Shield 與 DNSFilter：WiFi 營運商的防護型 DNS 比較

Shield 與 DNSFilter 皆能在 DNS 查詢階段、任何連線建立之前，封鎖惡意與不想要的網域。兩者的差異在於營運模式。Shield 是 Purple 的擴充功能，可以在同張帳單上，與您的 SSID、Captive Portal 及分析功能一同管理。DNSFilter 則是獨立的解析器，擁有專屬的主控台、Agent 和發票，適合漫遊的員工裝置。

訪客 WiFi 該選擇哪一個：Shield 還是 DNSFilter？

請根據營運模式來選擇，而非解析器本身。這兩款產品都是在連線的同一個節點進行過濾，且都能封鎖網路釣魚、惡意軟體和不想要的內容類別。它們的差別在於如何嵌入您的 IT 環境中。

Shield 是 Purple Guest WiFi 平台的資安擴充功能。它是三大擴充功能之一，另外兩個是 SecurePass 與 Verify。您可以直接從管理 SSID、Captive Portal 和訪客分析的控制面板開啟它。您不需要簽署額外的解析器合約、部署 Agent，也不用支付第二張發票。

DNSFilter 是一家專業的防護型 DNS 公司。它提供獨立的解析器服務、策略主控台以及用於受管裝置的漫遊用戶端。這是一項口碑良好的產品，坦白的總結如下：

• 如果您的訪客與公共 WiFi 已經在 Purple 上運行，Shield 是更簡便的選擇。您只需面對一家供應商、一份帳單和一個控制面板。
• 如果您主要的風險來自會離開大樓的員工筆電與手機，DNSFilter 的漫遊用戶端能涵蓋 Shield 未能觸及的領域。
• 如果您同時面臨這兩種問題，請兩者併用。 在訪客和公共 SSID 上使用 Shield，並在受管端點上使用 DNSFilter 或 Cisco Umbrella。

本指南不會爭辯解析器速度、PoP 節點數量或威脅情報的廣度。DNSFilter 與 Cisco Umbrella 是專業的資安供應商，深度是他們的本業。WiFi 營運商需要回答的是一個更具體的問題：您希望將防護型 DNS 直接內建在 WiFi 平台中，還是另外採購並維運一套獨立的技術堆疊？

防護型 DNS 在何處進行過濾？防火牆又會漏掉什麼？

每個 Web 請求都是從 DNS 查詢開始的。在裝置建立連線之前，會先要求解析器將網域名稱轉譯為 IP 地址。我們關於 什麼是 DNS 查詢以及網路為何使用它 的說明文章詳細介紹了其中的運作機制。

防護型 DNS 會根據威脅與類別資料檢查每一次查詢。如果該網域屬於惡意或已被封鎖，解析器就會扣留真實的解答。裝置永遠無法連上伺服器，因此不會載入任何網頁、不會下載任何檔案，也不會有任何憑證離開裝置。

單靠防火牆在訪客 WiFi 上會漏掉什麼

防火牆是在連線層級上運作。它只能看到 IP 地址與連接埠。若不進行解密，它幾乎看不到內容。在公共網路上，有三個關鍵缺口需要注意：

1. 加密流量。 大多數網路流量目前都透過 HTTPS 運作。若要進行檢查，您必須在每台裝置上安裝受信任的證書，但您無法在訪客的手機上執行此操作。
2. 不斷變化的基礎架構。 網路釣魚營運者會快速輪替 IP 位址，因此 IP 黑名單往往追趕不及。網域通常是更穩定的指標。
3. 隱藏的伺服器名稱。 採用 Encrypted Client Hello 的 TLS 1.3 會在網路路徑上隱藏所請求的伺服器名稱。但 DNS 查詢仍然會在連線建立之前發生。

Protective DNS 不需要代理程式，也不需要證書。只要裝置從您的 DHCP 設定中取得解析器，無論使用何種作業系統，都能獲得保護。這就是為什麼它非常適合訪客 WiFi - 您擁有網路，但並不擁有裝置。

Protective DNS 需要協助之處

DNS 過濾無法取代防火牆。有些裝置會繞過網路解析器：包括硬碼寫入解析器的裝置，以及使用 DNS over HTTPS (DoH, RFC 8484) 或 DNS over TLS (DoT, RFC 7858) 的瀏覽器。請在防火牆端補強此缺口。封鎖連接埠 53 上指向您自訂解析器以外的任何外向 DNS，封鎖連接埠 853，並封鎖已知的 DoH 端點。

