Filtrado DNS para escuelas y bibliotecas

El filtrado DNS para escuelas y bibliotecas bloquea sitios dañinos y maliciosos en la propia búsqueda DNS, antes de que se abra cualquier conexión. Cubre todos los dispositivos de su red WiFi sin necesidad de agentes ni de nuevo hardware. Para superar los controles más estrictos, también debe detener la evasión de DNS cifrado, bloquear la búsqueda segura en Google, Bing y YouTube, y generar informes que su responsable de protección (safeguarding) pueda presentar como prueba.

¿Qué es el filtrado DNS para escuelas y bibliotecas?

Cada conexión web comienza con una búsqueda DNS. Un dispositivo pide a un solucionador que convierta un nombre en una dirección IP. El filtrado DNS añade una comprobación de políticas a esa respuesta. Si el dominio se encuentra en una categoría bloqueada o presenta una señal de amenaza, el solucionador no facilita la dirección real. El navegador nunca abre la conexión, por lo que el contenido, el malware o el anuncio jamás se cargan.

Un solucionador que realiza esta función se conoce como DNS de protección. En la red de una escuela o biblioteca, cumple tres funciones al mismo tiempo:

• Aplica su política de contenidos.
• Bloquea dominios de phishing y malware.
• Obliga a los motores de búsqueda a funcionar en sus modos seguros.

¿Dónde se realiza el filtrado y qué pasa por alto un firewall?

El filtrado se produce durante la consulta, antes de que el dispositivo tenga una dirección a la que conectarse. Un firewall actúa más tarde, en la propia conexión. Sin decodificación, solo ve una dirección IP, un puerto y poco más.

La mayor parte del tráfico web actual circula sobre HTTPS por el puerto 443. Gran parte se dirige a redes de distribución de contenidos, que alojan miles de sitios web independientes bajo direcciones compartidas. Si bloquea una de esas IP, bloqueará también sitios legítimos. Si la permite, el sitio dañino logrará pasar.

Un firewall puede inspeccionar HTTPS, pero solo después de instalar un certificado de confianza en cada dispositivo. Eso se puede hacer en los portátiles propiedad de la escuela, pero no en el teléfono de un visitante en una biblioteca ni en la tablet personal de un alumno en la red WiFi de bachillerato. El filtrado DNS no requiere nada en el dispositivo: se aplica a cualquier equipo que obtenga su configuración DNS de su red.

¿Por qué es importante un filtro de contenidos DNS escolar en su red?

Escuelas: KCSIE y las normas del DfE

En Inglaterra, Keeping Children Safe in Education (KCSIE) es la guía legal de protección (safeguarding) del Departamento de Educación (DfE). Exige a los órganos de gobierno y titulares contar con sistemas adecuados de filtrado y supervisión, así como evaluar su funcionamiento. Otorga al responsable designado de protección (DSL) la responsabilidad principal en materia de seguridad en línea, lo que incluye comprender los sistemas de filtrado y supervisión.

Las normas de filtrado y supervisión del DfE para escuelas y centros educativos establecen lo que esto significa en la práctica:

• Asignar funciones claras.
• Revisar la prestación del servicio al menos una vez al año.
• Bloquear contenidos dañinos e inapropiados sin perjudicar de forma desproporcionada la enseñanza y el aprendizaje.

KCSIE remite a los colegios a la definición de filtrado adecuado del UK Safer Internet Centre. Esa definición exige que su proveedor sea miembro de la Internet Watch Foundation (IWF) y que bloquee la lista de contenidos de abuso sexual infantil de la IWF. También exige que el proveedor bloquee la lista evaluada por la policía de contenidos terroristas ilícitos de la Counter Terrorism Internet Referral Unit (CTIRU). Plantee ambas preguntas a cualquier proveedor de su lista de candidatos.

Los colegios de EE. UU. se rigen en su lugar por la Children's Internet Protection Act (CIPA). Cubrimos los pasos de certificación en nuestra guía independiente sobre filtrado WiFi compatible con CIPA. En cuanto a las directivas, consulte Filtrado web para colegios: directivas que funcionan.

¿Necesitan las bibliotecas un filtrado de contenidos?

