Shield 與 Cisco Umbrella 評比：如何為訪客 WiFi 選擇保護性 DNS

對於需要快速部署且無需硬體、代理軟體或按席位計費的多據點場所訪客 WiFi，請選擇 Shield。在保護企業端點與建構 SASE 架構時，請選擇 Cisco Umbrella。Purple 與 Cisco Meraki 等平台整合，並符合 Keeping Children Safe in Education 等標準，同時擁有 ISO 27001 認證支援。

訪客 WiFi 該如何選擇：Shield 還是 Cisco Umbrella？

正確的選擇取決於您要保護的對象。請先考量他們是您的員工，還是走進您門市的公眾顧客。

Cisco Umbrella 起源於被 Cisco 收購前的 OpenDNS。它已發展成為適用於企業網路與混合工作團隊的安全性服務邊緣（SSE）平台。無論員工的筆記型電腦走到哪裡，它都能保護 Cisco 所能計數、具名並套用策略的對象。

Shield 是 Purple 針對訪客與公共網路提供的 DNS 防護服務。您可以針對每個 SSID（裝置加入的網路名稱）啟用它。它能過濾威脅與不適當的內容，並為該網路上的所有人阻擋廣告。無須安裝任何軟體，也無須按人數計費。

這兩項服務執行的核心工作相同。DNS 防護是一種解析程式，會根據威脅與內容清單檢查每次功能變數名稱查詢。它會拒絕回應遭阻擋的網域，因此裝置永遠無法建立連線。兩者的差異存在於核心功能之外：如何購買、如何部署，以及隨附的其他功能。

如果您在飯店、零售門市、車站、學校或診所提供訪客 WiFi，您通常是為大眾購買，而非按員工頭數購買。這就是本指南其餘內容的衡量角度。

Shield 與 Cisco Umbrella 的真正差異

過濾發生的位置，以及防火牆會遺漏的項目

這兩項服務都在 DNS 查詢階段採取行動。當手機想要開啟網站時，會先向解析程式查詢該網域的 IP 位址。DNS 防護解析程式會在回應前檢查該網域。如果該網域具備惡意或遭策略阻擋，查詢就會失敗且不會建立連線。如需瞭解詳細運作機制，請參閱 什麼是 DNS 查詢以及網路為何使用它。

防火牆則在後續流程中運作。它會在連線開始後檢查流量。現在大多數網路流量都使用 TLS 加密，因此沒有解密功能的防火牆只能看到 IP 位址，幾乎看不到其他資訊。無論如何，解密訪客流量都是不切實際的。您無法在訪客的個人手機上安裝根憑證。

基於 IP 的阻擋方式在處理共用主機時也十分吃力。多個網域可能部位於同一個內容傳遞網路（CDN）位址之後。阻擋該 IP 會破壞合法的網站；若予以放行，惡意網域就會趁虛而入。

DNS 能在任何資料傳輸之前，直接看到網域名稱本身。這就是為什麼 DNS 防護非常適合您未擁有端點裝置的開放式網路。

限制條件也必須明確。DNS 過濾是針對每個網域進行決策，而非針對每個頁面。它無法封鎖允許造訪網站中的特定路徑。使用加密 DNS（例如 DNS over HTTPS, DoH）的裝置可能會嘗試繞過您的解析器。我們在 DNS Over HTTPS 解析：隱私保護與公用 WiFi 過濾的抉擇 一文中說明了營運商如何應對此問題。

授權單位：使用者數與網路數的比較

這是對訪客 WiFi 影響最大的差異點。

Cisco 並未公開 Umbrella 的標準售價。您需要透過 Cisco 銷售代表或經銷商根據報價進行購買。方案包括 DNS Security Essentials、DNS Security Advantage、SIG Essentials 和 SIG Advantage，各自具備不同的功能與合約年限選項。

Umbrella 是按使用者數（seat）計算授權。這種模式適合員工人數固定的企業。但當您的網路上平時只有少數人使用，而在活動高峰期卻需服務數千名訪客時，這種模式就非常不適用。請詢問您的經銷商訪客網路如何計算使用者授權數量，因為這解答將決定整份報價的走向。