這項建議同樣適用於 Shield、DNSFilter 與 Cisco Umbrella。我們關於 DNS 轉發 的說明文章展示了查詢如何在典型網路的解析器之間移動。這有助於您規劃防護解析器的建置位置。

Shield 與 DNSFilter 究竟有何不同？

下表比較了訪客 WiFi 買家通常會列入考慮的三個選項。每一列都是營運相關問題，而非單純的功能清單。

	Shield	DNSFilter	Cisco Umbrella
產品定位	Purple 訪客 WiFi 的 Protective DNS 附加功能	獨立的 Protective DNS 服務	Cisco 安全性產品組合中的 DNS 層級安全性
是否需要新硬體	不需要	網路過濾不需要	DNS 層級過濾不需要
原生管理政策的位置	Purple 儀表板，位於 SSIDs、Captive Portal 與分析工具旁	獨立的 DNSFilter 主控台	獨立的 Umbrella 儀表板
覆蓋您網路之外的裝置	否，僅在連接您的 WiFi 時保護裝置	是，透過受控裝置上的漫遊用戶端	是，透過 Cisco Secure Client
廣告攔截	內建	透過內容類別政策	透過內容類別政策
計費模式	Purple 訂閱的附加功能	公開的每席位每月分級	由 Cisco 或合作夥伴報價的套裝授權
訪客 WiFi 加 DNS 發票	一張	兩張	兩張，或單一 Cisco 合作關係搭配不同授權
最佳適用情境	在 Purple 上運作訪客與公共 WiFi 的場域	受控員工裝置群、MSP、漫遊端點	已標準化採用 Cisco 安全性的企業物業

DNSFilter 的優勢

DNSFilter 具備真正的優勢，您應合理評估這些優勢。

• 速度。 DNSFilter 會公開解析器效能基準，並將解析速度作為其核心宣傳重點。
• 機器學習分類。 其分類引擎可對未曾出現過的網域進行分類。由於每日都會出現全新的網路釣魚網域，這項功能至關重要。
• 可預測的定價。 採用按基數（per-seat）計價的公開分級標準，讓您無需聯繫銷售團隊，即可依照已知員工人數規劃預算。
• 漫遊覆蓋率。 其漫遊端點防護可以在員工居家、入住飯店以及使用行動數據時，持續過濾受控裝置。
• MSP 服務工具。 多租戶管理主控台讓託管服務提供者（MSP）能透過單一登入管理多家客戶機構。

DNSFilter 亦公開宣稱其能比其他服務更早偵測到威脅。Purple 則根據內部資料，公佈 Shield 專屬的數據：威脅標記最多可提早 10 天。這兩項數據皆非來自相同條件下的正面對決測試，因此請勿僅憑任一數字做出決定。

Shield 有何不同之處

Shield 的優勢在於其所處的位置，而非解析器的深度。

• 平台原生策略。 您可以在 Purple 中已管理的訪客網路直接設定過濾條件。同一個儀表板就能顯示登入分析、Captive Portal 效能與過濾活動。
• 內建廣告封鎖。 Purple 公開的 Shield 廣告封鎖數據顯示，頁面載入速度最多可提升 500%、數據流量減少最多 44%、DNS 查詢減少 62%，網路流量亦可減少 20% 至 40%。
• 跨硬體平台支援。 Purple 可作為雲端重疊層（overlay）運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。Shield 在上述任何設備上均無需安裝額外硬體。
• 單一合規防護網。 Purple 擁有 ISO 27001 與 Cyber Essentials 認證，且符合 GDPR。您的 DNS 資料與原先處理您訪客 WiFi 資料的供應商妥善放置在一起。

何時選擇 Shield 最為合適？

當您的訪客或公共 WiFi 已在 Purple 上運行，或您計劃轉移至 Purple 時，Shield 就是最佳選擇。當以下多數條件符合時，它最為適合：

• 您需要保護的裝置是訪客、來賓、顧客或乘客，而非受控的公務筆記型電腦。
• 您希望在不額外部署軟硬體或代理程式（agent）的情況下，獲得過濾、威脅防禦與廣告封鎖功能。
• 您的採購團隊寧可擴充現有合約，也不願引進新的資安供應商。
• 場館管理者已習慣使用 Purple 儀表板，無需學習第二套主控台。
• 部分據點的頻寬吃緊，因此廣告封鎖能帶來最直接的營運效益。

實例情境：擁有 200 間客房的會議飯店

背景。 一家擁有 200 間客房的飯店，在 Ruckus 無線基地台（AP）上透過 Purple 運行訪客 WiFi。房客與會議代表共用一個公共 SSID，第二個 SSID 則供員工使用。IT 經理需要在大型會議季來臨前，為訪客 SSID 提供釣魚網站與惡意軟體封鎖，以及成人內容過濾功能。取得獨立 DNS 服務的報價意味著需要審查新供應商、學習第二套主控台，並註冊該據點的公共 IP 地址。