En la práctica, sí. La obligación legal depende de dónde opere y de cómo se financie.

En EE. UU., CIPA se aplica a las bibliotecas públicas que aprovechan los descuentos de E-rate para el acceso a Internet. Esas bibliotecas deben ejecutar una medida de protección tecnológica que bloquee las imágenes obscenas, el material de abuso sexual infantil o el contenido nocivo para menores. La Federal Communications Commission (FCC) permite que una biblioteca desactive el filtro para un adulto que realice una investigación de buena fe o para otro fin legítimo.

En el Reino Unido, ninguna ley exige que una biblioteca pública aplique filtros. Aun así, muchos servicios de biblioteca filtran el contenido y muchos buscan la acreditación Friendly WiFi. Friendly WiFi es un programa de certificación impulsado por el gobierno para el WiFi público. Su estándar mínimo exige filtrar la pornografía y los contenidos de abuso sexual infantil incluidos en la lista de la IWF en cualquier lugar donde pueda haber niños.

Las bibliotecas lo tienen más difícil que los colegios. Una sola red da servicio a un niño en el club de deberes y a un adulto que investiga una afección médica. Su directiva tiene que proteger al niño sin bloquear en exceso al adulto. Dividir a esas audiencias en redes independientes suele ser la solución más limpia. Cómo configurar la segmentación de red para invitados y personal detalla este enfoque.

¿Cómo funciona el filtrado DNS para colegios y bibliotecas?

Solo tiene que cambiar una configuración: los servidores DNS que sus ámbitos DHCP entregan a los dispositivos. Los puntos de acceso, controladores y switches se quedan donde están. A continuación, cada dispositivo envía sus consultas al resolutor de protección y este aplica su directiva.

Categorías de contenido y protección contra amenazas

El resolutor comprueba cada dominio con respecto a dos conjuntos de señales.

• Categorías de contenido, como contenido para adultos, apuestas, armas o proxies y anonimizadores. Usted elige cuáles bloquear para cada audiencia.
• Inteligencia sobre amenazas, que cubre phishing, malware, servidores de comando y control (C2) y dominios recién registrados utilizados en ataques.

La velocidad importa en el lado de las amenazas, porque los atacantes registran dominios y los utilizan en cuestión de horas. Shield señala estas amenazas en cuanto se identifican los dominios maliciosos. Para un colegio, ese es el margen entre que un miembro del personal haga clic en un enlace de phishing y que el resolutor se niegue a responder.

Lo que hace el bloqueo de anuncios en un WiFi compartido de mucho tráfico

Las bibliotecas y las escuelas suelen operar redes WiFi con gran densidad de conexiones y un caudal de acceso limitado. Bloquear los dominios de publicidad y analítica en la capa de DNS elimina el tráfico innecesario antes de que alcance su conexión. Filtrar estas solicitudes permite:

• tiempos de carga de página más rápidos para los usuarios
• un menor consumo de datos general
• menos consultas DNS que impactan en la red
• volúmenes de tráfico web general más bajos

En la conexión de una biblioteca compartida por ordenadores públicos y teléfonos de visitantes, ese margen adicional se aprovecha para deberes, solicitudes de empleo y clases en vídeo.

¿Cómo se aplica el Búsqueda Segura (SafeSearch) en la red de un centro educativo?

El bloqueo por categorías detiene sitios web completos. Los buscadores son más difíciles de gestionar, ya que Google, Bing y YouTube son esenciales para el aprendizaje, pero devuelven resultados explícitos en sus modos predeterminados. Cada proveedor documenta un método de DNS que fuerza su modo seguro en toda la red:

• Google publica forcesafesearch.google.com. Cuando su resolvedor responde a las búsquedas de Google con esa dirección, SafeSearch se activa de forma permanente y la persona que realiza la búsqueda no puede desactivarlo.
• Bing publica strict.bing.com, que aplica el modo SafeSearch estricto de la misma manera.
• YouTube publica restrict.youtube.com y restrictmoderate.youtube.com, que fuerzan el Modo restringido a nivel estricto o moderado.

