Un'alternativa a Cisco Umbrella per il WiFi per ospiti WiFi

Scegliere Purple Shield se si necessita di un sistema DNS protettivo per gli ospiti anonimi sulla rete WiFi pubblica. Il sistema applica una politica per SSID e VLAN, senza bisogno di agenti o nuovi hardware. È fornito dalla stessa piattaforma che gestisce già oltre 80.000 sedi in 90 Paesi. Scegliere Cisco Umbrella se si desidera proteggere dipendenti identificati e dispositivi gestiti nell'ambito di un programma SASE più ampio.

Sintesi sulle alternative a Cisco Umbrella per la rete WiFi per ospiti

Cisco Umbrella è un prodotto maturo che risolve un problema diverso. Nasce da OpenDNS, acquisita da Cisco nel 2015, e fa ora parte del portafoglio SASE (Secure Access Service Edge) di Cisco, che offre funzionalità di rete e sicurezza integrate nel cloud. Il suo ambito di elezione è un personale aziendale noto: dipendenti identificati, laptop gestiti, filiali e personale in mobilità, tutti collegati a una directory.

La rete WiFi per ospiti stravolge questi presupposti. Le persone presenti sulla rete sono anonime e cambiano di ora in ora. L'affluenza varia in base agli eventi e alle stagioni. I visitatori non installano alcun agente e non dispongono di un account nella directory aziendale. Una licenza calcolata in base alle postazioni non ha quindi un parametro stabile su cui basarsi.

Purple Shield è un DNS protettivo progettato specificamente per questa situazione. Il DNS protettivo filtra le minacce e i contenuti indesiderati quando un dispositivo effettua la risoluzione di un nome di dominio. È possibile impostare una politica per SSID, per VLAN (LAN virtuale, un segmento di rete logicamente separato) e per sede. Shield opera sulla stessa piattaforma che gestisce il portale captive, ovvero la pagina di accesso visualizzata dagli ospiti prima di potersi connettere a Internet.

La risposta dipende dall'identità. Se le persone da proteggere dispongono di account gestiti dall'organizzazione, il modello di Umbrella è ideale. Se si tratta di visitatori non identificabili, il modello di Shield è il più adatto. Per un confronto completo e dettagliato, consultare la pagina Shield vs Cisco Umbrella. Per una panoramica del mercato in generale, si consiglia di consultare la nostra guida sulle alternative per il filtraggio DNS.

Parametri di confronto tra Shield e Umbrella e relative motivazioni

L'importanza del punto di posizionamento

Il DNS protettivo interviene quando un dispositivo richiede l'indirizzo di un dominio. Tale ricerca avviene prima dell'apertura di qualsiasi connessione. Se il dominio è dannoso o viola la politica aziendale, il resolver rifiuta la richiesta e il dispositivo non si connette. Di norma, un firewall valuta il traffico dopo l'avvio di una sessione, quando la maggior parte di tale traffico è ormai crittografata. Il filtraggio in fase di risoluzione blocca i domini di phishing, malware e command-and-control prima che raggiungano il perimetro di rete. Il National Cyber Security Centre del Regno Unito gestisce il proprio servizio DNS protettivo per il settore pubblico basandosi sullo stesso principio.

Sia Shield che Umbrella effettuano il filtraggio a livello DNS. La differenza risiede in tutte le funzionalità integrate attorno a questo livello.

I criteri che abbiamo valutato

Abbiamo stabilito otto criteri prima di valutare ciascun prodotto. Ogni opzione viene valutata esclusivamente sulla base del proprio materiale pubblico: documentazione Cisco Umbrella e informazioni sul prodotto Purple.

1. Dove avviene il filtraggio nella connessione.
2. Chi il prodotto è progettato per proteggere.
3. Se i dispositivi dei visitatori necessitano di un agent.
4. L'unità a cui si applica una policy.
5. L'unità di licenza.
6. Se i prezzi sono pubblicati.
7. Ambito oltre il DNS.
8. Idoneità con l'hardware e lo stack guest già in uso.

