Shield 与 Cisco Umbrella 比较：为宾客 WiFi 选择保护性 DNS

对于需要快速部署且无需硬件、代理软件或按用户数付费的多场所访客 WiFi，请选择 Shield。如果需要保护企业终端并构建 SASE 架构，请选择 Cisco Umbrella。Purple 可与 Cisco Meraki 等平台集成，符合 Keeping Children Safe in Education 等标准，并拥有 ISO 27001 认证支持。

访客 WiFi 保护：您应该选择 Shield 还是 Cisco Umbrella？

正确的选择取决于您要保护的对象。请思考他们是您的员工，还是走进您大门的公众客人。

Cisco Umbrella 最初为 OpenDNS，后被 Cisco 收购。它已发展成为面向企业网络和混合办公团队的安全服务边缘（SSE）平台。无论员工的笔记本电脑移动到何处，它都能保护这些可以被 Cisco 计数、命名并关联安全策略的人员。

Shield 是 Purple 专门针对访客网络和公共网络推出的防御性 DNS 服务。您可以按 SSID（设备加入的网络名称）开启该服务。它能过滤威胁和不当内容，并为该网络上的所有人拦截广告。无需任何人安装任何软件，也无需对使用人数进行计数。

两项服务具备相同的核心功能。防御性 DNS 是一种解析程序，它会根据威胁和内容列表检查每一次域名查询。对于被拦截的域名，它会拒绝回应，从而使设备永远无法连接。两者的差异体现在核心功能之外：购买方式、部署方式以及附带的其他功能。

如果您在酒店、商店、车站、学校或诊所运营访客 WiFi，您通常是为大众群体购买服务，而不是按员工人数购买。这也是本指南后续内容分析的视角。

Shield 与 Cisco Umbrella 的本质区别

过滤发生的位置，以及防火墙会遗漏的内容

两项服务都在 DNS 查询阶段起作用。当手机想要打开某个网站时，它首先会向解析程序查询该域名的 IP 地址。防御性 DNS 解析程序会在回答之前检查该域名。如果该域名包含恶意内容或被策略拦截，查询就会失败，连接也就无法建立。有关工作原理，请参阅 什么是 DNS 查询以及网络为何使用它。

防火墙作用于后续环节。它在连接开始后对流量进行检测。目前大多数网络流量都使用 TLS 加密，因此没有解密功能的防火墙只能看到 IP 地址，几乎看不到其他信息。而在任何情况下对访客流量进行解密都是不切实际的。您无法在访客的个人手机上安装根证书。

基于 IP 的拦截方式也很难处理共享托管的情况。多个域名可以位于同一个内容分发网络（CDN）地址之后。如果拦截该 IP，就会破坏合法网站；如果允许该 IP，恶意域名就会蒙混过关。

DNS 则能在传输任何数据之前直接看到域名本身。这就是为什么防御性 DNS 非常适合您不拥有设备所有权的开放网络。

也要明确了解其局限性。DNS 过滤是在域名级别而非页面级别进行决定的。它无法阻止已允许网站上的某个特定路径。使用加密 DNS（例如 DNS over HTTPS (DoH)）的设备可能会尝试绕过您的解析器。我们关于 DNS Over HTTPS 详解：隐私与公共 WiFi 过滤 的讲解文章介绍了网络运营者如何处理这种情况。

许可单位：席位数量与网络数量

这是对访客 WiFi 影响最大的区别。

Cisco 不会公开 Umbrella 的目录价格。您需要通过 Cisco 销售人员或经销商根据报价进行购买。套餐包括 DNS Security Essentials、DNS Security Advantage、SIG Essentials 和 SIG Advantage，每种套餐都具有不同的功能和期限选项。

Umbrella 按席位授权许可。这种模式适合员工人数明确的企业。但当您的网络在平常的日子只服务少数人群，而在高峰活动日需要服务数千名访客时，这种模式就不太适用了。请向您的经销商询问访客网络如何计算席位数量。答案将直接决定整个报价。

