Pi-hole vs filtraggio DNS gestito per le strutture

Usa Pi-hole quando gestisci un solo sito, hai bisogno solo di bloccare annunci e tracker e hai qualcuno che possa applicare le patch. Usa il filtraggio DNS gestito come Purple Shield quando gestisci più sedi o hai bisogno di threat intelligence. Shield imposta una policy per rete e sede da un'unica dashboard. Sui dati di Purple, il suo blocco degli annunci riduce le query DNS fino al 62%.

Quando una sede dovrebbe usare Pi-hole e quando il filtraggio DNS gestito?

Il posizionamento determina cosa può fare ciascuna opzione. Il filtraggio DNS (Domain Name System) agisce quando un dispositivo richiede un indirizzo, prima che si apra qualsiasi connessione. Il telefono di un ospite chiede al resolver dove si trova un dominio di phishing. Il filtro si rifiuta di rispondere, quindi nessun traffico raggiunge quell'host. Un firewall agisce un passo dopo, sugli indirizzi IP e sulle porte, dopo che la ricerca ha avuto successo. Ecco perché il DNS protettivo rileva ciò che un firewall manca. Gli esempi includono host di phishing in rapida evoluzione, domini malware e tracker su reti di distribuzione condivise.

Pi-hole e i servizi gestiti filtrano esattamente nello stesso punto. La differenza sta dove risiede il resolver e chi lo mantiene in funzione. Pi-hole è un software open source gratuito da installare su un piccolo server all'interno di ciascuna sede. Un servizio gestito come Purple Shield, DNSFilter o Cisco Umbrella esegue i suoi resolver nel cloud. Modifichi il server DNS fornito dal tuo ambito DHCP (Dynamic Host Configuration Protocol), quindi gestisci la policy a livello centrale.

La regola generale deriva da questa distinzione. Pi-hole non costa nulla in licenze, ma ogni sito aggiunge dispositivi da aggiornare, eseguire il backup e mantenere attivi. Un servizio gestito richiede un abbonamento, ma la trentesima sede non richiede più sforzo della prima. Per un singolo sito con un responsabile dedicato, Pi-hole è una scelta valida. Per una rete aziendale multi-sede o qualsiasi rete con requisiti normativi, il filtraggio gestito è l'opzione predefinita più economica se si considera il tempo del personale. La nostra panoramica sulle alternative al filtraggio DNS copre la categoria più ampia.

Come scegliere tra Pi-hole e il filtraggio DNS gestito?

Quattro domande risolvono la maggior parte delle esigenze per le strutture. Ricorrono due termini. Un SSID è il nome della rete che un ospite visualizza. Una VLAN (LAN virtuale) è una rete logicamente separata su switch condivisi, che mantiene separato il traffico di ospiti, personale e clienti. Se SSID o VLAN differenti necessitano di regole diverse, la scelta pende nettamente a favore di un servizio gestito.

Quale opzione si adatta a ciascun tipo di struttura?

Il tipo di struttura è un utile indicatore per le condizioni descritte nel grafico. Segnala quante reti gestisci, chi è reperibile e quale peso normativo grava sul WiFi. Leggi la colonna "perché" per scoprire la motivazione alla base di ciascuna scelta.

Emergono due modelli principali. Pi-hole risulta vincente solo quando l'obiettivo principale è il blocco delle pubblicità ed è presente una singola persona responsabile del dispositivo. Ogni scenario con pubblici distinti richiede una policy dedicata per ciascuna rete. Pi-hole può approssimare questo comportamento tramite la gestione dei gruppi, ma solo per singola istanza e unicamente in base all'indirizzo del client.

Pi-hole per il WiFi della sede: cosa offre e cosa comporta la gestione

I punti di forza di Pi-hole

Pi-hole è un DNS sinkhole progettato per il blocco delle pubblicità sull'intera rete. Risponde alle richieste per i domini in blocklist senza fornire un indirizzo valido, impedendo il caricamento di annunci e tracker. È eseguibile su Linux, all'interno di un container o su un Raspberry Pi. La sua interfaccia web mostra ogni query in tempo reale. Può convalidare DNSSEC, inoltrare le richieste a un resolver upstream a scelta e fungere da server DHCP.

Per una singola sede, questo copre gran parte delle esigenze. I log delle query rimangono sull'hardware proprietario, una condizione preferita da alcuni team dedicati alla privacy. La gestione dei gruppi applica blocklist differenti a client diversi. Teleporter, lo strumento di backup integrato, esporta le impostazioni consentendo di ripristinare rapidamente un dispositivo in caso di guasto.

