Shield vs Cisco Umbrella: scelta del DNS protettivo per il WiFi ospiti

Scegli Shield per il WiFi ospiti su immobili multi-sito che richiedono una distribuzione rapida senza hardware, agenti o costi per utente. Scegli Cisco Umbrella quando devi proteggere gli endpoint aziendali e costruire uno stack SASE. Purple si integra con piattaforme come Cisco Meraki e si allinea a standard quali Keeping Children Safe in Education, supportato dalla certificazione ISO 27001.

Quale dovresti scegliere: Shield o Cisco Umbrella per il WiFi ospiti?

La scelta corretta dipende da chi stai proteggendo. Chiediti se si tratta dei tuoi dipendenti o del pubblico che varca la tua soglia.

Cisco Umbrella è nato come OpenDNS prima di essere acquisito da Cisco. Si è evoluto in una piattaforma security service edge per reti aziendali e forza lavoro ibrida. Protegge le persone che Cisco può contare, identificare e associare a una politica, ovunque si sposti il loro laptop.

Shield è il servizio di DNS protettivo di Purple per le reti ospiti e pubbliche. Si attiva per singolo SSID (il nome della rete a cui si collega un dispositivo). Filtra minacce e contenuti inappropriati, oltre a bloccare gli annunci pubblicitari per chiunque sia connesso a quella rete. Nessuno deve installare nulla. Nessuno deve essere contato.

Entrambi i servizi svolgono la stessa funzione principale. Un DNS protettivo è un risolutore che verifica ogni ricerca di dominio rispetto a elenchi di minacce e contenuti. Si rifiuta di rispondere per i domini bloccati, impedendo al dispositivo di connettersi. Le differenze risiedono attorno a questo nucleo: le modalità di acquisto, di distribuzione e le funzionalità aggiuntive incluse.

Se gestisci il WiFi ospiti in hotel, negozi, stazioni, scuole o cliniche, di norma stai acquistando per una moltitudine di persone, non per un numero fisso di utenti. Questo è il punto di vista adottato per il resto della guida.

Dove Shield e Cisco Umbrella si differenziano davvero

Dove avviene il filtraggio e cosa sfugge a un firewall

Entrambi i servizi intervengono durante la ricerca DNS. Quando uno smartphone vuole aprire un sito, chiede prima a un risolutore l'indirizzo IP del dominio. Un risolutore DNS protettivo verifica il dominio prima di rispondere. Se il dominio è dannoso o bloccato dalle politiche aziendali, la ricerca fallisce e non viene stabilita alcuna connessione. Per i dettagli tecnici, consulta Cos'è una ricerca DNS e perché le reti la utilizzano.

Un firewall interviene più tardi nella sequenza. Ispeziona il traffico dopo l'avvio di una connessione. La maggior parte del traffico web utilizza ora la crittografia TLS, quindi un firewall senza decrittografia vede un indirizzo IP e poco altro. Decrittografare il traffico degli ospiti è comunque poco pratico. Non è possibile installare un certificato radice sullo smartphone personale di un visitatore.

Il blocco basato su IP incontra difficoltà anche con l'hosting condiviso. Più domini possono risiedere dietro un singolo indirizzo di rete per la distribuzione dei contenuti. Bloccando l'IP si rischia di compromettere siti legittimi, mentre autorizzandolo si lascia passare il dominio dannoso.

Il DNS individua il nome del dominio stesso, prima che qualsiasi dato venga trasferito. Ecco perché il DNS protettivo è ideale per le reti aperte in cui non si possiedono i dispositivi connessi.

Sii chiaro anche riguardo ai limiti. Il filtraggio DNS decide per dominio, non per pagina. Non può bloccare un singolo percorso su un sito altrimenti consentito. I dispositivi che utilizzano DNS crittografati, come DNS over HTTPS (DoH), possono tentare di aggirare il tuo risolutore. La nostra guida su DNS Over HTTPS Explained: Privacy vs Public WiFi Filtering illustra come gli operatori gestiscono questo aspetto.