相比之下，Shield 是针对网络进行范围划定的。您可以在希望受保护的 SSID 上启用它。繁忙的周末不会改变您的计算方式。

部署工作量

Umbrella 提供了多种部署途径。您可以将网络 DNS 指向 Umbrella 并注册您的出口 IP 地址。您可以添加虚拟设备来归因内部 IP 地址。您还可以在受管理的笔记本电脑上的 Cisco Secure Client 中部署漫游模块。这种灵活性是企业 IT 的优势。但也意味着需要更多的设计、文档记录和维护工作。

Shield 可在数分钟内按 SSID 完成部署，无需任何硬件和代理程序。Purple 与硬件无关，以云端叠加层的形式运行。它可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 配合使用。您现有的接入点可以继续保留在原位。

广告拦截与访客体验

广告拦截是访客网络的功能，而非企业网络的功能。Shield 在查询阶段即拦截广告和跟踪器域名，因此页面在共享带宽上的加载速度更快。

通过在解析器级别拦截广告和跟踪域名，Shield 可以实现更快的页面加载速度、减少数据使用量和 DNS 查询次数，同时降低整体网页流量。在拥挤的酒店网络或依赖蜂窝回传运行的列车上，这意味着您无需添加新硬件即可回收网络容量。

Umbrella 的定位并非广告拦截产品。您可以通过其目标列表拦截选定的域名，但这是一个需要您手动维护的列表。

威胁检测

Umbrella 依赖于 Cisco Talos，这是全球最大的商业威胁情报团队之一。这种深度是一项真正的优势。

Shield 能尽早标记新兴的钓鱼和恶意软件域名，从而帮助保护您无法安装补丁的未受管访客设备。要了解更多可选方案，请参阅 针对共享 WiFi 的防钓鱼保护软件方案。

家庭安全过滤标准

在儿童连接的公共 WiFi 场所，需要承担额外的安全职责。英格兰的学校必须符合英国教育部在《在教育中保持儿童安全》（Keeping Children Safe in Education）框架下制定的过滤和监控标准。公共场所通常寻求获得英国 Friendly WiFi 认证，作为提供安全上网环境的公开标志。

这两种服务都按内容分类进行过滤。请询问每个供应商，其分类如何映射到您需要遵循的标准。要求提供实际凭证，而不是口头承诺。

并排对比

比较标准	Shield	Cisco Umbrella
设计中心	访客和公共 WiFi	企业端点和混合工作团队
过滤发生位置	DNS 查询，连接之前	DNS 查询，在 SIG 包中外加 Web 代理
公开定价	按场所和 SSID 划定范围，由 Purple 报价	无列表定价；通过 Cisco 或经销商报价
许可证单位	每个 SSID	每个席位
访客 SSID 的部署	数分钟，按 SSID 计算	注册网络和 DNS；可选择是否使用硬件设备
额外硬件	无	DNS 无需额外硬件；内部归因需使用虚拟设备
设备上的 Agent	无	用于网络外保护的 Cisco Secure Client
广告拦截	内置	手动（通过目标列表）
网络外保护	不适用于访客设备	是，通过漫游模块实现
更广泛的安全堆栈	DNS 层，配备 Purple SecurePass 和 Verify 附加组件	更高层包中包含 SWG、CASB、FWaaS 和 ZTNA
最佳适用场景	客流量可变的多场所访客网络	保护各处有名单员工的企业组织

何时选择 Shield 是正确的决定？

当您的网络服务于非雇员且无法提前统计数量的人群时，Shield 最为适合。以下几种情况可以明确体现其优势。

您在多个场所运营访客 WiFi

多场所的资产需要在所有地方应用相同的策略，并在一个地方进行管理。使用 Shield，部署的基本单位是 SSID。推广到新的酒店、门店或车站只需更改配置，而无需重新采购。您可以通过运行 Guest WiFi 的同一个 Purple 平台查看每一个场所。

