適用於訪客與公共 WiFi 的最佳防護型 DNS

對於跨 80,000 多個場地提供訪客與公共 WiFi 的管理者來說，Shield 提供了免代理程式（agentless）、針對每個 SSID 的保護性 DNS，且無需新增任何硬體。它能與 Cisco Meraki MR 等網路整合，同時符合「在教育中保護兒童安全（Keeping Children Safe in Education）」指引下的 DfE 過濾與監控標準。Shield 能直接在管理訪客網路的平台內，於 DNS 查詢階段過濾威脅與內容。

您的訪客 WiFi 該選擇哪種保護性 DNS？

請從您要保護的對象開始考量，而不是從解析器（resolver）的基準測試開始。訪客網路連接的是您不擁有且永遠無法管理的手機和筆記型電腦。光是這個事實就決定了本次比較的大部分內容。

保護性 DNS 是一種拒絕回應惡意或不良網域查詢的解析器。英國國家網路安全中心（NCSC）也對其為公務機關運作的服務使用相同的術語。在訪客網路上，這是最實用的過濾位置，因為無論設備執行什麼軟體，每個設備都會進行 DNS 查詢。

本指南依據 WiFi 營運商真正關心的六項標準來評估三個選項：

• 免代理程式、針對每個 SSID 的部署。 SSID 是設備加入的網路名稱。您能否在不於設備上安裝任何軟體的情況下，針對每個網路設定政策？
• 無需新硬體。 它能否在您現有的存取點（AP）上執行？
• 適合家庭安全的過濾。 您能否符合您所屬領域的標準，例如教育部位於學校的過濾與監控標準？
• 廣告攔截。 它能否減少會消耗共享頻寬的廣告流量？
• 多場地管理。 一個團隊能否從單一主控台管理 10 個、100 個或 1,000 個場地？
• 計價模式。 當每天連線的人員都在變化時，此授權方式是否合理？

以下是針對您所處狀況的最佳對應簡答。

您所處的狀況	最佳選擇	原因
飯店、商店、車站或場館的訪客 WiFi，無法安裝代理程式	Shield	針對每個 SSID 設定政策，無需硬體，與您的訪客 WiFi 一同管理
採用 Cisco Meraki 設備且已有 Cisco 安全機制保護員工的環境	員工使用 Cisco Umbrella，訪客使用 Shield 或 Umbrella	原生 Meraki 整合與 Cisco Talos 威脅情報
保護中小企業筆記型電腦（無論在場內或場外）的 MSP	DNSFilter	行動代理程式與多租戶 MSP 儀表板
設有訪客與學生網路的學校或多學院信託	訪客 SSID 使用 Shield，並符合 DfE 標準	針對學校未管理的設備進行免代理程式過濾
包含受管員工筆電與公共 WiFi 的混合環境	端點使用 Umbrella 或 DNSFilter，訪客 SSID 使用 Shield	每種工具各自涵蓋其設計專用的設備

保護性 DNS 在何處進行過濾？防火牆又會漏掉什麼？

每個連線都始於 DNS 查詢。裝置向解析器詢問網域名稱背後的位址，然後連線至該位址。防護型 DNS 會在第一步就進行干預。如果該網域具安全性風險或遭到政策封鎖，解析器就會回傳封鎖頁面或不予回應。連線根本不會開始。

防火牆遺漏的盲點

傳統防火牆只能識別 IP 位址與連接埠。這會在訪客網路中產生三個漏洞：

1. 共用位址。 內容分發網路在同一個 IP 位址背後託管數千個網域。封鎖單一位址可能會破壞合法的網站，同時卻讓有害網域在其他地方依然可存取。
2. 加密流量。 HTTPS 對中間的任何裝置隱藏了頁面路徑。TLS 1.3 加密了更多的握手過程，而加密用戶端 Hello（Encrypted Client Hello）連網站名稱也一併隱藏。
3. 新網域。 網路釣魚和惡意軟體活動不斷註冊新的網域。不良位址清單過期的速度，比網域信譽摘要還要快。

DNS 過濾彌補了這些漏洞，因為它是針對名稱而非位址進行判斷。它還能攔截訪客裝置上試圖連回控制（command-and-control）網域的惡意軟體。Shield 能在連線建立之前，提早識別新興的威脅。

DNS 過濾無法做到的事

我們必須誠實面對其局限性。DNS 過濾只能識別網域，而非完整的 URL，因此無法僅封鎖允許網站中的單一頁面。它無法檢查檔案下載。若裝置直接連線至硬編碼的 IP 位址，或是透過 VPN 建立隧道出站，就會完全繞過查詢程序。