Unità di licenza: postazioni rispetto a reti

Questa è la differenza che conta di più per il WiFi ospiti.

Cisco non pubblica il listino prezzi per Umbrella. Si acquista tramite la forza vendita Cisco o un rivenditore, sulla base di un preventivo. I pacchetti includono DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage, ciascuno con funzionalità e opzioni di durata diverse.

Umbrella è concesso in licenza per postazione. Questo modello si adatta a un'azienda con un numero noto di dipendenti. Si adatta male quando la tua rete serve un piccolo pubblico in un giorno tranquillo e migliaia di visitatori in un giorno di massimo afflusso. Chiedi al tuo rivenditore come le reti ospiti vengono conteggiate rispetto alle postazioni. La risposta determina l'intero preventivo.

Shield è invece dimensionato in base alla rete. Lo abiliti sugli SSID che desideri proteggere. Un fine settimana di intensa attività non modifica ciò che conteggi.

Impegno di distribuzione

Umbrella offre diversi percorsi di distribuzione. Puoi puntare il DNS di rete su Umbrella e registrare i tuoi indirizzi IP di uscita. Puoi aggiungere virtual appliance per attribuire gli indirizzi IP interni. Puoi distribuire il modulo di roaming in Cisco Secure Client sui laptop gestiti. Questa flessibilità è un punto di forza per l'IT aziendale. Significa anche più lavoro di progettazione, documentazione e manutenzione.

Shield si distribuisce per SSID in pochi minuti senza hardware e senza agenti. Purple è indipendente dall'hardware e funziona come overlay cloud. Funziona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. I tuoi access point esistenti rimangono al loro posto.

Blocco degli annunci e esperienza degli ospiti

Il blocco degli annunci è una funzionalità per le reti ospiti, non per quelle aziendali. Shield blocca i domini di annunci e tracker durante la ricerca, in modo che le pagine si carichino in modo più leggero sulla larghezza di banda condivisa.

Bloccando i domini pubblicitari e di tracciamento a livello di risolutore, Shield offre tempi di caricamento delle pagine più rapidi, un consumo di dati ridotto e un numero inferiore di query DNS, riducendo al contempo il volume complessivo del traffico web. Su una rete alberghiera intasata o su un treno con connessione cellulare, questa è capacità che recuperi senza nuovo hardware.

Umbrella non è posizionato come un prodotto per il blocco degli annunci. Puoi bloccare domini selezionati tramite i suoi elenchi di destinazione, ma si tratta di un elenco manuale che devi gestire tu.

Rilevamento delle minacce

Umbrella si avvale di Cisco Talos, uno dei più grandi team commerciali di threat intelligence. Questa profondità è un vero punto di forza.

Shield segnala tempestivamente i domini emergenti di phishing e malware, aiutando a proteggere i dispositivi degli ospiti non gestiti che non puoi aggiornare. Per una panoramica più ampia delle opzioni, consulta Phishing Protection Software Options for Shared WiFi.

Standard di filtraggio per la sicurezza della famiglia

Il WiFi pubblico nei luoghi in cui si connettono i bambini comporta responsabilità aggiuntive. Le scuole in Inghilterra devono soddisfare gli standard di filtraggio e monitoraggio del Department for Education previsti da Keeping Children Safe in Education. Le strutture guardano spesso allo schema Friendly WiFi del Regno Unito come segnale pubblico di navigazione sicura.

Entrambi i servizi filtrano per categoria di contenuto. Chiedete a ciascun fornitore come le sue categorie si mappano allo standard a cui dovete rispondere. Richiedete prove concrete, non un semplice sì.

