Pi-hole frente a filtrado DNS administrado para un establecimiento

Utilice Pi-hole cuando administre un solo sitio, solo necesite bloqueo de anuncios y rastreadores, y cuente con alguien que lo actualice. Utilice filtrado de DNS administrado como Purple Shield cuando administre varias sucursales o necesite inteligencia sobre amenazas. Shield establece una política por red y sucursal desde un solo panel de control. Según los datos de Purple, su bloqueo de anuncios reduce las consultas de DNS hasta en un 62%.

¿Cuándo debería una sucursal usar Pi-hole y cuándo un filtrado de DNS administrado?

La ubicación decide lo que puede hacer cualquiera de las opciones. El filtrado de DNS (Domain Name System) actúa cuando un dispositivo solicita una dirección, antes de que se abra cualquier conexión. El teléfono de un invitado le pregunta al resolvedor dónde se encuentra un dominio de phishing. El filtro se niega a responder, por lo que ningún tráfico llega a ese host. Un firewall actúa un paso después, en direcciones IP y puertos, luego de que la búsqueda ha tenido éxito. Es por eso que el DNS de protección detecta lo que un firewall pasa por alto. Los ejemplos incluyen hosts de phishing que cambian rápidamente, dominios de malware y rastreadores en redes de entrega compartidas.

Pi-hole y los servicios administrados filtran exactamente en el mismo punto. La diferencia radica en dónde vive el resolvedor y quién lo mantiene en funcionamiento. Pi-hole es un software gratuito y de código abierto que se instala en un servidor pequeño dentro de cada sucursal. Un servicio administrado como Purple Shield, DNSFilter o Cisco Umbrella ejecuta sus resolvedores en la nube. Usted cambia el servidor DNS que entrega su alcance de DHCP (Dynamic Host Configuration Protocol) y luego administra la política de manera centralizada.

La regla general se deduce de esa división. Licenciar Pi-hole no cuesta nada, pero cada sitio agrega equipos que requieren parches, copias de seguridad y mantenimiento. Un servicio administrado implica una suscripción, pero la sucursal número 30 no requiere más esfuerzo que la primera. Para un solo sitio con un administrador asignado, Pi-hole es una opción sensata. Para un conjunto de instalaciones, o cualquier red con exigencias regulatorias, el filtrado administrado es la opción predeterminada más económica una vez que se contabiliza el tiempo del personal. Nuestra vista general de alternativas de filtrado de DNS cubre la categoría de forma más amplia.

¿Qué opción se adapta a cada tipo de ubicación?

El tipo de ubicación es una métrica útil para reflejar las condiciones del gráfico. Indica cuántas redes opera, quién está de guardia y qué nivel de cumplimiento regulatorio requiere el WiFi. Lea la columna "por qué" para conocer la condición detrás de cada recomendación.

Destacan dos patrones. Pi-hole solo gana cuando el objetivo principal es el bloqueo de anuncios y una sola persona administra el equipo. Cada escenario con diferentes audiencias requiere una política por red. Pi-hole puede aproximarse a esto mediante la gestión de grupos, pero únicamente por instancia y solo por dirección de cliente.

Pi-hole para WiFi en establecimientos: qué obtiene y qué administra

Lo que Pi-hole hace bien

Pi-hole es un sumidero de DNS diseñado para el bloqueo de anuncios en toda la red. Responde a las búsquedas de dominios en listas de bloqueo sin una dirección válida, por lo que los anuncios y rastreadores nunca se cargan. Funciona en Linux, en un contenedor o en una Raspberry Pi. Su interfaz web muestra cada consulta en tiempo real. Puede validar DNSSEC, reenviar a un resoluidor ascendente de su elección y actuar como servidor DHCP.

Para un solo establecimiento, eso cubre bastante. Los registros de consultas se quedan en su propio hardware, algo que algunos equipos de privacidad prefieren. La gestión de grupos aplica diferentes listas de bloqueo a distintos clientes. Teleporter, la herramienta de respaldo integrada, exporta la configuración para que pueda reconstruir rápidamente un equipo con fallas.

