Filtragem DNS gratuita vs paga: o que um local abre mão ao optar pela opção gratuita

Use um filtro de DNS gratuito quando operar uma única rede de baixo risco e não precisar de relatórios; use a filtragem de DNS paga quando segmentar VLANs de convidados e funcionários ou administrar vários locais. Resolvedores públicos gratuitos aplicam uma política fixa e não oferecem logs de consulta. Serviços pagos como Purple Shield, DNSFilter e Cisco Umbrella adicionam políticas por VLAN, relatórios e suporte.

Quando um filtro de DNS gratuito é suficiente para a rede de um local?

Comece entendendo onde a filtragem acontece. Cada conexão começa com uma busca de DNS, onde o dispositivo solicita a um resolvedor o endereço IP por trás de um nome de domínio. Um resolvedor de proteção verifica esse domínio em relação a uma política antes de responder. Se o domínio for malicioso ou pertencer a uma categoria bloqueada, nenhum endereço é retornado e a conexão não é aberta.

Esse posicionamento é o motivo pelo qual a filtragem de DNS captura o que um firewall deixa passar. Um firewall inspeciona o tráfego após a conexão existir, e a criptografia oculta uma parte maior de cada sessão. A busca ainda acontece primeiro, para cada aplicativo e cada dispositivo no SSID.

Tanto a filtragem gratuita quanto a paga funcionam exatamente nesse mesmo ponto. A questão da filtragem de DNS gratuita versus paga é sobre quem define a política, quem vê os resultados e quem responde quando algo falha.

Um filtro de DNS gratuito é suficiente quando três condições são atendidas simultaneamente:

• Uma rede, um público. Um único SSID de convidados, sem tráfego de funcionários, pagamentos ou residentes compartilhando a mesma política.
• Nada a comprovar. Nenhum órgão regulador, seguradora, condição de licença ou dever de proteção exige que você comprove o que está bloqueando.
• Uma lista de bloqueio fixa é aceitável. Você pode conviver com as categorias do provedor e aguardar caso um site legítimo seja bloqueado incorretamente.

Se você descumprir qualquer uma dessas condições, a filtragem de DNS paga justifica seu custo. Para uma gama mais ampla de opções, consulte nosso guia de alternativas de filtragem de DNS.

Filtragem de DNS gratuita ou paga: a decisão em um único gráfico

Responda a quatro perguntas em ordem. Cada uma delas apresenta uma condição que tira você da opção gratuita.

Qual opção se adapta ao cenário do seu local?

A tabela mapeia redes de locais comuns a uma recomendação e a condição por trás dela.

Cenário prático: um NHS trust com redes para pacientes, visitantes e funcionários

Situação. Um hospital trust opera WiFi para pacientes, visitantes e equipe clínica. Um único resolvedor gratuito daria aos três grupos a mesma política e deixaria a equipe de segurança sem nenhum registro de bloqueios.

O que foi feito. O St George's Healthcare NHS Trust utiliza o Purple Shield como DNS de proteção em seu WiFi.

Resultado. O Purple Shield bloqueia ameaças maliciosas no trust, cada uma antes que uma conexão seja aberta. Um resolvedor gratuito poderia bloquear alguns dos mesmos domínios, mas ninguém no trust saberia a quantidade.

Cenário prático: um hotel de 200 quartos migrando de um resolvedor gratuito

Situação. Um hotel de 200 quartos aponta as VLANs de convidados e funcionários para um resolvedor gratuito de filtro familiar. O site de um parceiro de reservas é bloqueado incorretamente para a recepção, e a rede de convidados fica lenta em noites movimentadas.

O que foi feito. O hotel migra para um DNS de proteção pago com políticas separadas para convidados e funcionários. Ele inclui o site do parceiro na lista de permissões uma única vez e ativa o bloqueio de anúncios para a VLAN de convidados.

Resultado esperado. O bloqueio na recepção é liberado com uma única alteração, sem a necessidade de abrir um chamado de suporte com um provedor sem fila de atendimento. Com base nos próprios dados da Purple, o bloqueio de anúncios entrega até 44% menos dados e até 62% menos consultas de DNS. Isso significa capacidade devolvida aos visitantes nos momentos de pico.

O que um filtro de DNS gratuito oferece e o que ele deixa de fora?

Resolutores públicos gratuitos fazem um bom trabalho: eles se recusam a resolver domínios que estão em sua lista de bloqueio. Três são comuns em redes de locais físicos:

• O Cloudflare 1.1.1.1 for Families oferece duas configurações fixas: bloqueio de malware ou malware mais conteúdo adulto (documentação do Cloudflare).
• O Quad9 bloqueia domínios maliciosos usando inteligência contra ameaças de parceiros de segurança, sem categorias de conteúdo. É mantido por uma fundação sem fins lucrativos com sede na Suíça.
• O OpenDNS FamilyShield bloqueia conteúdo adulto a partir de uma lista pré-configurada. O serviço pago Umbrella da Cisco surgiu do OpenDNS.

Serviços freemium, como NextDNS e AdGuard DNS, adicionam um painel e listas personalizadas em seus planos gratuitos. Eles limitam o uso e são dimensionados para residências, portanto, verifique os termos antes de implementar um em um hotel.