Un servicio de DNS de protección gestiona este mapeo por usted, de modo que solo tiene que elegir una configuración en lugar de editar los registros manualmente. La restricción moderada de YouTube suele ser adecuada para escuelas secundarias, ya que el modo estricto oculta muchos vídeos educativos legítimos. Pruebe con contenido de clases reales antes de desplegarlo en todos los centros.

¿Cómo eluden los estudiantes el filtrado de la red WiFi escolar mediante DoH?

El DNS cifrado es la vía más común para eludir un filtro de DNS. DNS over HTTPS (DoH, definido en RFC 8484) envía las consultas dentro del tráfico HTTPS habitual. DNS over TLS (DoT, RFC 7858) las cifra en el puerto 853. Cualquiera de los dos métodos puede llevar las consultas de un dispositivo más allá de su resolvedor hacia uno público que no aplique ninguna directiva.

Los alumnos rara vez necesitan configurar esto por sí mismos, ya que los navegadores y sistemas operativos ya incluyen opciones de DNS cifrado. La siguiente tabla asocia cada ruta de elusión con la forma documentada de bloquearla.

Ruta de elusión	Cómo elude su filtro	Cómo bloquearla
DoH predeterminado de Firefox	Firefox puede enviar consultas a un resolvedor DoH público	No devuelva respuesta para el dominio canary de Mozilla, use-application-dns.net, lo que indica a Firefox que siga usando el resolvedor de su red
DNS seguro de Chrome y Edge	Pasa a DoH cuando el resolvedor configurado tiene un equivalente DoH conocido	Configure la directiva DnsOverHttpsMode como desactivada en dispositivos gestionados; en dispositivos no gestionados la actualización solo se ejecuta frente al proveedor de su propio resolvedor
iCloud Private Relay	Redirige el tráfico de Safari y el DNS a través de los servidores de Apple	Devuelva una respuesta negativa para mask.icloud.com y mask-h2.icloud.com, tal como documenta Apple, y los dispositivos mostrarán Private Relay como no disponible
Private DNS de Android (DoT)	Envía consultas sobre TLS en el puerto 853	Bloquee el puerto de salida 853 en su firewall; el modo automático volverá a utilizar su resolvedor
Resolutores públicos codificados de forma fija	El dispositivo o la aplicación ignora el DHCP y consulta a un resolutor público en el puerto 53	Bloquear el puerto 53 saliente hacia cualquier destino que no sea su resolutor de protección
Aplicaciones VPN y proxy	Crean un túnel para todo el tráfico fuera de su red	Bloquear la categoría de proxies y anonimizadores, y bloquear aplicaciones VPN mediante políticas de MDM en dispositivos gestionados

La solución combina reglas de DNS, reglas de firewall y políticas de dispositivos, ya que ninguna capa por sí sola cierra todas las vías. Nuestra guía independiente sobre el bloqueo de DNS cifrado y la elusión de DoH detalla cada control en profundidad.

¿Qué informes necesitan los centros educativos y las bibliotecas como prueba?

Un filtrado del que no pueda aportar pruebas no satisfará a un órgano de gobierno, a una inspección de Ofsted o a una auditoría de CIPA. Las normas del DfE exigen una revisión anual documentada. En EE. UU., CIPA exige una política de seguridad en Internet adoptada tras un aviso público y una audiencia pública. Ambas dependen de los registros.

Pregunte a cualquier proveedor si puede exportar lo siguiente:

• Búsquedas bloqueadas por categoría, para que el DSL pueda ver qué peligros ha detenido realmente el filtro.
• Resultados por sitio y por red, para que una agrupación de centros pueda comparar colegios y un servicio de bibliotecas pueda comparar sucursales.
• Tendencias a lo largo del tiempo, para mostrar el efecto de los cambios de política entre revisiones.
• Señales de elusión, como búsquedas de dominios de resolutores DoH, el dominio canario de Firefox o dominios de Private Relay.
• Estado de Safe Search, con pruebas de que el bloqueo se aplicó en todas las redes.
• Un registro de cambios de política, que recopile quién cambió qué configuración y cuándo.
• Un registro de sobrebloqueo, que registre qué sitios legítimos solicitó el personal que se desbloquearan y con qué rapidez se actuó.

