Filtraggio DNS gratuito o a pagamento: a cosa rinuncia una sede con la versione gratuita

Utilizza un filtro DNS gratuito quando gestisci un'unica rete a basso rischio e non hai bisogno di report; utilizza il filtro DNS a pagamento quando segmenti le VLAN di ospiti e personale o gestisci più sedi. I resolver pubblici gratuiti applicano un'unica regola fissa e non forniscono registri delle query. I servizi a pagamento come Purple Shield, DNSFilter e Cisco Umbrella aggiungono regole per singola VLAN, reportistica e supporto.

Quando un filtro DNS gratuito è sufficiente per la rete di una sede?

Iniziamo da dove avviene il filtraggio. Ogni connessione inizia con una ricerca DNS, in cui il dispositivo chiede a un resolver l'indirizzo IP associato a un nome di dominio. Un resolver di protezione verifica quel dominio rispetto a una regola prima di rispondere. Se il dominio è dannoso o appartiene a una categoria bloccata, non viene restituito alcun indirizzo e non si apre alcuna connessione.

È proprio questa collocazione il motivo per cui il filtraggio DNS rileva ciò che un firewall non vede. Un firewall ispeziona il traffico dopo che la connessione è stata stabilita e la crittografia nasconde gran parte di ciascuna sessione. La ricerca avviene comunque per prima, per ogni app e ogni dispositivo sull'SSID.

Sia il filtraggio gratuito che quello a pagamento si posizionano nello stesso punto. La scelta tra filtraggio DNS gratuito o a pagamento riguarda chi stabilisce le regole, chi ne vede i risultati e chi risponde in caso di problemi.

Un filtro DNS gratuito è sufficiente quando si verificano contemporaneamente tre condizioni:

• Un'unica rete, un unico pubblico. Un singolo SSID ospite, senza traffico di personale, pagamenti o residenti che condivida la stessa regola.
• Nulla da dimostrare. Nessun ente regolatore, assicuratore, condizione di licenza o obbligo di tutela ti richiede di dimostrare ciò che blocchi.
• Un elenco di blocchi fisso è accettabile. Puoi adoperare le categorie del fornitore e attendere quando un sito legittimo viene bloccato per errore.

Se scappa anche solo una di queste condizioni, il filtraggio DNS a pagamento ripaga il suo costo. Per una panoramica più ampia delle opzioni, consulta la nostra guida alle alternative di filtraggio DNS.

Filtraggio DNS gratuito o a pagamento: la decisione in un grafico

Rispondi a quattro domande in ordine. Ciascuna indica una condizione che ti allontana dall'opzione gratuita.

Quale opzione si adatta allo scenario della tua struttura?

La tabella associa le reti di strutture più comuni a una raccomandazione e alla motivazione sottostante.

Scenario reale: un trust NHS con reti per pazienti, visitatori e personale

Situazione. Un trust ospedaliero gestisce la rete WiFi per pazienti, visitatori e personale clinico. Un unico resolver gratuito applicherebbe la stessa policy a tutti e tre i gruppi, lasciando il team di sicurezza senza alcun registro dei blocchi.

Azione intrapresa. St George's Healthcare NHS Trust utilizza Purple Shield come protective DNS sulla propria rete WiFi.

Risultato. Shield blocca le minacce informatiche presso il trust prima ancora che la connessione venga stabilita. Un resolver gratuito potrebbe fermare alcuni degli stessi domini, ma nessuno all'interno del trust ne conoscerebbe il numero esatto.

Scenario reale: un hotel da 200 camere che abbandona il resolver gratuito

Situazione. Un hotel da 200 camere reindirizza le VLAN di ospiti e personale verso un unico resolver con filtro famiglia gratuito. Il sito di un partner per le prenotazioni viene bloccato per errore alla reception, e la rete ospiti rallenta nelle serate più affollate.

Azione intrapresa. L'hotel passa a un sistema protective DNS a pagamento con policy separate per ospiti e personale. Inserisce il sito del partner nella lista dei consentiti e attiva il blocco degli annunci per la VLAN ospiti.

