Filtrado DNS frente a pasarela web segura: cuándo se necesita la herramienta más robusta

Elija el filtrado DNS en la resolución bajo el RFC 1035 para proteger dispositivos no gestionados en WiFi a lo largo de más de 80.000 recintos en 90 países sin necesidad de instalar hardware. Elija una pasarela web segura cuando necesite inspeccionar URL completas, descargas o subidas en dispositivos gestionados mediante plataformas como Microsoft Entra ID. El filtrado DNS detiene los destinos maliciosos antes de que se abran las conexiones, mientras que las pasarelas actúan como proxy y descifran el tráfico.

Filtrado DNS frente a pasarela web segura: la respuesta corta

La respuesta depende de una sola pregunta: ¿necesita ver el interior de la conexión o solo hacia dónde se dirige?

El filtrado DNS toma la decisión a nivel de nombre de dominio. Se niega a resolver un destino malicioso o no deseado, de modo que el dispositivo nunca llega a conectarse. Una pasarela web segura (SWG) es un proxy situado en la ruta del tráfico. Puede leer la URL completa, el archivo y la página, pero únicamente después de descifrar TLS.

En la red WiFi para invitados, la cuestión se resuelve sola. No se puede instalar un certificado raíz en el teléfono de un invitado. Sin ese certificado, una pasarela no puede descifrar el tráfico sin provocar errores de certificado. El filtrado DNS protege a todos los dispositivos de la red sin necesidad de instalar nada. Por eso es la opción predeterminada en hostelería, comercio minorista, nodos de transporte y eventos.

En los portátiles gestionados del personal que manejan datos regulados, la pasarela justifica su coste. La necesita para inspeccionar subidas de archivos, aplicar reglas en rutas de URL o implementar la prevención de pérdida de datos (DLP). La DLP evita que la información confidencial salga de su red.

La mayoría de los recintos necesitan DNS de protección en todas las redes y una pasarela en una minoría de dispositivos gestionados, si es que llegan a necesitarla. Purple Shield ofrece la primera parte. Funciona de manera independiente en cualquier WiFi o junto con Purple Access, con una directiva por red y VLAN. Para conocer los límites más amplios del enfoque DNS, consulte nuestro resumen de límites del filtrado DNS.

Qué hemos comparado y por qué estos criterios determinan la elección

Hemos evaluado ambos enfoques con respecto a ocho criterios. Cada uno de ellos se corresponde con una decisión que toma un responsable de seguridad TI o de operaciones de recintos al definir el alcance del filtrado. Hemos extraído las capacidades de cada opción a partir de su propia documentación pública y de la experiencia tras su despliegue.

La ubicación es lo primero, ya que condiciona los otros siete criterios. El filtrado DNS se sitúa en la resolución de nombres, la búsqueda definida en el RFC 1035. Todos los dispositivos solicitan una dirección a un resolutor antes de conectarse. Un resolutor DNS de protección comprueba el dominio comparándolo con la inteligencia sobre amenazas y la directiva de categorías, y a continuación responde o deniega la solicitud.

Dado que esa comprobación se realiza antes de cualquier conexión, detecta lo que un cortafuegos pasa por alto. Las reglas del cortafuegos se basan en direcciones IP y puertos. Los dominios maliciosos se desplazan a través de direcciones de nube compartidas que un cortafuegos no puede bloquear de forma segura.

Una pasarela web segura se sitúa más adelante, dentro de la conexión. El tráfico llega a ella a través de un agente de punto final, un archivo de autoconfiguración de proxy (PAC) o un dispositivo en línea. Para leer HTTPS, la pasarela finaliza el cifrado TLS, inspecciona el contenido y vuelve a cifrarlo. Esa profundidad requiere un certificado raíz de confianza en cada dispositivo que inspeccione.