Non mostriamo i prezzi dei concorrenti. Cisco richiede preventivi per Umbrella tramite il proprio team e i propri partner, pertanto qualsiasi cifra non sarebbe verificabile e diventerebbe rapidamente obsoleta. Se stai valutando altri fornitori, consulta alternative a DNSFilter e Cloudflare Gateway vs Purple Shield.

Shield vs Cisco Umbrella: la matrice di confronto

La matrice sottostante è il modo più rapido per vedere a chi si rivolge ciascun prodotto.

Vanno considerati come due prodotti che rispondono a due esigenze diverse. Umbrella si chiede chi si sta connettendo. Shield si chiede a quale rete è collegato il dispositivo.

Dove vince Cisco Umbrella

Se la tua esigenza riguarda il personale aziendale, Umbrella copre ambiti che Shield non intende gestire.

Controllo basato sull'identità per il proprio personale

Umbrella vincola le policy alle persone. Si integra con i servizi di directory, tra cui Microsoft Entra ID, consentendo di definire regole per persona o gruppo. È possibile monitorare l'attività di ciascun dipendente. Cisco Secure Client estende tale protezione ai laptop fuori dalla rete aziendale, a casa o in viaggio.

Sicurezza oltre il livello DNS

Il DNS è solo un livello di Umbrella. A seconda del pacchetto, Cisco aggiunge un secure web gateway (SWG) che ispeziona il traffico web crittografato. Aggiunge inoltre un firewall erogato via cloud e un cloud access security broker (CASB) per regolamentare l'uso del SaaS. Questi sono i blocchi fondanti di un programma SASE.

Threat intelligence e l'ecosistema Cisco

Umbrella si avvale di Cisco Talos, il gruppo di threat intelligence di Cisco. Cisco documenta integrazioni native di Umbrella con Cisco Meraki e altre soluzioni di rete Cisco. Se il team delle operazioni di sicurezza lavora già con le console Cisco, standardizzare su un unico fornitore offre un valore concreto.

Per una forza lavoro gestita, Umbrella è una scelta valida e questa guida non intende sostenere il contrario.

Dove vince Shield sul WiFi ospiti

Progettato per visitatori che non è possibile identificare

Shield non fa alcuna presupposizione sulla persona presente sulla rete: nessun account, nessun agente, nessuna registrazione. La policy appartiene alla rete. Ogni SSID, VLAN e struttura ottiene le proprie regole da un'unica dashboard. Un hotel potrebbe applicare una policy per famiglie sul proprio SSID della hall e una più permissiva sulla propria VLAN per conferenze.

DNS protettivo senza agenti, nessun nuovo hardware

Basta puntare il DNS della rete verso Shield e la policy verrà applicata a ogni dispositivo che si connette. Questo copre lo smartphone di un ospite, un laptop e una smart TV su cui non sarebbe mai possibile eseguire un agente. Shield funziona su reti Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Puoi eseguirlo in modalità standalone su qualsiasi WiFi oppure aggiungerlo a Purple Access come add-on di sicurezza per il guest WiFi.

Un'unica piattaforma per l'intero stack degli ospiti

Purple gestisce già Captive Portal e analisi del Guest WiFi in oltre 80.000 strutture in 90 Paesi. Shield aggiunge la protezione all'interno di quella stessa piattaforma. Il team che gestisce l'accesso degli ospiti imposta anche le policy di sicurezza, consentendoti di sostituire una console separata con una sola dashboard.

Segnalazioni tempestive delle minacce e reti più leggere

Shield segnala i domini dannosi durante la risoluzione DNS prima che le connessioni si aprano, bloccando le minacce prima che il traffico raggiunga la rete. Con il blocco degli annunci abilitato, Shield sopprime le richieste pubblicitarie indesiderate e le query di tracciamento. Su una rete affollata di una struttura, tale capacità torna a disposizione degli ospiti che stai servendo.

Quanto costa ciascuna soluzione: struttura delle licenze, non il prezzo

Questa sezione non mostra i prezzi. Ciò che puoi confrontare è la struttura: cosa viene conteggiato, cosa fa aumentare il fatturato e quale lavoro esula dalla licenza.

