針對訪客 WiFi 的替代 Cisco Umbrella 方案

如果您需要為公共 WiFi 上的匿名訪客提供保護性 DNS，請選擇 Purple Shield。它無需任何代理程式，也無需增加新硬體，即可依據每個 SSID 和 VLAN 套用政策。這項服務源自於已在 90 個國家/地區、超過 80,000 個場地運行的平台。如果您要在大範圍的 SASE 專案中，確保具名員工與受管理設備的安全，請選擇 Cisco Umbrella。

關於替代 Cisco Umbrella 用於訪客 WiFi 的簡短解答

Cisco Umbrella 是一款成熟的產品，旨在解決不同的問題。它源自於 Cisco 於 2015 年收購的 OpenDNS。它現在屬於 Cisco 的安全存取服務邊緣 (SASE) 產品組合，可從雲端同時提供網路與安全功能。它的主要應用情境是已知的員工團隊：具名員工、受管理的筆記型電腦、分公司以及行動辦公人員，這些都與目錄服務綁定。

訪客 WiFi 則打破了這些假設。您網路上的使用者是匿名的，且每小時都在變化。人流量會隨著活動和季節而波動。訪客不會安裝任何代理程式，在您的目錄中也沒有帳號。按席位計費的授權模式無法獲得穩定的計算基準。

Purple Shield 是專為此類情境打造的保護性 DNS。當裝置查詢網域名稱時，保護性 DNS 會過濾威脅與不良內容。您可以針對每個 SSID、每個 VLAN（虛擬區域網路，即邏輯上獨立的網路區段）以及每個場地設定政策。Shield 與您的強制入口（訪客連線上網前看到的登入頁面）運行於同一個平台。

解答取決於身分識別。如果您保護的人員擁有您管理的帳號，Umbrella 的模式便相當適合。如果是您無法具名的訪客，Shield 的模式則最為適合。如需完整的直接比較，請閱讀 Shield 與 Cisco Umbrella 之比較。如需瞭解更廣泛的市場概況，請從我們的 DNS 過濾替代方案 總覽開始。

我們比較 Shield 與 Umbrella 的項目與原因

為什麼部署位置最為重要

當裝置詢問網域所在位置時，保護性 DNS 就會發揮作用。這種查詢會在開啟任何連線之前發生。如果該網域具有惡意或違反政策，解析程式就會拒絕存取，裝置便永遠無法連線。防火牆通常是在會話開始後才評估流量，而現在大部分流量都已加密。在解析階段進行過濾，能在釣魚網站、惡意軟體和命令與控制 (C2) 網域到達邊界之前將其阻截。英國國家網路安全中心為公務機關提供的 保護性 DNS 服務 也是基於相同的原理運作。

Shield 與 Umbrella 都在 DNS 層級進行過濾。兩者的差異在於包覆在該層級之外的所有周邊配套機制。

我們評分的標準

我們在對任何產品進行評分前，先確定了八項標準。每個選項僅根據其公開資料進行評分：Cisco Umbrella 文件 與 Purple 的產品資訊。

1. 連線中進行過濾的位置。
2. 產品旨在保護的對象。
3. 訪客裝置是否需要代理程式。
4. 策略附加的單位。
5. 授權單位。
6. 是否公開價格。
7. 超越 DNS 的涵蓋範圍。
8. 與您現有硬體及訪客技術棧的契合度。

我們不展示競爭對手的價格。Cisco 透過其本身的團隊與合作夥伴對 Umbrella 進行報價，因此任何數字都無法證實且很快就會過時。如果您正在評估其他廠商，請參閱 DNSFilter 替代方案 與 Cloudflare Gateway 對比 Purple Shield。

Shield 對比 Cisco Umbrella：比較矩陣

下方的矩陣是查看各產品定位目標的最快方式。

這兩款產品旨在回答兩個不同的問題。Umbrella 關注的是「誰正在連線」，而 Shield 關注的是「裝置位於哪個網路」。

Cisco Umbrella 的優勢領域

如果您的管理對象是內部員工，Umbrella 能涵蓋 Shield 未曾涉足的領域。

以身份為核心的內部員工控制

Umbrella 將策略與使用者身份連結。它能與目錄服務 (包括 Microsoft Entra ID) 整合，讓您針對個人或群組設定規則，並能針對個別員工的活動產出報告。Cisco Secure Client 則能將此防護延伸至離開企業網路、位於家中或出差中的筆記型電腦。