使用 DNS over HTTPS (DoH) 的瀏覽器是最常見的漏洞。DoH 會將查詢封裝在加密的 Web 流量中，傳送至瀏覽器自行選擇的解析器。Firefox 會檢查 Canary 網域 use-application-dns.net，當您的解析器封鎖該網域時，就會關閉預設的 DoH。Chrome 則僅在您設定的解析器支援時才會升級至 DoH。如需瞭解完整細節，請參閱 DNS over HTTPS 詳解：隱私權 vs 公共 WiFi 過濾。

在訪客 VLAN 上，除了您的防護型解析器外，請封鎖對所有其他解析器的出站 DNS。VLAN 是能在共用交換器上分隔流量的虛擬區域網路。請將此設定與 如何為訪客與員工設定網路分段 中的分段步驟搭配使用。

Shield、DNSFilter 與 Cisco Umbrella 究竟有何不同？

這三者皆在 DNS 層進行過濾，且在網路模式下都不需要新的硬體。它們的不同之處在於其設計服務的目標對象。Cisco Umbrella 與 DNSFilter 最初是用於保護網路內外的員工裝置。而 Shield 則是專為充滿您永遠無法管理的裝置網路而設計。

評估標準	Shield (Purple)	DNSFilter	Cisco Umbrella
過濾位置	DNS 查詢，依據 SSID	DNS 查詢，依據網路或代理程式	DNS 查詢，依據網路、身分或代理程式
無代理程式訪客部署	是，預設模式	是，依據網路	是，依據網路
需要新硬體	不需要	不需要	不需要
個別 SSID 策略	是，於 Purple 平台中設定	是，可分別識別每個 SSID	Cisco Meraki MR 原生支援，其他則需分別識別每個 SSID
廣告攔截	核心功能	非核心使用情境	非核心使用情境
網域外裝置	不包含，僅保護連接您 WiFi 的裝置	漫遊用戶端代理程式	Cisco Secure Client 漫遊模組
威脅情資	早期威脅識別	自有的 AI 驅動網域分類	Cisco Talos
多案場管理	單一平台整合所有場地，並提供 Captive Portal 及分析	專為 MSP 打造的多租戶儀表板	供合作夥伴使用的多組織主控台
計價模式	Purple 方案的資安加值服務	按使用者訂閱	透過 Cisco 或合作夥伴按使用者授權
最佳適用情境	跨多個場地的訪客及公共 WiFi	MSP 與漫遊端點	以 Cisco 為主的員工與混合式環境

免安裝代理程式的個別 SSID 部署

訪客網路需要套用到每台連線裝置且無需安裝任何軟體的過濾機制。這三款產品都能透過識別網路來達成此目的，差異在於部署的複雜度。當訪客與員工 SSID 共用一個公有 IP 位址時，DNSFilter 與 Umbrella 需要透過區域轉發器（local relay）或獨立出口等方式來區分它們。Cisco Umbrella 在 Cisco Meraki MR 上可避免此問題，因為其個別 SSID 策略為原生支援。Shield 則直接在已運行您訪客網路的平台內，針對個別 SSID 設定策略。

符合家庭安全標準的過濾機制

英格蘭的學校必須符合「保護兒童安全教育機制（Keeping Children Safe in Education）」架構下的 DfE 過濾與監控標準。飯店、圖書館和休閒場所面臨的是商譽壓力，而非法定強制力。無論屬於哪種情況，都請向各廠商確認三個問題：是否能攔截網際網路觀察基金會（Internet Watch Foundation）的虐待兒童名單？是否能在主要搜尋引擎上強制執行安全搜尋（SafeSearch）？您能否向稽核人員展示策略及其日誌？我們的指南 學校網路過濾：切實有用的策略 對學校策略有更深入的探討。

廣告攔截

在測量壅塞的訪客網路之前，廣告攔截看起來只是一項便利功能。廣告及其腳本產生的查詢與流量會與每位訪客競爭網路資源。Shield 在查詢層級即剝離廣告請求，減少不必要的 DNS 查詢與整體網路流量，進而提升網頁載入速度。DNSFilter 與 Umbrella 則專注於安全性與內容分類，而非廣告移除。

多案場管理

多案場對不同的買家意味著不同的需求。MSP 服務許多獨立的企業，每家企業都需要專屬的租戶與報告，DNSFilter 的儀表板正是為此設計。飯店集團或零售商則是在多個據點營運單一品牌。對這類買家而言，將過濾機制與訪客最先看到的登入頁面 Captive Portal 放在一起管理，可省去使用第二個主控台的麻煩。面向 MSP 與多案場環境的 DNS 過濾 涵蓋了這兩種模式。