Umbrella: postazioni modellate sulla forza lavoro

I pacchetti Umbrella sono concessi in licenza per postazione, solitamente dimensionati in base al numero di dipendenti nominativi. Questo si adatta a un'azienda con un organico stabile. Risulta invece poco adatto per la galleria di uno stadio o per un centro commerciale. Lì, il numero di tifosi e acquirenti sale e scende a ogni appuntamento e stagione.

Il lavoro sugli endpoint aggiunge costi propri. La policy per persona e la protezione del roaming dipendono dall'implementazione di Cisco Secure Client sui dispositivi gestiti. Qualcuno deve occuparsi del mantenimento di tale distribuzione.

Shield: nessuna postazione ospite da conteggiare

Shield non prevede postazioni per ospite. Puoi acquistarlo come add-on di sicurezza per i piani Connect, Capture o Engage, oppure in modalità standalone su qualsiasi WiFi. Gli ospiti non installano nulla, quindi non c'è alcuna distribuzione sugli endpoint. La pagina dei prezzi di Shield stabilisce i termini attuali, permettendoti di definire il budget prima di una chiamata commerciale.

Quanto sforzo richiede il passaggio da Umbrella a Shield?

La migrazione è una modifica della configurazione per ciascuna rete ospiti, non un progetto hardware. La maggior parte delle strutture segue quattro passaggi.

Mappare ciò che Umbrella fa oggi

Elencare ogni rete che effettua la risoluzione tramite Umbrella e chi la utilizza. Separare le reti del personale dagli SSID per gli ospiti e pubblici. Le reti del personale che si affidano al web gateway o CASB di solito rimangono su Umbrella.

Spostare prima le reti ospiti

Creare una policy Shield per ogni SSID o VLAN ospiti. Concordare le categorie di contenuto con il team operativo della struttura prima di effettuare il passaggio. Successivamente, modificare i DNS forniti da ciascuna rete ospiti, solitamente tramite DHCP sul controller o gateway. La documentazione del fornitore hardware copre i passaggi esatti per la piattaforma in uso.

Chiudere le rotte di bypass

Eseguire in parallelo, quindi effettuare il passaggio definitivo

Eseguire un test da un dispositivo ospite su ciascun SSID e verificare che i blocchi appaiano nella dashboard di Purple. Spostare le strutture a scaglioni, iniziando da un singolo sito. Una volta che il traffico ospiti fluisce attraverso Shield, rimuovere le reti di uscita ospiti dalla configurazione Umbrella.

Come decidere tra Shield e Umbrella

Utilizzare una sola domanda come regola decisionale: ogni persona su questa rete possiede un account gestito dall'organizzazione? Se sì, un prodotto basato sull'identità come Umbrella è la scelta adatta. Se no, scegliere Shield.

Molte strutture utilizzano entrambi: Umbrella sui dispositivi del personale e Shield sugli SSID dedicati agli ospiti. Il prossimo passo consiste nel calcolare il prezzo per le tue reti ospiti nella pagina dei prezzi di Shield. Leggi poi la nostra guida alla sicurezza WiFi enterprise per scoprire la segmentazione sottostante. Per ulteriori informazioni sulla piattaforma completa consulta Purple.

Domande frequenti

Qual è una valida alternativa a Cisco Umbrella per il WiFi ospiti?

Purple Shield è un servizio di protezione DNS progettato specificamente per il WiFi pubblico e per gli ospiti, anziché per il personale gestito. Filtra le minacce e i contenuti direttamente al momento della risoluzione DNS, applicando policy dedicate per SSID, VLAN e sede. I dispositivi dei visitatori non richiedono l'installazione di alcun agent. È già scelto da realtà come Whitbread, AGS Airports e St George's Healthcare NHS Trust. Tra le altre opzioni da valutare per strutture specifiche figurano anche DNSFilter e Cloudflare Gateway.

Perché Cisco Umbrella non è adatto al WiFi ospiti anonimo?

