Filtrado DNS gratuito frente a pagado: a qué renuncia un recinto al elegir la opción gratuita

Utilice un filtro DNS gratuito cuando administre una sola red de bajo riesgo y no necesite reportes; utilice filtrado DNS de pago cuando segmente VLANs de invitados y personal o administre varias sedes. Los resolutores públicos gratuitos aplican una sola política fija y no ofrecen registros de consultas. Los servicios de pago como Purple Shield, DNSFilter y Cisco Umbrella añaden políticas por VLAN, reportes y soporte.

¿Cuándo es suficiente un filtro DNS gratuito para la red de un establecimiento?

Comience por dónde ocurre el filtrado. Cada conexión empieza con una búsqueda DNS, donde el dispositivo solicita a un resolutor la dirección IP que está detrás de un nombre de dominio. Un resolutor de protección verifica ese dominio con respecto a una política antes de responder. Si el dominio es malicioso o pertenece a una categoría bloqueada, no se devuelve ninguna dirección y no se abre ninguna conexión.

Esa ubicación es la razón por la que el filtrado DNS detecta lo que un firewall pasa por alto. Un firewall inspecciona el tráfico después de que la conexión existe, y el cifrado oculta una mayor parte de cada sesión. La búsqueda sigue ocurriendo primero, para cada aplicación y cada dispositivo en el SSID.

Tanto el filtrado gratuito como el de pago se ubican en este mismo lugar. La cuestión entre el filtrado DNS gratuito o de pago se reduce a quién define la política, quién ve los resultados y quién responde cuando algo falla.

Un filtro DNS gratuito es suficiente cuando se cumplen tres condiciones al mismo tiempo:

• Una red, un solo público. Un solo SSID de invitados, sin tráfico de personal, pagos o residentes que compartan la política.
• Nada que demostrar. Ningún regulador, aseguradora, condición de licencia o deber de protección le exige comprobar lo que bloquea.
• Una lista de bloqueos fija es aceptable. Puede aceptar las categorías del proveedor y esperar cuando un sitio legítimo se bloquee por error.

Si no se cumple cualquiera de estas condiciones, el filtrado DNS de pago desquita su costo. Para conocer una gama más amplia de opciones, consulte nuestra guía de alternativas de filtrado DNS.

Filtrado DNS gratuito o de pago: la decisión en un gráfico

Responda cuatro preguntas en orden. Cada una menciona una condición que le exige salir de la opción gratuita.

¿Qué opción se adapta a cada escenario de establecimiento?

La tabla vincula las redes de establecimientos más comunes con una recomendación y el motivo principal.

Escenario práctico: un fideicomiso del NHS con redes para pacientes, visitantes y personal

Situación. Un fideicomiso hospitalario opera WiFi para pacientes, visitantes y personal clínico. Un resolutor gratuito le daría a los tres grupos la misma política y dejaría al equipo de seguridad sin ningún registro de los bloqueos.

Lo que se hizo. St George's Healthcare NHS Trust utiliza Purple Shield como DNS protectivo en su WiFi.

Resultado. Purple Shield bloquea amenazas maliciosas en el fideicomiso, cada una antes de que se abra una conexión. Un resolutor gratuito podría detener algunos de los mismos dominios, pero nadie en el fideicomiso podría ver la cifra.

Escenario práctico: un hotel de 200 habitaciones que deja de usar un resolutor gratuito

Situación. Un hotel de 200 habitaciones apunta sus VLANs de invitados y personal a un resolutor gratuito con filtro familiar. El sitio web de un socio de reservaciones es bloqueado por error en la recepción, y la red de invitados se ralentiza en las noches de mayor actividad.

Lo que se hace. El hotel se cambia a un DNS protectivo pagado con políticas independientes para invitados y personal. Agrega el sitio del socio a la lista de permitidos de forma definitiva y activa el bloqueo de anuncios para la VLAN de invitados.

