Purple Shield vs Cisco Umbrella: escolhendo DNS de proteção para WiFi de visitantes

Escolha o Shield para WiFi de convidados em propriedades de múltiplos locais que exigem implantação rápida sem hardware, agentes ou taxas por usuário. Escolha o Cisco Umbrella ao proteger endpoints corporativos e construir uma arquitetura SASE. A Purple se integra a plataformas como Cisco Meraki e está em conformidade com padrões como Keeping Children Safe in Education, respaldada pela certificação ISO 27001.

Qual você deve escolher: Shield ou Cisco Umbrella para WiFi de convidados?

A escolha certa depende de quem você está protegendo. Pergunte se são seus funcionários ou o público que passa pelas suas portas.

O Cisco Umbrella começou como OpenDNS antes de ser adquirido pela Cisco. Ele evoluiu para uma plataforma de security service edge para redes corporativas e equipes de trabalho híbrido. Ele protege pessoas que a Cisco pode contar, nomear e associar a uma política, onde quer que o laptop delas vá.

O Shield é o serviço de DNS de proteção da Purple para redes públicas e de convidados. Você o ativa por SSID (o nome da rede à qual um dispositivo se conecta). Ele filtra ameaças e conteúdos inadequados, além de bloquear anúncios para todos nessa rede. Ninguém precisa instalar nada. Ninguém precisa ser contabilizado.

Ambos os serviços realizam a mesma função central. O DNS de proteção é um resolvedor que verifica cada consulta de domínio em listas de ameaças e conteúdos. Ele se recusa a responder por domínios bloqueados, de modo que o dispositivo nunca se conecta. As diferenças estão ao redor desse núcleo: como você o compra, como o implanta e o que mais o acompanha.

Se você gerencia WiFi de convidados em hotéis, lojas, estações, escolas ou clínicas, geralmente está comprando para uma multidão, não para uma contagem de funcionários. Essa é a perspectiva para o restante deste guia.

Onde o Shield e o Cisco Umbrella realmente se diferenciam

Onde ocorre a filtragem e o que um firewall deixa passar

Ambos os serviços atuam na consulta de DNS. Quando um telefone quer abrir um site, ele primeiro pede ao resolvedor o endereço IP do domínio. Um resolvedor de DNS de proteção verifica o domínio antes de responder. Se o domínio for malicioso ou estiver bloqueado por uma política, a consulta falha e nenhuma conexão é aberta. Para saber mais sobre o funcionamento técnico, consulte O que é uma consulta DNS e por que as redes a utilizam.

Um firewall funciona mais adiante na sequência. Ele inspeciona o tráfego depois que a conexão foi iniciada. A maior parte do tráfego web agora usa criptografia TLS, portanto, um firewall sem descriptografia enxerga um endereço IP e pouco mais. Descriptografar o tráfego de convidados é impraticável de qualquer forma. Você não pode instalar um certificado raiz no telefone pessoal de um visitante.

O bloqueio baseado em IP também enfrenta dificuldades com hospedagem compartilhada. Múltiplos domínios podem estar atrás de um único endereço de rede de distribuição de conteúdo. Se você bloquear o IP, interrompe sites legítimos. Se permitir, o domínio malicioso passa.

O DNS enxerga o próprio nome de domínio, antes que qualquer dado seja transferido. É por isso que o DNS de proteção é ideal para redes abertas nas quais você não é dono dos dispositivos.

Seja claro também sobre os limites. O filtro DNS decide por domínio, não por página. Ele não pode bloquear um caminho em um site que, de outra forma, é permitido. Dispositivos que usam DNS criptografado, como DNS over HTTPS (DoH), podem tentar burlar seu resolvedor. Nosso texto explicativo sobre DNS Over HTTPS Explained: Privacy vs Public WiFi Filtering aborda como os operadores lidam com isso.

Unidade de licenciamento: assentos versus redes

Esta é a diferença que mais importa para o WiFi de convidados.

A Cisco não publica a lista de preços do Umbrella. Você compra por meio das vendas da Cisco ou de um revendedor, mediante cotação. Os pacotes incluem DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage, cada um com diferentes recursos e opções de prazo.

O Umbrella é licenciado por assento. Esse modelo se adapta a uma empresa com uma contagem conhecida de funcionários. Ele não se adapta bem quando sua rede atende a um pequeno público em um dia tranquilo e a milhares de visitantes em um dia de grande evento. Pergunte ao seu revendedor como as redes de convidados contam em relação aos assentos. A resposta molda toda a cotação.