執行的內容。 團隊從 Purple 儀表板在訪客 SSID 上啟用 Shield。他們選擇威脅防護以及飯店可接受使用政策所封鎖的內容類別。他們開啟廣告封鎖功能。在防火牆端，他們封鎖連往保護性解析器以外的出站 DNS，藉此關閉繞道途徑。在變更之前，他們記錄了每工作階段與 DNS 查詢量的 30 天基準資料。

可測量的結果。 飯店最終在訪客網路上僅使用一家供應商，而非原先提議的兩家。它不需要新硬體，值班經理也不需要額外的主控台。團隊將每工作階段的資料與 DNS 查詢量與 30 天基準進行比較。他們參照 Purple 發布的數據（資料量最多減少 44%，DNS 查詢量最多減少 62%）來檢視結果。過濾報告與行銷團隊現有審視的登入分析放在一起。

實際案例：擁有 40 家分店的零售連鎖店

情況。 一家時裝零售商在 40 家門市提供顧客 WiFi。幾家門市使用小型寬頻線路運作，這些線路同時也承載 POS 結帳機和庫存系統。訪客流量根據 PCI-DSS 中的網路隔離指南，隔離在獨立的 VLAN（虛擬網路區段）上。即便如此，來自顧客裝置的大量廣告流量仍會爭奪相同的上行頻寬。

執行的內容。 該零售商透過單一 Purple 政策，在所有 40 家門市的 SSID 上開啟 Shield。它為每個據點啟用威脅防護和廣告封鎖。總部設定統一的內容政策，無需單獨設定每家門市。

可測量的結果。 每家門市報告變更前後顧客 VLAN 上的 Web 流量。零售商對照 Purple 的數據（使用廣告封鎖可減少 20% 至 40% 的 Web 流量）來衡量結果。政策從單一儀表板部署，無需親臨任何門市，也不需要新硬體。

何時選擇 DNSFilter 才正確？

當您的問題出在裝置本身而非場地網路時，DNSFilter 就是正確的選擇。當以下大多數條件成立時，請選擇它：

• 您管理一批在居家、客戶據點或使用行動數據工作的筆記型電腦、平板電腦或手機。
• 您的訪客 WiFi 沒有在 Purple 上執行，且您希望由專家提供保護性 DNS。
• 您是一家管理許多小型客戶組織的 MSP，且需要單一多租戶主控台。
• 您重視針對穩定員工人數所發布的按席位計費方案。
• 您將解析器速度與機器學習分類視為主要的購買考量標準。

在每種情況下，漫遊用戶端都是決定性因素。Shield 可在裝置連接您的 WiFi 時提供保護。而 DNSFilter 的漫遊用戶端則能在託管裝置離開後繼續提供保護。

實際案例：擁有圖書館和遠端員工的地方議會

情境。 地方議會透過 Purple 在 12 所圖書館與社區中心營運公共 WiFi。此外，議會也發放筆記型電腦給 300 名在辦公室與家中輪流工作的員工。議會的資安主管希望對公共 WiFi 以及員工筆電進行過濾，無論他們在哪裡連線。

做法。 議會對訪客自備裝置的圖書館公共 SSID 啟動了 Shield。在員工筆電方面，議會部署了來自專業廠商（例如 DNSFilter）的漫遊 DNS 客戶端。英國公營機構在為企業裝置購買產品前，也應確認是否符合 NCSC Protective DNS 服務的資格。在英格蘭，議會圖書館還會根據自家的保護政策審查過濾機制。

可測量的成果。 議會直接測量涵蓋範圍。議會記錄了回報過濾漫遊客戶端的受管筆電比例，目標是涵蓋每一台發放的裝置。公共 WiFi 過濾功能與圖書館登入分析一同存於相同的 Purple 控制面板中。議會營運兩個主控台，但每個主控台都對應不同的工作，而不是將單一產品勉強延伸套用於兩種情境。

Cisco Umbrella 適用於何處？

Cisco Umbrella 是大多數候選名單上的第三個選擇，值得公平評估。其 DNS 層級安全性是 Cisco 更廣泛安全產品組合的一部分。該產品組合還包含安全 Web 閘道與雲端交付的防火牆功能。Cisco Meraki 網路可與 Umbrella 整合，而 Cisco Secure Client 則為受管裝置提供漫遊涵蓋範圍。

