Pi-hole vs filtrage DNS géré pour un établissement

Utilisez Pi-hole si vous gérez un seul site, souhaitez uniquement bloquer les publicités et les traceurs, et disposez de quelqu'un pour effectuer les mises à jour. Utilisez le filtrage DNS géré comme Purple Shield lorsque vous gérez plusieurs établissements ou avez besoin de renseignements sur les menaces (threat intelligence). Shield définit une politique par réseau et par établissement à partir d'un tableau de bord unique. D'après les données de Purple, son blocage des publicités réduit les requêtes DNS jusqu'à 62 %.

Quand un établissement doit-il utiliser Pi-hole, et quand opter pour le filtrage DNS géré ?

Le positionnement détermine les capacités de chaque option. Le filtrage DNS (Domain Name System) intervient lorsqu'un appareil demande une adresse, avant l'ouverture de toute connexion. Le téléphone d'un visiteur demande au résolveur où se trouve un domaine d'hameçonnage. Le filtre refuse de répondre, de sorte qu'aucun trafic n'atteint cet hôte. Un pare-feu intervient une étape plus tard, sur les adresses IP et les ports, une fois la recherche réussie. C'est pourquoi le DNS protecteur intercepte ce qu'un pare-feu manque. Les exemples incluent les hôtes d'hameçonnage à évolution rapide, les domaines de logiciels malveillants et les traceurs sur les réseaux de diffusion partagés.

Pi-hole et les services gérés filtrent exactement au même endroit. La différence réside dans l'emplacement du résolveur et dans la personne qui assure son fonctionnement. Pi-hole est un logiciel libre et gratuit que vous installez sur un petit serveur au sein de chaque établissement. Un service géré tel que Purple Shield, DNSFilter ou Cisco Umbrella exécute ses résolveurs dans le cloud. Vous modifiez le serveur DNS distribué par votre plage DHCP (Dynamic Host Configuration Protocol), puis vous gérez la politique de manière centralisée.

La règle de base découle de cette séparation. Pi-hole ne coûte rien en licence, mais chaque site ajoute des boîtiers à mettre à jour, à sauvegarder et à maintenir en service. Un service géré nécessite un abonnement, mais le 30e établissement ne demande pas plus d'efforts que le premier. Pour un site unique avec un responsable désigné, Pi-hole est un choix judicieux. Pour un parc immobilier, ou tout réseau soumis à des exigences réglementaires, le filtrage géré constitue l'option par défaut la moins chère si l'on prend en compte le temps du personnel. Notre vue d'ensemble des alternatives de filtrage DNS couvre cette catégorie plus large.

Comment choisir entre Pi-hole et le filtrage DNS géré ?

Quatre questions permettent de trancher dans la plupart des établissements. Deux termes reviennent souvent. Un SSID est le nom de réseau qu'un invité voit. Un VLAN (LAN virtuel) est un réseau logiquement séparé sur des commutateurs partagés, ce qui isole le trafic des invités, du personnel et des occupants. Si différents SSID ou VLAN nécessitent des règles différentes, la réponse s'oriente nettement vers un service géré.

Quelle option convient à chaque type d'établissement ?

Le type d'établissement est un bon indicateur des conditions présentées dans le graphique. Il reflète le nombre de réseaux que vous gérez, l'équipe d'astreinte disponible et le poids réglementaire porté par le WiFi. Lisez la colonne « raison » pour comprendre la condition sous-jacente à chaque décision.

Deux tendances se dégagent. Pi-hole ne l'emporte que lorsque l'objectif principal est le blocage des publicités et qu'une seule personne gère le boîtier. Chaque scénario impliquant des publics distincts nécessite une politique par réseau. Pi-hole peut s'en rapprocher grâce à la gestion par groupe, mais uniquement par instance et par adresse client.

Pi-hole pour le WiFi d'établissement : avantages et gestion quotidienne

Ce que Pi-hole fait bien

Pi-hole est un trou noir DNS (sinkhole) conçu pour bloquer les publicités sur l'ensemble du réseau. Il répond aux recherches de domaines figurant sur liste noire sans fournir d'adresse exploitable, de sorte que les publicités et les traqueurs ne se chargent jamais. Il fonctionne sous Linux, dans un conteneur ou sur un Raspberry Pi. Son interface web affiche chaque requête en temps réel. Il peut valider DNSSEC, transmettre la requête à un résolveur en amont de votre choix et faire office de serveur DHCP.

