Filtrado DNS gratuito frente a de pago: a qué renuncia un recinto al usar la opción gratuita

Utilice un filtro DNS gratuito cuando gestione una sola red de bajo riesgo y no necesite informes; utilice un filtrado DNS de pago cuando segmente las VLAN de invitados y empleados o gestione varios establecimientos. Los resolutores públicos gratuitos aplican una única directiva fija y no ofrecen registros de consultas. Los servicios de pago como Purple Shield, DNSFilter y Cisco Umbrella añaden directivas por VLAN, informes y soporte técnico.

¿Cuándo es suficiente un filtro DNS gratuito para la red de un establecimiento?

Comencemos por el lugar donde se realiza el filtrado. Cada conexión empieza con una búsqueda DNS, en la que el dispositivo solicita a un resolutor la dirección IP que hay detrás de un nombre de dominio. Un resolutor de protección comprueba ese dominio contra una directiva antes de responder. Si el dominio es malicioso o pertenece a una categoría bloqueada, no se devuelve ninguna dirección y no se abre ninguna conexión.

Esta ubicación es la razón por la que el filtrado DNS detecta lo que un cortafuegos pasa por alto. Un cortafuegos inspecciona el tráfico después de que la conexión ya existe, y el cifrado oculta una parte mayor de cada sesión. Sin embargo, la búsqueda sigue realizándose en primer lugar, para cada aplicación y cada dispositivo en el SSID.

Tanto el filtrado gratuito como el de pago se sitúan en este mismo punto. La duda entre filtrado DNS gratuito o de pago radica en quién define la directiva, quién ve los resultados y quién responde cuando algo falla.

Un filtro DNS gratuito es suficiente cuando se cumplen tres condiciones al mismo tiempo:

• Una sola red, un solo público. Un único SSID para invitados, sin que el tráfico de empleados, pagos o residentes comparta la directiva.
• Nada que demostrar. Ningún organismo regulador, aseguradora, condición de licencia o deber de protección le exige demostrar qué está bloqueando.
• Una lista de bloqueo fija es aceptable. Puede asumir las categorías del proveedor y esperar cuando un sitio web legítimo se bloquee por error.

Si se incumple cualquiera de estos puntos, el filtrado DNS de pago justifica su coste. Para ver un abanico más amplio de opciones, consulte nuestra guía de alternativas de filtrado DNS.

Filtrado DNS gratuito o de pago: la decisión en un gráfico

Responda a cuatro preguntas en orden. Cada una indica una condición que lo aleja de la opción gratuita.

¿Qué opción se adapta mejor a cada escenario de establecimiento?

La tabla vincula las redes de establecimientos más comunes con una recomendación y la razón en la que se basa.

Caso práctico: un trust del NHS con redes para pacientes, visitas y personal

Situación. Un trust hospitalario gestiona WiFi para pacientes, visitas y personal clínico. Un resolutor gratuito aplicaría la misma directiva a los tres grupos y dejaría al equipo de seguridad sin registro de los bloqueos.

Acción realizada. St George's Healthcare NHS Trust ejecuta Purple Shield como DNS de protección en su WiFi.

Resultado. Shield bloquea las amenazas maliciosas en el trust, cada una de ellas antes de que se abra una conexión. Un resolutor gratuito podría detener algunos de los mismos dominios, pero nadie en el trust tendría visibilidad sobre la cantidad.

Caso práctico: un hotel de 200 habitaciones que deja de usar un resolutor gratuito

Situación. Un hotel de 200 habitaciones apunta las VLAN de invitados y personal a un resolutor gratuito con filtro familiar. El sitio web de un socio de reservas se bloquea por error en recepción y la red de invitados se ralentiza en las noches con mucha ocupación.

Acción realizada. El hotel migra a un DNS de protección de pago con directivas independientes para invitados y personal. Añade a la lista de permitidos el sitio web del socio una sola vez y activa el bloqueo de publicidad para la VLAN de invitados.

