Filtrado de DNS para escuelas y bibliotecas

El filtrado DNS para escuelas y bibliotecas bloquea sitios dañinos y maliciosos desde la consulta DNS, antes de que se abra cualquier conexión. Cubre todos los dispositivos en su WiFi sin necesidad de agentes ni hardware nuevo. Para resistir cualquier auditoría, también debe detener el evadimiento mediante DNS cifrado, bloquear Safe Search en Google, Bing y YouTube, y generar reportes que su encargado de protección pueda comprobar.

¿Qué es el filtrado DNS para escuelas y bibliotecas?

Cada conexión web comienza con una consulta DNS. Un dispositivo le pide a un solucionador que transforme un nombre en una dirección IP. El filtrado DNS agrega una verificación de políticas a esa respuesta. Si el dominio se encuentra en una categoría bloqueada o presenta una señal de amenaza, el solucionador retiene la dirección real. El navegador nunca abre la conexión, por lo que el contenido, el malware o el anuncio nunca se cargan.

Un solucionador que hace esto se conoce como DNS de protección. En la red de una escuela o biblioteca, realiza tres tareas al mismo tiempo:

• Aplica su política de contenido.
• Bloquea dominios de phishing y malware.
• Mantiene los buscadores en sus modos seguros.

¿Dónde ocurre el filtrado y qué se le escapa a un firewall?

El filtrado ocurre en la consulta, antes de que el dispositivo tenga una dirección a la cual conectarse. Un firewall funciona después, en la conexión misma. Sin descifrado, solo ve una dirección IP, un puerto y poco más.

La mayor parte del tráfico web ahora se ejecuta sobre HTTPS en el puerto 443. Gran parte va hacia redes de distribución de contenido, que alojan miles de sitios no relacionados detrás de direcciones compartidas. Si bloquea una de esas IP, bloquea sitios legítimos junto con ella. Si la permite, el sitio dañino logra pasar.

Un firewall puede inspeccionar HTTPS, pero solo después de instalar un certificado de confianza en cada dispositivo. Eso se puede hacer en laptops propiedad de la escuela. No se puede hacer en el teléfono de un visitante en una biblioteca, ni en la tablet personal de un alumno en la red WiFi de bachillerato. El filtrado DNS no requiere nada en el dispositivo. Se aplica a cualquier equipo que tome sus configuraciones de DNS desde su red.

¿Por qué es importante un filtro de contenido DNS escolar en su red?

Escuelas: KCSIE y los estándares del DfE

En Inglaterra, Keeping Children Safe in Education (KCSIE) es una guía reglamentaria de protección del Departamento de Educación (DfE). Requiere que los órganos de gobierno y propietarios cuenten con sistemas adecuados de filtrado y monitoreo, y que revisen su funcionamiento. Otorga al responsable designado de protección (DSL) la responsabilidad principal de la seguridad en línea, lo que incluye comprender los sistemas de filtrado y monitoreo.

Los estándares de filtrado y monitoreo del DfE para escuelas y universidades establecen lo que esto significa en la práctica:

• Asignar roles claros.
• Revisar su servicio al menos una vez al año.
• Bloquear contenido dañino e inapropiado sin afectar de manera irrazonable la enseñanza y el aprendizaje.

KCSIE orienta a las escuelas hacia la definición de filtrado adecuado del UK Safer Internet Centre. Esa definición espera que su proveedor sea miembro de la Internet Watch Foundation (IWF) y bloquee la lista de contenido de abuso sexual infantil de la IWF. También espera que el proveedor bloquee la lista evaluada por la policía sobre contenido terrorista ilegal de la Counter Terrorism Internet Referral Unit (CTIRU). Plantee ambas preguntas a cualquier proveedor de su lista final.

Las escuelas de EE. UU. se enfrentan en su lugar a la Children's Internet Protection Act (CIPA). Cubrimos los pasos de certificación en nuestra guía independiente sobre filtrado de WiFi compatible con CIPA. Para el aspecto de la directiva, consulte Filtrado web para escuelas: Directivas que funcionan.

¿Las bibliotecas necesitan filtrado de contenido?