O Shield, por outro lado, é dimensionado para a rede. Você o ativa nos SSIDs que deseja proteger. Um fim de semana movimentado não altera o que você contabiliza.

Esforço de implantação

O Umbrella oferece vários caminhos de implantação. Você pode apontar o DNS da rede para o Umbrella e registrar seus endereços IP de saída. Você pode adicionar appliances virtuais para atribuir endereços IP internos. Você pode implantar o módulo de roaming no Cisco Secure Client em notebooks gerenciados. Essa flexibilidade é um ponto forte para o TI corporativo. Também exige mais trabalho para projetar, documentar e manter.

O Shield é implantado por SSID em minutos, sem hardware e sem agentes. O Purple é agnóstico em relação ao hardware e roda como uma sobreposição em nuvem. Ele funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Seus pontos de acesso existentes permanecem no local.

Bloqueio de anúncios e experiência do convidado

O bloqueio de anúncios é um recurso de rede de convidados, não corporativo. O Shield bloqueia domínios de anúncios e rastreadores na pesquisa, para que as páginas carreguem mais leves em uma largura de banda compartilhada.

Ao bloquear anúncios e domínios de rastreamento no nível do resolvedor, o Shield oferece tempos de carregamento de página mais rápidos, uso reduzido de dados e menos consultas DNS, diminuindo o volume geral de tráfego da web. Em uma rede de hotel congestionada ou em um trem operando em backhaul celular, essa é uma capacidade que você recupera sem novo hardware.

O Umbrella não é posicionado como um produto de bloqueio de anúncios. Você pode bloquear domínios escolhidos por meio de suas listas de destino, mas essa é uma lista manual que você precisa manter.

Detecção de ameaças

O Umbrella se apoia no Cisco Talos, uma das maiores equipes de inteligência contra ameaças comerciais. Essa profundidade é um ponto forte autêntico.

O Shield sinaliza domínios emergentes de phishing e malware antecipadamente, ajudando a proteger dispositivos de convidados não gerenciados que você não pode atualizar. Para uma visão mais ampla das opções, consulte Phishing Protection Software Options for Shared WiFi.

Padrões de filtragem para a família

O WiFi público em locais onde crianças se conectam traz responsabilidades adicionais. As escolas na Inglaterra devem atender aos padrões de filtragem e monitoramento do Department for Education sob a norma Keeping Children Safe in Education. Vários locais costumam recorrer ao esquema Friendly WiFi do Reino Unido como um sinal público de navegação segura.

Ambos os serviços filtram por categoria de conteúdo. Pergunte a cada fornecedor como suas categorias se mapeiam para o padrão ao qual você deve responder. Peça evidências, não apenas um sim.

Comparação lado a lado

Critério	Shield	Cisco Umbrella
Centro de design	WiFi público e de visitantes	Endpoints corporativos e força de trabalho híbrida
Onde a filtragem acontece	Consulta DNS, antes da conexão	Consulta DNS, além de proxy web nos pacotes SIG
Preço publicado	Dimensionado por locais e SSIDs, cotado pela Purple	Sem preço de tabela; cotação via Cisco ou revendedor
Unidade de licença	Por SSID	Por usuário
Implantação para um SSID de visitantes	Minutos, por SSID	Registrar redes e DNS; appliances opcionais
Hardware extra	Nenhum	Nenhum para DNS; appliances virtuais para atribuição interna
Agentes nos dispositivos	Nenhum	Cisco Secure Client para proteção fora da rede
Bloqueio de anúncios	Integrado	Manual, por meio de listas de destinos
Proteção fora da rede	Não aplicável a dispositivos de visitantes	Sim, por meio do módulo de roaming
Stack de segurança mais amplo	Camada DNS, com complementos Purple SecurePass e Verify	SWG, CASB, FWaaS, ZTNA em pacotes superiores
Melhor adequação	Ambientes de visitantes em múltiplos locais com fluxo variável	Organizações que protegem funcionários nomeados em qualquer lugar

Quando o Shield é a escolha certa?

O Shield se adapta quando sua rede atende a pessoas que você não emprega e não pode contar antecipadamente. Diversas situações tornam esse caso evidente.

Você opera WiFi para visitantes em vários locais

Um ambiente com múltiplos locais precisa da mesma política em todos os pontos e de um único lugar para gerenciá-la. Com o Shield, a unidade de implantação é o SSID. A expansão para um novo hotel, loja ou estação é uma alteração de configuração, não um evento de aquisição. Você visualiza todos os locais por meio da mesma plataforma Purple que executa seu Guest WiFi.