Pour un site unique, cela couvre de nombreux besoins. Les journaux de requêtes restent sur votre propre matériel, ce que certaines équipes chargées de la confidentialité préfèrent. La gestion par groupe applique différentes listes de blocage à différents clients. Teleporter, l'outil de sauvegarde intégré, exporte les paramètres afin que vous puissiez reconstruire rapidement un boîtier défaillant.

Les limites de Pi-hole dans un établissement

Les contraintes apparaissent lorsque Pi-hole passe d'un réseau domestique à un réseau invités utilisé par des centaines d'inconnus.

• Un point unique de défaillance. Si l'unique résolveur s'arrête, les invités perdent la résolution de noms et signalent que le WiFi est en panne.
• Des listes, pas des catégories. Pi-hole bloque ce que contiennent ses listes. Un nouvel hôte de phishing passe au travers jusqu'à ce qu'un gestionnaire de liste l'ajoute.
• Pas de page de blocage. Un domaine bloqué ne renvoie aucune adresse utilisable, l'invité voit donc une erreur de navigateur. Le personnel d'accueil doit répondre aux questions.
• Une seule instance par site. Il n'y a pas de console intégrée pour gérer plusieurs instances. Des outils de synchronisation communautaires existent, mais vous devez également les maintenir.
• Support communautaire uniquement. L'aide provient de forums et de la documentation, pas d'un service de support avec un délai de réponse garanti.

Filtrage DNS géré : Purple Shield, DNSFilter et Cisco Umbrella

Comment fonctionne le filtrage géré

Un service DNS de protection géré exécute les résolveurs pour vous. Vous pointez le DNS de chaque réseau vers le service. Chaque recherche est ensuite vérifiée par rapport aux flux de catégories et de menaces maintenus à jour. Le fournisseur classe les nouveaux domaines et applique des correctifs à l'infrastructure. Vous définissez la politique dans une seule console et consultez les rapports sur l'ensemble de vos sites.

Comme le changement s'effectue dans le DHCP, le filtrage géré est indépendant du matériel. Il fonctionne sur les réseaux Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet sans nouvel équipement. Suivez la documentation de votre fournisseur pour le paramètre DHCP exact.

Comment les trois services diffèrent

DNSFilter et Cisco Umbrella sont des services DNS de protection à usage général. Tous deux s'adressent aux équipes IT d'entreprise et aux prestataires de services gérés, et tous deux proposent des pages de blocage personnalisables. Umbrella s'intègre dans le portefeuille de sécurité plus large de Cisco, l'octroi de licences suit donc l'offre de Cisco. Notre guide sur la tarification Cisco Umbrella explique ce qu'il faut modéliser avant de demander un devis.

Purple Shield est conçu pour le WiFi d'établissement. Vous pouvez l'exécuter de manière autonome sur n'importe quel réseau WiFi, ou aux côtés de Purple Access. Dans les deux cas, vous définissez une politique par SSID, VLAN et site à partir d'un seul tableau de bord. Cela correspond à la segmentation des établissements : les réseaux invités, personnel, locataires et administratifs ont rarement les mêmes règles. Purple fonctionne sur plus de 80 000 sites actifs dans 90 pays, et Shield partage cette plateforme.

Shield bloque également les publicités, ce qui est essentiel sur les connexions partagées ou à débit limité. Selon les données de Purple, le blocage des publicités réduit le trafic de données jusqu'à 44 % et les requêtes DNS jusqu'à 62 %. Cette bande passante économisée profite directement au contenu recherché par vos invités.

Combien coûte un filtre DNS auto-hébergé sur plusieurs sites ?

La ligne de licence est l'élément où Pi-hole semble imbattable, et c'est la seule ligne où il l'est. Le coût total d'un filtre DNS auto-hébergé correspond au matériel plus la main-d'œuvre, multiplié par le nombre d'instances.

Un modèle simple pour votre parc

Construisez le modèle à partir des instances, et non des sites. Deux instances par site constituent le minimum pour éviter le piège du DNS secondaire. Ainsi, 30 sites représentent 60 résolveurs, chacun disposant de son propre système d'exploitation et de ses propres paramètres de liste de blocage.

Attribuez ensuite une durée à chaque tâche récurrente. Les chiffres ci-dessous sont des hypothèses de planification destinées à illustrer le calcul ; remplacez-les par vos propres données.

• Mises à jour et vérifications de l'état du système : comptez 15 minutes par instance et par mois. Pour 60 instances, cela représente 15 heures par mois.
• Correctifs des listes de blocage : chaque modification de la liste d'autorisations s'applique à chaque instance, à moins d'utiliser un outil de synchronisation.
• Incidents : un disque défectueux sur un site distant nécessite l'intervention d'un technicien sur place.
• Preuves d'audit : chaque instance génère son propre rapport, et une personne doit les regrouper.