Resultado esperado. El bloqueo en recepción se resuelve con un solo cambio, no con un ticket de soporte a un proveedor sin cola de tickets. Según los propios datos de Purple, el bloqueo de anuncios ofrece hasta un 44% menos de datos y hasta un 62% menos de consultas DNS. Esa es capacidad devuelta a los huéspedes en momentos de mayor demanda.

¿Qué le ofrece un filtro DNS gratuito y qué deja fuera?

Los resolutores públicos gratuitos hacen bien un trabajo: se niegan a resolver dominios en su lista de bloqueos. Tres de ellos son comunes en las redes de recintos:

• Cloudflare 1.1.1.1 for Families ofrece dos configuraciones fijas: bloqueo de malware, o malware más contenido para adultos (documentación de Cloudflare).
• Quad9 bloquea dominios maliciosos utilizando inteligencia de amenazas de socios de seguridad, sin categorías de contenido. Es gestionado por una fundación sin fines de lucro con sede en Suiza.
• OpenDNS FamilyShield bloquea contenido para adultos desde una lista preconfigurada. El servicio de pago Umbrella de Cisco surgió de OpenDNS.

Los servicios freemium como NextDNS y AdGuard DNS añaden un panel de control y listas personalizadas en sus planes gratuitos. Limitan el uso y están dimensionados para hogares, por lo que debe consultar los términos antes de implementar uno en un hotel.

Esto es lo que pierde una red empresarial cuando confía en un resolutor gratuito:

• Una sola política para toda la red. El resolutor ve su dirección IP pública, no su VLAN. Puede apuntar cada VLAN a un resolutor gratuito diferente, pero en ese caso estará eligiendo entre menús fijos, no redactando una política.
• Sin registros que pueda consultar. Cuando una laptop del personal entra a un dominio de phishing, no tiene nada que investigar. No puede saber qué dispositivo hizo la consulta ni cuándo.
• Sin excepciones. No puede incluir en la lista de permitidos el sitio web de un proveedor bloqueado por error. Tiene que esperar a que el proveedor lo reclasifique o cambiar a todos a otro resolutor.
• Sin selección de categorías. Apuestas, redes sociales, streaming y intercambio de archivos son sus decisiones. Los resolutores gratuitos las toman por usted, o simplemente no las toman.
• Sin soporte. No hay ticket, no hay contacto asignado ni nivel de servicio cuando la resolución se ralentiza un sábado por la noche.
• Sin evidencia. Las auditorías de protección, los cuestionarios de las aseguradoras y las revisiones de licencias preguntan qué es lo que bloquea. Un resolutor gratuito no le deja nada que mostrarles.

¿Qué añade el filtrado DNS de pago para una red empresarial?

El filtrado DNS de pago mantiene la misma ubicación y añade control, visibilidad y a quién llamar. Cinco añadidos son los que más importan para un recinto:

• Una política por SSID, VLAN y recinto. Los huéspedes obtienen bloqueos de malware, phishing y contenido para adultos. El personal obtiene una política que se adapta a su trabajo. Los residentes obtienen un acceso de tipo residencial con protección contra malware, todo gestionado desde un único panel de control.
• Informes y registros de consultas. Podrá ver las amenazas bloqueadas por red e investigar las búsquedas de un dispositivo después de un incidente. Establezca un periodo de retención que pueda justificar bajo el GDPR.
• Listas de permitidos y bloqueados. Desbloquee a un proveedor una sola vez y el cambio se aplicará en todos los sitios.
• Inteligencia sobre amenazas más rápida. Shield identifica las amenazas con mayor rapidez mediante inteligencia sobre amenazas actualizada.
• Bloqueo de anuncios. Las mediciones propias de Purple muestran hasta un 44% menos de datos y hasta un 62% menos de consultas DNS con el bloqueo de anuncios activado. En una red de eventos o transporte congestionada, eso es ancho de banda que recupera.