Risultato atteso. Il blocco della reception viene risolto con un solo intervento, senza dover aprire un ticket di supporto a un fornitore privo di coda ticket. In base ai dati di Purple, il blocco degli annunci garantisce fino al 44% di dati in meno e fino al 62% in meno di query DNS. Si tratta di capacità restituita agli ospiti nei momenti di picco.

Cosa offre un filtro DNS gratuito e cosa tralascia?

I resolver pubblici gratuiti svolgono bene un unico compito: rifiutano di risolvere i domini presenti nella loro lista di blocco. Tre di essi sono comuni sulle reti delle strutture:

• Cloudflare 1.1.1.1 per famiglie offre due impostazioni fisse: blocco dei malware oppure malware più contenuti per adulti (documentazione Cloudflare).
• Quad9 blocca i domini malevoli utilizzando la threat intelligence dei partner di sicurezza, senza categorie di contenuto. È gestito da una fondazione no-profit con sede in Svizzera.
• OpenDNS FamilyShield blocca i contenuti per adulti da un elenco preconfigurato. Il servizio a pagamento Umbrella di Cisco è nato da OpenDNS.

I servizi freemium come NextDNS e AdGuard DNS aggiungono una dashboard e liste personalizzate nei loro piani gratuiti. Essi pongono limiti all'utilizzo e sono dimensionati per uso domestico, quindi è opportuno verificare i termini prima di implementarne uno in un hotel.

Ecco a cosa rinuncia una rete aziendale quando si affida a un resolver gratuito:

• Un'unica policy per ogni rete. Il resolver vede il tuo indirizzo IP pubblico, non la tua VLAN. Puoi puntare ogni VLAN a un resolver gratuito diverso, ma in questo modo scegli tra menu fissi invece di definire una policy.
• Nessun log consultabile. Quando il laptop di un dipendente raggiunge un dominio di phishing, non hai elementi per indagare. Non puoi sapere quale dispositivo ha inviato la richiesta, né quando.
• Nessuna eccezione manuale. Non puoi inserire nella lista di sblocco il sito di un fornitore bloccato per errore. Devi attendere che il provider lo riclassifichi o spostare tutti su un altro resolver.
• Nessuna scelta delle categorie. Gioco d'azzardo, social media, streaming e file sharing sono decisioni che spettano a te. I resolver gratuiti le prendono al posto tuo, oppure non le gestiscono affatto.
• Nessun supporto. Non esiste un ticket, un contatto dedicato o un livello di servizio garantito se la risoluzione rallenta di sabato sera.
• Nessuna prova. Gli audit di tutela, i questionari assicurativi e le verifiche sulle licenze richiedono di mostrare ciò che blocchi. Un resolver gratuito non ti lascia alcun elemento da mostrare.

Cosa aggiunge il filtraggio DNS a pagamento per una rete aziendale?

Il filtraggio DNS a pagamento mantiene la stessa collocazione e aggiunge controllo, visibilità e un servizio clienti a cui rivolgersi. Cinque integrazioni sono fondamentali per una struttura:

• Una policy per SSID, VLAN e struttura. Gli ospiti ottengono il blocco di malware, phishing e contenuti per adulti. Il personale ottiene una policy adatta al proprio lavoro. I residenti ottengono un accesso di tipo domestico con protezione dai malware, il tutto gestito da un'unica dashboard.
• Report e log delle query. È possibile visualizzare le minacce bloccate per rete ed esaminare le ricerche effettuate da un dispositivo dopo un incidente. Imposta un periodo di conservazione giustificabile ai sensi del GDPR.
• Elenchi di autorizzazione e blocco. Sblocca un fornitore una sola volta e la modifica si applicherà immediatamente a tutti i siti.
• Threat intelligence più rapida. Shield segnala le minacce più velocemente utilizzando informazioni aggiornate sulle minacce.
• Blocco degli annunci pubblicitari. Le misurazioni di Purple mostrano fino al 44% in meno di dati e fino al 62% in meno di query DNS con il blocco degli annunci attivo. Su una rete di trasporti o di eventi intasata, si tratta di banda che viene recuperata.