Resultado esperado. El bloqueo en recepción se resuelve con un solo cambio, no con una solicitud de soporte a un proveedor que ni siquiera tiene cola de tickets. Según los propios datos de Purple, el bloqueo de publicidad permite transferir hasta un 44 % menos de datos y realizar hasta un 62 % menos de consultas DNS. Eso es capacidad devuelta a los clientes en momentos de máxima afluencia.

¿Qué ofrece un filtro DNS gratuito y qué deja fuera?

Los servidores de resolución públicos y gratuitos cumplen bien una función: se niegan a resolver dominios en su lista de bloqueo. Hay tres muy comunes en las redes de recintos:

• Cloudflare 1.1.1.1 for Families ofrece dos opciones fijas: bloqueo de malware o bloqueo de malware más contenido para adultos (documentación de Cloudflare).
• Quad9 bloquea dominios maliciosos utilizando inteligencia sobre amenazas de partners de seguridad, sin categorías de contenido. Lo gestiona una fundación sin fines de lucro con sede en Suiza.
• OpenDNS FamilyShield bloquea contenido para adultos a partir de una lista preconfigurada. El servicio de pago Umbrella de Cisco surgió de OpenDNS.

Los servicios freemium como NextDNS y AdGuard DNS añaden un panel de control y listas personalizadas en sus planes gratuitos. Limitan el uso y están dimensionados para hogares, por lo que es conveniente revisar las condiciones antes de implementarlos en un hotel.

Esto es lo que pierde una red empresarial cuando confía en un servidor de resolución gratuito:

• Una sola directiva para toda la red. El servidor de resolución ve su dirección IP pública, no su VLAN. Puede apuntar cada VLAN a un servidor de resolución gratuito diferente, pero en ese caso estará eligiendo entre menús fijos, no redactando una directiva.
• Sin registros legibles. Cuando un portátil de un empleado accede a un dominio de phishing, no hay nada que investigar. No se puede saber qué dispositivo realizó la consulta ni cuándo.
• Sin excepciones. No se puede incluir en la lista de permitidos el sitio web de un proveedor bloqueado por error. Toca esperar a que el proveedor lo reclasifique o cambiar a todo el mundo a otro servidor de resolución.
• Sin elección de categorías. El juego, las redes sociales, el streaming y el intercambio de archivos son decisiones suyas. Los servidores de resolución gratuitos las toman por usted, o directamente no las toman.
• Sin soporte. No hay ticket, ni contacto asignado, ni nivel de servicio cuando la resolución se ralentiza un sábado por la noche.
• Sin pruebas. Las auditorías de protección, los cuestionarios de las aseguradoras y las revisiones de licencias preguntan qué se está bloqueando. Un servidor de resolución gratuito no le deja nada que mostrarles.

¿Qué añade el filtrado DNS de pago a una red empresarial?

El filtrado DNS de pago mantiene la misma ubicación y añade control, visibilidad y a quién llamar. Hay cinco mejoras que son las que más importan para un recinto:

• Una directiva por SSID, VLAN y recinto. Los clientes obtienen bloqueos de malware, phishing y contenido para adultos. El personal obtiene una directiva que se adapta a su trabajo. Los residentes obtienen un acceso de tipo doméstico con protección contra malware, todo gestionado desde un único panel de control.
• Informes y registros de consultas. Visualice las amenazas bloqueadas por red e investigue las búsquedas de un dispositivo tras un incidente. Establezca un periodo de retención justificable bajo el GDPR.
• Listas de permitidos y bloqueados. Desbloquee un proveedor una sola vez y el cambio se aplicará en cada centro.
• Inteligencia sobre amenazas más rápida. Shield identifica las amenazas con mayor rapidez mediante inteligencia sobre amenazas actualizada.
• Bloqueo de publicidad. Las mediciones propias de Purple muestran hasta un 44 % menos de datos y hasta un 62 % menos de consultas DNS con el bloqueo de publicidad activado. En una red de transporte o de eventos congestionada, esto supone un ancho de banda de red que usted recupera.