何時 Shield 是最合適的保護性 DNS？

當您需要保護的裝置屬於賓客、顧客、乘客、病患或訪客時，請選擇 Shield。這涵蓋了旅宿業、零售業、交通運輸、醫療照護和各類場館的大多數公共 WiFi。

在以下情況下，Shield 是正確的選擇：

• 您無法在裝置上安裝任何軟體。 針對每個 SSID 的無代理程式過濾功能可涵蓋加入網路的每一支手機和筆記型電腦。
• 您擁有混合的硬體設備。 Purple 獨立於硬體之外，並作為雲端重疊層在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 上運作。完全不需要架設實體設備。
• 頻寬是賓客抱怨的主因。 在查詢層級阻擋廣告可減少繁忙網路上的不必要網路流量。
• 您以小型團隊營運眾多場館。 Purple 在 8,0000 多個實體場館營運賓客 WiFi，並在 2024 年處理了 4.4 億次登入。Shield 整合於同一個平台中。
• 合規團隊需要獲得認證的供應商。 Purple 擁有 ISO 27001、Cyber Essentials 和 B Corp 認證，並符合 GDPR 標準。

當您必須保護員工在家庭寬頻或飯店網路上的筆記型電腦時，單獨使用 Shield 是不合適的。它只保護您 WiFi 上的裝置。當他們離開時，保護就會停止。針對這些裝置，請將 Shield 與端點代理程式搭配使用。請參閱 Shield 頁面上的產品詳細資訊。

何時選擇 DNSFilter 是正確的？

DNSFilter 憑藉優良的理由在 MSP 架構中佔有一席之地。它具有三大優勢。

第一，它的多租戶儀表板讓 MSP 可以為數十家客戶企業執行獨立的策略和報告。第二，它的漫遊用戶端涵蓋了不在網路內的 Windows、macOS、iOS、Android 和 ChromeOS 裝置。第三，它由人工智慧驅動的分類功能可快速分類新網域，這對於防禦新註冊的網路釣魚網站至關重要。

在以下情況下請選擇 DNSFilter：

• 您是一家 MSP，負責向許多小型企業銷售過濾服務，且每家企業都有自己的計費方式。
• 您保護的大多數裝置都是可以在任何地方工作的公司筆記型電腦。
• 您希望使用一個基於代理程式的策略來跨網路追蹤裝置。

它不太適合主要為賓客 WiFi 的環境。按席位計價的前提是已知員工人數。在共享的公共 IP 位址上套用每個 SSID 策略需要額外設定。如果您要在 Shield 與它之間進行正面比較，Purple 指南庫中的 Shield 與 DNSFilter 比較文章涵蓋了詳細資訊。

何時選擇 Cisco Umbrella 是正確的？

Cisco Umbrella 是一項成熟的 DNS 層級安全性服務，且在三個方面表現強大。最大型的商業威脅情報團隊之一 Cisco Talos 為其分析結果提供支援。它與 Cisco Meraki MR 無線基地台原生整合，包含每個 SSID 策略。它也整合於 Cisco 更廣泛的安全性產品組合中，包含 Cisco Secure Access，因此 DNS 保護可以擴展為完整的安全性服務邊緣（SSE）。

在以下情況下請選擇 Cisco Umbrella：

• 您的員工網路已經在 Cisco Meraki 和 Cisco 安全工具上運作。
• 您需要透過 Cisco Secure Client 保護場外員工的筆記型電腦。
• 您的安全性藍圖包含來自單一廠商的安全 Web 閘道和雲端存取控制。

當您的存取點來自多家廠商，或者當訪客 WiFi 是主要工作時，它的適合度較低。授權模式是圍繞員工席位建置的，而 DNS 之外的功能會增加您訪客可能不需要的成本。我們詳細的正面交鋒比較位於 Shield vs Cisco Umbrella：為訪客 WiFi 選擇保護性 DNS。

每種保護性 DNS 的運作成本是多少？

授權費用只是其中一項成本。還需計算硬體、代理程式、管理者時間以及您購買的頻寬。

成本項目	Shield	DNSFilter	Cisco Umbrella
新硬體	無	無	無
訪客裝置上的代理程式	無	網路模式下無	網路模式下無
員工裝置上的代理程式	未提供	可選的漫遊用戶端	可選的 Secure Client 模組
授權基準	Purple 方案的安全附加元件	按席位	按席位
需要額外運作的控制台	否，與訪客 WiFi 使用相同平台	是，除非已經在使用	是，除非已經在使用
頻寬抵銷	減少廣告流量	非明確目標	非明確目標