Come si differenziano le opzioni a pagamento

Cisco Umbrella fa parte del più ampio portafoglio di sicurezza Cisco. È ideale per i team che utilizzano già gli strumenti di sicurezza Cisco; la nostra guida ai prezzi di Cisco Umbrella spiega come è strutturato il suo modello di costi.

DNSFilter è un servizio di protezione DNS autonomo con un programma dedicato ai managed service provider (MSP). Si adatta ai team IT e agli MSP che cercano il filtraggio DNS come strumento separato.

Purple Shield è la protezione DNS progettata per il WiFi delle strutture. Funziona in modo autonomo su qualsiasi WiFi o si integra con Purple Access, con una policy specifica per SSID, VLAN e struttura. Poiché opera a livello DNS, non richiede nuovo hardware. Funziona su reti basate su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Purple è attivo in oltre 80.000 strutture in 90 Paesi.

Quanto costa la gestione di ciascuna opzione?

Il costo della licenza è la voce più piccola in questo confronto. Valuta piuttosto il tempo del personale che ciascuna opzione richiede nell'arco di un anno.

Il filtraggio gratuito sposta i costi dalla fattura al tuo team. Ogni falso positivo diventa un ticket senza soluzione se non l'attesa. Ogni incidente diventa un'indagine priva di dati.

Un filtro self-hosted come Pi-hole scambia il costo della licenza con patch, hardware e gestione fuori dall'orario di lavoro. La guida Pi-hole vs filtraggio DNS gestito analizza in dettaglio questo compromesso.

I fornitori a pagamento definiscono i prezzi per sede, rete, dispositivo o utente. Modella l'unità corrispondente alla tua infrastruttura prima di confrontare i preventivi. Per Shield, consulta i prezzi di Purple Shield e valuta l'eventuale risparmio di banda derivante dall'ad-blocking rispetto al costo dell'abbonamento.

Cosa cambia la risposta?

La rete è utilizzata da minori di 18 anni

In Inghilterra, le scuole e gli istituti superiori devono rispettare gli standard di filtraggio e monitoraggio del Department for Education. Questi si affiancano al programma Keeping Children Safe in Education (KCSIE). Richiedono di sapere cosa viene bloccato e di verificarlo regolarmente. Un resolver gratuito senza log non può garantirlo, rendendo necessaria una soluzione a pagamento.

Sei un ente del settore pubblico del Regno Unito idoneo

L'NCSC offre il proprio servizio Protective DNS alle organizzazioni del settore pubblico idonee a titolo gratuito. Blocca i domini dannosi noti sulle reti aziendali. Non fornisce categorie di contenuto o criteri per-SSID per il WiFi ospiti. Una suddivisione praticabile è NCSC Protective DNS sulle reti aziendali e il filtraggio a pagamento sul WiFi ospiti.

La larghezza di banda è il punto critico

In uno stadio, in una stazione o in un sito rurale con backhaul ridotto, il blocco degli annunci modifica i calcoli. Fino al 44% in meno di dati e fino al 62% in meno di query DNS, secondo i dati di Purple, possono compensare parte del costo.

Pagate già per uno stack di sicurezza

Se Cisco Umbrella copre già il vostro parco aziendale, estenderlo al WiFi ospiti potrebbe costare meno. La prova del nove consiste nel verificare se il suo modello di criteri si adatta alle reti ospiti per-SSID in più sedi. Verificatelo in una prova prima di impegnarvi.

Gestite molte sedi o le gestite per conto terzi

Ogni resolver gratuito viene configurato sito per sito, senza una vista condivisa. In un intero parco di sedi, la console è il prodotto stesso. Il filtraggio DNS per MSP e strutture multi-sito tratta questo specifico caso.

La sede è una sola stanza e un solo SSID

Un singolo bar con un solo SSID ospiti è il caso ideale per una soluzione gratuita. Puntate l'SSID su un resolver con filtro famiglia e bloccate il bypass. Rivedete la decisione quando aggiungerete una rete per il personale o una seconda sede.

Qual è l'opzione predefinita consigliata per il WiFi della sede?

La prima cosa da fare è un inventario. Elenca ogni SSID e VLAN in ciascuna sede, il resolver attualmente in uso e chi si accorgerebbe di un sito bloccato per errore. Successivamente, avvia una prova di filtraggio DNS di 30 giorni in una sede con criteri separati per ospiti e personale.

