Shield 与 DNSFilter：WiFi 运营者的防御性 DNS 对比
您将能够根据您的运营模式而非解析器宣称的功能，在 Shield、DNSFilter 和 Cisco Umbrella 之间进行选择。利用决策矩阵、成本对比和五步评估法，将防御性 DNS 与您的访客网络及托管员工设备进行匹配，并在防火墙处封堵解析器绕过路径。
Published 2026年10月25日 · 14 min read
Shield 和 DNSFilter 都在 DNS 查询阶段、建立任何连接之前阻止恶意和不受欢迎的域名。两者的区别在于运营模式。Shield 是 Purple 的附加组件，可在同一账单上与您的 SSID、Captive Portal 和分析功能一起进行管理。DNSFilter 则是一个独立的解析器，拥有自己的控制台、代理和发票，适用于漫游的员工设备。
对于访客 WiFi，您应该选择哪一个：Shield 还是 DNSFilter？
请根据运营模式做出选择，而不是解析器本身。这两个产品都在连接过程中的同一个节点进行过滤。两者都能拦截钓鱼攻击、恶意软件和不受欢迎的内容类别。两者的区别在于它们如何融入您的 IT 环境。
Shield 是 Purple 的 Guest WiFi 平台中的安全附加组件。它是三个附加组件之一，另外两个是 SecurePass 和 Verify。您可以直接从运行 SSID、Captive Portal 和访客分析的仪表板中开启它。您无需签署单独的解析器合同、部署代理或支付第二份发票。
DNSFilter 是一家专业的保护性 DNS 公司。它销售独立的解析器服务、策略控制台以及用于托管设备的漫游客户端。这是一个广受好评的产品，客观总结如下：
- 如果您的访客和公共 WiFi 已经运行在 Purple 上，Shield 是更便捷的选择。您只需面对单一供应商、单一账单和单一仪表板。
- 如果您的主要风险来自于离开办公楼的员工笔记本电脑和手机，DNSFilter 的漫游客户端可以覆盖 Shield 无法涵盖的范围。
- 如果您同时面临这两个问题，可以同时运行两者。 在访客和公共 SSID 上使用 Shield，并在受控终端上使用 DNSFilter 或 Cisco Umbrella。
本指南并不争论解析器速度、PoP 节点数量或威胁情报的广度。DNSFilter 和 Cisco Umbrella 是专门的安全供应商，深度是他们的核心业务。WiFi 运营者需要回答的是一个更具体的问题：您希望将保护性 DNS 内置于 WiFi 平台中，还是希望独立采购并运行一套单独的体系？
保护性 DNS 在何处进行过滤，以及防火墙会遗漏什么？
每一个网页请求都始于 DNS 查询。在设备建立连接之前，它会请求解析器将域名转换为 IP 地址。我们在 什么是 DNS 查询以及网络为何使用它 的讲解中详细介绍了其运行机制。
保护性 DNS 会根据威胁和类别数据对每次查询进行核对。如果域名属于恶意或受阻断类别，解析器将拒绝返回真实的解析结果。设备永远无法连接到服务器，因此不会加载任何页面、下载任何文件，也不会从设备中泄漏任何凭据。
防火墙单独在访客 WiFi 上会遗漏什么
防火墙作用于连接层面。它能看到 IP 地址和端口。在没有解密的情况下，它几乎看不到具体的传输内容。在公共网络上，有三个关键漏洞需要注意：
- 加密流量。 大多数网络流量现在都通过 HTTPS 运行。要对其进行检测，您必须在每台设备上安装受信任的证书，而您无法在访客的手机上执行此操作。
- 不断变化的底层架构。 网络钓鱼运营商会快速轮换 IP 地址，因此 IP 黑名单总是落后。域名通常是更稳定的指标。
- 隐藏的服务器名称。 带有加密客户端 Hello（Encrypted Client Hello）的 TLS 1.3 会在网络路径上隐藏请求的服务器名称。DNS 查询仍然在连接之前发生。
防护性 DNS 不需要代理，也不需要证书。它覆盖了从您的 DHCP 设置中获取解析器的每台设备，无论其操作系统如何。这就是为什么它非常适合访客 WiFi，因为您拥有网络，但不拥有设备。
防护性 DNS 需要协助的地方
DNS 过滤并不能取代防火墙。某些设备会绕过网络解析器：那些具有硬编码解析器的设备，以及使用 DNS over HTTPS (DoH, RFC 8484) 或 DNS over TLS (DoT, RFC 7858) 的浏览器。需要在防火墙端弥补这一漏洞。阻止端口 53 上针对除您自己之外的任何解析器的出站 DNS，阻止端口 853，并阻止已知的 DoH 端点。