Confronto affiancato

Criterio	Shield	Cisco Umbrella
Centro di progettazione	WiFi per ospiti e pubblico	Endpoint aziendali e forza lavoro ibrida
Dove avviene il filtraggio	Lookup DNS, prima della connessione	Lookup DNS, più proxy web nei pacchetti SIG
Prezzi pubblicati	Commisurati a sedi e SSID, preventivati da Purple	Nessun listino prezzi; preventivo tramite Cisco o rivenditore
Unità di licenza	Per SSID	Per utente/postazione
Distribuzione per un SSID ospiti	Minuti, per SSID	Registrazione di reti e DNS; appliance opzionali
Hardware aggiuntivo	Nessuno	Nessuno per il DNS; virtual appliance per l'attribuzione interna
Agenti sui dispositivi	Nessuno	Cisco Secure Client per la protezione fuori rete
Blocco degli annunci	Integrato	Manuale, tramite elenchi di destinazione
Protezione fuori rete	Non applicabile ai dispositivi degli ospiti	Sì, tramite il modulo roaming
Stack di sicurezza più ampio	Livello DNS, con componenti aggiuntivi Purple SecurePass e Verify	SWG, CASB, FWaaS, ZTNA nei pacchetti superiori
Scelta migliore	Strutture per ospiti multi-sede con affluenza variabile	Organizzazioni che proteggono il personale nominativo ovunque

Quando Shield è la scelta giusta?

Shield è adatto quando la vostra rete serve persone che non impiegate e che non potete calcolare in anticipo. Diverse situazioni lo dimostrano chiaramente.

Gestite il WiFi per ospiti in molte sedi

Una struttura multi-sede ha bisogno della stessa policy ovunque e di un unico punto di gestione. Con Shield, l'unità di distribuzione è l'SSID. L'implementazione in un nuovo hotel, negozio o stazione è una modifica di configurazione, non un processo di acquisto. Visualizzate ogni sede attraverso la stessa piattaforma Purple che gestisce il vostro Guest WiFi.

La vostra affluenza varia in base alla stagione o agli eventi

Parchi vacanze, stadi, centri commerciali e attrazioni turistiche vedono moltiplicarsi le presenze nei giorni di punta. Le licenze basate sulle postazioni vi costringono a indovinare quel picco e a pagarlo per tutto l'anno. La protezione a livello di rete elimina questa incertezza.

Non potete intervenire sui dispositivi

Ospiti, acquirenti, passeggeri e pazienti portano i propri telefoni. Non potete installare un agente su di essi e non dovreste nemmeno provarci. La protezione a livello DNS funziona per ogni dispositivo che si connette all'SSID, senza nulla da installare.

La banda è limitata o a consumo

Il blocco degli annunci si ripaga da solo dove la connettività di backhaul è scarseggiante. Treni su connessioni cellulari, siti di eventi temporanei e location rurali sono tutti contesti adatti. Ridurre il traffico web non necessario recupera capacità senza richiedere nuovi circuiti.

Quando Cisco Umbrella è la scelta giusta?

Umbrella è la scelta migliore in diverse situazioni, e un confronto onesto deve riconoscerlo.

Stai proteggendo la forza lavoro aziendale

Se la tua priorità sono i laptop del personale in ufficio, a casa e in viaggio, Umbrella è progettato per questo. Il modulo di roaming mantiene attiva la policy anche fuori dalla rete. La policy si collega alle identità del tuo directory, inclusi Microsoft Entra ID e Okta.

Desideri un percorso verso SASE

Il Secure Access Service Edge (SASE) combina rete e sicurezza in un unico servizio cloud. I pacchetti superiori di Umbrella si estendono dalla sicurezza DNS a un Secure Web Gateway (SWG) che esegue il proxy e l'ispezione del traffico web. Aggiungono un Cloud Access Security Broker (CASB), che regola l'uso delle app cloud. Includono anche Firewall as a Service (FWaaS) e, attraverso il portafoglio più ampio di Cisco, Zero Trust Network Access (ZTNA) per le applicazioni private. Se stai consolidando tale stack, un servizio DNS solo per ospiti non lo sostituirà.

Hai uno standard basato sulla sicurezza Cisco

Le organizzazioni che utilizzano già gli strumenti di sicurezza Cisco traggono vantaggio dalla threat intelligence condivisa tramite Talos. Beneficiano inoltre del supporto di un singolo fornitore e di un rapporto di rivendita esistente.