相對地，Shield 是以網路規模來規劃。您可以在需要保護的 SSID 上直接啟用它。繁忙的週末不會改變您的計費基準。

部署工作量

Umbrella 提供多種部署途徑。您可以將網路 DNS 指向 Umbrella 並註冊您的出口 IP 位址；也可以新增虛擬設備來歸屬內部 IP 位址；或者在受管的筆記型電腦上部署 Cisco Secure Client 漫遊模組。這種彈性是企業 IT 的優勢，但也意味著需要更多設計、文件記錄與維護工作。

Shield 可以在數分鐘內依每個 SSID 完成部署，無需任何硬體或代理程式。Purple 獨立於硬體，作為雲端覆蓋層運行。它可配合 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 使用。您現有的基地台皆可繼續沿用。

廣告封鎖與訪客體驗

廣告封鎖是針對訪客網路的功能，而非企業內部功能。Shield 在查詢階段即封鎖廣告與追蹤碼網域，因此頁面能在共享頻寬上更輕量地載入。

透過在解析器層級封鎖廣告和追蹤網域，Shield 能提供更快的頁面載入速度、減少資料使用量與 DNS 查詢次數，同時降低整體網路流量。在壅塞的飯店網路或依賴行動網路回傳的列車上，這意味著您無需購買新硬體就能釋放出更多網路容量。

Umbrella 的定位並非廣告封鎖產品。雖然您可以透過其目的地清單封鎖指定網域，但這屬於需要您手動維護的清單。

威脅偵測

Umbrella 仰賴全球最大的商業威脅情報團隊之一 Cisco Talos。這項深度優勢確實十分強大。

Shield 能提早標記新出現的釣魚與惡意軟體網域，協助保護您無法進行修補的非受管訪客裝置。如需了解更多選擇方案的全貌，請參閱 共享 WiFi 的釣魚防護軟體選擇。

家庭安全過濾標準

在兒童連線的場所提供公共 WiFi，承擔著額外的責任。英格蘭的學校必須符合教育部位於「讓兒童在教育中保持安全 (Keeping Children Safe in Education)」架構下的過濾與監控標準。許多場所通常會尋求英國的 Friendly WiFi 計劃認證，作為安全瀏覽的公開標誌。

這兩種服務皆依據內容類別進行過濾。請詢問各廠商其類別如何對應至您需遵循的標準。要求廠商提供實證，而非口頭承諾。

對照比較

評估標準	Shield	Cisco Umbrella
設計核心	訪客與公共 WiFi	企業端點與混合型工作團隊
過濾發生位置	DNS 查詢（連線前）	DNS 查詢，在 SIG 套裝方案中外加 Web 代理伺服器
公開定價	依據案場和 SSID 範圍定價，由 Purple 報價	無公開價格表；需透過 Cisco 或經銷商索取報價
授權單位	每 SSID	每使用者 (seat)
訪客 SSID 部署時間	數分鐘（每 SSID）	註冊網路與 DNS；可選配硬體設備
額外硬體	無	DNS 無需額外硬體；內部歸因需使用虛擬設備
裝置代理程式 (Agent)	無	適用於離網保護的 Cisco Secure Client
廣告攔截	內建	手動（透過目的地清單）
離網保護	不適用於訪客裝置	支援（透過漫遊模組）
更廣泛的安全堆疊	DNS 層，包含 Purple SecurePass 與 Verify 加購項目	較高階套裝方案中包含 SWG、CASB、FWaaS、ZTNA
最佳適用場景	人流量不固定且具備多案場的訪客環境	需隨時隨地保護具名員工的企業機構

何時選擇 Shield 是明智之舉？

當您的網路服務對象為非僱用員工且無法事先估算人數時，Shield 是最佳選擇。以下幾種情境非常適合選用：

您跨多個案場營運訪客 WiFi

多案場環境需要在所有地方實施相同的策略，並透過單一平台進行管理。使用 Shield，部署單位即為 SSID。擴展至新的飯店、門市或車站屬於設定變更，而非採購流程。您可以透過運作 訪客 WiFi 的相同 Purple 平台檢視每個案場。