您的客流量随季节或活动而波动

度假公园、体育场馆、购物中心和游客景点在高峰期的出入人数会成倍增加。基于席位的许可方式会迫使您去猜测高峰数值并全额支付整年费用。基于网络范围的保护免去了这种猜测。

您无法触及或管理这些设备

访客、购物者、乘客和患者使用自带的手机。您无法也不应该尝试在这些设备上安装 Agent。DNS 级别的保护适用于连接到 SSID 的每台设备，无需安装任何内容。

带宽紧张或按量计费

在回传资源匮乏的地方，广告拦截能创造极高的价值。使用蜂窝连接的列车、临时活动场所和乡村场馆都很适合。减少不必要的网络流量可以在无需增加新电路的情况下回收带宽容量。

何时选择 Cisco Umbrella 是正确的决定？

在某些情况下，Umbrella 是更强大的选择，坦诚的对比应当指出这一点。

您正在保护企业员工队伍

如果您的优先事项是员工在办公室、家中和旅途中的笔记本电脑，Umbrella 正是为此而生。漫游模块可以在网络之外保持策略生效。策略会自动绑定到目录中的身份，包括 Microsoft Entra ID 和 Okta。

您希望迈向 SASE 架构

安全访问服务边缘 (SASE) 将网络与安全整合到了一个云服务中。Umbrella 的高级软件包已从 DNS 安全扩展到了可对 Web 流量进行代理与检查的安全 Web 网关 (SWG)。它们增加了用于管理云端应用使用的云访问安全代理 (CASB)，还包含防火墙即服务 (FWaaS)，并通过 Cisco 更广泛的产品组合为私有应用提供零信任网络访问 (ZTNA)。如果您正在整合这一技术栈，仅限访客的 DNS 服务是无法替代它的。

您已标准化使用 Cisco 安全产品

已经运行 Cisco 安全工具的组织可以从 Talos 的共享威胁情报中获益。他们还能从单一供应商的支持和现有的经销商关系中获得优势。

您需要在托管设备上进行页面级检查

DNS 只能按域名做出判断。如果策略要求检查企业设备上的单个 URL 或文件下载，您就需要一个代理。Umbrella 的 SIG 软件包便能提供这一功能。这对于您拥有并管理的设备来说很有意义，但对于访客手机来说通常没有必要。

运行 Shield 和 Cisco Umbrella 的成本是多少？

公开挂牌价只是一部分，总成本由多个要素构成。

许可成本

Umbrella 的成本取决于软件包、席位数量、期限和经销商利润率。由于定价仅通过报价提供，您无法直接通过网站进行预测。您需要进行销售沟通并确定一个合理的席位数量。而对于访客 WiFi 来说，这一数量是最难估算的。

Shield 的成本随您保护的站点和 SSID 规模而变化。您可以根据自己的资产清单进行预测。如需了解最新价格，请通过 Shield 页面向 Purple 发起咨询。

部署与维护时间

仅就 DNS 而言，Umbrella 的网络部署非常简单。但每增加一个组件，都会增加设计和维护成本：虚拟设备、漫游客户端、代理链和证书管理。对于拥有安全团队的企业 IT 部门来说，这是日常工作；但对于只有一名网络管理员的场所运营方来说，这是一笔实实在在的成本。

Shield 无需添加任何硬件，也无需安装任何代理。您可以按 SSID 进行配置，并集中管理策略。

节省的带宽

广告拦截的效果会体现在您的带宽账单上。借助 Shield，广告拦截可以减少整体数据消耗和 Web 流量。对于按流量计费的链路，您可以将其与每月超额支出的费用进行对比。

承担的风险

计算一下缺少过滤功能时您所承担的风险。这包括恶意软件侵入网络、对不当内容的投诉以及未能通过合规审查。这两种服务都能降低此类风险。关键在于，您能否负担得起全年为每个站点的每个访客 SSID 都运行该服务。