Umbrella 適合已經標準化採用 Cisco 安全性產品的環境。在這種環境下，防護型 DNS 可以直接套用到您現有的政策、記錄與合約中。不過從 WiFi 平台的角度來看，它仍然是一個獨立的技術堆疊。它擁有自己的控制面板、授權與續約週期。對於 Purple 上的訪客 WiFi，相同的平台原生優勢與 DNSFilter 一樣適用。

每種選項的運作成本是多少？

授權價格是看得見的成本。營運成本則體現在採購、設定、日常維運與續約中。無論是 DNSFilter 還是 Cisco Umbrella，在技術部署上都不昂貴。差別在於您在環境中增加了多少流程。

成本項目	Shield	DNSFilter	Cisco Umbrella
授權	Purple 方案的加購項目	按每席位计费的月费层级	來自 Cisco 或合作夥伴的套裝授權
採購	變更現有的 Purple 合約	新供應商登錄與安全性審查	新合約（除非您已擁有 Umbrella 授權）
站點設定	在 Purple 控制面板中啟用	將站點 DNS 指向 DNSFilter 並識別該站點	將站點 DNS 指向 Umbrella 並註冊該網路
日常維運	與 WiFi 分析共用單一控制面板	WiFi 平台之外的第二個主控台	第二個主控台，與其他 Cisco 安全工具共用
員工訓練	現有的 Purple 控制面板技能	新的主控台技能	新的主控台技能
資料處理文件	已包含在您現有的 Purple 合約中	新的資料處理合約	新合約（除非已有現成合約）
續約	統一續約	個別續約	個別續約

訪客裝置的問題

按人頭計價（Per-seat pricing）非常適合人數固定的員工團隊。但在訪客 WiFi 上，裝置數量每天都在變化。飯店或車站一個月內看到的獨立裝置數量，可能遠多於其員工總數。請以書面方式詢問 DNSFilter 如何計算公眾網路上的訪客數量。然後在相同的基準上比較報價：據點數量、SSID 數量以及預估的每月裝置數。

隱藏的營運成本

請留意很少出現在報價單上的三項成本：

1. 據點識別。 獨立的解析器（Resolver）需要知道查詢來自哪個網路。使用動態公用 IP 地址的據點可能需要更新程式或本機 Agent。
2. 事件關聯分析。 當訪客抱怨某個網站被封鎖時，IT 人員必須分別檢查 DNS 主控台和 WiFi 平台。
3. 供應商管理。 每增加一家廠商，您的行事曆上就會多出一份安全性問卷、一份資料處理合約和一個續約日期。

Purple Shield 針對訪客網路排除了這三項成本，因為它直接在您現有操作的平台內運作。不過它無法消除非據點內員工筆電的這些成本，因為它不涵蓋這些裝置。

如何為您的企業資產做出決定？

請從您的裝置開始評估，而不是從功能清單開始。梳理出您需要保護的對象、連線位置以及管理者。接著使用下方的比較表。

您的狀況	建議選項	原因
使用 Purple 的訪客 WiFi，無須涵蓋非據點裝置	Purple Shield	單一廠商、單一帳單、單一儀表板
使用 Purple 的訪客 WiFi，加上會帶回家使用的受控筆電	訪客 SSID 使用 Purple Shield，筆電使用 DNSFilter 或 Umbrella	每種工具各自發揮其專長範疇
未使用 Purple，僅有受控的員工裝置團隊	DNSFilter	支援漫遊用戶端（Roaming clients）與公開的按人頭計價模式
資安架構已標準化為 Cisco，且已取得 Umbrella 授權	管理裝置使用 Cisco Umbrella	資安策略能統一保留在您的 Cisco 資安堆疊中
為許多沒有訪客 WiFi 的小型辦公室提供服務的 MSP	DNSFilter	專為 MSP 營運打造的多租戶主控台
使用 Purple 且頻寬受限的場館	啟用廣告封鎖的 Purple Shield	Purple 資料顯示：可減少 20% 至 40% 的網頁流量

五步驟評估法

1. 盤點裝置。 將裝置分為訪客與受控、據點內與漫遊。這種分類通常在安排展示（Demo）之前就能決定最佳方案。
2. 在單一 SSID 上進行試行。 在單一訪客網路上進行為期 30 天的試行。如果您也在評估 DNSFilter，請在相同的期間內於條件相當的據點進行試行。
3. 衡量對您重要的指標。 記錄被封鎖的威脅、訪客回報的誤判（False positives）、頁面載入時間以及每次會話的資料量。將各項數據與試行前的基準進行比較。
4. 檢查資料處理方式。 確認 DNS 記錄的儲存位置、保留時間以及存取權限。在 GDPR 規範下，若查詢記錄能連結到可識別的個人，則可能屬於個人資料。
5. 比較總成本。 在相同的基準下，並列比較授權、採購、培訓和續約所需投入的精力。