您的人流量隨季節或活動大幅波動

渡假園區、體育館、購物中心和觀光景點在高峰日的人潮會成倍增加。按使用者計費的授權型態會迫使您預估該高峰並支付一整年的費用。以網路範圍為主的防護能免除這種預估。

您無法存取或管理訪客裝置

訪客、顧客、乘客和患者皆自備手機。您無法也不應該嘗試在其裝置上安裝代理程式。DNS 層級的防護適用於加入 SSID 的每台裝置，無需安裝任何軟體。

頻寬緊張或按流量計費

在回傳線路資源稀缺的地方，廣告攔截功能效益顯著。使用行動通訊連結的列車、臨時活動場地以及偏遠地區的場所皆相當適用。減少不必要的網路流量可以在無需升級新線路的情況下收回頻寬容量。

何時選擇 Cisco Umbrella 是明智之舉？

Umbrella 在許多情境下是更強大的選擇，客觀的比較應坦承這一點。

您正在保護企業員工

如果您的首要任務是保護辦公室、家中和出差途中的員工筆記型電腦，Umbrella 就是為此而生。漫遊模組可在網路外維持政策執行。政策可與目錄中的身分連結，包括 Microsoft Entra ID 與 Okta。

您希望邁向 SASE 架構

安全存取服務邊緣 (SASE) 將網路與安全性整合於單一雲端服務中。Umbrella 的進階方案從 DNS 安全性延伸至可代理與檢查網路流量的安全 Web 閘道 (SWG)。這些方案增加了用於管理雲端應用程式使用的雲端存取安全代理 (CASB)，並包含防火牆即服務 (FWaaS)，同時透過 Cisco 更廣泛的產品組合，為私有應用程式提供零信任網路存取 (ZTNA)。如果您正在整合該架構，僅限訪客的 DNS 服務將無法取代它。

您已標準化採用 Cisco 安全性

已在運行 Cisco 安全工具的組織，可受益於透過 Talos 共享的威脅情報。他們也能從單一廠商支援以及現有的經銷商合作關係中獲益。

您需要對受控裝置進行頁面層級的檢查

DNS 是針對每個網域進行判斷。如果政策需要檢查企業裝置上的單一 URL 或檔案下載，您就需要代理伺服器。Umbrella 的 SIG 方案提供了這項功能。這在您擁有並管理的裝置上非常合理，但在訪客的手機上卻鮮少有意義。

營運 Shield 與 Cisco Umbrella 的成本是多少？

牌價只是其中一部分，總成本來自於多個組成要素。

授權成本

Umbrella 的成本取決於方案、席位數量、合約期限與經銷商利潤。由於採用專案報價制，您無法從網站上進行預估。您需要與銷售團隊洽談，並提供有根據的席位數量。對於訪客 WiFi 來說，這個數量是最難預估的。

Shield 的成本會根據您保護的站點與 SSID 進行擴充。您可以從您的資產清單中進行預估。請透過 Shield 頁面向 Purple 索取最新價格。

部署與維護時間

就單純 DNS 而言，Umbrella 的網路部署非常簡單。但每個新增的組件都會增加設計與維護工作：虛擬裝置、漫遊用戶端、代理伺服器鏈接 (proxy chaining) 與憑證管理。對於擁有安全性團隊的企業 IT 來說，這是日常工作；但對於只有一名網路管理員的場地營運商來說，這是一筆實質的成本。

Shield 不需要額外硬體，也不需要代理程式。您只需針對每個 SSID 進行設定，並集中管理政策。

節省的頻寬

廣告攔截會直接反映在您的頻寬帳單上。透過 Shield 進行廣告攔截可減少整體資料消耗量與網路流量。如果使用的是按流量計費的連線，您可以將其與每月的超額支出進行比較。

承擔的風險

請評估缺乏過濾機制時您所承擔的風險。這包括惡意軟體入侵網路、對不當內容的投訴，以及未能通過安全防護審查。這兩項服務都能降低該風險。關鍵在於您能負擔得起全年、每個站點、每個訪客 SSID 上運行哪一個服務。