如何为您的园区/场地做出抉择？

从几个核心问题开始。谁在连接网络：能够明确身份的员工，还是普通公众？他们在何处连接网络：随时随地通过受控的笔记本电脑，还是在您的场所内通过个人设备？除 DNS 之外，您还需要什么：SASE 路线图，还是针对访客网络的防护与加速网页加载？

决策矩阵

您的实际情况	推荐方案
仅访客 WiFi、多场地、客流量起伏不定	Shield
脱离公司网络的笔记本电脑、明确身份的员工	Cisco Umbrella
访客和员工网络、独立的 SSID	访客 SSID 使用 Shield，公司网络使用 Umbrella
正在整合 SWG、CASB 和 FWaaS	Cisco Umbrella
按流量计费或采用蜂窝网络回传	Shield（用于广告拦截）
有儿童在场、需要符合家庭安全标准的内容过滤	在公共 SSID 上使用 Shield，并映射至您的标准
管理多个小型场馆的 MSP	Shield（按客户场地实现单 SSID 范围控制）
典型场景：具有季节性入住率的酒店集团

情况。 一家酒店集团在总部笔记本电脑上运行 Umbrella。其安全负责人要求代理商将其扩展到访客 WiFi。报价需要评估访客席位数量。从淡季到夏季旺季，再加上会议高峰期，入住率波动极大。没人能给出一个合理的预估数字。

应对措施。 该集团在公司设备上保留了 Umbrella。同时在一个变更窗口期内，利用运行 Captive Portal 的同一个 Purple 平台，在所有酒店的访客 SSID 上启用了 Shield。Captive Portal 是访客加入网络时看到的登录页面。无需向任何场地邮寄硬件，访客也无需安装任何软件。

结果。 该集团以零 Agent 客户端和零新硬件的方式保护了其访客网络。彻底从访客预算中删除了席位预测。其网络团队为访客 Web 流量建立了基线，并测量到了显著的带宽节省。该结果为网络团队在下一次容量审查时提供了明确的报告依据。

典型场景：市政图书馆与休闲中心

情况。 当地市议会在其图书馆和休闲中心提供公共 WiFi。儿童也会使用这两类场所。市议会需要符合家庭安全标准的内容过滤，并希望所有场地都遵循统一的策略。其网络管理员无法持续维护漫游客户端或硬件设备。

应对措施。 市议会在每个场地的公共 SSID 上启用了 Shield，并应用了一套家庭安全策略。员工设备则保留在独立 SSID 上，继续受现有公司策略控制。网络团队在公共 VLAN（用于将公共流量与员工流量隔离开来的虚拟网络接口）上拦截了已知的 DoH 端点。这阻止了设备绕过解析器。

结果。 所有场地运行统一策略，由单一平台统一管理，且访客设备上无需安装任何软件。市议会可以向其保障负责人展示一份单一且记录完善的过滤配置。DoH 拦截封堵了公共网络上最常见的绕过途径。

典型场景：采用蜂窝网络回传的音乐节

具体情况。 某个音乐节通过多卡聚合蜂窝链路为与会者提供 WiFi。数据流量按量计费，而往届活动在高峰时段都出现了链路饱和的情况。

应对措施。 主办方在开门迎客前，在与会者 SSID 上启用了 Shield。广告和追踪器域名在 DNS 查询环节即被拦截，同时还拦截了针对购票和支付页面的已知网络钓鱼域名。

最终结果。 主办方将数据使用量与往届基线进行了对比，实现了更快的页面加载速度和更低的数据消耗。如果按坐席数对音乐节人群授权许可，就必须在门票售罄前对出勤人数进行预测。

询问这两家厂商的问题

• 宾客网络如何计算授权许可？在高峰日会出现什么情况？
• 为单个 SSID 完成部署需要多长时间？需要安装哪些内容？
• 您的内容分类如何映射到我们所遵循的家庭安全标准？
• 您如何处理使用 DNS over HTTPS 的设备？
• 查询日志存储在哪里？保存多久？符合哪种认证？