En la práctica, sí. La obligación legal depende de dónde opere y de cómo se financie.

En EE. UU., CIPA se aplica a las bibliotecas públicas que aprovechan los descuentos de E-rate para el acceso a internet. Esas bibliotecas deben implementar una medida de protección tecnológica que bloquee imágenes que sean obscenas, material de abuso sexual infantil o perjudiciales para menores. La Federal Communications Commission (FCC) permite que una biblioteca desactive el filtro para un adulto que realice una investigación de buena fe o para otro propósito legítimo.

En el Reino Unido, ninguna ley exige que una biblioteca pública realice filtrado. Muchas bibliotecas filtran de todos modos, y muchas buscan la acreditación Friendly WiFi. Friendly WiFi es un esquema de certificación iniciado por el gobierno para WiFi público. Su estándar mínimo le exige filtrar pornografía y el contenido de abuso sexual infantil listado por la IWF dondequiera que haya niños presentes.

Las bibliotecas tienen un trabajo más difícil que las escuelas. Una misma red atiende a un niño en un club de tareas y a un adulto que investiga una condición médica. Su directiva tiene que proteger al niño sin bloquear en exceso al adulto. Dividir a esas audiencias en redes separadas suele ser la respuesta más limpia. Cómo configurar la segmentación de red para invitados y personal explica este enfoque a detalle.

¿Cómo funciona el filtrado DNS para escuelas y bibliotecas?

Usted solo cambia una configuración: los servidores DNS que sus alcances DHCP entregan a los dispositivos. Los puntos de acceso, controladores y switches permanecen donde están. Cada dispositivo envía sus búsquedas al resolutor de protección, y el resolutor aplica su directiva.

Categorías de contenido y protección contra amenazas

El resolutor verifica cada dominio con respecto a dos conjuntos de señales.

• Categorías de contenido, como contenido para adultos, apuestas, armas o proxies y anonimizadores. Usted elige cuáles bloquear para cada audiencia.
• Inteligencia de amenazas, que cubre phishing, malware, comando y control, y dominios recién registrados utilizados en ataques.

La velocidad importa en el aspecto de las amenazas, porque los atacantes registran dominios y los usan en cuestión de horas. Shield marca estas amenazas tan pronto como se identifican los dominios maliciosos. Para una escuela, ese es el lapso entre que un miembro del personal hace clic en un enlace de phishing y el resolutor se niega a responder.

Lo que el bloqueo de anuncios le hace al WiFi compartido de alto tráfico

Las bibliotecas y las escuelas a menudo operan redes WiFi densas en enlaces de retorno limitados. Bloquear los dominios de anuncios y analíticas en la capa de DNS elimina el tráfico innecesario antes de que llegue a su conexión. Filtrar estas solicitudes permite obtener:

• cargas de página más rápidas para los usuarios
• menor uso general de datos
• menos consultas DNS que impactan la red
• menores volúmenes de tráfico web en general

En la conexión de una biblioteca compartida por computadoras públicas y teléfonos de visitantes, ese margen libre se redirige a tareas escolares, solicitudes de empleo y clases en video.

¿Cómo aplicar Búsqueda Segura (Safe Search) en la red de una escuela?

El bloqueo por categorías detiene sitios web completos. Los motores de búsqueda representan un reto mayor, ya que Google, Bing y YouTube son esenciales para el aprendizaje, pero devuelven resultados explícitos en sus modos predeterminados. Cada proveedor documenta un método de DNS que fuerza su modo seguro en toda la red:

• Google publica forcesafesearch.google.com. Cuando su resolutor responde a las búsquedas de Google con esa dirección, Búsqueda Segura se activa de forma obligatoria y el usuario no puede desactivarla.
• Bing publica strict.bing.com, el cual aplica Búsqueda Segura estricta de la misma manera.
• YouTube publica restrict.youtube.com y restrictmoderate.youtube.com, los cuales fuerzan el Modo Restringido en nivel estricto o moderado.