超越 DNS 層級的安全防護

DNS 只是 Umbrella 的其中一層防護。根據採購方案的不同，Cisco 還提供可檢查加密 Web 流量的安全 Web 閘道 (SWG)、雲端防火牆，以及管理 SaaS 存取的雲端存取安全代理 (CASB)。這些都是建構 SASE 體系的核心元素。

威脅情報與 Cisco 生態系

Umbrella 仰賴 Cisco 的威脅情報團隊 Cisco Talos。Cisco 也提供 Umbrella 與 Cisco Meraki 及其他 Cisco 網路設備的原生整合。如果您的安全營運團隊已在使用 Cisco 管理主機，統一採用單一廠商的方案確實具備極高價值。

對於受控的企業員工而言，Umbrella 是個非常可靠的選擇，本指南對此並無異議。

Shield 在訪客 WiFi 上的優勢領域

專為無法具名的訪客打造

Shield 對網路上的使用者不做任何假設：不需要帳號、不需要代理軟體、不需要註冊。安全性策略隸屬於網路本身。每個 SSID、VLAN 與場域都能從單一控制台取得獨立的規則。例如，飯店可以在大廳 SSID 執行適合全家大小的防護策略，同時在會議室 VLAN 上執行較寬鬆的策略。

免安裝代理軟體的 DNS 防護，無需新增硬體

您只需將網路的 DNS 指向 Shield，策略就會套用至每一台連線的裝置。這涵蓋了訪客的手機、筆記型電腦，以及永遠無法執行代理軟體的智慧電視。Shield 支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 網路。您可以在任何 WiFi 上單獨運行 Shield，或將其作為訪客 WiFi 安全加值功能新增至 Purple Access。

涵蓋整體訪客架構的單一平台

Purple 已在全球 90 個國家/地區、超過 80,000 個場域提供 Captive Portal 與訪客 WiFi 分析服務。Shield 則在同一個平台內加入防護功能。管理訪客登入的團隊也能直接設定安全策略，讓您能用單一控制台取代獨立的管理介面。

更早發現威脅警訊，打造更輕量化的網路

Shield 在 DNS 解析階段就會標記惡意功能變數，避免連線建立，在流量進入網路前就阻斷威脅。啟用廣告攔截後，Shield 會抑制不必要的廣告請求與追蹤查詢。在繁忙的場域網路中，節省下來的頻寬資源就能回饋給您正在服務的訪客。

各項產品的營運成本比較：授權架構而非具體價格

本節不列出具體價格。您可以比較的是架構：計價基準為何、什麼因素會增加帳單金額，以及授權之外包含哪些工作。

Umbrella：依員工規模計算的席位授權

Umbrella 套裝方案按席位計價，通常根據您的具名員工數量計算。這適合員工人數穩定的企業，但若應用於體育場館通道或購物中心則顯得不合適。在這些場所，球迷與購物者人數會隨著每場賽事與季節波動。

端點維護本身也會增加額外成本。針對個人設定策略與漫遊保護，仰賴於向受控裝置部署 Cisco Secure Client。必須有人負責維護該部署流程。

Shield：無需計算訪客席位

Shield 沒有按訪客計算的席位費用。您可以將其作為 Connect、Capture 或 Engage 方案的安全加值功能購買，也可以在任何 WiFi 上單獨使用。訪客無需安裝任何軟體，因此完全沒有端點部署的問題。Shield 定價頁面 列出了最新的條款，方便您在與銷售團隊聯繫前做好預算規劃。

從 Umbrella 移轉至 Shield 需要多少工作量？

移轉只是針對每個訪客網路進行組態變更，並非硬體工程項目。大多數的案場只需遵循四個步驟。

釐清 Umbrella 目前的運作現況

列出所有透過 Umbrella 解析的網路及其使用者。將員工網路與訪客及公共 SSID 分開。依賴 Web 閘道或 CASB 的員工網路通常會保留在 Umbrella 上。

先移轉訪客網路

為每個訪客 SSID 或 VLAN 建立 Shield 策略。在切換之前，先與場館營運團隊確認內容分類。接著變更每個訪客網路發放的 DNS，這通常是在控制器或閘道上的 DHCP 進行設定。您硬體廠商的說明文件會涵蓋您所用平台的具體步驟。

封閉繞道路徑

並行運作，然後正式切換

使用每個 SSID 上的訪客裝置進行測試，並確認阻擋紀錄出現在 Purple 儀表板中。採分批方式移轉場館，從單一據點開始。當訪客流量順利透過 Shield 傳輸後，即可從 Umbrella 設定中移除訪客出口網路。