Diferencias entre las opciones de pago

Cisco Umbrella se integra en el catálogo de seguridad más amplio de Cisco. Resulta idóneo para equipos que ya estandarizan con herramientas de seguridad de Cisco; nuestra guía de precios de Cisco Umbrella explica cómo se estructura su tarifa.

DNSFilter es un servicio independiente de DNS de protección que cuenta con un programa para proveedores de servicios gestionados (MSP). Es adecuado para equipos de TI y MSP que buscan el filtrado DNS como una herramienta independiente.

Purple Shield es un DNS de protección diseñado para WiFi en recintos. Funciona de manera independiente en cualquier WiFi o se integra en Purple Access, con una directiva por SSID, VLAN y recinto. Al funcionar a nivel de DNS, no requiere hardware nuevo. Se ejecuta en redes creadas sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Purple opera en más de 80.000 recintos en 90 países.

¿Cuánto cuesta ejecutar cada opción?

La cuota de licencia representa la partida más pequeña en esta comparativa. Compare el tiempo de personal que consume cada opción a lo largo de un año.

El filtrado gratuito traslada el coste de la factura a su equipo. Cada falso positivo se convierte en una incidencia sin más solución que esperar. Cada incidente se convierte en una investigación sin datos.

Un filtro autoalojado como Pi-hole cambia la cuota de licencia por parches, hardware y responsabilidad fuera del horario laboral. La guía Pi-hole vs managed DNS filtering analiza en detalle esa comparativa.

Los proveedores de pago fijan sus precios por ubicación, red, dispositivo o usuario. Calcule el modelo de unidad que se ajuste a su infraestructura antes de comparar presupuestos. Para Shield, consulte Purple Shield pricing y compense la cuota con el ahorro de ancho de banda obtenido mediante el bloqueo de publicidad.

¿Qué factores cambian la respuesta?

Menores de 18 años utilizan la red

En Inglaterra, los colegios y centros educativos deben cumplir con los estándares de filtering and monitoring standards del Ministerio de Educación. Estos estándares se aplican junto con la normativa Keeping Children Safe in Education (KCSIE). Exigen saber qué está bloqueado y revisarlo periódicamente. Un resolutor gratuito sin registros no puede demostrarlo, por lo que la opción adecuada pasa a ser una solución de pago.

Es un organismo público elegible del Reino Unido

El NCSC ofrece su servicio de Protective DNS a organizaciones del sector público elegibles sin coste alguno. Bloquea dominios maliciosos conocidos en redes corporativas. Sin embargo, no proporciona categorías de contenido ni políticas por SSID para WiFi de invitados. Una opción viable es utilizar NCSC Protective DNS en redes corporativas y un filtrado de pago en el WiFi de invitados.

El ancho de banda es el cuello de botella

En un estadio, una estación o una ubicación rural con una red de transporte (backhaul) reducida, el bloqueo de anuncios marca la diferencia. Hasta un 44 % menos de datos y hasta un 62 % menos de consultas DNS, según los datos de Purple, pueden compensar parte del coste del servicio.

Ya paga por un entorno de seguridad

Si Cisco Umbrella ya cubre su entorno corporativo, ampliarlo al WiFi de invitados podría resultar más económico. La clave está en comprobar si su modelo de políticas se adapta a las redes de invitados por SSID en múltiples instalaciones. Pruébelo en una demostración antes de comprometerse.

Gestiona muchas instalaciones o las administra para terceros

Cada servidor DNS gratuito se configura sitio por sitio, sin una vista compartida. En una infraestructura amplia, la consola de administración es el producto esencial. La guía sobre filtrado DNS para MSP y entornos con múltiples sedes aborda este caso específico.

La instalación consta de un solo espacio y un único SSID

Una cafetería con un solo SSID de invitados es el caso idóneo para utilizar una opción gratuita. Redirija el SSID a un servidor DNS con filtro familiar y bloquee los accesos alternativos. Vuelva a evaluar la decisión cuando añada una red para el personal o una segunda sede.

¿Cuál es la opción predeterminada recomendada para el WiFi de instalaciones?