Multipliez les heures mensuelles par votre taux horaire chargé et ajoutez le renouvellement du matériel. Comparez ce résultat à un abonnement figurant sur la page des tarifs Shield. Pour un seul site, le total de l'auto-hébergement est faible. Pour 30 sites, la main-d'œuvre est le poste à surveiller, sans même attribuer de valeur aux catégories de menaces que Pi-hole n'a jamais proposées.

Scénario concret : un réseau de 30 magasins de détail

Une enseigne de mode comptant 30 magasins a piloté Pi-hole sur le WiFi visiteurs de trois succursales. Le projet pilote a atteint son objectif : les publicités ont cessé de s'afficher sur le réseau visiteurs. Son déploiement à plus grande échelle impliquait 60 instances, un outil de synchronisation et d'instaurer des astreintes non budgétisées. L'équipe informatique a estimé la maintenance de routine à 15 heures par mois en utilisant les hypothèses ci-dessus. Elle a préféré faire passer les 30 magasins à un DNS géré, avec une stratégie pour les visiteurs et une pour le personnel. Résultat : 60 résolveurs prévus ont été remplacés par zéro boîtier sur site, et chaque modification de stratégie est désormais effectuée une seule fois au lieu de 60.

Qu'est-ce qui change la donne ?

La règle générale varie selon cinq conditions. Chacune d'entre elles peut faire passer un établissement d'une option à l'autre.

Nombre de sites et de réseaux

Un seul site avec un seul réseau invités permet de conserver Pi-hole comme option viable. Chaque site supplémentaire ajoute deux instances. Chaque SSID ou VLAN supplémentaire disposant de ses propres règles ajoute une configuration de groupe sur chaque instance. Notre guide sur le filtrage DNS pour les MSP et les parcs multisites traite des réseaux complexes en détail.

Qui gère le système à 2 heures du matin

Pi-hole repose sur un responsable désigné disposant de temps dans sa semaine. Si la gestion repose sur "la personne qui l'a configuré", souvent un prestataire externe qui est parti depuis, optez pour une solution gérée.

Blocage des publicités ou protection contre les menaces

Si l'objectif est de réduire les publicités et d'alléger les pages, les listes de Pi-hole suffisent. S'il comprend le phishing, les logiciels malveillants et les domaines nouvellement enregistrés, vous avez besoin de flux de menaces mis à jour en permanence. C'est ce que fournit un service DNS de protection.

Devoir de réserve et réglementation

Le WiFi public dans les bibliothèques, les écoles et les établissements de santé implique l'obligation de filtrer les contenus nocifs. Les écoles en Angleterre, par exemple, suivent les normes de filtrage et de surveillance du Ministère de l'Éducation. Les rapports catégorisés centralisés rendent cette preuve plus facile à fournir que des listes par site. Pour PCI-DSS, le filtrage DNS ne remplace pas la segmentation de l'environnement des données des titulaires de cartes. Il réduit néanmoins le risque de logiciels malveillants sur les réseaux environnants. Notre guide de sécurité WiFi pour les entreprises traite de la segmentation plus en détail.

Confidentialité et protection des données

Les journaux de requêtes DNS liés à un appareil peuvent être considérés comme des données personnelles dans le cadre du GDPR. Avec Pi-hole, vous définissez la conservation et l'accès sur chaque boîtier. Avec un service géré, vous avez besoin d'un contrat de traitement des données. Purple est certifié ISO 27001 et conforme au GDPR.

Scénario concret : un hôtel de 120 chambres

Un hôtel urbain de 120 chambres utilisait un Pi-hole sur un mini PC pour le WiFi invités. Le serveur DHCP le distribuait comme unique serveur DNS. Lorsque son stockage a échoué pendant la nuit, les clients pouvaient se connecter au WiFi mais ne pouvaient rien charger. Le responsable de garde a enregistré une série de réclamations avant l'arrivée du prestataire informatique. L'hôtel a ensuite migré les SSID invités et personnel vers un DNS géré avec des politiques séparées. Résultat : zéro résolveur sur site, deux politiques définies à partir d'un seul tableau de bord, et aucun boîtier local risquant de tomber en panne.

Quelle est la configuration par défaut recommandée pour le WiFi d'un établissement ?