Le funzionalità più avanzate di Umbrella presuppongono di conoscere chi è connesso alla rete. Le policy individuali, la protezione per chi lavora in mobilità e la reportistica basata sull'identità dipendono da una directory e da Cisco Secure Client installato sui dispositivi gestiti. Gli ospiti non dispongono di questi strumenti. È possibile puntare il DNS di una rete ospiti su Umbrella, ma in questo modo si finisce per pagare un prodotto SASE basato sulle identità utilizzandone solo il livello DNS, con una licenza calcolata sulle singole postazioni.

Come funziona la licenza basata sulle postazioni di Umbrella per il WiFi pubblico?

Non si adatta in modo lineare, poiché la licenza conta le postazioni mentre il WiFi pubblico non ha postazioni fisse. Cisco vende i pacchetti Umbrella tramite il proprio team e i partner ufficiali su base preventivo, solitamente parametrati sul numero di dipendenti nominativi. I visitatori anonimi, che cambiano ogni ora e oscillano a seconda della stagione, non si prestano a questa unità di misura. Chiedi a Cisco o al tuo partner di riferimento come verrebbe gestita la licenza per una rete ospiti.

Esiste un'alternativa a Umbrella senza hardware per le sedi aziendali?

Sì. Shield funziona nel cloud, quindi non è necessario aggiungere alcun dispositivo né sostituire gli access point. È sufficiente indirizzare le reti SSID o VLAN degli ospiti a Shield per il DNS, di norma tramite DHCP sul controller o sul gateway. Funziona su reti Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet, in modalità autonoma o affiancato a Purple Access.

Qual è il confronto tra Shield e Umbrella in termini di trasparenza dei prezzi?

I prezzi di Shield sono più semplici da calcolare in anticipo. Le condizioni sono indicate chiaramente nella pagina dei prezzi di Shield ed è possibile acquistarlo come modulo aggiuntivo per Connect, Capture o Engage, oppure in modalità autonoma su qualsiasi WiFi. I prezzi di Umbrella sono basati su preventivo tramite Cisco e i suoi partner, senza un listino prezzi pubblico. Solo un modello consente di pianificare il budget per una rete ospiti prima di una chiamata commerciale.

È possibile utilizzare Cisco Umbrella per il personale e Shield per gli ospiti?

Sì, e per molte strutture si tratta della suddivisione ideale. È possibile mantenere Umbrella sui dispositivi gestiti del personale, dove il suo gateway web, il CASB e l'integrazione della directory esprimono il massimo valore, e installare Shield sugli SSID per gli ospiti e pubblici, dove i visitatori sono anonimi. Ciascuna rete risolve i nomi tramite il proprio filtro, evitando qualsiasi sovrapposizione. È sufficiente segmentare le VLAN in modo che il traffico degli ospiti non possa raggiungere i sistemi del personale.

Il DNS protettivo è utile per la conformità al GDPR o allo standard PCI DSS?

Supporta la conformità, ma non la garantisce da solo. Lo standard PCI DSS richiede la segmentazione dei sistemi di pagamento dalle reti ospiti e il filtraggio DNS aggiunge un livello di controllo oltre a tale segmentazione. Ai sensi del GDPR, il livello DNS rileva i domini richiesti da un dispositivo, pertanto è opportuno scegliere un fornitore che garantisca una gestione chiara dei dati. Purple è certificata ISO 27001, GDPR, CCPA e Cyber Essentials.

Quanto sforzo richiede il passaggio da Umbrella a Shield?

Si tratta di una modifica di configurazione per ciascuna rete ospiti, non di un progetto hardware. È sufficiente creare una policy Shield per ogni rete SSID o VLAN, cambiare il DNS fornito da tali reti e bloccare i percorsi di bypass. Successivamente, si esegue un test da un dispositivo ospite. Le reti del personale su Umbrella rimangono invariate. La maggior parte del lavoro consiste nel verificare quali reti utilizzano attualmente Umbrella e nel concordare la policy sui contenuti di ciascuna sede.