Pi-hole frente al filtrado DNS gestionado para un recinto

Utilice Pi-hole cuando gestione una sola ubicación, solo necesite bloqueo de anuncios y rastreadores, y disponga de alguien que se ocupe de aplicar parches. Utilice filtrado DNS gestionado como Purple Shield cuando gestione varios recintos o necesite inteligencia sobre amenazas. Shield establece una directiva por red y recinto desde un único panel de control. Según los datos de Purple, su bloqueo de anuncios reduce las consultas DNS hasta en un 62%.

¿Cuándo debe un recinto utilizar Pi-hole y cuándo un filtrado DNS gestionado?

La ubicación determina lo que puede hacer cada opción. El filtrado DNS (Sistema de Nombres de Dominio) actúa cuando un dispositivo solicita una dirección, antes de que se abra cualquier conexión. El teléfono de un invitado pregunta al resolutor dónde se encuentra un dominio de phishing. El filtro se niega a responder, por lo que ningún tráfico llega a ese host. Un cortafuegos actúa un paso después, sobre direcciones IP y puertos, una vez que la búsqueda se ha realizado con éxito. Por eso el DNS de protección detecta lo que un cortafuegos pasa por alto. Entre los ejemplos se incluyen hosts de phishing que cambian rápidamente, dominios de malware y rastreadores en redes de distribución compartidas.

Pi-hole y los servicios gestionados filtran exactamente en el mismo punto. La diferencia radica en dónde reside el resolutor y quién lo mantiene en funcionamiento. Pi-hole es un software libre y de código abierto que se instala en un pequeño servidor dentro de cada recinto. Un servicio gestionado como Purple Shield, DNSFilter o Cisco Umbrella ejecuta sus resolutores en la nube. Solo tiene que cambiar el servidor DNS que asigna su ámbito DHCP (Protocolo de Configuración Dinámica de Host) y, a continuación, gestionar la directiva de forma centralizada.

La regla general se deriva de esa división. Pi-hole no cuesta nada en licencias, pero cada ubicación añade equipos que hay que parchear, respaldar y mantener activos. Un servicio gestionado requiere una suscripción, pero el recinto número 30 no exige más esfuerzo que el primero. Para un solo sitio con un responsable asignado, Pi-hole es una opción sólida. Para un conjunto de instalaciones, o cualquier red con exigencias normativas, el filtrado gestionado resulta la opción más económica una vez que se contabiliza el tiempo del personal. Nuestra visión general de alternativas de filtrado DNS cubre esta categoría de forma más amplia.

¿Cómo elegir entre Pi-hole y el filtrado DNS gestionado?

Cuatro preguntas resuelven la mayoría de los casos. Hay dos términos recurrentes. Un SSID es el nombre de red que ve un invitado. Una VLAN (LAN virtual) es una red lógicamente independiente dentro de switches compartidos, que mantiene separado el tráfico de invitados, personal e inquilinos. Si diferentes SSID o VLAN requieren reglas distintas, la decisión se inclina claramente hacia un servicio gestionado.

¿Qué opción se adapta mejor a cada tipo de establecimiento?

El tipo de establecimiento es una buena referencia para representar las condiciones descritas en el gráfico. Indica cuántas redes opera, quién está de guardia y qué nivel de cumplimiento normativo exige la red WiFi. Consulte la columna "por qué" para entender el motivo principal de cada recomendación.

Destacan dos patrones. Pi-hole solo gana cuando el requisito es el bloqueo de anuncios y una sola persona gestiona el dispositivo. Cada escenario con diferentes tipos de público requiere una directiva por red. Pi-hole puede aproximarse a eso mediante la gestión de grupos, pero solo por instancia y solo por dirección de cliente.

Pi-hole para WiFi en instalaciones: qué ofrece y qué implica ejecutarlo

Lo que Pi-hole hace bien

Pi-hole es un sumidero DNS diseñado para el bloqueo de anuncios en toda la red. Responde a las búsquedas de dominios incluidos en listas de bloqueo sin ofrecer una dirección válida, por lo que los anuncios y rastreadores nunca se cargan. Se ejecuta en Linux, en un contenedor o en una Raspberry Pi. Su interfaz web muestra cada consulta en tiempo real. Puede validar DNSSEC, reenviar consultas a un resolutor de nivel superior de su elección y actuar como servidor DHCP.