Hai bisogno di un'ispezione a livello di pagina sui dispositivi gestiti

Il DNS decide per dominio. Se la policy richiede l'ispezione di singoli URL o download di file sui dispositivi aziendali, hai bisogno di un proxy. I pacchetti SIG di Umbrella ne forniscono uno. Questo ha senso sui dispositivi di tua proprietà e gestiti. Raramente ha senso sui telefoni degli ospiti.

Quanto costa gestire Shield e Cisco Umbrella?

Il prezzo di listino è solo una voce. Il costo totale deriva da diversi componenti.

Costo della licenza

Il costo di Umbrella dipende dal pacchetto, dal numero di postazioni, dalla durata e dal margine del rivenditore. Poiché il prezzo è fornito solo su preventivo, non puoi prevederlo da un sito web. Hai bisogno di un colloquio commerciale e di un numero di postazioni difendibile. Per il WiFi ospiti, quel numero è la cosa più difficile da generare.

Il costo di Shield scala in base ai siti e agli SSID che proteggi. Puoi prevederlo dall'elenco delle tue proprietà. Richiedi i prezzi attuali a Purple tramite la pagina di Shield.

Tempo di implementazione e manutenzione

L'implementazione di rete di Umbrella è semplice per il solo DNS. Ogni componente aggiuntivo comporta progettazione e manutenzione: appliance virtuali, client roaming, concatenamento di proxy e gestione dei certificati. Per l'IT aziendale dotato di un team di sicurezza, si tratta di un lavoro normale. Per un gestore di strutture con un solo amministratore di rete, è un costo reale.

Shield non aggiunge hardware né agenti. Lo configuri per SSID e gestisci la policy in modo centralizzato.

BANDA RECUPERATA

Il blocco degli annunci pubblicitari si riflette sulla bolletta della larghezza di banda. Il blocco degli annunci riduce il consumo complessivo di dati e il volume del traffico web con Shield. Sulle connessioni a consumo, confronta questo dato con la spesa mensile per il traffico extra.

Rischio sostenuto

Calcola il rischio che sostieni quando manca il filtraggio. Ciò include il malware che raggiunge la rete, i reclami per contenuti inappropriati e le revisioni di tutela della sicurezza fallite. Entrambi i servizi riducono tale rischio. La domanda è quale dei due puoi permetterti di eseguire su ogni SSID ospiti, in ogni sito, tutto l'anno.

Come decidere per la propria struttura?

Inizia ponendoti alcune domande chiave. Chi si connette: dipendenti identificabili o il pubblico? Dove si connettono: laptop aziendali gestiti ovunque o dispositivi personali all'interno delle tue sedi? Di cosa hai bisogno oltre al DNS: una roadmap SASE o protezione e caricamento più rapido delle pagine sulle reti ospiti?

Matrice decisionale

La tua situazione	Raccomandazione
Solo WiFi per ospiti, multi-sito, afflusso variabile	Shield
Laptop aziendali fuori rete, personale identificato	Cisco Umbrella
Reti per ospiti e personale, SSID separati	Shield su SSID ospiti, Umbrella su quelli aziendali
Consolidamento di SWG, CASB e FWaaS	Cisco Umbrella
Connessione a consumo o backhaul cellulare	Shield, per il blocco delle inserzioni pubblicitarie
Presenza di minori, necessario un filtraggio sicuro per le famiglie	Shield su SSID pubblici, mappato sul tuo standard
MSP che gestisce molte sedi di piccole dimensioni	Shield, ambito per-SSID per sito cliente

Scenario pratico: gruppo alberghiero con occupazione stagionale

Situazione. Un gruppo alberghiero utilizzava Umbrella per i laptop della sede centrale. Il responsabile della sicurezza ha chiesto al rivenditore di estenderlo al WiFi per gli ospiti. Il preventivo richiedeva una stima delle licenze utente per gli ospiti. L'occupazione variava notevolmente dalla bassa stagione ai picchi estivi, oltre ai picchi per i congressi. Nessuno era in grado di giustificare una cifra precisa.