您如何為您的物業環境做出決定？

請從幾個關鍵問題開始。誰會連接網路：您能叫出名字的員工，還是一般大眾？他們在哪裡連接網路：任何地方的受控筆記型電腦，還是您場地內的個人裝置？除了 DNS 之外您還需要什麼：SASE 藍圖，還是訪客網路上的安全防護與更快的網頁載入速度？

決策矩陣

您的狀況	建議方案
僅限訪客 WiFi、多據點、人潮流量變動大	Shield
離開公司網路的企業筆記型電腦、具名員工	Cisco Umbrella
訪客與員工網路使用不同 SSID	訪客 SSID 使用 Shield，企業網路使用 Umbrella
整合 SWG、CASB 和 FWaaS	Cisco Umbrella
按流量計費或行動網路回傳	使用 Shield 進行廣告攔截
有兒童在場，需要適合家庭的安全過濾	在公開 SSID 上使用 Shield，並對齊您的標準
管理眾多小型場地的 MSP	Shield，針對每個客戶據點設定個別 SSID 範圍
範例情境：具有季節性入住率的連鎖飯店

狀況。 一家連鎖飯店在其總部筆記型電腦上執行 Umbrella。其資安負責人要求經銷商將其擴展至訪客 WiFi。報價需要估算訪客席位數。然而，從淡季到夏季旺季，再加上大型會議高峰，入住率波動極大，沒有人能給出一個確切的數字。

做法。 該集團在企業裝置上繼續使用 Umbrella。在一次變更維護期間，利用運行 Captive Portal 的同一個 Purple 平台，在所有飯店的訪客 SSID 上啟用了 Shield。Captive Portal 是訪客連線時看到的登入頁面。完全不需要運送任何硬體至任何據點，訪客也不需要安裝任何軟體。

結果。 該集團以零 Agent 及零新硬體保護了訪客網路，完全免除了訪客預算中的席位預估。其網路團隊為訪客網路流量建立了基準，並測量出顯著的頻寬節省。這一結果為網路團隊提供了明確的數據，可以在下一次容量審查會議上提出報告。

範例情境：市議會圖書館與休閒中心

狀況。 地方市議會在其圖書館和休閒中心提供公共 WiFi，且都有兒童使用。市議會需要適合家庭的安全過濾，並希望將所有據點納入統一的政策管理。其網路管理員無法維護 Roaming Client 或實體設備。

做法。 市議會在每個據點的公共 SSID 上啟用了 Shield，並套用了一套適合家庭的安全政策。員工裝置則留在獨立的 SSID 上，繼續受現有的企業控制措施管轄。網路團隊在公共 VLAN（將公共流量與員工流量隔開的虛擬網路區段）上封鎖了已知的 DoH 端點，從而防止裝置繞過解析器。

結果。 所有據點均運行統一的政策，並從單一地點進行管理，訪客裝置上無需安裝任何軟體。市議會能夠向其安全防護負責人展示一份單一且記錄完善的過濾設定。DoH 封鎖也消除了解決公共網路上最常見的繞過途徑。

範例情境：使用行動網路回傳的音樂節

情況。 一場音樂節透過多卡聚合行動網路提供與會者 WiFi。數據傳輸是按量計費的，且以往的活動在尖峰時段曾出現連線飽和的情況。

執行的作為。 主辦單位於大門開放前，在與會者 SSID 上啟動了 Shield。廣告與追蹤器網域在查詢階段即被封鎖，同時也封鎖了針對售票和付款頁面的已知釣魚網域。

結果。 主辦單位將數據使用量與先前的基準進行比較，實現了更快的頁面載入速度與更低的數據消耗。如果按每席位授權給音樂節人群，就意味著必須在門票售罄前預測出席人數。

提出給這兩家廠商的問題

• 訪客網路如何計算授權？在高峰日會發生什麼情況？
• 部署一個 SSID 需要多長時間？需要安裝哪些內容？
• 您的內容分類如何對應到我們所說的家庭安全標準？
• 您如何處理使用 DNS over HTTPS 的裝置？
• 查詢紀錄儲存在哪裡？保存多久？符合什麼認證？

