用于访客 WiFi 的 Cisco Umbrella 替代方案

如果您需要在公共 WiFi 上为匿名访客提供保护性 DNS，请选择 Purple Shield。它按 SSID 和 VLAN 应用策略，无需代理，也无需添加新硬件。它来自现已服务于 90 个国家/地区 80,000 多个场所的同一平台。如果您要在更广泛的 SASE 项目中保护实名员工和托管设备，请选择 Cisco Umbrella。

简述面向访客 WiFi 的 Cisco Umbrella 替代方案

Cisco Umbrella 是一款成熟的产品，用于解决不同的问题。它源自 Cisco 于 2015 年收购的 OpenDNS。现在，它包含在 Cisco 的安全访问服务边缘 (SASE) 产品组合中，该产品组合通过云端同时提供网络和安全服务。它的主要应用场景是已知的员工群体：实名员工、托管笔记本电脑、分支机构和漫游员工，这些都与目录相关联。

访客 WiFi 则打破了这些假设。网络上的用户是匿名的，且每小时都在变化。人流量随活动和季节而波动。访客不会安装任何代理，在您的目录中也没有账户。按席位计费的许可证失去了可稳定计数的基准。

Purple Shield 就是专为这种情况打造的保护性 DNS。当设备查询域名时，保护性 DNS 会过滤威胁和不良内容。您可以按 SSID、按 VLAN（虚拟局域网，逻辑上独立的网络段）以及按场所设置策略。Shield 与您的强制门户（访客上网前看到的登录页面）在同一个平台上运行。

解决方案取决于身份。如果您保护的人员拥有您管理的账户，那么 Umbrella 的模式非常适合。如果他们是您无法具名的访客，那么 Shield 的模式更为合适。如需全面的直接对比，请阅读 Shield 对比 Cisco Umbrella。如需了解更广泛的市场情况，请从我们的 DNS 过滤替代方案 概述开始。

我们对比 Shield 和 Umbrella 的维度及原因

为什么部署位置排在第一位

当设备询问域名所在位置时，保护性 DNS 就会发挥作用。该查询发生在建立任何连接之前。如果域名包含恶意内容或违反策略，解析程序就会拒绝该域名，设备将永远无法连接。防火墙通常在会话开始后判断流量，而现在大部分流量都是加密的。在解析阶段进行过滤可以在威胁到达网络边界之前阻止钓鱼网站、恶意软件和命令与控制域名。英国国家网络安全中心为公共领域运行的 保护性 DNS 服务 也是基于相同的原理。

Shield 和 Umbrella 都在 DNS 层进行过滤。区别在于围绕该层构建的所有相关功能。

我们评分的标准

在对两款产品进行评分之前，我们确定了八项标准。每个选项仅根据其公开资料进行评分：Cisco Umbrella 文档 和 Purple 的产品信息。

1. 过滤在连接中的发生位置。
2. 产品旨在保护的对象。
3. 访客设备是否需要代理。
4. 策略附加的单元。
5. 许可授权单元。
6. 是否公开定价。
7. DNS 之外的范围。
8. 与您已运行的硬件和访客栈的契合度。

我们不展示竞争对手的价格。Cisco 通过其自身团队和合作伙伴对 Umbrella 进行报价，因此任何数字都无法核实，并且很快就会过时。如果您正在权衡其他供应商，请参阅 DNSFilter 替代方案 和 Cloudflare Gateway 对比 Purple Shield。

Shield 对比 Cisco Umbrella：对比矩阵

下面的矩阵是查看每款产品定位的最快方式。

您可以将它们视为解决两个不同问题的两款产品。Umbrella 关注的是“谁在连接”，而 Shield 关注的是“设备连接的是哪个网络”。

Cisco Umbrella 的优势领域

如果您的管理对象是企业员工，Umbrella 能够覆盖 Shield 未涉足的领域。

以身份为导向的员工管控

Umbrella 将安全策略与人员绑定。它集成了包括 Microsoft Entra ID 在内的目录服务，因此您可以针对单人或用户组设置规则，并对每位员工的活动进行审计报告。Cisco Secure Client 还能将这种防护延伸到企业网络之外，为居家办公或在途中的笔记本电脑提供保护。