Los ocho criterios:

• Ubicación: en qué punto de la conexión toma la decisión el filtro.
• Visibilidad: lo que el filtro puede ver, desde el nombre de dominio hasta el contenido de la página.
• Dispositivos no gestionados: si se cubre el tráfico de invitados y BYOD (trae tu propio dispositivo).
• Huella de despliegue: el hardware, los agentes y los certificados necesarios.
• Rendimiento: la latencia y el ancho de banda que añade el filtro.
• Comportamiento ante fallos: qué ocurre cuando el servicio no está accesible.
• Resistencia a la elusión: la facilidad con la que un dispositivo esquiva el filtro, por ejemplo a través de DNS sobre TLS (DoT) o DNS sobre HTTPS (DoH).
• Huella de privacidad: la cantidad de datos personales que procesa el filtro.

En el mercado, la frontera no siempre está clara. DNSFilter es un servicio de DNS de protección, la misma categoría que Shield. Cisco Umbrella vende seguridad a nivel de DNS y, en sus paquetes superiores, una pasarela web segura completa, por lo que abarca ambos lados de esta comparación. Cuando evalúe a cualquier proveedor, compruebe qué capa ofrece cada paquete en lugar de basarse solo en el nombre del producto.

¿Cómo se comparan el filtrado DNS y una pasarela web segura (SWG)?

Hay dos filas que merecen una lectura más detenida. En visibilidad, la pasarela gana claramente. Un filtro DNS ve ejemplo.com pero nunca la ruta a un archivo dentro de ese sitio. Explicamos el motivo en por qué el filtrado DNS no puede ver URL completas. En dispositivos no gestionados, el filtrado DNS gana por completo, porque la cobertura de invitados no requiere ningún certificado ni agente.

Las filas restantes son compromisos que se pueden gestionar. Puede cerrar la elusión por DNS cifrado mediante reglas de firewall. La latencia de la pasarela es tolerable en un servicio cloud de dimensiones adecuadas. El comportamiento en caso de fallo depende del producto, razón por la cual declaramos claramente el de Shield: es fallo seguro (fails closed).

Dónde destaca el filtrado DNS

WiFi de invitados y dispositivos no gestionados

Todos los dispositivos de una red WiFi utilizan el servidor DNS que les asigna el DHCP. Apunte ese servidor a un resolutor de protección y todos los teléfonos, portátiles, consolas de videojuegos y Smart TV quedarán cubiertos. Nadie instala nada. El Captive Portal, la página de inicio de sesión que se muestra antes del acceso a la red, se mantiene exactamente igual. A gran escala, este es el único método práctico para filtrar el tráfico de invitados, residentes, pasajeros y aficionados.

Múltiples sedes, sin hardware nuevo

Cambiar al filtrado DNS es un cambio de configuración, no un proyecto. Shield funciona en la red WiFi que ya utiliza, incluyendo Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet.

Se establece una directiva por red y por VLAN. Por lo tanto, una red de invitados apta para toda la familia y una red de empleados en las mismas instalaciones pueden ejecutar reglas diferentes. Su red de personal puede asignar VLAN por rol a través de IEEE 802.1X, el estándar de autenticación de red basada en puertos. Si es así, la directiva DNS específica por rol se aplica sin necesidad de un proxy.

Bloqueo de amenazas más temprano

El DNS detecta la intencionalidad antes de que fluya cualquier tráfico. Un dispositivo víctima de phishing debe consultar un dominio antes de poder conectarse. Lo mismo ocurre con un dispositivo infectado que envía llamadas de control a un servidor de comando y control. Shield marca las amenazas en las fases iniciales de su ciclo de vida, antes de que se establezca una conexión web. Ese margen de tiempo puede determinar si un dominio de phishing se bloquea antes o después del primer clic.

Redes más ligeras

El bloqueo de anuncios se realiza en la misma capa. Al activarse, el bloqueo de anuncios reduce el uso de ancho de banda y disminuye el volumen de consultas DNS. En la red de un establecimiento concurrido con una conexión de retorno limitada, esa capacidad se recupera sin necesidad de realizar nuevas inversiones.