Seu fluxo de visitantes oscila por estação ou evento

Parques de férias, estádios, shopping centers e atrações turísticas veem o público se multiplicar em dias de pico. O licenciamento baseado em usuários força você a adivinhar esse pico e pagar por ele o ano todo. A proteção dimensionada para a rede elimina essa incerteza.

Você não pode acessar os dispositivos

Visitantes, compradores, passageiros e pacientes trazem seus próprios telefones. Você não pode instalar um agente neles e nem deveria tentar. A proteção em nível de DNS funciona para todos os dispositivos que se conectam ao SSID, sem nada para instalar.

A largura de banda é limitada ou tarifada

O bloqueio de anúncios se paga sozinho onde a infraestrutura de conexão é escassa. Trens em links celulares, locais de eventos temporários e estabelecimentos rurais são cenários ideais. Reduzir o tráfego web desnecessário recupera capacidade sem exigir novos circuitos.

Quando o Cisco Umbrella é a escolha certa?

O Umbrella é a opção mais forte em várias situações, e uma comparação honesta deve reconhecer isso.

Você está protegendo uma força de trabalho corporativa

Se a sua prioridade são os notebooks da equipe no escritório, em casa e em trânsito, o Umbrella foi feito para isso. O módulo de roaming mantém a política ativa fora da rede. A política se vincula a identidades do seu diretório, incluindo Microsoft Entra ID e Okta.

Você quer um caminho para SASE

O Secure Access Service Edge (SASE) combina redes e segurança em um único serviço em nuvem. Os pacotes mais avançados do Umbrella se estendem da segurança de DNS para um Secure Web Gateway (SWG) que faz proxy e inspeciona o tráfego da web. Eles adicionam um Cloud Access Security Broker (CASB), que governa o uso de aplicativos em nuvem. Também incluem Firewall as a Service (FWaaS) e, por meio do portfólio mais amplo da Cisco, Zero Trust Network Access (ZTNA) para aplicativos privados. Se você está consolidando essa estrutura, um serviço de DNS exclusivo para convidados não o substituirá.

Você é padronizado na segurança Cisco

Organizações que já utilizam ferramentas de segurança Cisco se beneficiam da inteligência de ameaças compartilhada por meio do Talos. Elas também ganham com suporte de fornecedor único e um relacionamento de revenda existente.

Você precisa de inspeção em nível de página em dispositivos gerenciados

O DNS decide por domínio. Se a política exigir a inspeção de URLs individuais ou downloads de arquivos em dispositivos corporativos, você precisará de um proxy. Os pacotes SIG do Umbrella fornecem isso. Isso faz sentido em dispositivos que você possui e gerencia. Raramente faz sentido em celulares de convidados.

Quanto custa operar o Shield e o Cisco Umbrella?

O preço de tabela é apenas uma linha. O custo total vem de vários componentes.

Custo de licença

O custo do Umbrella depende do pacote, quantidade de usuários, prazo e margem do revendedor. Como o preço é fornecido apenas sob cotação, você não pode prevê-lo por meio de um site. Você precisa de uma conversa de vendas e de um número defensável de usuários. Para WiFi de convidados, esse número é a coisa mais difícil de produzir.

O custo do Shield varia de acordo com os locais e SSIDs que você protege. Você pode prevê-lo a partir da sua lista de patrimônio. Solicite os preços atuais da Purple por meio da página do Shield.

Tempo de implantação e manutenção

A implantação de rede do Umbrella é simples apenas para DNS. Cada componente adicional acrescenta projeto e manutenção: appliances virtuais, clientes de roaming, encadeamento de proxy e gerenciamento de certificados. Para a TI corporativa com uma equipe de segurança, esse é um trabalho normal. Para um operador de local com um único administrador de rede, é um custo real.

O Shield não adiciona hardware e nem agentes. Você o configura por SSID e gerencia a política centralmente.

Largura de banda recuperada

O bloqueio de anúncios aparece na sua fatura de largura de banda. O bloqueio de anúncios reduz o consumo geral de dados e o volume de tráfego da web com o Shield. Em links medidos, compare isso com o seu gasto mensal com excesso de uso.

Risco assumido

Calcule o risco que você assume quando a filtragem está ausente. Isso inclui malware atingindo a rede, reclamações sobre conteúdo inadequado e revisões de proteção que falharam. Ambos os serviços reduzem esse risco. A questão é qual deles você pode se dar ao luxo de executar em todos os SSIDs de convidados, em todos os locais, o ano todo.