此建议同样适用于 Shield、DNSFilter 和 Cisco Umbrella。我们关于 DNS 转发 的解说展示了查询如何在典型网络上的解析器之间传输。这有助于您规划防护性解析器的部署位置。
Shield 和 DNSFilter 究竟有何不同？
下表对比了访客 WiFi 采购者通常会列入候选名单的三种选择。每一行都是一个操作层面的问题，而不是功能数量的堆砌。
| Shield | DNSFilter | Cisco Umbrella | |
|---|---|---|---|
| 产品定义 | Purple 访客 WiFi 的防护性 DNS 附加组件 | 独立防护性 DNS 服务 | Cisco 安全产品组合中的 DNS 层安全 |
| 是否需要新硬件 | 否 | 网络过滤不需要 | DNS 层过滤不需要 |
| 策略管理位置 | Purple 仪表板，紧邻 SSID、Captive Portal 和分析功能 | 独立的 DNSFilter 控制台 | 独立的 Umbrella 仪表板 |
| 覆盖网络外的设备 | 否，仅保护连接到您 WiFi 的设备 | 是，通过托管设备上的漫游客户端实现 | 是，通过 Cisco Secure Client 实现 |
| 广告拦截 | 内置 | 通过内容类别策略实现 | 通过内容类别策略实现 |
| 定价模型 | Purple 订阅的附加组件 | 公开的按席位计费的按月阶梯价格 | 由 Cisco 或合作伙伴报价的打包许可证 |
| 访客 WiFi 和 DNS 账单 | 一张 | 两张 | 两张，或者与 Cisco 建立单一合作关系但使用单独许可证 |
| 最佳适用场景 | 在 Purple 上运行访客和公共 WiFi 的场所 | 托管员工设备群、MSP、漫游端点 | 标准化采用 Cisco 安全方案的企业资产 |
DNSFilter 的优势
DNSFilter 具有真正的优势，您应该对其进行合理评估。
- 速度。 DNSFilter 发布解析器性能基准，并将解析速度作为其核心卖点之一。
- 机器学习分类。 其分类引擎可对尚未识别的新域名进行归类。这一点至关重要，因为每天都有新的钓鱼网站出现。
- 透明可预测的定价。 按席位分级的价格体系完全公开，您可以根据已知的员工人数轻松制定预算，无需专门联系销售咨询。
- 漫游覆盖。 其漫游客户端可以对居家、酒店以及使用移动数据时的托管设备进行过滤。
- MSP 管理工具。 多租户控制台允许托管服务提供商通过单次登录管理多个客户组织。
DNSFilter 还发布了声明，称其比其他服务能更早发现威胁。Purple 也发布了关于 Shield 的数据：根据 Purple 的自有数据，其最多可提前 10 天标记威胁。但这两个数据均非来自相同条件下的正面对比测试。请勿仅凭这两个数字做出选择。
Shield 有何不同之处
Shield 的优势在于其集成的生态位置，而不在于解析器的深度。
- 平台原生策略。 您可以在 Purple 中直接为现有的访客网络设置过滤规则。同一个仪表板即可显示登录分析、Captive Portal 性能和过滤活动。
- 内置广告拦截。 Purple 公布的 Shield 广告拦截数据显示，页面加载速度最高提升 500%，数据消耗减少多达 44%，DNS 查询减少 62%，网络流量减少 20% 至 40%。
- 无视硬件厂商。 Purple 可以作为云端覆盖层运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 等设备上。在这些设备上启用 Shield 均无需额外添加硬件。
- 统一的合规保障。 Purple 拥有 ISO 27001 和 Cyber Essentials 认证，并符合 GDPR 标准。您的 DNS 数据将直接保存在处理您访客 WiFi 数据的同一供应商处。
何时选择 Shield 是明智之举？
当您的访客或公共 WiFi 已经使用 Purple 运行，或者您计划将其迁移至 Purple 时，选择 Shield 是最正确的决定。如果符合以下大部分情况，它将是最佳选择：
- 您需要保护的设备属于访客、来宾、顾客或乘客，而非托管的办公笔记本电脑。
- 您希望在无需部署新硬件或客户端的情况下，实现内容过滤、威胁防护和广告拦截。
- 您的采购团队更希望延长现有合同，而不是引入新的安全供应商。
- 场所管理员已经熟悉 Purple 仪表板，无需再去学习第二个控制台。
- 部分场所的带宽吃紧，因此广告拦截能带来直接的运营效益。