El registro de sobrebloqueo importa más de lo que la mayoría de los equipos espera. Las normas del DfE advierten explícitamente contra el filtrado que afecte de forma irrazonable a la enseñanza. Un registro de solicitudes de desbloqueo y tiempos de respuesta demuestra que ha equilibrado la protección con el aprendizaje.

Tenga en cuenta la protección de datos. Según el UK GDPR, los registros de DNS que se puedan vincular a una persona identificable son datos personales. Establezca un periodo de conservación, restrinja el acceso al personal designado y registre la base legítima en su aviso de privacidad. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, las cuales puede citar en su evaluación de impacto de la protección de datos.

¿Dónde se sitúa el filtrado DNS junto a lo que ya ejecuta?

El DNS de protección es una capa situada sobre su red existente, no un sustituto de esta. Purple es independiente del hardware. Shield se ejecuta en WiFi de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, ya que cambia el DNS que distribuye su red, no los puntos de acceso.

La arquitectura habitual es la siguiente:

• Firewall: bloquea los puertos salientes 53 y 853 hacia resolutores no autorizados, y sigue realizando las funciones periféricas que el DNS no puede hacer.
• Segmentación de red: redes independientes o VLAN (redes LAN virtuales, que dividen una red física en redes lógicas aisladas) para el personal, los alumnos, los visitantes y las zonas infantiles, cada una con su propia política.
• Gestión de dispositivos móviles (MDM): aplica la política del navegador y bloquea las aplicaciones VPN en los dispositivos propiedad del centro escolar, incluso fuera de sus instalaciones.
• Captive portal: la página de inicio de sesión que ven los visitantes antes de conectarse a internet. En la solución de Guest WiFi es el lugar donde se presenta la política de uso aceptable y se recoge el consentimiento.

Comparativa entre Shield, DNSFilter y Cisco Umbrella

Las tres herramientas filtran en la capa de DNS y las tres pueden forzar la búsqueda segura (Safe Search). Se diferencian en el enfoque con el que fueron desarrolladas.

	Purple Shield	DNSFilter	Cisco Umbrella
Dónde se realiza el filtrado	Búsqueda DNS	Búsqueda DNS	Búsqueda DNS, con pasarela web segura opcional
Nuevo hardware necesario	Ninguno: cambie los DNS que asigna su WiFi	Ninguno: reenvío de DNS o agente de itinerancia	Ninguno para la capa DNS; dispositivo virtual opcional para la atribución de IP interna
Aplicación de Safe Search	Google, Bing y YouTube	Google, Bing y YouTube	Google, Bing y YouTube
Dispositivos fuera de la red	Cubre los dispositivos conectados al WiFi de sus instalaciones; utilice MDM para los dispositivos que se llevan a casa	Agente cliente de itinerancia	Módulo de itinerancia en Cisco Secure Client
Gestionado desde	La plataforma Purple, junto con Guest WiFi y Staff WiFi	Panel de control de DNSFilter	Panel de control de Cisco Umbrella, dentro de Cisco Secure Access
Uso recomendado	Instalaciones que ya utilizan Purple WiFi o van a migrar a él	MSP y flotas de puntos finales basadas en agentes	Organizaciones estandarizadas en la seguridad de Cisco

Elija Cisco Umbrella si su fundación o ayuntamiento ya utiliza Cisco Secure Access y desea un único proveedor de seguridad. Elija DNSFilter si necesita un agente en cada portátil que los usuarios se llevan a casa y gestiona varios clientes como MSP. Elija Shield si su prioridad es el propio WiFi del recinto: filtrado, protección contra amenazas y bloqueo de publicidad en la red a la que se conectan sus alumnos y visitantes, todo gestionado junto con su WiFi. Para obtener una visión de mercado más amplia, lea El mejor DNS de protección para WiFi de invitados y público.

¿Cómo funciona en la práctica?

Los dos escenarios siguientes son ejemplos ilustrativos basados en los patrones de despliegue descritos anteriormente.

Un servicio de bibliotecas provinciales trabajando para obtener la acreditación Friendly WiFi

La situación. Un servicio de bibliotecas ofrece WiFi público en sus sucursales a través de una red compartida. Los clubes de deberes infantiles y los visitantes adultos utilizan el mismo SSID. Su antiguo filtro se ejecutaba en un cortafuegos en cada sucursal, y la mayoría de las sucursales permitían resultados explícitos en las imágenes de Google.