Azione intrapresa. Il gruppo ha mantenuto Umbrella sui dispositivi aziendali. Ha attivato Shield sull'SSID per gli ospiti in tutti gli hotel durante un'unica finestra di manutenzione, utilizzando la stessa piattaforma Purple che gestisce il Captive Portal. Il Captive Portal è la pagina di accesso che gli ospiti visualizzano quando si connettono. Nessun hardware è stato spedito nelle sedi e nessun ospite ha dovuto installare nulla.

Risultato. Il gruppo ha protetto le sue reti ospiti senza agenti e senza nuovo hardware. Ha eliminato completamente la previsione sulle licenze dal budget per gli ospiti. Il team di rete ha stabilito una linea di base per il traffico web degli ospiti e ha riscontrato un risparmio di banda significativo. Il risultato ha fornito al team di rete elementi chiari da presentare alla successiva revisione della capacità.

Scenario pratico: biblioteche comunali e centri sportivi

Situazione. Un ente locale offriva WiFi pubblico nelle sue biblioteche e nei centri sportivi. Entrambi erano frequentati da minori. L'ente necessitava di un filtraggio sicuro per le famiglie e desiderava unificare tutte le sedi sotto un'unica policy. L'amministratore di rete non poteva occuparsi della manutenzione di client roaming o appliance.

Azione intrapresa. L'ente ha attivato Shield sull'SSID pubblico di ciascuna sede e ha applicato un'unica policy sicura per le famiglie. I dispositivi del personale sono rimasti su un SSID separato gestito dai controlli aziendali esistenti. Il team di rete ha bloccato gli endpoint DoH noti sulla VLAN pubblica, il segmento di rete virtuale che separa il traffico pubblico da quello del personale. Ciò ha impedito ai dispositivi di aggirare il resolver.

Risultato. Tutte le sedi utilizzavano un'unica policy, gestita da un solo punto, senza alcun software sui dispositivi dei visitatori. L'ente ha potuto mostrare al proprio responsabile della tutela dei minori una configurazione di filtraggio unica e documentata. Il blocco DoH ha eliminato la via di aggiramento più comune sulla rete pubblica.

Scenario pratico: festival su backhaul cellulare

Situazione. Un festival offriva il WiFi ai partecipanti tramite collegamenti cellulari aggregati. I dati erano a consumo e durante gli eventi precedenti i collegamenti si saturavano nelle ore di punta.

Cosa è stato fatto. L'organizzatore ha abilitato Shield sull'SSID dei partecipanti prima dell'apertura dei cancelli. I domini di annunci pubblicitari e tracciamento sono stati bloccati alla risoluzione DNS, insieme ai domini di phishing noti che prendevano di mira le pagine di biglietteria e pagamento.

Risultato. L'organizzatore ha confrontato l'uso dei dati con il parametro di riferimento precedente, ottenendo caricamenti delle pagine più rapidi e un consumo di dati inferiore. Licenziare una folla da festival per singola postazione avrebbe significato dovere prevedere l'affluenza prima dell'esaurimento dei biglietti.

Domande da porre a entrambi i fornitori

• Come viene calcolata una rete guest ai fini delle licenze e cosa succede in una giornata di picco?
• Quanto tempo richiede l'implementazione per un SSID e cosa deve essere installato?
• In che modo le vostre categorie di contenuto si sovrappongono allo standard di protezione della famiglia a cui dobbiamo rispondere?
• Come gestite i dispositivi che utilizzano DNS over HTTPS?
• Dove vengono archiviati i registri delle query, per quanto tempo e con quale certificazione?

Se anche DNSFilter è tra le tue opzioni, leggi Shield vs DNSFilter: un confronto tra DNS protettivi per operatori WiFi. Per altre guide decisionali, sfoglia Tutte le guide.

Domande frequenti

Esiste un'alternativa a Cisco Umbrella per il WiFi ospiti?

Sì. Shield è il servizio DNS protettivo di Purple progettato per il WiFi ospiti e pubblico anziché per gli endpoint aziendali. Si abilita per SSID in pochi minuti, senza hardware e senza agenti sui dispositivi dei visitatori. Filtra le minacce e i contenuti inappropriati e blocca gli annunci pubblicitari alla risoluzione DNS. Molte organizzazioni mantengono Umbrella sui dispositivi del personale ed eseguono Shield sulle reti guest. In questo modo ogni strumento svolge il lavoro per cui è stato progettato.