实操场景：拥有 200 间客房的大型会议酒店
背景。 一家拥有 200 间客房的酒店通过 Ruckus 无线 AP 在 Purple 上运行访客 WiFi。住客和会议代表共享同一个公共 SSID。第二个 SSID 供员工使用。IT 经理需要在会议季到来之前，为访客 SSID 提供防钓鱼、防恶意软件以及不良内容过滤功能。如果采购独立的 DNS 服务，意味着需要进行新的供应商审查、学习第二个控制台，并注册该场所的公网 IP 地址。
实施内容。 团队在 Purple 仪表板上为访客 SSID 启用了 Shield。他们选择了威胁防护以及酒店可接受使用政策所禁止的内容类别，并启用了广告拦截功能。在防火墙侧，他们阻止了指向防护性解析器之外的其他 DNS 出站请求，从而封堵了绕过路径。在进行变更之前，他们记录了 30 天内每个会话和 DNS 查询量的基线数据。
可衡量的结果。 酒店最终在访客网络上仅保留了一家供应商，而非原计划的两家。不需要增加任何新硬件，值班经理也不需要使用额外的控制台。团队将每个会话的数据和 DNS 查询量与 30 天基线进行了对比。对比结果符合 Purple 发布的行业数据范围：数据传输量减少高达 44%，DNS 查询量减少高达 62%。过滤报告与营销团队已经在审阅的登录分析数据并列展示。
实际案例：拥有 40 家门店的零售连锁品牌
背景。 一家时尚零售商在 40 家门店提供顾客 WiFi。有几家门店使用的是小型宽带线路，该线路同时还承载了支付终端和库存系统。访客流量被隔离在各自的 VLAN（虚拟网络片段）上，符合 PCI DSS 的隔离指南。即便如此，来自顾客设备的重度广告流量依然在争夺相同的上行带宽。
实施内容。 该零售商通过单个 Purple 策略在所有 40 家门店的 SSID 上启用了 Shield。它为每个门店都启用了威胁防护和广告拦截。总公司统一设置了一项内容策略，而无需对每个门店单独进行配置。
可衡量的结果。 每家门店都记录了变更前后顾客 VLAN 上的 Web 流量。零售商根据 Purple 提出的“开启广告拦截后 Web 流量减少 20% 至 40%”的数据对结果进行了衡量。该策略从单个仪表板进行推广部署，无需派人实地巡检任何门店，也无需添加任何新硬件。
何时选择 DNSFilter 是正确的决定？
当您遇到的问题在于设备本身而非场馆网络时，选择 DNSFilter 是正确的决定。当以下大多数情况属实，请选择它：
- 您管理着一批在居家办公、客户现场或使用移动数据网络工作的笔记本电脑、平板电脑或手机。
- 您的访客 WiFi 未运行在 Purple 上，且您希望获得专业供应商提供的 DNS 防护。
- 您是一家管理着许多小型客户组织的 MSP，并且需要一个多租户控制台。
- 您看重按人头公开发布的定价模式，以适应稳定的员工人数。
- 您将解析器速度和机器学习分类作为主要的采购标准。
在上述每种情况下，漫游客户端都是决定性因素。Shield 可以在设备连接您的 WiFi 时提供保护。而 DNSFilter 的漫游客户端则可以在托管设备离开网络后继续对其提供保护。
实际案例：拥有图书馆和远程员工的区议会
情况。 某个区议会在 12 个图书馆和社区中心通过 Purple 运行公共 WiFi。该议会还向 300 名员工发放了笔记本电脑，这些员工的时间分散在办公室和家中。议会的安全负责人希望对公共 WiFi 和员工笔记本电脑（无论它们在哪里连接）实施过滤。
所做的工作。 议会在图书馆的公共 SSID 上启用了 Shield，供访客使用自己的设备。在员工的笔记本电脑上，议会部署了来自 DNSFilter 等专业厂商的漫游 DNS 客户端。英国公共机构在为企业设备购买此类服务前，还应核查是否符合 NCSC Protective DNS 服务的资格。在英格兰，议会辖下的图书馆还会根据自身的安全保障政策对过滤机制进行审查。
可衡量的结果。 议会直接衡量覆盖率。它记录了上报已安装过滤漫游客户端的受管笔记本电脑比例，目标是覆盖每一台发放的设备。公共 WiFi 过滤与图书馆登录分析同存于同一个 Purple 仪表板中。议会运行两个控制台，但每个控制台都针对不同的工作，而不是将一个产品强行套用到这两种场景中。
Cisco Umbrella 适用于什么场景？
Cisco Umbrella 是大多数候选名单上的第三个名字，值得公平对待。它的 DNS 层安全是 Cisco 更广泛的安全产品组合的一部分。该产品组合还包括安全 Web 网关和云交付防火墙功能。Cisco Meraki 网络与 Umbrella 集成，Cisco Secure Client 为受管设备提供漫游覆盖。