Fallos que mantienen la seguridad

Shield utiliza un sistema de fallo cerrado (fail-closed), por lo que una interrupción nunca deja la red sin filtrar. Esto es especialmente importante en las redes de invitados, donde usted asume el riesgo reputacional de cualquier contenido que se cargue. Explicamos las ventajas y desventajas en DNS filtering fail open vs fail closed.

Menor impacto en la privacidad

Un filtro DNS procesa nombres de dominio, no el contenido de las páginas. En el marco del GDPR, esto constituye un conjunto de datos personales más restringido que las sesiones de navegación descifradas. Como resultado, sus registros de actividades de tratamiento siguen siendo más sencillos.

Dónde destaca una pasarela web segura

Sea preciso sobre los puntos fuertes de la pasarela. Si asume que el filtrado DNS los cubre por completo, su programa de seguridad tendrá lagunas reales.

Control completo de URL y rutas

Algunas directivas se aplican por debajo del nivel de dominio. Es posible que desee permitir un servicio de almacenamiento en la nube pero bloquear una carpeta compartida específica. O bien permitir un sitio web de noticias pero bloquear sus páginas de comentarios. Solo un proxy que visualice la URL completa puede aplicar reglas de este tipo. Las plataformas compartidas representan el caso más complejo, ya que un filtro DNS debe permitir o bloquear el dominio en su totalidad.

Inspección de archivos y contenidos

Una pasarela puede analizar las descargas en busca de malware, bloquear tipos de archivo y aislar ejecutables desconocidos en un entorno de pruebas (sandbox). El filtrado DNS detiene las conexiones a dominios que se sabe que son maliciosos. Un archivo malicioso alojado en un dominio de confianza seguirá pasando la prueba.

Prevención de pérdida de datos (DLP)

Es posible que su personal maneje datos de tarjetas de pago dentro del alcance de PCI-DSS o expedientes de pacientes. Si es así, tal vez necesite inspeccionar las subidas en busca de contenido confidencial. Esto requiere tráfico descifrado y un gateway o una herramienta de DLP dedicada.

Directiva por persona fuera de la red

Un agente de gateway aplica la directiva por identidad nombrada, sincronizada desde Microsoft Entra ID, Okta o Google Workspace. Esa directiva sigue a un portátil gestionado cuando se conecta a la banda ancha doméstica o al WiFi de un hotel. La directiva de Shield se configura por red y VLAN, lo que se adapta a recintos y sedes fijas. Una plantilla remota en dispositivos gestionados puede requerir la aplicación de directivas por persona independientemente de dónde se conecten los usuarios.

Controles de aplicaciones

Muchos gateways descodifican el tráfico para aplicaciones específicas. Por ejemplo, pueden permitir que el personal lea en un servicio de intercambio de archivos pero bloquear las subidas a este. El filtrado DNS puede permitir o bloquear los dominios de una aplicación, pero no acciones individuales dentro de la propia aplicación.

Si está evaluando estas brechas en relación con su registro de riesgos, lea ¿es suficiente el filtrado DNS? para conocer los controles que complementan al DNS de protección.

¿Cuánto cuesta ejecutar cada solución?

Ambos enfoques se tarifican de forma diferente, por lo que conviene comparar sus estructuras de costes en lugar de las cifras generales. No facilitamos precios de la competencia. Confirme las condiciones vigentes con cada proveedor.

El coste oculto de una pasarela es la gestión de certificados y excepciones. Las aplicaciones que fijan sus certificados (certificate pinning) fallan tras la inspección TLS, por lo que cada una necesita una excepción. La mayoría de los despliegues eximen a los sitios web bancarios y de salud por motivos de privacidad. Cada exención se convierte en una regla que alguien debe mantener. Los agentes también necesitan actualizarse en todo el parque de dispositivos. Nada de esto es un fallo. Es el precio que hay que pagar por inspeccionar el tráfico interno.