如果您也将 DNSFilter 列入了候选名单，请阅读 Shield 对比 DNSFilter：适用于 WiFi 运营商的防护性 DNS 对比分析。如需了解更多决策指南，请浏览 所有指南。

常见问题解答

是否有针对宾客 WiFi 的 Cisco Umbrella 替代方案？

有的。Shield 是 Purple 专门针对宾客和公共 WiFi（而非企业终端）打造的防护性 DNS 服务。您可以在几分钟内按 SSID 启用它，无需任何硬件，也无需在访客设备上安装 Agent。它可以在 DNS 查询环节过滤威胁和不适内容，并拦截广告。许多组织机构在员工设备上保留 Umbrella，而在宾客网络上运行 Shield。这样每款工具都能发挥其专为之设计的功能。

Cisco Umbrella 针对宾客 WiFi 是如何定价的？

Cisco Umbrella 没有公开的目录价格。您需要根据报价通过 Cisco 销售人员或经销商购买不同的软件包，例如 DNS Security Essentials、DNS Security Advantage、SIG Essentials 以及 SIG Advantage。授权许可是按坐席计算的。对于宾客 WiFi，在接受报价之前，请先询问匿名访客是如何计入坐席数的。季节性或活动带来的客流量使得该数字难以预测，更难以维系。

对于公共 WiFi 过滤来说，Umbrella 是否大材小用？

通常是的，如果您只需要保护宾客网络。Umbrella 的优势在于受管笔记本电脑的漫游保护、基于身份的策略，以及升级至 SWG、CASB、FWaaS 和 ZTNA 的路径。宾客设备不会用到这些功能。对于公共 WiFi，核心需求是对接入的每台设备进行 DNS 级别的威胁和内容过滤。Shield 可以按 SSID 提供此功能，无需计算坐席数，也无需安装 Agent。

Shield 能否配合我们现有的无线接入点（AP）使用？

是的。Purple 独立于硬件，可以作为云端叠加层运行在您现有的网络上。它适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。Shield 在 DNS 层发挥作用，因此您可以针对每个 SSID 进行配置，无需添加任何新硬件。您原有的接入点、交换机和控制器保持不动。

我们能否同时运行 Shield 和 Cisco Umbrella？

是的，对于混合架构的网络，这通常是最干净的设计。将 Umbrella 保留在企业 SSID 和托管笔记本电脑上，使其与按席位授权和漫游保护相匹配。在访客和公共 SSID 上运行 Shield，因为连接这些网络的人员是匿名且不固定的。独立的 SSID 和 VLAN 可以分隔这两种策略。随后，每个网络都将使用最适合其使用人员的解析程序。

部署 Shield 需要多长时间？

每个 SSID 仅需数分钟。Shield 不需要任何硬件，也不需要在访客设备上安装软件，因此部署只是一项配置变更，而非大型项目。拥有多个分店或基地的企业可以在一个变更窗口内保护每个访客网络。Purple 的支持文档涵盖了针对您硬件的具体配置步骤。每个 SSID 上线后，策略将进行集中管理。

保护性 DNS 如何影响 GDPR 和数据处理？

当 DNS 查询日志可以关联到某台设备时，请将其视为个人数据，并设置相应的保留期限。Purple 拥有 ISO 27001 认证并符合 GDPR 规范，Shield 也在此框架内运行。对于任何供应商，请询问日志存储在何处、保存多长时间以及谁可以访问这些日志。随后将这些答案记录在您的数据保护影响评估中。

访客能否绕过访客 WiFi 上的 DNS 过滤？

部分人可能会尝试，主要是通过使用 DNS over HTTPS 或将查询发送到其他解析程序的 VPN。您可以通过在访客 VLAN 上封禁已知的 DoH 端点和公共解析程序来减少这种情况。这将强制通过您的保护性 DNS 服务进行查询。没有任何 DNS 过滤器可以阻止所有蓄意绕过的行为。但结合网络控制，它可以覆盖绝大多数设备上的绝大多数访客。