訪客授權問題

按席位計價適用於您清楚員工人數的情況。飯店知道其員工數量，但不知道下個月會有多少訪客裝置連線。在比較報價之前，請以書面形式詢問每家廠商如何計算訪客裝置，以及在大型會議或比賽日流量暴增時會發生什麼事。

管理者時間問題

第二個控制台會在每個場地耗費時間。當場地管理者回報某個網站被封鎖時，必須有人找出政策、檢查紀錄並進行變更。使用 Shield，這會在運作 訪客 WiFi 的同一個 Purple 平台中進行。使用獨立的 DNS 服務，意味著需要第二次登入，並維持第二套場地紀錄同步。

頻寬抵銷

廣告流量會消耗您付費的中繼傳輸頻寬。Shield 透過在內容載入前停止廣告請求來減少網路流量。在壅塞的場地，此預留空間可以延後線路升級的需求。請在試行前後測量您自己的流量，而非依賴廠商的平均值。

這些選擇如何在真實場地中展現？

這些實作情境使用假設的場地數據來展現方法。請將相同的算術應用於您自己的流量資料。

情境 1：擁有混合硬體的 12 家飯店集團

狀況。 一家飯店集團營運 12 家物業，每家約有 200 間客房。較舊的飯店使用 Cisco Meraki，較新的飯店使用 HPE Aruba。訪客抱怨晚上網速過慢，且總公司希望封鎖惡意軟體和成人網站。沒有任何家飯店配置駐點 IT 人員。

處置方式。 該集團排除了 Umbrella 的原生整合，因為它僅涵蓋 Meraki 場地。集團透過單一 Purple 儀表板，在所有 12 家飯店的訪客 SSID 上啟用了 Shield。員工則留在具有現行政策的獨立 VLAN 上。

成果。 該集團在所有據點啟動了 Shield，在 DNS 層級封鎖不良內容與廣告流量。透過在載入前移除廣告流量，飯店成功降低了晚間尖峰時段的網路擁塞。總部能從一個中央儀表板，追蹤所有 12 家物業被封鎖的威脅與 DNS 查詢量。

情境 2：提供開放式訪客 WiFi 的購物中心

狀況。 一家區域購物中心為顧客提供開放式 WiFi。該中心已升級至 WPA3 Enhanced Open（OWE，定義於 RFC 8110），可在無需密碼的情況下對空中傳輸流量進行加密。但團隊意識到，加密並不能阻止顧客點擊釣魚連結。

處理方式。 該中心在訪客 SSID 上添加了 Shield，並開啟了威脅防護與廣告封鎖功能。同時也封鎖了訪客 VLAN 上通往其他解析器的外連 DNS。

成果。 OWE 保護了無線連結，而 Shield 保護了查詢，兩者各自補強了不同的安全缺口。Shield 能提早識別威脅網域，並透過封鎖廣告網路連線來加快瀏覽速度。該中心每週都會審查被封鎖網域的報告，以防範重複出現的釣魚活動。

情境 3：市議會圖書館服務

狀況。 市議會在 25 間供兒童與成人使用的圖書館中營運公共 WiFi。員工筆記型電腦已在使用 Cisco Umbrella。IT 團隊考慮將 Umbrella 擴展至公共 SSID。

處理方式。 團隊在離署漫遊極為重要的員工筆記型電腦上保留了 Umbrella。並在公共 SSID 上部署了 Shield，將家庭安全分類與 SafeSearch 強制執行列為政策要求。

成果。 公共裝置絕不會佔用員工授權額度。每個分館只需要透過中央進行一次變更設定，無需現場派員。市議會現在每月都會向其安全防護負責人呈報各分館被封鎖的類別報告。

您該如何為您的資產選擇保護性 DNS？

在縮小候選名單之前，請先完成以下六個步驟。

1. 列出您要保護的裝置。 將其分為「您管理的裝置」與「您未管理的裝置」。未管理的裝置需要無需安裝 Agent 且針對個別 SSID 的過濾機制。

2. 梳理您的硬體架構。 如果每個據點都運行 Cisco Meraki，Umbrella 的原生整合是一項實質優勢。如果您運行多個廠商的設備，請優先選擇不限硬體品牌的方案。

3. 明確您的合規標準。 學校須符合 DfE 過濾與監控標準。接受刷卡付款的零售商必須透過網路區隔，將訪客 WiFi 排除在 PCI-DSS 範圍之外。每個場地處理 DNS 日誌時都必須符合 GDPR。