Su primera acción debe ser realizar un inventario. Enumere cada SSID y VLAN en cada recinto, el servidor DNS que utiliza actualmente y quién notaría si un sitio web se bloquea por error. Después, ejecute una prueba de filtrado DNS de 30 días en una instalación con políticas independientes para invitados y empleados.

El filtrado DNS es una capa de seguridad de la red. Para conocer los controles relacionados, desde IEEE 802.1X (autenticación de red basada en puertos) hasta WPA3, lea nuestra guía de seguridad WiFi para empresas.

Preguntas frecuentes

¿Puedo utilizar un filtro DNS gratuito en una red WiFi para invitados de una empresa?

Sí, para una única ubicación de bajo riesgo SSID, pero consulte primero las condiciones. Los resolutores públicos gratuitos como Quad9 y Cloudflare 1.1.1.1 para familias le ofrecen una directiva fija, sin registros y sin soporte. Los niveles freemium como NextDNS limitan el uso y están dimensionados para hogares. Cuando las redes de invitados y del personal comparten la conexión, o si debe acreditar el filtrado, un resolutor gratuito deja de ser adecuado.

¿Cuánto cuesta el filtrado DNS de pago?

El filtrado DNS de pago es una suscripción cuyo precio se fija por centro, red, dispositivo o usuario en función del proveedor. No publicamos los precios de otros proveedores. Modele la unidad que corresponda a sus instalaciones antes de comparar presupuestos. Los precios de Shield figuran en la página de precios de Purple Shield. Contabilice el ahorro de ancho de banda derivado del bloqueo de anuncios en comparación con la tarifa.

¿Funcionará Purple Shield con los puntos de acceso que ya poseo?

Sí. Shield funciona a nivel de DNS, por lo que no requiere nuevo hardware ni cambiar de punto de acceso. Funciona en redes creadas sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Puede ejecutarlo de forma independiente en cualquier red WiFi o añadirlo a Purple Access, con una directiva por SSID, VLAN y centro.

¿Cómo puedo migrar de un resolutor gratuito a un filtrado DNS de pago?

Migre las redes de una en una cambiando el servidor DNS que asigna su ámbito DHCP. Empiece con la red SSID para invitados en un centro y supervise los bloqueos y las llamadas a soporte durante una semana. A continuación, traslade las VLAN del personal a su propia directiva. Cierre la omisión en el firewall a medida que avanza. Nuestro plan de prueba de 30 días establece el orden y los controles.

¿Ayuda el filtrado DNS con el cumplimiento del GDPR y la protección de menores?

Sí, cuando incluye registros y una directiva de retención clara. Los marcos de protección como KCSIE exigen que demuestre lo que se filtra y se revisa. Los registros de consultas pueden contener datos personales según el GDPR, por lo que debe conservarlos únicamente durante el tiempo que pueda justificar. Purple cuenta con la certificación ISO 27001 y Cyber Essentials, y cumple con el GDPR.

¿Cómo se compara Purple Shield con Cisco Umbrella y DNSFilter?

Los tres son servicios DNS de protección de pago que filtran en la resolución, antes de que se abra una conexión. Cisco Umbrella se adapta a equipos que ya están estandarizados en herramientas de seguridad de Cisco. DNSFilter es un servicio independiente con un programa MSP. Shield está diseñado para redes WiFi de recintos, con una directiva por SSID, VLAN y centro desde un único panel de control. Whitbread, AGS Airports y St George's Healthcare NHS Trust lo utilizan.

¿Pueden los invitados omitir el filtrado DNS?

Sí, un usuario de la red de invitados decidido puede eludir cualquier filtro DNS mediante una VPN o configurando su dispositivo con un DNS cifrado propio. Puede mitigar esto bloqueando el puerto 53 saliente hacia cualquier resolutor que no sea el suyo. Bloquee también los puntos de conexión DNS sobre HTTPS conocidos en el firewall. En la red WiFi de invitados, el objetivo es proteger a la mayoría de los usuarios habituales, no detener a los usuarios expertos.