Come viene calcolato il prezzo di Cisco Umbrella per il WiFi ospiti?

Cisco Umbrella non ha un prezzo di listino pubblico. L'acquisto avviene tramite la forza vendita Cisco o un rivenditore su preventivo, scegliendo tra pacchetti come DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage. Le licenze sono per postazione. Per il WiFi ospiti, chiedi come vengono conteggiati i visitatori anonimi rispetto alle postazioni prima di accettare un preventivo. L'affluenza stagionale o legata agli eventi rende quel numero difficile da prevedere e ancora più difficile da giustificare.

Umbrella è eccessivo per il filtraggio del WiFi pubblico?

Spesso sì, se le reti guest sono tutto ciò che devi proteggere. I punti di forza di Umbrella sono la protezione in roaming per i laptop gestiti, le policy basate sull'identità e un percorso verso SWG, CASB, FWaaS e ZTNA. I dispositivi degli ospiti non usano nessuna di queste funzioni. Per il WiFi pubblico, l'esigenza principale è il filtraggio dei contenuti e delle minacce a livello DNS su ogni dispositivo che si connette. Shield offre questo servizio per SSID senza conteggio delle postazioni o agenti.

Shield funziona con i nostri access point esistenti?

Sì. Purple è indipendente dall'hardware e funziona come overlay cloud sulla rete già esistente. Funziona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Shield agisce a livello DNS, consentendo di configurarlo per ciascun SSID senza aggiungere nuovo hardware. Gli access point, gli switch e i controller rimangono esattamente dove sono.

È possibile eseguire Shield e Cisco Umbrella affiancati?

Sì, e per le infrastrutture miste è spesso la scelta di progettazione più pulita. È possibile mantenere Umbrella sugli SSID aziendali e sui laptop gestiti, dove le licenze basate su postazione e la protezione roaming risultano ideali, ed eseguire Shield sugli SSID ospiti e pubblici, dove le persone che si connettono sono anonime e variabili. SSID e VLAN separati mantengono distinte le due policy. Ciascuna rete utilizzerà così il resolver più adatto agli utenti che la utilizzano.

Quanto tempo richiede la distribuzione di Shield?

Pochi minuti per SSID. Shield non richiede hardware né software sui dispositivi dei visitatori, quindi la distribuzione consiste in una semplice modifica della configurazione anziché in un vero e proprio progetto. Un'infrastruttura multi-sito può proteggere ogni rete ospiti in un'unica finestra di manutenzione. La documentazione di supporto di Purple copre i passaggi di configurazione per il proprio hardware. La policy viene gestita centralmente una volta attivato ciascun SSID.

In che modo il DNS protettivo influisce sul GDPR e sulla gestione dei dati?

I log delle query DNS devono essere trattati come dati personali laddove possano essere collegati a un dispositivo, impostando la conservazione di conseguenza. Purple possiede la certificazione ISO 27001 ed è conforme al GDPR; Shield rientra interamente in questo framework. Per qualsiasi fornitore, è opportuno verificare dove vengono archiviati i log, per quanto tempo vengono conservati e chi vi può accedere, per poi registrare le risposte nella valutazione d'impatto sulla protezione dei dati (DPIA).

I visitatori possono aggirare il filtraggio DNS sulla rete WiFi ospiti?

Alcuni potrebbero tentare, principalmente utilizzando DNS over HTTPS o una VPN che invia le richieste a un altro resolver. È possibile ridurre questo rischio bloccando gli endpoint DoH noti e i resolver pubblici sulla VLAN ospiti. In questo modo si forzano le richieste ad attraversare il servizio DNS protettivo. Nessun filtro DNS impedisce qualsiasi tentativo intenzionale di aggiramento, ma combinato con i controlli di rete, copre la maggior parte dei visitatori sulla maggior parte dei dispositivi.