Umbrella 适合已经基于 Cisco 安全标准化的资产。在这些资产中，保护性 DNS 可以嵌入到您现有的政策、日志记录和合同中。不过，从 WiFi 平台的角度来看，它仍然是一个独立的堆栈。它拥有自己的仪表板、自己的许可证和自己的续订周期。对于 Purple 上的访客 WiFi，与 DNSFilter 一样适用相同的平台原生优势。
每种选项的运行成本是多少？
许可证价格是可见成本。运行成本体现在采购、设置、日常运营和续订中。DNSFilter 和 Cisco Umbrella 在技术部署上都不昂贵。区别在于您向资产中增加了多少流程。
| 成本项 | Shield | DNSFilter | Cisco Umbrella |
|---|---|---|---|
| 许可证 | 您的 Purple 计划附加组件 | 按席位计费的每月阶梯价格 | 来自 Cisco 或合作伙伴的打包许可证 |
| 采购 | 更改现有的 Purple 协议 | 新供应商入驻和安全审查 | 新合同，除非您已持有 Umbrella 许可证 |
| 站点设置 | 在 Purple 仪表板中启用 | 将站点 DNS 指向 DNSFilter 并识别站点 | 将站点 DNS 指向 Umbrella 并注册网络 |
| 日常运营 | 一个包含 WiFi 分析的仪表板 | WiFi 平台之外的第二个控制台 | 第二个控制台，与其他 Cisco 安全工具共享 |
| 员工培训 | 现有的 Purple 仪表板技能 | 新的控制台技能 | 新的控制台技能 |
| 数据处理文件 | 包含在您现有的 Purple 协议中 | 新的数据处理协议 | 新协议（除非已有生效协议） |
| 续约 | 单一续约 | 独立续约 | 独立续约 |
访客设备问题
按席位计费非常适合员工人数固定的情况。然而在访客 WiFi 上，设备数量每天都在变化。酒店或车站一个月内出现的不同设备数量可能远超其员工人数。请以书面形式询问 DNSFilter 他们如何在公共网络上统计访客数量。然后基于相同的标准比较报价：站点数量、SSID 数量以及预期的每月设备数量。
隐藏的运营成本
注意以下三项很少出现在报价单上的成本：
- 站点识别。 独立解析器需要知道查询来自哪个网络。具有动态公网 IP 地址的站点可能需要更新程序或本地代理。
- 事件关联。 当访客抱怨某个网站被拦截时，工作人员必须分别检查 DNS 控制台和 WiFi 平台。
- 供应商管理。 每个供应商都会向您的日历中增加一份安全问卷、一份数据处理协议和一个续约日期。
Purple Shield 消除了访客网络的这三项成本，因为它运行在您已经操作的平台内部。但它不会消除异地员工笔记本电脑的这些成本，因为它不覆盖这些设备。
您如何为您的资产做出决定？
请从您的设备开始，而不是从功能列表开始。梳理您需要保护的内容、连接位置以及管理人员。然后使用下面的矩阵。
| 您的状况 | 推荐选项 | 原因 |
|---|---|---|
| 使用 Purple 的访客 WiFi，无异地设备需要覆盖 | Purple Shield | 单一供应商、单一账单、单一控制面板 |
| 使用 Purple 的访客 WiFi 加上会带回家的受管笔记本电脑 | 访客 SSID 使用 Purple Shield，笔记本电脑使用 DNSFilter 或 Umbrella | 每种工具均覆盖其专为构建的领域 |
| 未使用 Purple，仅有受管员工设备 | DNSFilter | 适合漫游客户端和公开的按席位计费模式 |
| 安全资产已标准化为 Cisco，且已获得 Umbrella 许可 | 受管设备使用 Cisco Umbrella | 策略保留在您的 Cisco 安全栈内部 |
| 为许多没有访客 WiFi 的小型办公室提供服务的 MSP | DNSFilter | 专为 MSP 运营构建的多租户控制台 |
| 使用 Purple 且宽带受限的场馆 | 带广告拦截功能的 Purple Shield | Purple 数据：减少 20% 至 40% 的网页流量 |
五步评估法
- 盘点设备。 将它们分为访客与受管设备、现场与漫游设备。通常这种分类在任何演示之前就决定了答案。
- 在单个 SSID 上试点。 在单个访客网络上运行为期 30 天的试点。如果您也在权衡 DNSFilter，请在同一时期内在可比的站点上进行试点。