如果您仍在建立更長的名單，我們針對 適用於共享 WiFi 的釣魚防護軟體 所做的評測涵蓋了 10 種選擇。欲了解更多關於運行 Purple 防護型 DNS 的資訊，請造訪 Shield 中心或瀏覽 所有指南。

常見問題

Shield 與 DNSFilter 相比如何？

Shield 與 DNSFilter 都會在 DNS 查詢階段封鎖威脅和不良內容；兩者的差異在於營運模式。Shield 是 Purple 訪客 WiFi 平台的附加功能。您可以在同一個控制面板中管理 SSID、Captive Portal 與分析數據，並收到單一帳單。DNSFilter 則是一項獨立服務，擁有自己的主控台、合約與漫遊用戶端。Shield 適合使用 Purple 的場域；DNSFilter 則適合會離開您網路的管理裝置。

是否有適用於訪客 WiFi 的 DNSFilter 替代方案？

有的。如果您的訪客 WiFi 運行於 Purple 上，Shield 即可為您提供防護型 DNS、內容過濾和廣告封鎖功能，無需簽訂新的解析伺服器合約或購買新硬體。Cisco Umbrella 是另一個替代方案，最適合已經標準化採用 Cisco 安全機制的企業。這三者都在同一個時間點進行過濾 - 即在任何連線建立之前的 DNS 查詢階段。您可以根據它們如何搭配您現有運行的 WiFi 平台來進行比較。

DNSFilter 會封鎖廣告嗎？

是的，DNSFilter 可以透過其內容類別過濾政策來封鎖廣告網域。您可以像管理其他封鎖類別一樣，在 DNSFilter 主控台套用廣告封鎖。請查看 DNSFilter 目前的類別清單以取得確切名稱。Shield 則內建了廣告封鎖功能。Purple 的自有數據顯示，網頁載入速度最高可提升 500%，資料傳輸量最多可減少 44%，這對於頻寬受限的場域來說至關重要。

運行 Shield 需要新的硬體嗎？

不需要。Shield 在 DNS 層級運作，因此無需任何軟體合約，也不需要在訪客裝置上安裝代理程式。Purple 獨立於硬體之外，能以雲端覆蓋層（cloud overlay）的形式運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 及 Fortinet 之上。您只需從 Purple 控制面板啟用 Shield，即可將政策套用到您現有管理的訪客網路。

我們可以將訪客 WiFi 從 DNSFilter 切換到 Shield 嗎？

可以，而且這只是設定上的變更，並非硬體專案。訪客裝置會使用您網路分配給它們的解析伺服器，因此將訪客 SSID 移至 Shield 只會改變這些查詢的去向。您可以先在一個 SSID 上試行 Shield，比較封鎖報告和網頁載入速度，然後再遷移其餘站點。如果您仍需要異地保護，可在受管理的員工裝置上保留 DNSFilter 漫遊用戶端。

在 GDPR 規範下如何處理 DNS 記錄？

凡是 DNS 查詢記錄可連結至可識別特定身分之人時，皆應將其視為個人資料，且僅能在需要期間內保留。Purple 通過 ISO 27001 認證並符合 GDPR 規範。Shield 資料直接儲存於處理您訪客 WiFi 資料的同一平台上。若使用獨立服務，您必須將該 DNS 廠商納入您的處理活動紀錄中，並另行簽署資料處理協定。

哪一種防護型 DNS 最適合公共 WiFi？

最適合公共 WiFi 的防護型 DNS，就是能完美契合您現有網路運作方式的方案。在 Purple 上，Shield 可以幫您省去第二家廠商、管理主控台與帳單。對於需要漫遊的託管裝置，DNSFilter 的用戶端軟體更為適合。對於採用 Cisco 安全性標準化的企事業地產，Cisco Umbrella 能將策略集中在單一架構中。無論選擇哪一種，請務必搭配防火牆規則，防止裝置繞過您的解析器。

Shield 與 DNSFilter 的計費方式有何不同？

Shield 是 Purple 訂閱服務的加購功能，因此會直接顯示在您現有的帳單上。DNSFilter 則依獨立合約按使用者基數提供按月計費的方案，能為固定員工人數提供可預測的成本。然而在訪客 WiFi 環境中，裝置數量每天都在變化。建議您以書面方式詢問 DNSFilter 如何計算訪客數量，並在相同的基準上比較兩者的報價。