Para una sola ubicación, esto cubre bastante. Los registros de consultas se quedan en su propio hardware, algo que prefieren algunos equipos de privacidad. La gestión de grupos aplica diferentes listas de bloqueo a distintos clientes. Teleporter, la herramienta de copia de seguridad integrada, exporta la configuración para que pueda reconstruir rápidamente un dispositivo que haya fallado.

Dónde sufre Pi-hole en una ubicación comercial

Los límites aparecen cuando Pi-hole pasa de una red doméstica a una red de invitados de la que dependen cientos de desconocidos.

• Un punto único de fallo. Si el único resolutor se detiene, los invitados pierden la resolución de nombres y notifican que la red WiFi no funciona.
• Listas, no categorías. Pi-hole bloquea lo que contienen sus listas. Un host de phishing nuevo pasará desapercibido hasta que el mantenedor de la lista lo añada.
• Sin página de bloqueo. Un dominio bloqueado no devuelve ninguna dirección útil, por lo que el invitado ve un error en el navegador. El personal de atención al cliente acaba respondiendo a esa duda.
• Una instancia por sede. No hay una consola integrada para gestionar múltiples instancias. Existen herramientas de sincronización comunitarias, pero también tendrá que mantenerlas usted mismo.
• Solo soporte comunitario. La ayuda procede de foros y documentación, no de un centro de soporte con un tiempo de respuesta garantizado.

Filtrado DNS gestionado: Purple Shield, DNSFilter y Cisco Umbrella

Cómo funciona el filtrado gestionado

Un servicio de DNS de protección gestionado ejecuta los resolutores por usted. Solo tiene que apuntar la DNS de cada red al servicio. A partir de ahí, cada consulta se comprueba frente a fuentes de amenazas y categorías actualizadas. El proveedor clasifica los nuevos dominios y aplica parches en la infraestructura. Usted configura las directivas en una sola consola y consulta los informes de todas las sedes.

Dado que el cambio se realiza en el DHCP, el filtrado gestionado es independiente del hardware. Funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet sin necesidad de adquirir nuevo equipamiento. Siga la documentación de su fabricante para conocer la configuración exacta del DHCP.

En qué se diferencian los tres servicios

DNSFilter y Cisco Umbrella son servicios de DNS de protección de uso general. Ambos se venden a equipos de TI corporativos y proveedores de servicios gestionados, y ambos cuentan con páginas de bloqueo personalizables documentadas. Umbrella se integra dentro del catálogo de seguridad más amplio de Cisco, por lo que su licenciamiento sigue el empaquetado de Cisco. Nuestra guía sobre precios de Cisco Umbrella explica qué aspectos analizar antes de solicitar un presupuesto.

Purple Shield está diseñado para WiFi en recintos. Puede ejecutarlo de forma independiente en cualquier red WiFi o junto con Purple Access. En ambos casos, podrá definir una directiva por SSID, VLAN y recinto desde un único panel de control. Esto se adapta perfectamente a la segmentación habitual de los recintos: las redes de invitados, personal, inquilinos y operaciones internas rara vez requieren las mismas reglas. Purple opera en más de 80.000 recintos activos en 90 países, y Shield comparte esa misma plataforma.

Shield también bloquea anuncios, algo fundamental en conexiones de red compartidas o con ancho de banda limitado. Según los datos de Purple, el bloqueo de anuncios reduce el tráfico de datos hasta un 44 % y las consultas DNS hasta un 62 %. Ese margen recuperado se destina al contenido que realmente interesa a sus invitados.

¿Cuánto cuesta un filtro DNS alojado en servidores propios en varias sedes?

La partida de licencias es donde Pi-hole parece imbatible, y es el único apartado donde lo es. El coste total de un filtro DNS alojado en servidores propios equivale al hardware más la mano de obra, multiplicado por el número de instancias.

Un modelo sencillo para su infraestructura

Cree el modelo a partir de instancias, no de ubicaciones. El mínimo para evitar la trampa del DNS secundario son dos instancias por ubicación. Por lo tanto, 30 ubicaciones significan 60 resolutores, cada uno con su propio sistema operativo y configuración de listas de bloqueo.

A continuación, asigne un tiempo a cada tarea recurrente. Las cifras que se muestran a continuación son supuestos de planificación para ilustrar el cálculo; sustitúyalas por las suyas propias.