超越 DNS 层的安全防护

DNS 只是 Umbrella 的其中一个防护层。根据所选方案，Cisco 还提供了可检查加密 Web 流量的安全 Web 网关 (SWG)。它还包含云交付防火墙和云访问安全代理 (CASB)，用于管理 SaaS 的使用。这些都是构建 SASE 方案的核心组件。

威胁情报与 Cisco 技术生态

Umbrella 依托于 Cisco 的威胁情报团队 Cisco Talos。Cisco 提供了 Umbrella 与 Cisco Meraki 及其他 Cisco 网络设备的原生集成方案。如果您的安全运维团队已经在习惯使用 Cisco 控制台，那么统一采用单一厂商的产品具有相当高的价值。

对于需要受管的企业员工而言，Umbrella 是一个值得信赖的选择，本指南对此毫无异议。

Shield 在访客 WiFi 场景下的优势

专为无法获取身份信息的访客打造

Shield 不会对网络上的用户做任何假设：无账户、无 Agent 客户端、无注册过程。策略归网络所有。每个 SSID、VLAN 和场地都可以通过同一个仪表板获取各自专属的规则。酒店可以在其大堂 SSID 上运行适合家庭的安全策略，而在其会议 VLAN 上运行相对宽松的策略。

无需 Agent 客户端的保护性 DNS，无需新硬件

您只需将网络的 DNS 指向 Shield，策略就会应用到连接网络的每台设备。这涵盖了访客的手机、笔记本电脑以及根本无法运行 Agent 客户端的智能电视。Shield 支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 网络。可在任何 WiFi 上独立运行，或者作为访客 WiFi 安全插件添加到 Purple Access。

涵盖整个访客技术栈的统一平台

Purple 已经在 90 个国家/地区的 80,000 多个场地运行 Captive Portal 和访客 WiFi 分析。Shield 在同一个平台内增加了保护功能。管理访客登录的团队同时也可以设置安全策略，因此您可以用一个仪表板替代独立的控制台。

更早的威胁预警和更轻量化的网络

Shield 在 DNS 解析阶段即标记恶意域名，赶在连接开启之前阻止威胁，不让流量进入网络。启用广告拦截功能后，Shield 还可以抑制不需要的广告请求和追踪查询。在繁忙的场地网络中，节省出来的网络容量将重新服务于您的访客。

各自的运行成本：许可结构，而非具体价格

本部分不展示具体价格。您可以比较的是结构：您统计什么指标、是什么推动了费用增长，以及许可范围之外包含哪些工作。

Umbrella：按员工规模计算的席位

Umbrella 套餐按席位授权，通常根据您的实名员工人数来计算规模。这非常适合人员数量稳定的企业。但在体育场馆通道或购物中心则显得不太适用。在这些场景中，球迷和购物者的人数会随比赛和季节频繁起伏。

端点相关的工作也会增加自身成本。按人定制的策略和漫游保护依赖于将 Cisco Secure Client 部署到受管设备。必须有人来维护这一部署过程。

Shield：无需计算访客席位

Shield 没有针对单个访客的席位。您可以将其作为 Connect、Capture 或 Engage 方案的安全插件购买，也可以在任何 WiFi 上独立运行。访客无需安装任何内容，因此不存在端点部署工作。Shield 价格页面 列出了当前的条款，方便您在接洽销售之前做好预算准备。

从 Umbrella 迁移到 Shield 需要付出的工作量有多大？

迁移仅涉及每个访客网络的配置变更，而非硬件工程。大多数网络部署遵循以下四个步骤。

梳理 Umbrella 当前的使用情况

列出所有通过 Umbrella 进行解析的网络及其使用者。将员工网络与访客及公共 SSID 分离开来。依赖 Web 网关或 CASB 的员工网络通常保留在 Umbrella 上。

优先迁移访客网络

为每个访客 SSID 或 VLAN 创建 Shield 策略。在切换前与场所运营团队确认内容分类。然后更改每个访客网络分配的 DNS，通常在控制器或网关上通过 DHCP 进行设置。硬件厂商的文档中会提供针对您平台的具体操作步骤。

封堵绕过途径

并行运行，然后进行切换

在每个 SSID 上使用访客设备进行测试，并确认拦截记录出现在 Purple Dashboard 中。分批迁移场所，先从单个站点开始。一旦访客流量全部通过 Shield 传输，即可从 Umbrella 配置中移除访客出口网络。