Lo que se hizo. El responsable de TI dividió cada sucursal en dos redes: una red infantil con una política estricta y una red para adultos con una más flexible. Ambas apuntaban a un resolvedor DNS de protección que bloqueaba la pornografía y los contenidos incluidos en la lista IWF, lo que cumple con el mínimo requerido por Friendly WiFi. Se activó el modo Safe Search en Google y Bing para ambas redes. El modo restringido de YouTube se configuró en estricto para los niños y en moderado para los adultos. El cortafuegos bloqueó el tráfico DNS saliente hacia cualquier resolvedor que no fuera el de protección.

El resultado medible. El equipo probó una lista fija de términos de búsqueda y categorías en ambas redes en cada sucursal. Todas las sucursales pasaron la prueba y los resultados se incluyeron en la solicitud de Friendly WiFi como prueba. El personal de la sucursal ahora gestiona las solicitudes de desbloqueo de contenido para adultos mediante un proceso escrito de lista de permitidos, y el servicio registra cada solicitud y su tiempo de resolución.

Un grupo multinivel de academias (MAT) cerrando la brecha del DoH

La situación. Un grupo gestiona escuelas secundarias con WiFi en dispositivos personales para alumnos de bachillerato. Un responsable designado de salvaguardia (DSL) notó que los alumnos accedían a sitios de juegos y redes sociales bloqueados desde sus propios teléfonos. Los portátiles propiedad de la escuela no mostraban ese problema.

Lo que se hizo. El responsable de red revisó las rutas de elusión de la tabla anterior. El resolutor ahora no devuelve respuesta para el dominio canario de Firefox ni para los dominios de iCloud Private Relay. El firewall de cada escuela bloquea el puerto de salida 853 y el puerto de salida 53 hacia resolutores públicos. En los portátiles propiedad de la escuela, el sistema MDM desactiva el DNS seguro de Chrome y Edge. La categoría de proxies y anonimizadores está bloqueada en la red de bachillerato.

El resultado medible. Los teléfonos de prueba que ejecutaban Firefox, Safari con Private Relay y Android Private DNS recurrieron al resolutor de la escuela. Las categorías bloqueadas se aplicaron según lo previsto. Las búsquedas con señales de elusión aparecen ahora en el informe mensual que revisa el DSL, el cual alimenta la revisión anual de filtrado del grupo bajo los estándares del DfE. Para instalaciones de este tamaño, el filtrado DNS para MSP y propiedades multisede cubre la gestión centralizada de políticas en todas las sedes.

¿Cuáles son los límites del filtrado DNS que debe conocer?

Sea claro con sus gobernadores sobre lo que el filtrado DNS no puede hacer.

• Funciona en dominios, no en páginas. No puede bloquear una página dañina dentro de un dominio permitido. El Modo restringido de YouTube y Búsqueda segura reducen esa brecha, pero no la cierran.
• Es filtrado, no monitorización. Los estándares del DfE tratan la monitorización como un deber independiente. En una red compartida, los registros DNS muestran un dispositivo, no a un alumno con nombre y apellidos. La atribución por persona requiere autenticación individualizada, como 802.1X (control de acceso a la red basado en puertos mediante credenciales individuales) o iPSK (una clave precompartida única por persona). Las Identity-Based Networks de Purple ofrecen ambas opciones.
• Se detiene en el límite de su red. Los dispositivos para llevar a casa con banda ancha doméstica necesitan MDM o un agente.
• La elusión intencionada requiere varias capas. Una VPN que aún no esté categorizada puede seguir creando un túnel hacia el exterior hasta que su firewall o MDM la detecte.

Ninguno de estos puntos es motivo para omitir el filtrado DNS. Cada uno es una razón para combinarlo con los controles adecuados y documentar esa combinación en su revisión anual.

¿Qué debe hacer a continuación?