I limiti di Pi-hole in una struttura aziendale

I limiti emergono quando Pi-hole passa da una rete domestica a una rete ospiti utilizzata da centinaia di utenti sconosciuti.

• Un singolo punto di vulnerabilità (Single point of failure). Se l'unico resolver smette di funzionare, gli ospiti perdono la risoluzione dei nomi e segnalano che il WiFi non funziona.
• Liste anziché categorie. Pi-hole blocca esclusivamente ciò che è contenuto nelle sue liste. Un nuovo host di phishing continua a passare finché il curatore della lista non lo aggiunge.
• Nessuna pagina di blocco. Un dominio bloccato non restituisce alcun indirizzo utilizzabile, quindi l'ospite visualizza un errore del browser. Il personale di sala deve gestire le richieste di chiarimento.
• Un'istanza per sede. Non esiste una console integrata per gestire più istanze. Esistono strumenti di sincronizzazione della community, ma dovrai occuparti anche della loro manutenzione.
• Solo supporto della community. L'assistenza proviene da forum e documentazione, non da un servizio di supporto con tempi di risposta garantiti.

Filtraggio DNS gestito: Purple Shield, DNSFilter e Cisco Umbrella

Come funziona il filtraggio gestito

Un servizio DNS protettivo gestito esegue i risolutori al posto tuo. Devi semplicemente indirizzare il DNS di ciascuna rete verso il servizio. Ogni ricerca viene quindi verificata rispetto a feed aggiornati di minacce e categorie. Il fornitore classifica i nuovi domini e applica le patch all'infrastruttura. Imposti la policy in un'unica console e consulti i report relativi a ogni sede.

Poiché la modifica avviene nel DHCP, il filtraggio gestito è indipendente dall'hardware. Funziona su reti Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet senza bisogno di nuovi dispositivi. Segui la documentazione del tuo produttore per le impostazioni DHCP esatte.

In cosa si differenziano i tre servizi

DNSFilter e Cisco Umbrella sono servizi DNS protettivi di uso generale. Entrambi si rivolgono a team IT aziendali e managed service provider, ed entrambi mettono a disposizione pagine di blocco personalizzabili. Umbrella fa parte del più ampio portafoglio di sicurezza Cisco, quindi le licenze seguono le offerte commerciali Cisco. La nostra guida sui prezzi di Cisco Umbrella spiega cosa valutare prima di richiedere un preventivo.

Purple Shield è progettato specificamente per il WiFi delle strutture e dei luoghi pubblici. Puoi eseguirlo in modalità standalone su qualsiasi rete WiFi o insieme a Purple Access. In entrambi i casi, imposti una policy per SSID, VLAN e sede da un'unica dashboard. Questo risponde perfettamente alla segmentazione tipica di queste strutture: le reti per ospiti, personale, inquilini e servizi interni richiedono raramente le stesse regole. Purple è attivo in oltre 80.000 sedi in 90 paesi e Shield condivide questa stessa piattaforma.

Shield blocca anche gli annunci pubblicitari, un aspetto fondamentale sulle connessioni condivise o a consumo. Secondo i dati di Purple, il blocco degli annunci riduce il traffico dati fino al 44% e le query DNS fino al 62%. Questa larghezza di banda risparmiata torna a disposizione dei contenuti che i tuoi ospiti desiderano davvero consultare.

Quanto costa un filtro DNS self-hosted su più sedi?

La voce di spesa relativa alla licenza è l'ambito in cui Pi-hole appare imbattibile, ed è l'unica in cui lo è davvero. Il costo totale di un filtro DNS self-hosted è dato dall'hardware più la manodopera, moltiplicato per il numero di istanze.

Un modello semplice per la tua infrastruttura

Costruisci il modello a partire dalle istanze, non dalle sedi. Due istanze per sede rappresentano il minimo per evitare la trappola del DNS secondario. Di conseguenza, 30 sedi significano 60 resolver, ciascuno con il proprio sistema operativo e le proprie impostazioni delle blocklist.

Quindi assegna una stima di tempo a ciascuna attività ricorrente. Le cifre riportate di seguito sono ipotesi di pianificazione per mostrare il calcolo; sostituiscile con le tue.

• Aggiornamenti e controlli dello stato di salute: ipotizza 15 minuti per istanza al mese. Con 60 istanze, si tratta di 15 ore al mese.
• Correzioni delle blocklist: ogni modifica alla allowlist va applicata su ciascuna istanza, a meno che non si utilizzi uno strumento di sincronizzazione.
• Incidenti: un disco guasto in una sede remota richiede l'intervento di qualcuno sul posto.
• Prove di audit: ogni istanza genera il proprio report, e qualcuno deve consolidarli.