Il filtraggio DNS costituisce un singolo livello di sicurezza della rete. Per scoprire i relativi controlli, dallo standard IEEE 802.1X (autenticazione di rete basata su porte) fino a WPA3, consulti la nostra guida alla sicurezza WiFi per le aziende.

Domande frequenti

Posso utilizzare un filtro DNS gratuito su una rete WiFi per ospiti aziendale?

Sì, per un singolo SSID a basso rischio, ma verifichi prima le condizioni. I resolver pubblici gratuiti come Quad9 e Cloudflare 1.1.1.1 per famiglie offrono un'unica norma fissa, senza log e senza supporto. I livelli freemium come NextDNS limitano l'utilizzo e sono dimensionati per uso domestico. Non appena le reti degli ospiti e del personale condividono la connessione, oppure si rende necessario dimostrare l'effettuazione del filtraggio, un resolver gratuito cessa di essere idoneo.

Quanto costa il filtraggio DNS a pagamento?

Il filtraggio DNS a pagamento è un abbonamento con un prezzo calcolato per sede, rete, dispositivo o utente a seconda del fornitore. Non pubblichiamo i prezzi di altri fornitori. Valuti l'unità di misura più idonea alla Sua struttura prima di confrontare i preventivi. I prezzi di Shield sono disponibili nella Purple Shield pagina dei prezzi. Calcoli l'eventuale risparmio di banda derivante dal blocco degli annunci rispetto alla tariffa.

Purple Shield funzionerà con gli access point già in mio possesso?

Sì. Shield funziona a livello DNS, pertanto non richiede nuovo hardware né la sostituzione degli access point. È compatibile con le reti basate su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Può eseguirlo in modalità standalone su qualsiasi WiFi o aggiungerlo ad Purple Access, impostando una norma specifica per ogni SSID, VLAN e sede.

Come posso passare da un resolver gratuito al filtraggio DNS a pagamento?

Esegua la migrazione di una rete alla volta modificando il server DNS distribuito dal Suo ambito DHCP. Inizi con il SSID per ospiti presso una sede e monitori i blocchi e le chiamate all'assistenza per una settimana. Successivamente, sposti le VLAN del personale sulla propria norma. Elimini le opzioni di bypass sul firewall durante il processo. Il nostro piano di prova di 30 giorni stabilisce l'ordine e le verifiche da eseguire.

Il filtraggio DNS facilita la conformità al GDPR e alla tutela dei minori?

Sì, quando è provvisto di log e di una chiara norma di conservazione. I quadri normativi per la tutela dei minori, come KCSIE, richiedono di mostrare i contenuti filtrati ed esaminati. I log delle query possono contenere dati personali ai sensi del GDPR, pertanto li conservi solo per il tempo giustificabile. Purple vanta le certificazioni ISO 27001 e Cyber Essentials ed è conforme al GDPR.

Come si confronta Purple Shield con Cisco Umbrella e DNSFilter?

Tutti e tre sono servizi di protezione DNS a pagamento che effettuano il filtraggio durante la risoluzione, prima dell'apertura di una connessione. Cisco Umbrella si adatta ai team già standardizzati sugli strumenti di sicurezza Cisco. DNSFilter è un servizio standalone dotato di un programma MSP. Shield è progettato per la rete WiFi delle sedi, con una norma per ogni SSID, VLAN e sede gestibile da un'unica dashboard. Whitbread, AGS Airports e St George's Healthcare NHS Trust ne usufruiscono regolarmente.

Gli ospiti possono aggirare il filtraggio DNS?

Sì, un ospite determinato può aggirare qualsiasi filtro DNS utilizzando una VPN o un dispositivo configurato con il proprio DNS crittografato. Riduci questo rischio bloccando la porta 53 in uscita verso qualsiasi resolver diverso dal tuo. Blocca anche gli endpoint DNS over HTTPS noti sul firewall. Sulle reti guest WiFi, l'obiettivo è proteggere la maggioranza degli utenti occasionali, non fermare tutti gli esperti.