Un servicio de DNS de protección gestiona este mapeo por usted, de modo que solo elije una configuración en lugar de editar registros manualmente. La restricción moderada de YouTube suele ser adecuada para escuelas secundarias, ya que el modo estricto oculta muchos videos educativos legítimos. Realice pruebas con contenido real de las clases antes de desplegarlo en todos los sitios.

¿Cómo eluden los estudiantes el filtrado WiFi escolar usando DoH?

El DNS cifrado es la forma más común de eludir un filtro de DNS. DNS over HTTPS (DoH, definido en RFC 8484) envía las consultas dentro del tráfico HTTPS ordinario. DNS over TLS (DoT, RFC 7858) las cifra en el puerto 853. Cualquiera de los dos puede transportar las consultas de un dispositivo más allá de su resolutor hacia uno público que no aplique políticas.

Los alumnos raras veces necesitan configurar esto por sí mismos, ya que los navegadores y sistemas operativos incluyen opciones de DNS cifrado. La siguiente tabla asocia cada ruta de elusión con la forma documentada de bloquearla.

Ruta de elusión	Cómo evade el filtro	Cómo bloquearla
DoH predeterminado en Firefox	Firefox puede enviar consultas a un resolutor DoH público	No devuelva respuesta para el dominio canary de Mozilla, use-application-dns.net, lo que indica a Firefox que continúe usando el resolutor de su red
DNS seguro en Chrome y Edge	Se actualiza a DoH cuando el resolutor configurado tiene un equivalente DoH conocido	Desactive la política DnsOverHttpsMode en dispositivos administrados; en dispositivos no administrados la actualización solo se ejecuta contra el proveedor de su propio resolutor
iCloud Private Relay	Transmite el tráfico de Safari y DNS a través de los servidores de Apple	Devuelva una respuesta negativa para mask.icloud.com y mask-h2.icloud.com, tal como documenta Apple, para que los dispositivos muestren Private Relay como no disponible
Private DNS en Android (DoT)	Envía consultas sobre TLS en el puerto 853	Bloquee el puerto de salida 853 en su firewall; el modo automático recurrirá a su resolutor
Resolutores públicos codificados directamente	El dispositivo o la app ignora el DHCP y consulta a un resolutor público en el puerto 53	Bloquee el puerto de salida 53 para cualquier destino que no sea su resolutor de protección
Apps de VPN y proxy	Crean un túnel para todo el tráfico fuera de su red	Bloquee la categoría de proxies y anonimizadores, y bloquee las apps de VPN mediante políticas de MDM en dispositivos administrados

La solución combina reglas de DNS, reglas de firewall y políticas de dispositivos, ya que ninguna capa por sí sola cierra todas las rutas. Nuestra guía independiente sobre cómo bloquear el DNS cifrado y la elusión de DoH cubre cada control en detalle.

¿Qué informes necesitan las escuelas y bibliotecas como evidencia?

El filtrado que no pueda evidenciar no satisfará a un órgano de gobierno, a una inspección de Ofsted ni a una auditoría de CIPA. Las normas del DfE exigen una revisión anual documentada. En EE. UU., CIPA requiere una política de seguridad en internet adoptada tras un aviso público y una audiencia pública. Ambas dependen de los registros.

Pregunte a cualquier proveedor si puede exportar lo siguiente:

• Búsquedas bloqueadas por categoría, para que el DSL pueda ver qué riesgos detuvo realmente el filtro.
• Resultados por sitio y por red, para que un fideicomiso pueda comparar escuelas y un servicio de bibliotecas pueda comparar sucursales.
• Tendencias a lo largo del tiempo, para mostrar el efecto de los cambios de política entre revisiones.
• Señales de elusión, como búsquedas de dominios de resolutores DoH, el dominio canario de Firefox o dominios de Private Relay.
• Estado de Búsqueda Segura, con evidencia de que el bloqueo se aplicó en todas las redes.
• Un registro de cambios de política, que documente quién cambió qué configuración y cuándo.
• Un registro de sobrebloqueo, que documente qué sitios legítimos solicitó el personal que se desbloquearan y qué tan rápido se actuó.