El coste operativo del filtrado DNS se centra en el mantenimiento de políticas y el control de evisiones. Revisa las decisiones de categorización y gestiona las solicitudes de acceso permitido. También mantiene actualizadas las reglas del firewall para DNS cifrado a medida que aparecen nuevos resolutores públicos.

¿Qué implica migrar entre el filtrado DNS y una pasarela?

De un proxy al filtrado DNS en redes de invitados

Este es el cambio más habitual. Los equipos suelen descubrir que un proxy en la red WiFi de invitados apenas filtra nada más allá de los nombres de host, ya que no puede descifrar el tráfico de los invitados. Los pasos son los siguientes:

1. Exporte las categorías actuales de su proxy y sus listas de pemisión y bloqueo.
2. Mapeelas con las categorías DNS. Las reglas basadas en la ruta URL no tienen equivalente en DNS, así que decida regla por regla si permite o bloquea el dominio completo.
3. Apunte el servidor DNS en el ámbito DHCP de cada red hacia el resolutor de protección.
4. Bloquee el tráfico DNS saliente hacia otros resolutores, DoT en el puerto 853 y los puntos de conexión DoH conocidos.
5. Realice pruebas desde un dispositivo de invitado real y, a continuación, retire el conjunto de reglas del proxy para esa red.

Los pasos de configuración de Purple Shield se detallan en cómo funciona Shield. Los estándares de DNS cifrado son RFC 7858 para DoT y RFC 8484 para DoH.

Añadir una pasarela para dispositivos gestionados

Este cambio es más complejo y debe delimitarse únicamente a los dispositivos que lo necesiten. Despliegue el certificado raíz a través de su plataforma de gestión de dispositivos móviles (MDM). Implemente el agente o el archivo PAC y, a continuación, cree excepciones para las aplicaciones con fijación de certificados y las categorías sensibles a la privacidad. Complete una evaluación de impacto de la protección de datos (DPIA) antes de iniciar la inspección. Mantenga Purple Shield activo como capa inferior, ya que sigue cubriendo todos los dispositivos a los que la pasarela no llega.

Ejecutar ambos sistemas

Combinar ambas capas es el diseño más sólido en entornos mixtos. Purple Shield bloquea los dominios maliciosos conocidos en el momento de la resolución, tanto en las redes de invitados como en las del personal. A continuación, la pasarela inspecciona en profundidad el tráfico gestionado. Dado que el filtrado DNS elimina primero los destinos maliciosos, llega menos tráfico hostil al proxy. Alinee ambas políticas de categorías para que un dominio bloqueado en una capa no quede permitido en la otra.

Cómo decidir entre el filtrado DNS y una pasarela web segura

Use esta regla de decisión. Si los dispositivos no son de su propiedad, utilice filtrado DNS. Si es el propietario de los dispositivos y debe inspeccionar el tráfico interno, añada una pasarela únicamente en esos dispositivos. En cualquier otro caso, el DNS de protección es la herramienta con la escala adecuada.

El siguiente paso es listar sus redes y VLANs, y marcar cuáles contienen dispositivos no gestionados. Esas redes pasarán a contar con DNS de protección desde ahora. Después, consulte cómo funciona Shield para el despliegue. Para obtener información sobre controles más amplios relativos a identidad, cifrado y segmentación, lea nuestra guía de seguridad WiFi para empresas.

Preguntas frecuentes

¿Es más económico ejecutar el filtrado DNS que una pasarela web segura?

Por lo general, sí, porque el filtrado DNS no requiere hardware, ni agentes de endpoint, ni gestión de certificados. Una pasarela añade costes de licencia por usuario o dispositivo, mantenimiento de agentes, renovación de certificados raíz y reglas de excepción para aplicaciones que se interrumpen al ser inspeccionadas. El coste de funcionamiento del filtrado DNS reside en el mantenimiento de directivas y en las reglas de firewall para DNS cifrado. Compare el coste total de funcionamiento en lugar de las líneas de licencia individuales y confirme las condiciones vigentes con cada proveedor.