- 衡量对您重要的指标。 记录拦截的威胁、访客报告误报率、页面加载时间和每个会话的数据量。将各项与试点前的基线进行对比。
- 检查数据处理。 确认 DNS 日志存储位置、保存时长以及访问权限。在 GDPR 下，如果查询日志与可识别身份的个人相关联，则可能属于个人数据。
- 比较总成本。 在相同标准下，对许可证、采购、培训和续约工作进行横向对比。
如果您还在制定更长候选名单，我们针对 共享 WiFi 的钓鱼防护软件 的评估涵盖了 10 个选项。要了解有关运行 Purple 防护型 DNS 的更多信息，请访问 Shield 页面或浏览 所有指南。
常见问题解答
Shield 与 DNSFilter 相比如何？
Shield 和 DNSFilter 都会在 DNS 查询环节拦截威胁和不良内容；区别在于运营模式。Shield 是 Purple 访客 WiFi 平台的附加组件。您可以在同一个管理面板中管理 SSID、Captive Portal 和分析数据，并统一在一张账单上结算。DNSFilter 是一项独立服务，拥有自己的控制台、合同和漫游客户端。Shield 适用于使用 Purple 的场地；DNSFilter 则适用于离开您网络的受控设备。
是否有针对访客 WiFi 的 DNSFilter 替代方案？
有。如果您的访客 WiFi 运行在 Purple 上，Shield 可以添加防护型 DNS、内容过滤和广告拦截功能，无需签订新的解析器合同或添置新硬件。Cisco Umbrella 是另一个替代方案，最适合已经标准化采用 Cisco 安全方案的场所。这三者都在同一环节进行过滤，即在任何连接建立之前的 DNS 查询阶段。您可根据它们与您现已运行的 WiFi 平台的匹配程度来进行比较。
DNSFilter 能拦截广告吗？
可以，DNSFilter 可以通过其内容类别过滤策略拦截广告域名。您可以在 DNSFilter 控制台中将广告拦截作为任何其他被封锁类别进行应用。请查看 DNSFilter 当前的类别列表以获取确切名称。Shield 则内置了广告拦截功能。Purple 的自身数据表明，页面加载速度提高高达 500%，数据消耗减少高达 44%，这对于带宽受限的场地至关重要。
运行 Shield 需要新的硬件吗？
不需要。Shield 作用于 DNS 层，因此不需要在访客设备上安装任何硬件设备或 Agent。Purple 独立于硬件，可以作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 之上。您只需在 Purple 管理面板中启用 Shield，并将策略应用于您现已管理的访客网络即可。
我们能否将访客 WiFi 从 DNSFilter 切换到 Shield？
可以，这是一项配置更改，而不是硬件工程。访客设备使用您网络分配给它们的解析器，因此将访客 SSID 迁移到 Shield 会更改这些查询的走向。您可以在一个 SSID 上试点 Shield，对比拦截报告和页面加载速度，然后迁移其余站点。如果您仍需要离线覆盖，请将 DNSFilter 漫游客户端保留在受控的员工设备上。
在 GDPR 合规要求下，如何处理 DNS 日志？
凡是 DNS 查询日志与可识别的个人相关联的地方，均应将其视为个人数据，且仅在所需期间内进行保留。Purple 已通过 ISO 27001 认证并符合 GDPR。Shield 数据托管在与处理您的访客 WiFi 数据相同的平台内。如果使用独立服务，请将 DNS 供应商添加到您的处理记录中，并单独签署数据处理协议。
哪种保护性 DNS 最适合公共 WiFi？
最适合公共 WiFi 的保护性 DNS 是能够契合您现有网络运行方式的方案。在 Purple 上，Shield 可以免去第二个供应商、控制台和账单。对于漫游的管理设备，DNSFilter 的客户端更为适合。对于在 Cisco 安全方案上实现标准化的企业，Cisco Umbrella 可以将策略统一保留在一个技术栈中。无论选择哪种方案，都可以配合防火墙规则使用，阻止设备绕过您的解析器。
与 DNSFilter 相比，Shield 如何定价？
Shield 是 Purple 订阅的附加组件，因此它会显示在您现有的账单中。DNSFilter 在单独的合同中按按席位月度梯队公布价格，可为已知的员工人数提供可预测的成本。而在访客 WiFi 场景下，设备数量每天都在变化。请以书面形式询问 DNSFilter 其如何统计访客数量，然后在相同的基础上对比这两份报价。