Diferencias entre las opciones de pago

Cisco Umbrella se integra en el portafolio de seguridad más amplio de Cisco. Es ideal para equipos que ya están estandarizados en las herramientas de seguridad de Cisco; nuestra guía de precios de Cisco Umbrella explica cómo se estructura su esquema de costos.

DNSFilter es un servicio de DNS de protección independiente con un programa para proveedores de servicios administrados (MSP). Es adecuado para equipos de TI y MSP que buscan el filtrado DNS como una herramienta independiente.

Purple Shield es un DNS de protección diseñado para WiFi en recintos. Funciona de manera independiente en cualquier WiFi o se integra a Purple Access, con una política por SSID, VLAN y recinto. Al funcionar a nivel de DNS, no requiere hardware nuevo. Se ejecuta en redes creadas sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Purple opera en más de 80,000 recintos en 90 países.

¿Cuánto cuesta operar cada opción?

La tarifa de licencia es el costo menor en esta comparación. Compare el tiempo de personal que consume cada opción a lo largo de un año.

El filtrado gratuito traslada el costo de la factura a su equipo. Cada falso positivo se convierte en un ticket sin más solución que esperar. Cada incidente se convierte en una investigación sin datos.

Un filtro autohospedado como Pi-hole cambia la tarifa de licencia por parches, hardware y responsabilidad fuera del horario laboral. En Pi-hole vs filtrado DNS gestionado se analiza en detalle ese intercambio.

Los proveedores de pago cobran por sucursal, red, dispositivo o usuario. Modele la unidad que coincida con su infraestructura antes de comparar cotizaciones. Para Shield, consulte los precios de Purple Shield y compare cualquier ahorro de ancho de banda por bloqueo de anuncios con la tarifa.

¿Qué cambia la respuesta?

Menores de 18 años usan la red

En Inglaterra, las escuelas y universidades deben cumplir con los estándares de filtrado y monitoreo del Departamento de Educación. Estos van de la mano con Keeping Children Safe in Education (KCSIE). Exigen que sepa qué está bloqueado y que lo revise. Un resolutor gratuito sin registros no puede demostrar eso, por lo que la respuesta pasa a ser una opción de pago.

Es un organismo elegible del sector público del Reino Unido

El NCSC ofrece su servicio Protective DNS a organizaciones del sector público elegibles sin costo. Bloquea dominios maliciosos conocidos en redes corporativas. No ofrece categorías de contenido ni políticas por SSID para WiFi de visitantes. Una división viable es utilizar NCSC Protective DNS en redes corporativas y filtrado de pago en WiFi de invitados.

El ancho de banda es el cuello de botella

En un estadio, estación o sitio rural con una conexión de retorno limitada, el bloqueo de anuncios cambia la ecuación. Según los propios datos de Purple, reducir hasta un 44% los datos y hasta un 62% las consultas DNS puede compensar parte del costo.

Ya paga por un conjunto de herramientas de seguridad

Si Cisco Umbrella ya cubre su entorno corporativo, extenderlo al WiFi de invitados puede costar menos. La prueba consiste en verificar si su modelo de políticas se adapta a las redes de invitados por SSID en múltiples recintos. Pruébelo en una evaluación antes de comprometerse.

Opera múltiples sitios o los administra para terceros

Cada servidor de resolución gratuito se configura sitio por sitio, sin una vista compartida. En toda una infraestructura, la consola es el producto. El filtrado de DNS para MSP y propiedades de múltiples sitios cubre ese caso de uso.

El sitio es una sola sala y un solo SSID

Un solo café con un solo SSID de invitados es el caso idóneo para la opción gratuita. Apunte el SSID a un servidor de resolución con filtro familiar y cierre la opción de omisión. Vuelva a evaluar la decisión cuando agregue una red de empleados o un segundo sitio.

¿Cuál es la opción predeterminada recomendada para el WiFi en recintos?