Como decidir para a sua propriedade?

Comece com perguntas chave. Quem se conecta: colaboradores identificados ou o público? Onde se conectam: laptops gerenciados em qualquer lugar ou dispositivos pessoais nas suas instalações? Do que você precisa além do DNS: um roadmap SASE ou proteção e páginas mais rápidas em redes de visitantes?

Matriz de decisão

Sua situação	Recomendação
Apenas WiFi para visitantes, múltiplos locais, fluxo de pessoas variável	Shield
Laptops corporativos fora da rede, colaboradores identificados	Cisco Umbrella
Redes de visitantes e colaboradores, SSIDs separados	Shield nos SSIDs de visitantes, Umbrella no corporativo
Consolidação de SWG, CASB e FWaaS	Cisco Umbrella
Backhaul medido ou celular	Shield, para bloqueio de anúncios
Presença de crianças, necessidade de filtragem segura para a família	Shield em SSIDs públicos, mapeado para o seu padrão
MSP gerenciando muitos locais pequenos	Shield, escopo por SSID por local do cliente

Cenário prático: grupo hoteleiro com ocupação sazonal

Situação. Um grupo hoteleiro utilizava o Umbrella para laptops da matriz. O responsável pela segurança pediu ao revendedor para estendê-lo ao WiFi de visitantes. A cotação exigia uma estimativa de assentos de visitantes. A ocupação variava muito da baixa temporada ao pico do verão, além dos picos de conferências. Ninguém conseguia justificar um número único.

O que foi feito. O grupo manteve o Umbrella nos dispositivos corporativos. Ativou o Shield no SSID de visitantes em todos os hotéis durante uma única janela de alteração, usando a mesma plataforma Purple que executa seu Captive Portal. O Captive Portal é a página de login que os visitantes veem ao se conectar. Nenhum hardware foi enviado para nenhum local e nenhum visitante instalou nada.

Resultado. O grupo protegeu suas redes de visitantes com zero agentes e zero novos hardwares. Ele removeu completamente a previsão de assentos do orçamento de visitantes. Sua equipe de rede estabeleceu uma linha de base para o tráfego web de visitantes e mediou uma economia de largura de banda perceptível. O resultado deu à equipe de rede evidências claras para apresentar na próxima revisão de capacidade.

Cenário prático: bibliotecas municipais e centros de lazer

Situação. Um conselho municipal oferecia WiFi público em suas bibliotecas e centros de lazer. Crianças usavam ambos. O conselho precisava de filtragem segura para a família e queria todos os locais sob uma única política. O administrador de rede não podia manter clientes roaming ou dispositivos físicos.

O que foi feito. O conselho ativou o Shield no SSID público em cada local e aplicou uma política segura para a família. Os dispositivos da equipe permaneceram em um SSID separado sob os controles corporativos existentes. A equipe de rede bloqueou endpoints DoH conhecidos na VLAN pública, o segmento de rede virtual que separa o tráfego público do tráfego de colaboradores. Isso impediu que os dispositivos burlassem o resolvedor.

Resultado. Todos os locais executaram uma única política, gerenciada de um só lugar, sem software nos dispositivos dos visitantes. O conselho pôde mostrar ao seu responsável de proteção uma configuração de filtragem única e documentada. O bloqueio de DoH fechou a rota de desvio mais comum na rede pública.

Cenário prático: festival com backhaul celular

Situação. Um festival ofereceu WiFi para participantes por meio de links de celular agregados. Os dados eram medidos, e eventos anteriores viram os links saturarem durante os horários de pico.

O que foi feito. O organizador ativou o Shield no SSID de participantes antes da abertura dos portões. Domínios de anúncios e rastreadores foram bloqueados na consulta, junto com domínios de phishing conhecidos que visavam páginas de ingressos e pagamento.

Resultado. O organizador comparou o uso de dados com a linha de base anterior, obtendo carregamentos de página mais rápidos e menor consumo de dados. Licenciar um público de festival por assento significaria prever o público antes que os ingressos esgotassem.

Perguntas a fazer a ambos os fornecedores

• Como uma rede de convidados é contada para licenciamento e o que acontece em um dia de pico?
• Quanto tempo leva a implantação para um SSID e o que precisa ser instalado?
• Como suas categorias de conteúdo se mapeiam para o padrão de proteção da família que atendemos?
• Como vocês lidam com dispositivos que usam DNS sobre HTTPS?
• Onde os logs de consulta são armazenados, por quanto tempo e sob qual certificação?