El registro de sobrebloqueo importa más de lo que la mayoría de los equipos espera. Las normas del DfE advierten explícitamente contra el filtrado que afecte de forma irrazonable la enseñanza. Un registro de las solicitudes de desbloqueo y los tiempos de respuesta demuestra que equilibró la protección con el aprendizaje.

Tenga en cuenta la protección de datos. Según el UK GDPR, los registros de DNS que se puedan vincular a una persona identificable son datos personales. Establezca un período de retención, restrinja el acceso al personal designado y registre la base legal en su aviso de privacidad. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, las cuales puede citar en su evaluación de impacto de la protección de datos.

¿Dónde se ubica el filtrado DNS junto a lo que ya ejecuta?

El DNS de protección es una capa sobre su red existente, no un reemplazo de esta. Purple es independiente del hardware. Shield se ejecuta en WiFi de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, porque cambia el DNS que entrega su red, no los puntos de acceso.

La arquitectura habitual se ve así:

• Firewall: bloquea los puertos de salida 53 y 853 hacia resolutores no aprobados, y sigue haciendo el trabajo perimetral que el DNS no puede realizar.
• Segmentación de red: redes independientes o VLAN (redes LAN virtuales, que dividen una red física en redes lógicas aisladas) para el personal, alumnos, visitantes y áreas infantiles, cada una con su propia política.
• Gestión de dispositivos móviles (MDM): aplica políticas de navegación y bloquea aplicaciones VPN en dispositivos propiedad de la escuela, incluso fuera de las instalaciones.
• Captive portal: la página de inicio de sesión que ven los visitantes antes de conectarse a internet. En Guest WiFi es donde presentas tu política de uso aceptable y capturas el consentimiento.

Comparativa entre Shield, DNSFilter y Cisco Umbrella

Los tres filtran en la capa DNS y los tres pueden forzar la Búsqueda segura. Difieren en el propósito para el que fueron construidos.

	Purple Shield	DNSFilter	Cisco Umbrella
Dónde ocurre el filtrado	Búsqueda DNS	Búsqueda DNS	Búsqueda DNS, con gateway web seguro opcional
Nuevo hardware necesario	Ninguno: cambia el DNS que entrega tu WiFi	Ninguno: reenvío de DNS o agente de roaming	Ninguno para la capa DNS; dispositivo virtual opcional para la atribución de IP interna
Aplicación de Búsqueda segura	Google, Bing y YouTube	Google, Bing y YouTube	Google, Bing y YouTube
Dispositivos fuera de la red	Cubre dispositivos en la WiFi de tu establecimiento; usa MDM para dispositivos que se llevan a casa	Agente cliente de roaming	Módulo de roaming en Cisco Secure Client
Administrado desde	La plataforma Purple, junto con Guest WiFi y Staff WiFi	Panel de control de DNSFilter	Panel de control de Cisco Umbrella, dentro de Cisco Secure Access
Ideal para	Establecimientos que ya utilizan o se están migrando a Purple WiFi	MSP y flotas de puntos finales basadas en agentes	Organizaciones estandarizadas en seguridad de Cisco

Elige Cisco Umbrella si tu grupo o ayuntamiento ya utiliza Cisco Secure Access y busca un único proveedor de seguridad. Elige DNSFilter si necesitas un agente en cada laptop que se llevan a casa y gestionas múltiples clientes como MSP. Elige Shield si tu prioridad es la propia WiFi del establecimiento: filtrado, protección contra amenazas y bloqueo de anuncios en la red a la que se unen tus alumnos y visitantes, gestionado junto con tu WiFi. Para una visión más amplia del mercado, lee El mejor DNS de protección para WiFi de invitados y pública.

¿Cómo funciona en la práctica?

Los dos escenarios a continuación son combinaciones ilustrativas, creadas a partir de los patrones de implementación descritos anteriormente.

Un servicio de bibliotecas del condado que trabaja para obtener Friendly WiFi

La situación. Un servicio de bibliotecas ofrece WiFi pública en todas sus sucursales a través de una red compartida. Los clubes de tareas escolares para niños y los visitantes adultos utilizan el mismo SSID. Su filtro anterior se ejecutaba en un firewall en cada sucursal, y la mayoría de las sucursales permitían resultados explícitos en las imágenes de Google.