如何在 Shield 和 Umbrella 之间做出选择

将以下问题作为决策标准：该网络上的每位用户是否都拥有您所管理企账号？如果是，像 Umbrella 这样以身份为中心的产品更为合适。如果不是，请选择 Shield。

许多企业会同时运行这两者：在员工设备上使用 Umbrella，在访客 SSID 上使用 Shield。您的下一步是在 Shield 定价页面 上评估访客网络的成本。然后阅读我们的 企业 WiFi 安全指南，了解其背后的网络分段策略。您可以在 Purple 了解更多关于我们扩展平台的信息。

常见问题解答

什么是适合访客 WiFi 的良好 Cisco Umbrella 替代方案？

Purple Shield 是一款专为访客和公共 WiFi 打造的保护性 DNS 服务，而非面向受控员工。它在 DNS 解析阶段过滤威胁和内容，并支持按 SSID、VLAN 和场所配置策略。访客设备无需安装 Agent。Whitbread、AGS Airports 和 St George's Healthcare NHS Trust 都在使用它。对于特定企业网络，DNSFilter 和 Cloudflare Gateway 也值得列入候选名单。

为什么 Cisco Umbrella 不太适合匿名访客 WiFi？

Umbrella 的核心高级功能假设您已知网络上的用户身份。按个人配置策略、漫游保护和身份报告依赖于目录服务以及受控设备上的 Cisco Secure Client。而访客这两者都不具备。您可以将访客网络的 DNS 指向 Umbrella，但这样您就等于在使用按用户数（Seat）授权的情况下，付费购买了一个基于身份的 SASE 产品却仅使用其 DNS 层功能。

Umbrella 的按用户数授权模式在公共 WiFi 中是如何运作的？

它的运作比较繁琐，因为该授权是按固定用户数计算的，而公共 WiFi 并没有固定的用户数。Cisco 通过其团队和合作伙伴基于报价销售 Umbrella 套餐，通常根据具名员工数量确定规模。每小时都在变化且随季节波动的匿名访客无法完美匹配这一计费单位。请向 Cisco 或您的合作伙伴询问他们如何为访客网络办理授权。

对于场所而言，是否有无需硬件的 Umbrella 替代方案？

是的。Shield 在云端运行，因此无需添加任何设备，也无需更换任何接入点。您只需将访客 SSID 或 VLAN 的 DNS 指向 Shield，通常可以通过控制器或网关上的 DHCP 来完成。它适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 网络，可独立运行，也可与 Purple Access 配合使用。

在定价透明度方面，Shield 与 Umbrella 相比表现如何？

Shield 前期的定价更加明晰。其条款已在 Shield 定价页面上列出，您可以将其作为 Connect、Capture 或 Engage 的附加组件购买，也可以在任何 WiFi 上独立购买。Umbrella 的定价是通过 Cisco 及其合作伙伴基于报价提供的，没有公开的价格表。只有一种模式可以让您在进行销售咨询前就对访客网络进行预算。

我们能否为员工运行 Cisco Umbrella，同时为访客运行 Shield？

可以，而且对许多场所来说，这是很合理的方案。在受管的员工设备上保留 Umbrella，让其 Web 网关、CASB 和目录集成发挥作用。在访客和公共 SSID 上部署 Shield，因为这些地方的访客都是匿名的。每个网络都通过各自的过滤器进行解析，因此二者绝不会发生重叠。只需对 VLAN 进行隔离，确保访客流量无法到达员工系统即可。

防护性 DNS 是否有助于实现 GDPR 或 PCI DSS 合规？

它有助于合规，但仅靠它本身无法实现完全合规。PCI DSS 要求将支付系统与访客网络隔离开来，而 DNS 过滤在此类隔离之上增加了一道控制措施。在 GDPR 框架下，DNS 层可以看到设备请求了哪些域名，因此请选择数据处理透明的提供商。Purple 已通过 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。

从 Umbrella 迁移到 Shield 需要付出的工作量有多大？

这只是针对每个访客网络进行的配置更改，而不是硬件工程项目。您只需为每个 SSID 或 VLAN 创建一个 Shield 策略，切换这些网络分发的 DNS，并阻断绕过路径。然后从访客设备进行测试即可。使用 Umbrella 的员工网络保持不动。大部分精力将用于审计目前有哪些网络在使用 Umbrella，并确定每个场所的内容策略。