如果 DNSFilter 也在您的候選清單中，請閱讀 Shield vs DNSFilter: a protective DNS comparison for WiFi operators。如需更多決策指南，請瀏覽 所有指南。

常見問題

是否有適用於訪客 WiFi 的 Cisco Umbrella 替代方案？

有的。Shield 是 Purple 專為訪客和公共 WiFi 打造的防護 DNS 服務，而非針對企業終端裝置。您可以在幾分鐘內針對每個 SSID 啟動它，無需硬體，訪客裝置上也無需安裝代理程式。它可以在 DNS 查詢時過濾威脅與不適當的內容並封鎖廣告。許多組織在員工裝置上保留 Umbrella，並在訪客網路上執行 Shield。如此一來，每個工具都能發揮其設計初衷。

Cisco Umbrella 針對訪客 WiFi 的定價方式為何？

Cisco Umbrella 沒有公開的列名價格。您需要透過 Cisco 銷售人員或經銷商根據報價進行購買，可選套件包括 DNS Security Essentials、DNS Security Advantage、SIG Essentials 和 SIG Advantage。授權是按席位計算的。對於訪客 WiFi，在您接受報價之前，請詢問匿名訪客如何計算席位數。季節性或活動驅動的人流量使得該數字難以預測，更難以合理化。

Umbrella 對於公共 WiFi 過濾來說是否大材小用？

通常是的，如果您只需要保護訪客網路的話。Umbrella 的優勢在於託管筆記型電腦的漫遊保護、基於身份的策略，以及進入 SWG、CASB、FWaaS 和 ZTNA 的途徑。訪客裝置完全不會用到這些功能。對於公共 WiFi 而言，核心需求是對加入的每台裝置進行 DNS 層級的威脅與內容過濾。Shield 針對每個 SSID 提供此功能，無需計算席位數或安裝代理程式。

Shield 是否適用於我們現有的基地台？

是的。Purple 與硬體無關，可在您現有的網路上作為雲端重疊層（cloud overlay）運作。它適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。Shield 在 DNS 層運作，因此您只需針對每個 SSID 進行設定，無需新增硬體。您的存取點（AP）、交換器與控制器皆可保持原樣。

我們可以同時運行 Shield 與 Cisco Umbrella 嗎？

可以，而且對於混合型網路環境來說，這通常是最乾淨的架構設計。在企業 SSID 和受控的筆記型電腦上繼續使用 Umbrella，發揮其按席位計費與漫遊保護的優勢。在訪客與公用 SSID 上運行 Shield，因為連接這些網路的使用者是匿名且不固定的。透過獨立的 SSID 與 VLAN 將兩種策略分開，讓每個網路都能使用最適合該網路使用者的解析程式。

部署 Shield 需要多少時間？

每個 SSID 只需要幾分鐘。Shield 不需要任何硬體，也不需要在訪客裝置上安裝軟體，因此部署只是一次設定變更，而不是一項浩大的工程。擁有多個據點的企業可以在同一個維護時段內，為每一個訪客網路提供保護。Purple 的支援文件涵蓋了針對您硬體的設定步驟。一旦每個 SSID 上線，即可進行集中式策略管理。

防護型 DNS 如何影響 GDPR 與資料處理？

當 DNS 查詢記錄可以連結至特定裝置時，應將其視為個人資料，並設定相符的保留期限。Purple 擁有 ISO 27001 認證並符合 GDPR 規範，Shield 亦建構於此架構之內。針對任何供應商，請詢問記錄儲存於何處、保留多久以及誰有存取權限，然後將答案記錄在您的資料保護影響評估（DPIA）中。

訪客可以在訪客 WiFi 上繞過 DNS 過濾嗎？

有些人可能會嘗試，主要是透過使用 DNS over HTTPS 或將查詢傳送到其他解析程式的 VPN。您可以透過在訪客 VLAN 上封鎖已知的 DoH 端點與公用解析程式來減少這種情況，從而強制透過您的防護型 DNS 服務進行查詢。沒有任何 DNS 過濾器能阻止所有刻意繞過的人，但結合網路控制，它可以覆蓋大多數裝置上的絕大多數訪客。