Lo que se hizo. El responsable de TI dividió cada sucursal en dos redes: una red infantil con una política estricta y una red para adultos con una política más flexible. Ambas apuntaban a un resolutor DNS de protección que bloqueaba la pornografía y el contenido en la lista de la IWF, lo cual cumple con el mínimo requerido por Friendly WiFi. La Búsqueda segura se fijó en Google y Bing para ambas redes. El Modo restringido de YouTube se configuró en estricto para los niños y moderado para los adultos. El firewall bloqueó el tráfico DNS saliente hacia cualquier resolutor excepto el de protección.

El resultado medible. El equipo probó una lista fija de términos de categoría y búsqueda en ambas redes de cada sucursal. Todas las sucursales aprobaron y los resultados se ingresaron en la solicitud de Friendly WiFi como evidencia. El personal de la sucursal ahora gestiona las solicitudes de desbloqueo de contenido para adultos a partir de un proceso escrito de lista de permitidos, y el servicio registra cada solicitud y su tiempo de resolución.

Un fideicomiso multiacademia que cierra la brecha de DoH

La situación. Un fideicomiso opera escuelas secundarias, con WiFi en dispositivos personales para alumnos de los últimos años. Un DSL notó que los alumnos accedían a sitios de juegos y redes sociales bloqueados desde sus propios teléfonos. Las laptops propiedad de la escuela no mostraban ese problema.

Lo que se hizo. El administrador de la red revisó las rutas de evasión en la tabla anterior. El resolutor ahora no devuelve respuesta para el dominio canario de Firefox ni para los dominios de iCloud Private Relay. El firewall de cada escuela bloquea el puerto saliente 853 y el puerto saliente 53 hacia resolutores públicos. En las laptops propiedad de la escuela, la MDM configura el DNS seguro de Chrome y Edge como desactivado. La categoría de proxies y anonimizadores está bloqueada en la red de los últimos años.

El resultado medible. Los teléfonos de prueba con Firefox, Safari con Private Relay y Android Private DNS recurrieron al resolutor de la escuela. Las categorías bloqueadas se aplicaron según lo previsto. Las búsquedas de señales de evasión ahora aparecen en el informe mensual que revisa el DSL, el cual alimenta la revisión anual de filtrado del fideicomiso bajo los estándares del DfE. Para propiedades de este tamaño, el filtrado DNS para MSP y propiedades multisitio cubre la gestión centralizada de políticas en todos los sitios.

¿Cuáles son los límites del filtrado DNS que debe conocer?

Sea claro con sus directores sobre lo que el filtrado DNS no puede hacer.

• Funciona en dominios, no en páginas. No puede bloquear una página dañina en un dominio que de otro modo está permitido. El Modo restringido de YouTube y Safe Search reducen esa brecha, pero no la cierran.
• Es filtrado, no monitoreo. Los estándares del DfE tratan el monitoreo como un deber independiente. En una red compartida, los registros de DNS muestran un dispositivo, no un alumno con nombre. La atribución por persona requiere autenticación por persona, como 802.1X (control de acceso a la red basado en puertos mediante credenciales individuales) o iPSK (una clave precompartida única por persona). Las redes basadas en identidad de Purple proporcionan ambas.
• Se detiene en el límite de su red. Los dispositivos para llevar a casa con banda ancha doméstica necesitan MDM o un agente.
• Una evasión decidida requiere varias capas. Una VPN que aún no está categorizada puede continuar haciendo tunelización hacia afuera hasta que su firewall o MDM la detecten.

Ninguna de estas es una razón para omitir el filtrado DNS. Cada una es una razón para combinarlo con los controles adecuados y documentar esa combinación en su revisión anual.

¿Qué debe hacer a continuación?

1. Mapee cada red que opera y el público en cada una: personal, alumnos, visitantes y niños.
2. Escriba una política por público, con el DSL aprobando las categorías.
3. Apunte el DNS DHCP de un sitio piloto a un resolutor de protección y bloquee Safe Search.
4. Cierre las rutas de evasión en la tabla anterior y realice pruebas con dispositivos reales.
5. Acuerde su paquete de informes y el periodo de retención antes del lanzamiento.
6. Programe la revisión anual ahora mismo para asegurarse de que se lleve a cabo.