4. 評估您的網路頻寬。 如果訪客流量造成您的連線擁塞，請提高廣告封鎖的權重。如果沒有，請提高威脅情報的權重。

5. 統計您的控制台數量。 單一品牌跨多個據點適合單一平台。許多獨立的客戶端則適合 MSP 儀表板。

6. 先在一個場地進行試點。 試行四週，比較被封鎖的請求日誌與流量，然後做出決定。

大多數資產最終會結合兩種工具：用於員工筆記型電腦的端點 Agent，以及用於訪客 SSID 的 Shield。瀏覽 所有指南 以取得設定與政策細節。

常見問題

訪客 WiFi 的最佳保護性 DNS 是什麼？

Shield 是訪客 WiFi 的最佳選擇，因為它可直接套用至個別 SSID，無需安裝代理程式或新硬體。它可在 DNS 查詢階段過濾內容、封鎖威脅和廣告，並能與您的 Captive Portal 一同管理。若您需要透過漫遊代理程式保護離線員工的筆記型電腦，Cisco Umbrella 與 DNSFilter 會是更強大的選擇。

針對訪客 WiFi 設定保護性 DNS，需要新的硬體或軟體代理程式嗎？

不需要，訪客網路上的保護性 DNS 兩者都不需要。過濾是在裝置查詢網域時發生的，因此您只需將訪客 SSID 指向保護性解析器，每台連線的裝置就能獲得保障。代理程式僅適用於離開大樓的自有裝置。訪客的手機絕不會安裝您的代理程式，因此無代理程式部署才是關鍵考量。

Shield 可以搭配我現有的基地台運作嗎？

可以。Purple 不受硬體限制，可以作為雲端重疊層在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上執行。您可保留現有的基地台、控制器和交換器。Shield 運作於訪客 SSID 的 DNS 層，因此無需拔除重裝，也不必在每個場地裝設任何硬體設備。

訪客 WiFi 的保護性 DNS 如何計價？

計價模式各有不同，且模式本身比表面價格更為重要。Shield 是 Purple 方案的安全性附加功能。DNSFilter 與 Cisco Umbrella 採每席位授權，適合員工人數固定的情況。但在訪客網路上，每日連線的人員都在變動，因此在比較報價前，請先以書面方式詢問各廠商如何計算訪客裝置數量。

我可以從 Cisco Umbrella 或 DNSFilter 轉移至 Shield 嗎？

可以，而且您不必一次轉移所有項目。保護性 DNS 位於解析器層級，因此切換訪客 SSID 僅需變更其使用的解析器並重新建立類別策略。許多企業會在員工筆記型電腦上保留 Cisco Umbrella 或 DNSFilter，並在訪客 SSID 上執行 Shield。您可以先在單一場地進行試點、比較被封鎖的請求紀錄，然後再全面推廣。

訪客可以透過 DNS over HTTPS 或 VPN 繞過保護性 DNS 嗎？

部分訪客可以，因此請封鎖常見的繞過途徑。在訪客 VLAN 上，請封鎖前往除保護性解析器外任何解析器的出站 DNS，並封鎖已知的 DNS over HTTPS 端點。Firefox 會檢查金絲雀網域 use-application-dns.net，當您的解析器封鎖該網域時，Firefox 便會關閉預設的 DNS over HTTPS。使用商業 VPN 的訪客仍可建立隧道連線，因此您合理的合理使用政策 (Acceptable Use Policy) 應涵蓋此類情況。

保護性 DNS 對符合 GDPR 和 PCI-DSS 有幫助嗎？

這對兩者都有所助益，但無法取代任一控制措施。PCI-DSS 最關心的是訪客 WiFi 是否與持卡人資料環境隔開，這是 VLAN 與防火牆的工作。在 GDPR 規範下，與裝置綁定的 DNS 紀錄可能屬於個人資料，因此請確認保留與處理條款。Purple 通過 ISO 27001 認證並符合 GDPR 規範。

哪種保護性 DNS 最適合多場地據點？

針對跨多個場地的訪客 WiFi，Shield 是最佳選擇，因為每個站點的策略都與其 Captive Portal 和分析功能位於同一個 Purple 平台中。DNSFilter 的多租戶儀表板專為服務多個獨立客戶的 MSP 所打造。Cisco Umbrella 的多組織控制台則適合管理 Cisco 資產的合作夥伴。請根據您的站點是單一品牌還是多個客戶，來選擇最合適的控制台。