Dónde sufre Pi-hole en un establecimiento

Los límites aparecen cuando Pi-hole pasa de una red doméstica a una red de invitados de la que dependen cientos de desconocidos.

• Un punto único de falla. Si el único resoluidor se detiene, los invitados pierden la resolución de nombres e informan que la red WiFi no funciona.
• Listas, no categorías. Pi-hole bloquea lo que contienen sus listas. Un nuevo host de phishing se filtrará hasta que el mantenedor de la lista lo agregue.
• Sin página de bloqueo. Un dominio bloqueado no devuelve una dirección útil, por lo que el usuario invitado ve un error de navegador. El personal de atención al cliente tiene que responder la duda.
• Una instancia por sitio. No hay una consola integrada para manejar múltiples instancias. Existen herramientas de sincronización comunitarias, pero también debe darles mantenimiento.
• Solo soporte comunitario. La ayuda proviene de foros y documentación, no de una mesa de ayuda con un tiempo de respuesta garantizado.

Filtrado DNS administrado: Purple Shield, DNSFilter y Cisco Umbrella

Cómo funciona el filtrado administrado

Un servicio de DNS de protección administrado ejecuta los resolutores por usted. Simplemente apunta el DNS de cada red al servicio. Luego, cada búsqueda se verifica contra fuentes de amenazas y categorías actualizadas. El proveedor clasifica los dominios nuevos y aplica parches a la infraestructura. Usted establece las políticas en una sola consola y consulta los reportes de todos los sitios.

Como el cambio se realiza en el DHCP, el filtrado administrado es independiente del hardware. Funciona en redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet sin necesidad de adquirir equipo nuevo. Siga la documentación de su proveedor para conocer la configuración exacta de DHCP.

En qué se diferencian los tres servicios

DNSFilter y Cisco Umbrella son servicios de DNS de protección de propósito general. Ambos se venden a equipos de TI corporativos y proveedores de servicios administrados, y ambos cuentan con documentación para páginas de bloqueo personalizables. Umbrella se ubica dentro del catálogo de seguridad más amplio de Cisco, por lo que el licenciamiento sigue el paquete de Cisco. Nuestra guía sobre precios de Cisco Umbrella explica qué analizar antes de solicitar una cotización.

Purple Shield está diseñado para WiFi en recintos. Puede ejecutarlo de forma independiente en cualquier red WiFi o junto con Purple Access. De cualquier manera, establece una política por SSID, VLAN y recinto desde un solo panel de control. Esto se adapta a la forma en que se segmentan los recintos: las redes de invitados, personal, inquilinos y personal interno rara vez requieren las mismas reglas. Purple opera en más de 80,000 recintos en vivo en 90 países, y Shield comparte esa misma plataforma.

Shield también bloquea anuncios, lo cual es relevante en conexiones compartidas o con límite de ancho de banda. Según los datos de Purple, el bloqueo de anuncios reduce el uso de datos hasta en un 44% y las consultas DNS hasta en un 62%. Ese margen sobrante se devuelve al contenido que sus invitados realmente buscan.

¿Cuánto cuesta un filtro DNS autohospedado en varios sitios?

El rubro de licencias es donde Pi-hole parece imbatible, y es el único rubro donde lo es. El costo total de un filtro DNS autohospedado es el hardware más la mano de obra, multiplicado por el número de instancias.

Un modelo sencillo para su propiedad

Construya el modelo a partir de instancias, no de sitios. Dos instancias por sitio es el mínimo para evitar la trampa del DNS secundario. Por lo tanto, 30 sitios significan 60 resolutores, cada uno con su propio sistema operativo y configuración de listas de bloqueo.

Luego, asigne una cifra de tiempo a cada tarea recurrente. Las siguientes cifras son supuestos de planificación para mostrar la aritmética; sustitúyalas por las suyas.

• Actualizaciones y revisiones de estado: asuma 15 minutos por instancia al mes. Con 60 instancias, eso equivale a 15 horas al mes.
• Correcciones en listas de bloqueo: cada cambio en la lista de permitidos se aplica una vez por instancia, a menos que ejecute una herramienta de sincronización.
• Incidentes: un disco con fallas en un sitio remoto requiere que alguien acuda al lugar.
• Evidencia de auditoría: cada instancia genera su propio reporte y alguien debe combinarlos.

