d'Umbrella est établie sur devis par l'intermédiaire de Cisco et de ses partenaires, sans grille tarifaire publique. Un seul modèle vous permet de budgétiser un réseau visiteurs avant un appel commercial.

Pouvons-nous exécuter Cisco Umbrella pour le personnel et Shield pour les visiteurs ?

Oui, et c'est la répartition idéale pour de nombreux sites. Conservez Umbrella sur les appareils gérés du personnel, où sa passerelle web, son CASB et son intégration d'annuaire justifient pleinement leur présence. Déployez Shield sur les SSID visiteurs et publics, où les utilisateurs sont anonymes. Chaque réseau effectue ses résolutions via son propre filtre, afin que les deux ne se chevauchent jamais. Segmentez les VLAN pour que le trafic visiteurs ne puisse pas atteindre les systèmes du personnel.

Le DNS protecteur aide-t-il à se conformer au GDPR ou à la norme PCI DSS ?

Il soutient la conformité, mais ne la garantit pas à lui seul. La norme PCI DSS exige que vous segmentiez les systèmes de paiement des réseaux visiteurs, et le filtrage DNS ajoute un contrôle au-dessus de cette segmentation. Conformément au GDPR, la couche DNS voit quels domaines un appareil demande ; choisissez donc un sous-traitant disposant de consignes claires en matière de traitement des données. Purple bénéficie des certifications ISO 27001, GDPR, CCPA et Cyber Essentials.

Quel effort représente la transition d'Umbrella vers Shield ?

Il s'agit d'une modification de configuration par réseau visiteurs, et non d'un projet matériel. Vous créez une stratégie Shield pour chaque SSID ou VLAN, vous remplacez le DNS distribué par ces réseaux et vous bloquez les routes de contournement. Ensuite, vous effectuez des tests depuis un appareil visiteur. Les réseaux du personnel gérés sous Umbrella restent inchangés. La majeure partie de l'effort consiste à auditer les réseaux qui utilisent Umbrella aujourd'hui et à valider la politique de contenu de chaque site.