如何在 Shield 與 Umbrella 之間做出選擇

使用一個問題作為您的決策準則：這個網路上的每個人，是否都擁有您所管理的帳戶？如果是，像 Umbrella 這樣以身分驗證為導向的產品非常適合。如果否，請選擇 Shield。

許多企業會同時運行兩者：在員工設備上使用 Umbrella，在訪客 SSID 上使用 Shield。您的下一步是在 Shield 價格頁面 上估算訪客網路的價格。接著閱讀我們的 企業 WiFi 資安指南 瞭解其底層的網路隔離規劃。您可以在 Purple 找到更多關於整體平台的資訊。

常見問題

什麼是適合訪客 WiFi 的 Cisco Umbrella 替代方案？

Purple Shield 是專為訪客與公眾 WiFi 設計的保護性 DNS 服務，而非針對受管員工。它在 DNS 解析階段過濾威脅與內容，並可針對每個 SSID、VLAN 和場域獨立設定策略。訪客設備無需安裝任何 Agent。Whitbread、AGS Airports 以及 St George's Healthcare NHS Trust 均已採用。DNSFilter 和 Cloudflare Gateway 也值得列入特定環境的候選清單。

為什麼 Cisco Umbrella 不適合匿名訪客 WiFi？

Umbrella 最深層的功能前提是您知道誰在網路上。個人策略、漫遊保護與身分報告皆依賴目錄服務以及受管設備上的 Cisco Secure Client。訪客兩者都沒有。您可以將訪客網路的 DNS 指向 Umbrella，但如此一來，您就等於是在按使用者計費授權（Seat-based licence）下，支付了以身分為核心的 SASE 產品費用，卻僅使用其 DNS 層級的功能。

Umbrella 按使用者計費的授權模式如何應用於公眾 WiFi？

這種模式運用起來相當尷尬，因為授權是以使用者數量計算，而公眾 WiFi 並沒有固定的使用者數量。Cisco 透過自家具銷團隊與合作夥伴以報價方式銷售 Umbrella 方案，通常是依據具名員工數量估計。每小時都在變化且隨季節大幅波動的匿名訪客無法精準對應到該計費單位。請向 Cisco 或您的合作夥伴諮詢他們會如何為訪客網路提供授權。

是否有無需硬體的 Umbrella 替代方案適用於場域？

是的。Shield 於雲端運行，因此您無須新增硬體設備，也無須替換任何無線基地台。您只需將訪客 SSID 或 VLAN 的 DNS 指向 Shield，通常是透過控制器或閘道器上的 DHCP 來進行設定。它適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 網路，無論是單機運作，或與 Purple Access 搭配使用皆可。

在價格透明度方面，Shield 與 Umbrella 相比如何？

Shield 前期的計價方式較為簡單。相關條款已於 Shield 價格頁面中載明，您可以將其作為 Connect、Capture 或 Engage 的加購功能購買，亦可在任何 WiFi 上單獨購買。Umbrella 的價格則需透過 Cisco 及其合作夥伴進行報價，並無公開的價格表。在進行銷售諮詢之前，只有一種模式能讓您精準編列訪客網路的預算。

我們可以為員工執行 Cisco Umbrella，並為訪客執行 Shield 嗎？

是的，而且對許多企業的資產佈署而言，這是最合適的分工方式。將 Umbrella 保留在受控的員工裝置上，讓其 Web 閘道、CASB 和目錄整合發揮效益。將 Shield 佈署在訪客和公開的 SSID 上，因為這些訪客皆為匿名身分。每個網路都會透過自身的過濾器解析，因此兩者絕不會重疊。請分割 VLAN，讓訪客流量無法存取員工系統。

保護性 DNS 是否有助於符合 GDPR 或 PCI DSS 法規遵循？

它能輔助符合法規遵循，但無法單靠它來達成。PCI DSS 要求您將支付系統與訪客網路進行分割，而 DNS 過濾則在該分割之上新增了一道控制機制。在 GDPR 的規範下，DNS 層會查看裝置所請求的網域，因此請選擇資料處理機制透明的處理商。Purple 擁有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 驗證。

從 Umbrella 遷移到 Shield 需要多少工作量？

這只是針對每個訪客網路的設定變更，並非硬體專案。您需要為每個 SSID 或 VLAN 建立 Shield 策略、切換這些網路所發放的 DNS，並阻斷旁路路由。接著從訪客裝置進行測試。在 Umbrella 上的員工網路則保持不變。大部分的工作量集中在稽核目前有哪些網路在使用 Umbrella，以及確認每個場館的內容策略。