Multiplique las horas mensuales por la tarifa ponderada de su personal y agregue la renovación de hardware. Compare eso con una suscripción de la página de precios de Shield. En un solo sitio, el total autohospedado es pequeño. En 30 sitios, el trabajo operativo es la línea que debe vigilar, antes de valorar las categorías de amenazas que Pi-hole nunca ofreció.

Escenario práctico: una red minorista de 30 tiendas

Un minorista de moda con 30 tiendas realizó una prueba piloto de Pi-hole en el WiFi para clientes de tres sucursales. El piloto cumplió su objetivo: los anuncios dejaron de cargarse en la red de clientes. Escalarlos significaba 60 instancias, una herramienta de sincronización y un esquema de guardia fuera de presupuesto. El equipo de TI modeló el mantenimiento de rutina en 15 horas al mes utilizando los supuestos anteriores. En su lugar, migró las 30 tiendas a un DNS gestionado, con una política para clientes y otra para el personal. El resultado: 60 resolutores planificados se reemplazaron por cero equipos en el sitio, y cada cambio de política se realizó una sola vez en lugar de 60 veces.

¿Qué cambia la respuesta?

La regla general cambia bajo cinco condiciones. Cada una puede mover una sede de una opción a la otra.

Número de sitios y redes

Un sitio con una red de invitados mantiene a Pi-hole como una opción viable. Cada sitio adicional agrega dos instancias. Cada SSID o VLAN adicional con sus propias reglas agrega configuración de grupo en cada instancia. Nuestra guía sobre filtrado de DNS para MSP y propiedades de múltiples sitios cubre las propiedades a fondo.

Quién es el responsable a las 2 am

Pi-hole depende de un responsable designado que tenga tiempo disponible en su semana. Si la responsabilidad recae en "quienquiera que lo haya configurado", a menudo un contratista que ya no trabaja ahí, elija un servicio administrado.

Bloqueo de anuncios o protección contra amenazas

Si el objetivo es menos anuncios y páginas más ligeras, las listas de Pi-hole lo cubren. Si incluye phishing, malware y dominios recién registrados, necesita fuentes de amenazas actualizadas. Eso es lo que proporciona un servicio de DNS de protección.

Deber de protección y regulación

El WiFi público en bibliotecas, escuelas y centros de salud tiene la obligación de filtrar contenido dañino. Las escuelas en Inglaterra, por ejemplo, siguen los estándares de filtrado y monitoreo del Departamento de Educación. Los informes de categorías centrales hacen que esa evidencia sea más fácil de presentar que las listas por sitio. Para PCI-DSS, el filtrado de DNS no reemplaza la segmentación del entorno de datos de tarjetahabientes. Sin embargo, reduce el riesgo de malware en las redes circundantes. Nuestra guía de seguridad WiFi empresarial aborda la segmentación a mayor detalle.

Privacidad y protección de datos

Los registros de consultas DNS vinculados a un dispositivo pueden considerarse datos personales según el GDPR. Con Pi-hole, usted establece la retención y el acceso en cada equipo. Con un servicio administrado, necesita un contrato de procesamiento de datos. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR.

Escenario práctico: un hotel de 120 habitaciones

Un hotel urbano de 120 habitaciones ejecutaba un Pi-hole en una mini PC para el WiFi de invitados. DHCP lo asignaba como el único servidor DNS. Cuando su almacenamiento falló durante la noche, los huéspedes podían conectarse al WiFi pero no podían cargar nada. El gerente de turno registró una serie de quejas antes de que llegara el contratista de TI. Luego, el hotel migró los SSID de invitados y del personal a un DNS administrado con políticas independientes. El resultado: cero resolutores en el sitio, dos políticas configuradas desde un solo panel de control y ningún equipo local expuesto a fallar.

¿Cuál es la recomendación predeterminada para el WiFi en sedes?