¿Funciona Purple Shield con el hardware WiFi que ya poseo?

Sí. Shield funciona en la capa DNS, por lo que se ejecuta en cualquier red WiFi, incluidas Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Solo tiene que apuntar el DNS de cada red a Shield y configurar una directiva por red y VLAN. Se ejecuta de forma independiente o junto a Purple Access, sin necesidad de nuevo hardware en las instalaciones.

¿Puede el filtrado DNS reemplazar a una pasarela web segura?

Puede hacerlo en redes de invitados y recintos, pero no allí donde sea obligatorio inspeccionar el tráfico interno. El filtrado DNS bloquea dominios maliciosos y no deseados antes de que se abra cualquier conexión, lo que cubre la mayoría de las necesidades de amenazas y contenidos para visitantes. No puede aplicar reglas sobre rutas URL, ni escanear archivos en dominios de confianza, ni inspeccionar cargas para la prevención de pérdida de datos. Mantenga una pasarela para los dispositivos gestionados que requieran esos controles específicos.

¿Puedo ejecutar el filtrado DNS y una pasarela web segura de forma conjunta?

Sí, y en entornos mixtos es el diseño más sólido. Shield filtra todos los dispositivos en la resolución DNS, incluidos los dispositivos de invitados que una pasarela no puede inspeccionar. A continuación, la pasarela inspecciona en profundidad los dispositivos gestionados del personal. Dado que el DNS bloquea primero los dominios maliciosos conocidos, llega menos tráfico malicioso al proxy. Mantenga alineadas las directivas de ambas categorías para que un dominio bloqueado en una capa no se permita en la otra.

¿Funciona una pasarela web segura en la red WiFi?

Solo parcialmente. Sin un certificado raíz de confianza en el dispositivo, una pasarela no puede descifrar el tráfico HTTPS sin provocar errores de certificado. No es posible instalar certificados en los teléfonos de los invitados. Aun así, una pasarela puede filtrar por el nombre de host enviado en la negociación TLS, algo muy similar a lo que ya hace el filtrado DNS pero con menos infraestructura. Para la WiFi, el DNS de protección es la opción más práctica.

¿Qué ocurre con el filtrado si el servicio DNS se cae?

Con Shield, el filtrado permanece activo. Shield cuenta con un sistema de cierre seguro en caso de fallo, por lo que una interrupción nunca deja una red sin filtrar. Los servicios que optan por una apertura en caso de fallo redirigen los dispositivos a un resolutor sin filtrar para mantener el flujo de tráfico, lo que deja la red expuesta durante todo el tiempo que dure la caída. Solicite a cada proveedor que declare por escrito su comportamiento ante fallos y pruébelo antes de la puesta en marcha.

¿Es la inspección TLS compatible con el GDPR?

Puede serlo, pero requiere más gobernanza que el filtrado DNS. El descifrado del tráfico del personal implica procesar el contenido de sus comunicaciones. Por lo tanto, se necesita una base legal, una evaluación de impacto de la protección de datos y una notificación clara al personal. La mayoría de las implantaciones también eximen a los sitios web bancarios y de salud. El filtrado DNS solo procesa nombres de dominio, un ámbito más acotado que resulta más sencillo de justificar y documentar.

¿Cuánto esfuerzo supone migrar de un proxy al filtrado DNS?

Menos de lo que la mayoría de los equipos espera, ya que la transición consiste en un cambio de DNS por red. El trabajo se divide en tres partes: asignar las categorías del proxy a las categorías DNS, decidir qué hacer con las reglas de ruta URL que no tienen equivalente en DNS y bloquear el DNS cifrado en el cortafuegos. Pruebe cada red desde un dispositivo real antes de retirar el conjunto de reglas antiguo.