• Actualizaciones y comprobaciones de estado: asuma 15 minutos por instancia al mes. Con 60 instancias, eso supone 15 horas al mes.
• Correcciones en listas de bloqueo: cada cambio en la lista de permitidos debe aplicarse en cada instancia, a menos que utilice una herramienta de sincronización.
• Incidentes: un fallo de disco en una ubicación remota requiere la presencia de un técnico en el lugar.
• Pruebas de auditoría: cada instancia genera su propio informe y alguien debe combinarlos.

Multiplique las horas mensuales por la tarifa por hora de su personal (con costes asociados) y añada la renovación de hardware. Compare esa cifra con una suscripción de la página de tarifas de Shield. En una sola ubicación, el total del alojamiento propio es reducido. En 30 ubicaciones, el coste de la mano de obra es el factor crítico a vigilar, incluso antes de valorar las categorías de amenazas que Pi-hole nunca ofreció.

Caso práctico: una cadena minorista de 30 tiendas

Una empresa minorista de moda con 30 tiendas realizó una prueba piloto de Pi-hole en la red WiFi para clientes de tres sucursales. El piloto cumplió su objetivo: los anuncios dejaron de cargarse en la red de clientes. Escalar la solución implicaba 60 instancias, una herramienta de sincronización y un turno de guardia no presupuestado. El equipo de TI calculó el mantenimiento de rutina en 15 horas al mes utilizando los supuestos anteriores. En su lugar, migró las 30 tiendas a un DNS gestionado, con una directiva para clientes y otra para el personal. El resultado: 60 resolutores planificados se sustituyeron por cero equipos en las ubicaciones, y cada cambio de directiva se realiza una sola vez en lugar de 60.

¿Qué factores cambian la respuesta?

La regla general varía bajo cinco condiciones. Cada una de ellas puede hacer que un establecimiento se decante por una opción u otra.

Número de ubicaciones y redes

Una ubicación con una sola red de invitados permite que Pi-hole siga siendo viable. Cada ubicación adicional añade dos instancias. Cada SSID o VLAN adicional con sus propias reglas añade una configuración de grupo en cada instancia. Nuestra guía sobre filtrado DNS para MSP y fincas con múltiples ubicaciones abarca las propiedades a fondo.

Quién se encarga de la gestión a las 2 a. m.

Pi-hole depende de un responsable asignado que disponga de tiempo semanal. Si el responsable es "quien lo configuró", que a menudo es un contratista que ya no trabaja allí, elija una solución gestionada.

Bloqueo de anuncios o protección contra amenazas

Si el objetivo es mostrar menos anuncios y tener páginas más ligeras, las listas de Pi-hole lo cubren. Si incluye phishing, malware y dominios recién registrados, necesita fuentes de amenazas actualizadas. Eso es lo que ofrece un servicio de DNS de protección.

Deber de protección y normativa

El WiFi público en bibliotecas, escuelas y centros sanitarios exige el deber de filtrar contenidos nocivos. Las escuelas de Inglaterra, por ejemplo, siguen los estándares de filtrado y supervisión del Ministerio de Educación. Los informes de categorías centralizados facilitan la obtención de pruebas en comparación con las listas por ubicación. Para la normativa PCI-DSS, el filtrado DNS no sustituye la segmentación del entorno de datos de los titulares de tarjetas. Sin embargo, sí reduce el riesgo de malware en las redes circundantes. Nuestra guía de seguridad WiFi para empresas detalla más a fondo la segmentación.

Privacidad y protección de datos

Los registros de consultas DNS vinculados a un dispositivo pueden considerarse datos personales en virtud del GDPR. Con Pi-hole, usted establece la retención y el acceso en cada equipo. Con un servicio gestionado, necesita un contrato de tratamiento de datos. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR.

Caso práctico: un hotel de 120 habitaciones

Un hotel urbano de 120 habitaciones ejecutaba un Pi-hole en un mini PC para la red WiFi de invitados. El servidor DHCP lo asignaba como el único servidor DNS. Cuando su almacenamiento falló durante la noche, los huéspedes podían conectarse al WiFi pero no podían cargar nada. El director de guardia registró una serie de quejas antes de que llegara el técnico de TI. A continuación, el hotel migró los SSID de invitados y de personal a un DNS gestionado con directivas independientes. El resultado: cero resolvedores en las instalaciones, dos directivas configuradas desde un solo panel de control y ningún equipo local que pueda volver a fallar.

¿Cuál es la opción predeterminada recomendada para el WiFi en establecimientos?