Moltiplica le ore mensili per la tariffa oraria lorda del tuo personale e aggiungi il rinnovo dell'hardware. Confronta il risultato con l'abbonamento indicato nella pagina dei prezzi di Shield. In una sola sede, il totale del self-hosted è contenuto. In 30 sedi, il costo del lavoro è la voce da monitorare con attenzione, ancora prima di valutare le categorie di minacce che Pi-hole non ha mai offerto.

Scenario pratico: un'infrastruttura retail di 30 negozi

Un retailer di moda con 30 negozi ha condotto un pilot con Pi-hole sulla rete WiFi per i clienti in tre filiali. Il pilot ha svolto il suo compito: le pubblicità hanno smesso di caricarsi sulla rete ospiti. Estenderlo a tutta la rete avrebbe comportato 60 istanze, uno strumento di sincronizzazione e un turno di reperibilità non a budget. Il team IT ha stimato la manutenzione ordinaria in 15 ore al mese utilizzando le ipotesi descritte sopra. Ha scelto quindi di migrare tutti i 30 negozi a un DNS gestito, impostando una policy per i clienti e una per lo staff. Il risultato: 60 resolver pianificati sostituiti da zero apparati in sede, e ogni modifica alle policy effettuata una sola volta invece di 60.

Cosa cambia la risposta?

La regola generale varia in presenza di cinque condizioni. Ciascuna di esse può far propendere una struttura per l'una o per l'altra opzione.

Numero di sedi e reti

Una singola sede con un'unica rete ospiti rende Pi-hole una soluzione praticabile. Ogni sede aggiuntiva richiede due istanze in più. Ogni SSID o VLAN supplementare con regole proprie comporta la configurazione di gruppi su ciascuna istanza. La nostra guida al filtraggio DNS per MSP e strutture multi-sede approfondisce la gestione di ampie reti.

Responsabilità operativa nelle ore critiche

Pi-hole richiede un responsabile designato con tempo a disposizione durante la settimana. Se la gestione è affidata a "chiunque l'abbia installato", spesso un consulente esterno che non lavora più lì, è preferibile optare per una soluzione gestita.

Blocco degli annunci o protezione dalle minacce

Se l'obiettivo è ridurre la pubblicità e velocizzare il caricamento delle pagine, i feed di Pi-hole sono sufficienti. Se include la protezione da phishing, malware e domini registrati di recente, sono necessari feed sulle minacce aggiornati costantemente. Questo è ciò che offre un servizio DNS protettivo.

Dovere di diligenza e conformità normativa

Il WiFi pubblico in biblioteche, scuole e strutture sanitarie impone l'obbligo di filtrare i contenuti dannosi. Le scuole in Inghilterra, ad esempio, seguono gli standard di filtraggio e monitoraggio del Department for Education. I report centralizzati per categoria rendono la produzione di prove molto più semplice rispetto a elenchi gestiti per singola sede. Per lo standard PCI-DSS, il filtraggio DNS non sostituisce la segmentazione dell'ambiente dei dati dei titolari di carta. Tuttavia, riduce il rischio di malware sulle reti circostanti. La nostra guida alla sicurezza WiFi enterprise approfondisce il tema della segmentazione.

Privacy e protezione dei dati

I log delle query DNS associati a un dispositivo possono costituire dati personali ai sensi del GDPR. Con Pi-hole, le regole di conservazione e accesso devono essere impostate su ogni singolo dispositivo. Con un servizio gestito, è necessario un accordo sul trattamento dei dati (DPA). Purple è certificata ISO 27001 e conforme al GDPR.

Esempio pratico: un hotel da 120 camere

Un hotel cittadino da 120 camere utilizzava un singolo Pi-hole su un mini PC per il WiFi ospiti. Il server DHCP lo distribuiva come unico server DNS. Quando il supporto di memoria si è guastato durante la notte, gli ospiti riuscivano a connettersi al WiFi ma non a caricare alcuna pagina. Il responsabile di turno ha registrato una serie di reclami prima dell'arrivo del tecnico IT. L'hotel ha quindi migrato gli SSID degli ospiti e del personale a un servizio DNS gestito con criteri separati. Il risultato: zero resolver in loco, due criteri di sicurezza configurati da un'unica dashboard e nessun hardware locale soggetto a guasti.

Qual è la scelta predefinita consigliata per il WiFi delle strutture?