Su primera acción es realizar un inventario. Enumere cada SSID y VLAN en cada recinto, el servidor de resolución que utiliza hoy y quién notaría si un sitio se bloquea por error. Luego, ejecute una prueba de filtrado de DNS de 30 días en un recinto con políticas independientes para invitados y personal.

El filtrado DNS es una capa de seguridad de la red. Para conocer los controles relacionados, desde la norma IEEE 802.1X (autenticación de red basada en puertos) hasta WPA3, lea nuestra guía de seguridad de WiFi para empresas.

Preguntas frecuentes

¿Puedo utilizar un filtro DNS gratuito en una red WiFi para invitados de un negocio?

Sí, para una sola SSID de bajo riesgo, pero verifique primero los términos. Los resolutores públicos gratuitos como Quad9 y Cloudflare 1.1.1.1 for Families le ofrecen una sola directiva fija, sin registros y sin soporte. Los niveles freemium como NextDNS limitan el uso y están dimensionados para hogares. Una vez que las redes de invitados y del personal comparten la conexión, o si debe acreditar el filtrado, un resolutor gratuito deja de ser adecuado.

¿Cuánto cuesta el filtrado DNS de pago?

El filtrado DNS de pago es una suscripción cuyo precio se determina por sucursal, red, dispositivo o usuario, según el proveedor. No publicamos los precios de otros proveedores. Modele la unidad que corresponda a sus instalaciones antes de comparar cotizaciones. Los precios de Shield se encuentran en la página de precios de Purple Shield. Calcule el ahorro de ancho de banda obtenido mediante el bloqueo de anuncios frente a la tarifa.

¿Funcionará Purple Shield con los puntos de acceso que ya tengo?

Sí. Shield funciona a nivel de DNS, por lo que no requiere hardware nuevo ni cambiar de punto de acceso. Funciona en redes creadas en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Puede ejecutarlo de forma independiente en cualquier WiFi o agregarlo a Purple Access, con una directiva por SSID, VLAN y sucursal.

¿Cómo migro de un resolutor gratuito a un filtrado DNS de pago?

Migre una red a la vez cambiando el servidor DNS que asigna su ámbito DHCP. Comience con la SSID para invitados en una sucursal y supervise los bloqueos y las llamadas a la mesa de ayuda durante una semana. Luego, mueva las VLAN del personal a su propia directiva. Cierre las omisiones en el firewall a medida que avanza. Nuestro plan de prueba de 30 días establece el orden y las comprobaciones.

¿El filtrado DNS ayuda con el GDPR y el cumplimiento de las normas de protección e integridad?

Sí, cuando incluye registros y una directiva de retención clara. Los marcos de protección e integridad como KCSIE exigen que demuestre qué se filtra y se revisa. Los registros de consultas pueden contener datos personales conforme al GDPR, por lo que solo debe conservarlos durante el tiempo que pueda justificarlo. Purple cuenta con la certificación ISO 27001 y Cyber Essentials, y cumple con el GDPR.

¿Cómo se compara Purple Shield con Cisco Umbrella y DNSFilter?

Los tres son servicios de DNS de protección de pago que filtran en el momento de la resolución, antes de que se abra una conexión. Cisco Umbrella se adapta a equipos que ya están estandarizados en herramientas de seguridad de Cisco. DNSFilter es un servicio independiente con un programa MSP. Shield está diseñado para el WiFi de sucursales, con una directiva por SSID, VLAN y sucursal desde un solo panel de control. Whitbread, AGS Airports y St George's Healthcare NHS Trust lo utilizan.

¿Pueden los invitados omitir el filtrado DNS?

Sí, un invitado determinado puede eludir cualquier filtro DNS utilizando una VPN o un dispositivo configurado con su propio DNS cifrado. Reduzca este riesgo bloqueando el puerto saliente 53 hacia cualquier resolvedor que no sea el suyo. Bloquee también los endpoints conocidos de DNS sobre HTTPS en el firewall. En WiFi para invitados, el objetivo es proteger a la mayoría de los usuarios casuales, no detener a cada experto.