Para ver cómo gestiona Purple el filtrado, la protección contra amenazas y el bloqueo de anuncios en su WiFi actual, comience con Shield. Para temas relacionados, explore Todas las guías.

Preguntas frecuentes

¿Necesitamos hardware nuevo para agregar filtrado DNS al WiFi escolar?

No. Shield funciona cambiando los servidores DNS que su red entrega a los dispositivos, por lo que sus puntos de acceso, controladores y switches se mantienen en su lugar. Funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Puede agregar reglas de firewall para bloquear el DNS saliente y el puerto 853 hacia otros resolutores, pero esa es una configuración en el equipo que ya posee.

¿El filtrado DNS por sí solo cumple con los requisitos de KCSIE?

No. El filtrado DNS cubre la mitad del filtrado de KCSIE, pero los estándares del DfE tratan el monitoreo como una responsabilidad independiente. También necesita roles asignados, una revisión anual y un enfoque de monitoreo. Verifique que su proveedor de filtrado sea miembro de IWF y bloquee la lista de contenidos terroristas de la CTIRU, tal como lo prevé la definición de filtrado adecuado del UK Safer Internet Centre. Luego, documente cómo se integran el filtro, el monitoreo y sus procesos de protección infantil.

¿Qué tan difícil es migrar desde Cisco Umbrella o DNSFilter?

La migración en sí es un cambio de DNS en lugar de un proyecto de hardware. Primero, vuelva a crear su categoría y política de Safe Search en el nuevo servicio. Ejecútelo en paralelo en un sitio piloto y pruebe las categorías bloqueadas, Safe Search y los controles de omisión con dispositivos reales. Luego, actualice los servidores DNS en sus alcances DHCP sitio por sitio. Exporte sus informes antiguos primero, para que su revisión anual conserve su historial.

¿Cómo se licencian los productos Shield?

Shield es un complemento de seguridad para los planes Connect, Capture y Engage de Purple, junto con SecurePass y Verify. Usted licenciará software, no dispositivos físicos, por lo que no hay costos de hardware ni ciclos de renovación. Su cotización refleja el número de sedes y redes que opera. Un grupo educativo o red de bibliotecas puede consolidar cada sitio bajo un solo acuerdo y gestionarlo desde la plataforma Purple.

¿Puede una biblioteca desbloquear sitios para adultos sin debilitar la protección para los niños?

Sí. El enfoque más limpio consiste en redes separadas: una política estricta donde haya niños presentes y una política más flexible para los visitantes adultos. En los EE. UU., CIPA permite que una biblioteca deshabilite el filtrado para un adulto que realice una investigación genuina o para otro fin legítimo. Sea cual sea su jurisdicción, registre cada solicitud de desbloqueo y su resultado, para que pueda demostrar que los adultos obtuvieron acceso sin que los niños perdieran protección.

¿Los registros de filtrado DNS son datos personales según el GDPR?

Sí, cuando un registro se puede vincular a una persona identificable. Bajo el UK GDPR, esto significa establecer un periodo de retención, limitar el acceso a personal autorizado y declarar su base legal en su aviso de privacidad. En una red compartida, los registros suelen identificar un dispositivo en lugar de a una persona, lo que reduce el riesgo. Purple cuenta con las certificaciones ISO 27001, GDPR, CCPA y Cyber Essentials, lo que respalda su evaluación de impacto de protección de datos.

¿Aún necesitamos un firewall si ejecutamos filtrado DNS?

Sí. El filtrado DNS detiene dominios dañinos y maliciosos antes de que se abra una conexión, pero no reemplaza la seguridad perimetral. Su firewall sigue controlando el acceso entrante y segmentando las redes. También bloquea el DNS saliente y el puerto 853 para resolutores no aprobados, lo que cierra la evasión de DNS cifrado. Las dos capas funcionan mejor juntas: el DNS decide qué nombres se resuelven y el firewall se asegura de que cada búsqueda pase a través de su resolutor.