Per qualsiasi patrimonio aziendale con due o più sedi, l'opzione predefinita è il DNS protettivo gestito e per il WiFi delle sedi consigliamo Purple Shield. Filtra a livello di resolver prima che una connessione si apra e imposta una policy per SSID, VLAN e sede. Inoltre, rimuove ogni resolver in loco dal tuo elenco di patch. Pi-hole rimane la risposta corretta per una singola sede con un responsabile dedicato e un obiettivo di ad-blocking, oltre che per i laboratori.

La tua prima azione consiste nel scegliere un SSID ospiti in una sede e avviare una prova di 30 giorni. Punta il suo DNS su Shield e lascia invariata qualsiasi altra rete. Quindi confronta le minacce bloccate, il volume di dati e i ticket di supporto. Il piano di prova del filtraggio DNS di 30 giorni definisce cosa misurare ogni settimana.

Domande frequenti

Pi-hole è gratuito da usare in una sede commerciale?

Sì, il software è gratuito e open source ed è possibile eseguirlo sul WiFi ospiti. I costi riguardano l'hardware, due istanze per sede per garantire la ridondanza, e il tempo del personale per l'applicazione delle patch, le correzioni delle liste di blocco e la gestione degli incidenti. In una sola sede, questi costi sono contenuti. In un insieme di più sedi, la manodopera diventa la voce di spesa maggiore. È il costo totale, e non il costo della licenza, a dover guidare la decisione.

Purple Shield funzionerà con gli access point già in mio possesso?

Sì. Shield funziona a livello di DNS, quindi richiede una modifica al DHCP anziché nuovo hardware. Funziona su reti realizzate con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Puoi eseguirlo in modalità standalone su qualsiasi rete WiFi o insieme a Purple Access, con una policy per SSID, VLAN e sede.

Come si confrontano i prezzi di Shield rispetto alla gestione di Pi-hole?

Shield è un abbonamento e Pi-hole non richiede costi di licenza, pertanto è opportuno confrontare il costo totale anziché il prezzo di listino. Per Pi-hole, aggiunga l'hardware per due istanze per sede, le ore mensili per l'applicazione delle patch e il tempo di reperibilità. Confronti questi elementi con l'abbonamento indicato nella pagina dei prezzi di Shield. Il confronto va sempre più a favore di una soluzione gestita per ogni sede aggiunta.

È possibile migrare da Pi-hole senza tempi di inattività?

Sì, a condizione di trasferire una rete alla volta. Esporti le impostazioni con lo strumento Teleporter di Pi-hole e prenda nota delle voci dell'elenco dei consentiti di cui ha ancora bisogno. Ricrei tali eccezioni nella nuova politica, quindi modifichi il server DNS nell'ambito DHCP di una SSID. La monitori per qualche giorno prima di passare alla rete successiva. Mantenga Pi-hole in funzione fino al trasferimento dell'ultima rete.

Il filtraggio DNS è utile per il GDPR e lo standard PCI DSS?

È utile, ma non garantisce la conformità da solo. Per lo standard PCI DSS, la segmentazione mantiene il WiFi per ospiti e del personale al di fuori dell'ambiente dei dati dei titolari di carta. Il filtraggio DNS riduce il rischio di malware attorno a tale perimetro. Per il GDPR, i log DNS collegati a un dispositivo possono costituire dati personali, pertanto occorre impostare regole di conservazione e accesso. Purple ha la certificazione ISO 27001 ed è conforme al GDPR.

Qual è il confronto tra Shield, Cisco Umbrella e DNSFilter?

Tutti e tre eseguono il filtraggio alla risoluzione DNS nel cloud, quindi il vantaggio relativo al posizionamento è lo stesso. DNSFilter e Cisco Umbrella sono servizi generici venduti a team IT aziendali e fornitori di servizi gestiti. Shield è progettato per il WiFi delle strutture, con una politica per ciascuna SSID, VLAN e sede. Può essere eseguito in modalità autonoma o affiancato a Purple Access. Whitbread, AGS Airports e St George's Healthcare NHS Trust utilizzano Shield.

Gli ospiti possono aggirare il filtraggio DNS?

Alcuni possono farlo, indipendentemente dall'opzione scelta. Un dispositivo che utilizza DNS over HTTPS (RFC 8484) o una VPN invia le query ignorando il resolver locale. Blocchi gli endpoint DoH pubblici più noti. Blocchi anche il canary domain di Firefox, che indica al browser di continuare a utilizzare il DNS locale. Sul WiFi per ospiti, l'obiettivo è proteggere la maggioranza degli utenti che non modifica mai le impostazioni.