Pour tout parc de deux établissements ou plus, le DNS protecteur géré est l'option par défaut, et pour le WiFi d'établissement, nous recommandons Purple Shield. Il filtre au niveau du résolveur avant qu'une connexion ne s'ouvre, et définit une politique par SSID, VLAN et établissement. Il retire également tous les résolveurs sur site de votre liste de correctifs. Pi-hole reste la solution idéale pour un site unique disposant d'un responsable dédié avec un objectif de blocage des publicités, ainsi que pour les laboratoires.

Votre première action consiste à choisir un SSID visiteur dans un établissement et à lancer un essai de 30 jours. Orientez son DNS vers Shield et ne modifiez aucun autre réseau. Comparez ensuite les menaces bloquées, le volume de données et les tickets d'assistance. Le plan d'essai de filtrage DNS sur 30 jours détaille les éléments à mesurer chaque semaine.

Foire aux questions

L'utilisation de Pi-hole est-elle gratuite dans un établissement commercial ?

Oui, le logiciel est gratuit et open source, et vous pouvez l'exécuter sur le WiFi visiteur. Vous payez toujours pour le matériel (deux instances par site pour la redondance) et le temps passé par le personnel pour les correctifs, la gestion des listes de blocage et les incidents. Sur un seul site, ces coûts sont faibles. À l'échelle d'un parc, la main-d'œuvre devient le poste de dépense le plus important. C'est le coût total, et non le coût de la licence, qui doit guider votre décision.

Purple Shield fonctionne-t-il avec les points d'accès que je possède déjà ?

Oui. Shield fonctionne au niveau de la couche DNS, ce qui nécessite une simple modification DHCP plutôt que du nouveau matériel. Il fonctionne sur des réseaux conçus avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous pouvez l'exécuter de manière autonome sur n'importe quel réseau WiFi ou aux côtés de Purple Access, avec une politique par SSID, VLAN et établissement.

Comment le prix de Shield se compare-t-il à l'utilisation de Pi-hole ?

Shield est disponible sur abonnement et Pi-hole n'a aucun frais de licence ; comparez donc le coût total plutôt que le prix catalogue. Pour Pi-hole, ajoutez le matériel pour deux instances par site, les heures de mise à jour mensuelles et le temps d'astreinte. Comparez cela à l'abonnement figurant sur la page des tarifs de Shield. La comparaison penche en faveur d'une solution gérée à chaque site que vous ajoutez.

Pouvons-nous migrer depuis Pi-hole sans interruption de service ?

Oui, si vous migrez un réseau à la fois. Exportez vos paramètres à l'aide de l'outil Teleporter de Pi-hole et notez les entrées de la liste d'autorisations dont vous avez encore besoin. Recréez ces exceptions dans la nouvelle politique, puis modifiez le serveur DNS sur l'étendue DHCP d'un SSID. Observez le comportement pendant quelques jours avant de migrer le réseau suivant. Conservez Pi-hole en fonctionnement jusqu'à la migration du dernier réseau.

Le filtrage DNS aide-t-il à se conformer au GDPR et à la norme PCI DSS ?

Il y contribue, mais ne vous rend pas conforme à lui seul. Pour la norme PCI DSS, la segmentation maintient le WiFi invité et du personnel hors de l'environnement des données de cartes de paiement. Le filtrage DNS réduit le risque de logiciels malveillants autour de cette frontière. Pour le GDPR, les journaux DNS liés à un appareil peuvent constituer des données à caractère personnel ; définissez donc des règles de conservation et d'accès. Purple est certifié ISO 27001 et conforme au GDPR.

Comment Shield se compare-t-il à Cisco Umbrella et DNSFilter ?

Tous trois effectuent le filtrage lors de la résolution DNS dans le cloud, le bénéfice lié à l'emplacement est donc le même. DNSFilter et Cisco Umbrella sont des services d'intérêt général vendus aux équipes informatiques d'entreprise et aux prestataires de services gérés. Shield est conçu pour le WiFi des établissements, avec une politique par SSID, VLAN et site. Il peut fonctionner de manière autonome ou aux côtés de Purple Access. Whitbread, AGS Airports et St George's Healthcare NHS Trust utilisent Shield.

Les invités peuvent-ils contourner le filtrage DNS ?

Certains le peuvent, quelle que soit l'option choisie. Un appareil utilisant le DNS over HTTPS (RFC 8484) ou un VPN envoie ses requêtes au-delà de votre résolveur. Bloquez les points de terminaison DoH publics bien connus. Bloquez également le domaine canari de Firefox, qui indique au navigateur de continuer à utiliser le DNS local. Sur le WiFi invité, l'objectif est de protéger la majorité des utilisateurs qui ne modifient jamais leurs paramètres.