Se o DNSFilter também estiver na sua lista, leia Shield vs DNSFilter: uma comparação de DNS de proteção para operadores de WiFi. Para mais guias de decisão, navegue por Todos os guias.

Perguntas frequentes

Existe uma alternativa ao Cisco Umbrella para WiFi de convidados?

Sim. O Shield é o serviço de DNS de proteção da Purple feito para WiFi de convidados e público, em vez de endpoints corporativos. Você o ativa por SSID em minutos, sem hardware e sem agentes nos dispositivos dos visitantes. Ele filtra ameaças e conteúdos inadequados e bloqueia anúncios na consulta DNS. Muitas organizações mantêm o Umbrella nos dispositivos da equipe e executam o Shield nas redes de convidados. Cada ferramenta faz então o trabalho para o qual foi projetada.

Como o Cisco Umbrella é precificado para WiFi de convidados?

O Cisco Umbrella não possui preço de lista publicado. Você compra por meio das vendas da Cisco ou de um revendedor mediante cotação, em pacotes como DNS Security Essentials, DNS Security Advantage, SIG Essentials e SIG Advantage. O licenciamento é por assento. Para WiFi de convidados, pergunte como os visitantes anônimos são contados em relação aos assentos antes de aceitar uma cotação. O fluxo de pessoas sazonal ou guiado por eventos torna esse número difícil de prever e mais difícil de defender.

O Umbrella é exagerado para filtragem de WiFi público?

Muitas vezes, sim, se as redes de convidados forem tudo o que você precisa proteger. Os pontos fortes do Umbrella são a proteção de roaming para laptops gerenciados, políticas baseadas em identidade e um caminho para SWG, CASB, FWaaS e ZTNA. Dispositivos de convidados não usam nada disso. Para WiFi público, a necessidade central é o filtro de ameaças e conteúdo em nível de DNS em cada dispositivo que se conecta. O Shield oferece isso por SSID, sem contagem de assentos ou agentes.

O Shield funciona com nossos pontos de acesso existentes?

Sim. O Purple é agnóstico em relação ao hardware e funciona como uma sobreposição em nuvem na rede que você já possui. Ele funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. O Shield atua na camada de DNS, portanto você o configura por SSID sem a necessidade de novos hardwares. Seus pontos de acesso, switches e controladores permanecem no lugar.

Podemos executar o Shield e o Cisco Umbrella lado a lado?

Sim, e para ambientes mistos essa é frequentemente a arquitetura mais limpa. Mantenha o Umbrella em SSIDs corporativos e notebooks gerenciados, onde o licenciamento por usuário e a proteção contra roaming se encaixam. Execute o Shield em SSIDs de convidados e públicos, onde as pessoas que se conectam são anônimas e variáveis. SSIDs e VLANs separadas mantêm as duas políticas isoladas. Cada rede usa então o resolvedor adequado às pessoas que a utilizam.

Quanto tempo leva para implantar o Shield?

Minutos por SSID. O Shield não precisa de hardware nem de software nos dispositivos dos visitantes, portanto a implantação é uma alteração de configuração e não um projeto. Um ambiente multissite pode proteger todas as redes de convidados em uma única janela de mudança. A documentação de suporte do Purple cobre as etapas de configuração para o seu hardware. A política é gerenciada centralmente assim que cada SSID estiver ativo.

Como o DNS de proteção afeta o GDPR e o tratamento de dados?

Trate os logs de consultas DNS como dados pessoais quando eles puderem ser vinculados a um dispositivo e defina a retenção para corresponder a isso. O Purple possui certificação ISO 27001 e está em conformidade com o GDPR, e o Shield se enquadra nessa estrutura. Para qualquer fornecedor, pergunte onde os logs são armazenados, por quanto tempo são mantidos e quem pode acessá-los. Em seguida, registre as respostas em sua avaliação de impacto sobre a proteção de dados.

Os visitantes podem burlar a filtragem de DNS no WiFi de convidados?

Alguns podem tentar, principalmente usando DNS over HTTPS ou uma VPN que envia consultas para outro resolvedor. Você reduz isso bloqueando endpoints DoH conhecidos e resolvedores públicos na VLAN de convidados. Isso força as consultas a passarem pelo seu serviço de DNS de proteção. Nenhum filtro de DNS impede todas as tentativas de burla de usuários determinados. Combinado com controles de rede, ele atende à maioria dos visitantes na maioria dos dispositivos.