Para cualquier propiedad de dos o más recintos, la opción predeterminada es DNS protectivo administrado, y para el WiFi del recinto recomendamos Purple Shield. Filtra en el resolvedor antes de que se abra una conexión, y establece una directiva por SSID, VLAN y recinto. También elimina todos los resolvedores locales de su lista de parches. Pi-hole sigue siendo la respuesta correcta para un solo sitio con un responsable designado y un requerimiento de bloqueo de anuncios, así como para laboratorios.

Su primera acción es elegir un SSID de invitados en un recinto y realizar una prueba de 30 días. Apunte su DNS a Shield y deje todas las demás redes sin cambios. Luego compare las amenazas bloqueadas, el volumen de datos y los tickets de soporte. El plan de prueba de filtrado DNS de 30 días establece qué medir cada semana.

Preguntas frecuentes

¿Es gratuito usar Pi-hole en un recinto comercial?

Sí, el software es gratuito y de código abierto, y puede ejecutarlo en el WiFi de invitados. Sin embargo, sigue pagando por el hardware, dos instancias por sitio para redundancia, y el tiempo del personal para parches, correcciones de listas de bloqueo e incidentes. En un solo sitio, esos costos son pequeños. En toda una propiedad, la mano de obra se convierte en el gasto más grande. La decisión debe tomarse en función del costo total, no del costo de la licencia.

¿Funcionará Purple Shield con los puntos de acceso que ya poseo?

Sí. Shield funciona en la capa de DNS, por lo que requiere un cambio de DHCP en lugar de hardware nuevo. Se ejecuta en redes construidas con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Puede ejecutarlo de forma independiente en cualquier red WiFi o junto con Purple Access, con una directiva por SSID, VLAN y recinto.

¿Cómo se compara el precio de Shield con la ejecución de Pi-hole?

Shield es una suscripción y Pi-hole no tiene costo de licencia, por lo que debe comparar el costo total en lugar del precio de lista. Para Pi-hole, añada el hardware para dos instancias por sitio, las horas de parches mensuales y el tiempo de guardia. Compare eso con la suscripción en la página de precios de Shield. La comparación se inclina hacia la solución gestionada con cada sitio que agregue.

¿Podemos migrar desde Pi-hole sin tiempo de inactividad?

Sí, si traslada una red a la vez. Exporte su configuración con la herramienta Teleporter de Pi-hole y tome nota de las entradas de la lista de permitidos que aún necesita. Vuelva a crear esas excepciones en la nueva directiva y, a continuación, cambie el servidor DNS en el ámbito DHCP de un SSID. Monitoreelo durante unos días antes de trasladar la siguiente red. Mantenga Pi-hole en ejecución hasta que se traslade la última red.

¿El filtrado de DNS ayuda con el GDPR y PCI DSS?

Ayuda, pero no le otorga el cumplimiento por sí solo. Para PCI DSS, la segmentación mantiene las redes WiFi de invitados y de empleados fuera del entorno de datos de tarjetahabientes. El filtrado de DNS reduce el riesgo de malware alrededor de ese límite. Para el GDPR, los registros DNS vinculados a un dispositivo pueden ser datos personales, por lo que debe establecer reglas de retención y acceso. Purple cuenta con certificación ISO 27001 y cumple con el GDPR.

¿Cómo se compara Shield con Cisco Umbrella y DNSFilter?

Los tres filtran en la resolución de DNS en la nube, por lo que el beneficio de ubicación es el mismo. DNSFilter y Cisco Umbrella son servicios de propósito general que se venden a equipos de TI corporativos y proveedores de servicios gestionados. Shield está diseñado para redes WiFi en recintos, con una directiva por SSID, VLAN y recinto. Puede ejecutarse de forma independiente o junto con Purple Access. Whitbread, AGS Airports y St George's Healthcare NHS Trust utilizan Shield.

¿Pueden los invitados eludir el filtrado de DNS?

Algunos pueden hacerlo, independientemente de la opción que elija. Un dispositivo que utilice DNS sobre HTTPS (RFC 8484) o una VPN envía las consultas omitiendo su servidor de resolución. Bloquee los puntos de enlace DoH públicos bien conocidos. Bloquee también el dominio canario de Firefox, el cual le indica al navegador que siga utilizando el DNS local. En redes WiFi para invitados, el objetivo es proteger a la mayoría que nunca cambia una configuración.