1. Mapee cada red que gestione y la audiencia de cada una: personal, alumnos, visitantes y niños.
2. Redacte una política por audiencia, con la aprobación de las categorías por parte del DSL.
3. Apunte el DNS DHCP de un sitio piloto a un resolutor de protección y active Búsqueda segura.
4. Cierre las rutas de elusión de la tabla anterior y realice pruebas con dispositivos reales.
5. Acuerde su paquete de informes y el periodo de retención antes del despliegue.
6. Programe la revisión anual ahora para asegurarse de que se realice.

Para ver cómo gestiona Purple el filtrado, la protección contra amenazas y el bloqueo de anuncios en su red WiFi actual, comience con Shield. Para consultar temas relacionados, explore Todas las guías.

Preguntas frecuentes

¿Necesitamos hardware nuevo para añadir filtrado DNS a la red WiFi del colegio?

No. Shield funciona cambiando los servidores DNS que su red entrega a los dispositivos, por lo que sus puntos de acceso, controladores y switches se mantienen en su lugar. Funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Puede añadir reglas de firewall para bloquear el tráfico DNS saliente y el puerto 853 hacia otros resolutores, pero se trata de una configuración en el equipamiento que ya posee.

¿El filtrado DNS por sí solo cumple con los requisitos de KCSIE?

No. El filtrado DNS cubre la mitad relativa al filtrado de KCSIE, pero los estándares del DfE tratan la monitorización como una obligación independiente. También necesita funciones asignadas, una revisión anual y un enfoque de monitorización. Compruebe que su proveedor de filtrado sea miembro de la IWF y bloquee la lista de contenidos terroristas de la CTIRU, tal y como espera la definición de filtrado adecuado del UK Safer Internet Centre. A continuación, documente cómo se integran el filtro, la monitorización y sus procesos de protección infantil.

¿Qué grado de dificultad tiene la migración desde Cisco Umbrella o DNSFilter?

La migración en sí es un cambio de DNS en lugar de un proyecto de hardware. En primer lugar, vuelva a crear su política de categorías y Safe Search en el nuevo servicio. Ejecútelo en paralelo en un centro piloto y pruebe las categorías bloqueadas, Safe Search y los controles de omisión con dispositivos reales. A continuación, actualice los servidores DNS en sus rangos DHCP centro por centro. Exporte primero sus informes antiguos para que su revisión anual conserve su historial.

¿Cómo se licencia Shield?

Shield es un complemento de seguridad para los planes Connect, Capture y Engage de Purple, junto con SecurePass y Verify. Licencia software, no dispositivos, por lo que no hay costes de hardware ni ciclos de renovación. Su presupuesto refleja el número de recintos y redes que gestiona. Un grupo escolar o una red de bibliotecas puede incluir todos los centros bajo un mismo contrato y gestionarlos desde la plataforma Purple.

¿Puede una biblioteca desbloquear sitios para adultos sin reducir la protección de los niños?

Sí. El enfoque más limpio consiste en utilizar redes independientes: una política estricta donde haya niños presentes y una política más flexible para los visitantes adultos. En EE. UU., la CIPA permite a una biblioteca desactivar el filtrado para un adulto que realice una investigación de buena fe o para otro fin legítimo. Cualquiera que sea su jurisdicción, registre cada solicitud de desbloqueo y su resultado para poder demostrar que los adultos obtuvieron acceso sin que los niños perdieran protección.

¿Los registros de filtrado DNS son datos personales según el GDPR?

Sí, cuando un registro pueda vincularse a una persona identificable. Según la normativa UK GDPR, esto implica establecer un período de retención, limitar el acceso al personal autorizado e indicar la base legal en su aviso de privacidad. En una red compartida, los registros suelen identificar un dispositivo en lugar de a una persona, lo que reduce el riesgo. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, lo que respalda su evaluación de impacto de protección de datos.

¿Seguimos necesitando un cortafuegos si ejecutamos filtrado DNS?

Sí. El filtrado DNS detiene los dominios dañinos y maliciosos antes de que se abra una conexión, pero no sustituye a la seguridad del perímetro. Su cortafuegos sigue controlando el acceso entrante y segmentando las redes. También bloquea el DNS saliente y el puerto 853 a resolutores no autorizados, lo que cierra la elusión de DNS cifrado. Las dos capas funcionan mejor juntas: el DNS decide qué nombres se resuelven y el cortafuegos se asegura de que cada búsqueda pase por su resolutor.