Para cualquier propiedad con dos o más instalaciones, la opción predeterminada es el DNS de protección gestionado, y para la red WiFi de las instalaciones recomendamos Purple Shield. Filtra en el resolutor antes de que se abra una conexión y establece una directiva por SSID, VLAN e instalación. También elimina todos los resolutores locales de su lista de parches. Pi-hole sigue siendo la respuesta adecuada para una única instalación con un propietario asignado y un cometido de bloqueo de anuncios, así como para laboratorios.

Su primera medida consiste en elegir un SSID de invitados en una instalación y realizar una prueba de 30 días. Apunte su DNS a Shield y deje todas las demás redes intactas. Después, compare las amenazas bloqueadas, el volumen de datos y los tiques de soporte. El plan de prueba de filtrado DNS de 30 días establece qué se debe medir cada semana.

Preguntas frecuentes

¿Es gratis utilizar Pi-hole en una instalación comercial?

Sí, el software es gratuito y de código abierto, y puede ejecutarlo en la red WiFi de invitados. Sin embargo, seguirá pagando por el hardware, dos instancias por sitio para garantizar la redundancia y el tiempo del personal dedicado a parches, correcciones de listas de bloqueo e incidentes. En una sola instalación, esos costes son reducidos. En un conjunto de instalaciones, la mano de obra se convierte en la partida presupuestaria más grande. La decisión debe basarse en el coste total, no en el coste de la licencia.

¿Funcionará Purple Shield con los puntos de acceso que ya poseo?

Sí. Shield funciona en la capa DNS, por lo que requiere un cambio de DHCP en lugar de hardware nuevo. Funciona en redes creadas con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Puede ejecutarlo de forma independiente en cualquier red WiFi o junto con Purple Access, con una directiva por SSID, VLAN e instalación.

¿Cómo se compara el precio de Shield con la ejecución de Pi-hole?

Shield funciona mediante suscripción y Pi-hole no tiene coste de licencia, por lo que debe comparar el coste total en lugar del precio de lista. Para Pi-hole, añada el hardware para dos instancias por ubicación, las horas de parcheo mensual y el tiempo de guardia. Compare eso con la suscripción en la página de precios de Shield. La comparativa se decanta hacia una solución gestionada con cada ubicación que añada.

¿Podemos migrar desde Pi-hole sin tiempo de inactividad?

Sí, si migra una red a la vez. Exporte su configuración con la herramienta Teleporter de Pi-hole y tome nota de las entradas de la lista de permitidos que aún necesite. Vuelva a crear esas excepciones en la nueva directiva y, a continuación, cambie el servidor DNS en el ámbito DHCP de un SSID. Monitoríelo durante unos días antes de migrar la siguiente red. Mantenga Pi-hole en funcionamiento hasta que se haya migrado la última red.

¿Ayuda el filtrado DNS con el GDPR y PCI DSS?

Ayuda, pero no le otorga el cumplimiento por sí solo. Para PCI DSS, la segmentación mantiene el WiFi de empleados y de invitados fuera del entorno de datos de tarjetahabientes. El filtrado DNS reduce el riesgo de malware en torno a ese límite. Para el GDPR, los registros DNS vinculados a un dispositivo pueden considerarse datos personales, por lo que debe establecer normas de retención y acceso. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR.

¿Cómo se compara Shield con Cisco Umbrella y DNSFilter?

Los tres filtran mediante la resolución DNS en la nube, por lo que el beneficio de la ubicación es el mismo. DNSFilter y Cisco Umbrella son servicios de propósito general que se venden a equipos de TI corporativos y a proveedores de servicios gestionados. Shield está diseñado para el WiFi de recintos, con una directiva por SSID, VLAN y recinto. Puede ejecutarse de forma independiente o junto con Purple Access. Whitbread, AGS Airports y St George's Healthcare NHS Trust utilizan Shield.

¿Pueden los invitados eludir el filtrado DNS?

Algunos pueden hacerlo, independientemente de la opción que elija. Un dispositivo que utilice DNS sobre HTTPS (RFC 8484) o una VPN envía las búsquedas omitiendo su resolutor. Bloquee los puntos finales públicos de DoH más conocidos. Bloquee también el dominio canario de Firefox, que indica al navegador que siga utilizando el DNS local. En el WiFi para invitados, el objetivo es proteger a la mayoría de los usuarios que nunca cambian una configuración.