Eis o que uma rede empresarial abre mão ao confiar em um resolutor gratuito:

• Uma única política para toda a rede. O resolutor vê seu endereço IP público, não sua VLAN. Você pode apontar cada VLAN para um resolutor gratuito diferente, mas estará escolhendo entre menus fixos, em vez de criar uma política.
• Sem logs para análise. Quando um laptop de um funcionário acessa um domínio de phishing, você não tem nada para investigar. Você não consegue identificar qual dispositivo fez a solicitação ou quando.
• Sem exceções. Você não pode incluir na lista de permissões o site de um fornecedor bloqueado incorretamente. Você precisará esperar que o provedor o reclassifique ou migrar todos para outro resolutor.
• Sem escolha de categorias. Jogos de azar, redes sociais, streaming e compartilhamento de arquivos são decisões suas. Resolutores gratuitos tomam essas decisões por você ou simplesmente as ignoram.
• Sem suporte. Não há chamados, contato dedicado ou nível de serviço quando a resolução fica lenta em um sábado à noite.
• Sem evidências. Auditorias de proteção, questionários de seguradoras e revisões de licenças perguntam o que você bloqueia. Um resolutor gratuito não deixa rastros para apresentar.

O que a filtragem de DNS paga adiciona a uma rede empresarial?

A filtragem de DNS paga mantém a mesma estrutura, adicionando controle, visibilidade e suporte dedicado. Cinco adições são essenciais para um local:

• Uma política por SSID, VLAN e local. Visitantes recebem bloqueios de malware, phishing e conteúdo adulto. A equipe recebe uma política adequada ao seu trabalho. Residentes têm acesso no estilo residencial com proteção contra malware, tudo gerenciado a partir de um único painel.
• Relatórios e logs de consultas. Você visualiza as ameaças bloqueadas por rede e pode investigar as buscas de um dispositivo após um incidente. Defina um período de retenção justificável de acordo com o GDPR.
• Listas de permissões e bloqueios. Desbloqueie um fornecedor uma única vez e a alteração será refletida em todos os locais.
• Inteligência contra ameaças mais rápida. O Shield identifica ameaças com mais rapidez utilizando inteligência contra ameaças atualizada.
• Bloqueio de anúncios. As medições da própria Purple mostram até 44% menos dados e até 62% menos consultas DNS com o bloqueio de anúncios ativado. Em uma rede de eventos ou transporte congestionada, esse é um tráfego de backhaul que você recupera.

Como as opções pagas se diferenciam

O Cisco Umbrella está integrado ao portfólio de segurança mais amplo da Cisco. Ele é ideal para equipes que já padronizaram suas operações com as ferramentas de segurança da Cisco; nosso guia de preços do Cisco Umbrella explica como sua estrutura de preços é organizada.

O DNSFilter é um serviço de DNS protetivo independente com um programa para provedores de serviços gerenciados (MSPs). Ele atende a equipes de TI e MSPs que buscam o filtragem de DNS como uma ferramenta separada.

O Purple Shield é um DNS protetivo desenvolvido para WiFi de locais físicos. Ele funciona de forma autônoma em qualquer WiFi ou se conecta ao Purple Access, com uma política por SSID, VLAN e local. Por atuar no nível do DNS, não exige novos hardwares. Ele roda em redes construídas com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. A Purple está presente em mais de 80.000 locais em 90 países.

Quanto custa a operação de cada opção?

A taxa de licença é a menor linha desta comparação. Compare o tempo de equipe que cada opção consome ao longo de um ano.

A filtragem gratuita transfere o custo da fatura para a sua equipe. Cada falso positivo se torna um chamado sem solução a não ser esperar. Cada incidente se torna uma investigação sem dados.

Um filtro auto-hospedado como o Pi-hole troca a taxa de licença por atualizações, hardware e responsabilidade fora do horário de expediente. O guia Pi-hole vs filtragem DNS gerenciada detalha essa troca.

Os fornecedores pagos cobram por local, rede, dispositivo ou usuário. Modele a unidade que corresponde à sua estrutura antes de comparar orçamentos. Para o Shield, consulte os preços do Purple Shield e deduza qualquer economia de largura de banda obtida com o bloqueio de anúncios do valor da taxa.

O que altera a resposta?

Menores de 18 anos usam a rede

Na Inglaterra, escolas e faculdades devem atender aos padrões de filtragem e monitoramento do Departamento de Educação. Eles funcionam em conjunto com o Keeping Children Safe in Education (KCSIE). Exige-se que você saiba o que está bloqueado e revise isso periodicamente. Um resolvedor gratuito sem logs não consegue comprovar isso, portanto a resposta passa a ser a opção paga.

Você é um órgão do setor público do Reino Unido elegível

O NCSC oferece seu serviço de Protective DNS para organizações do setor público elegíveis sem nenhum custo. Ele bloqueia domínios maliciosos conhecidos em redes corporativas. Ele não fornece categorias de conteúdo ou políticas por SSID para WiFi de visitantes. Uma divisão viável é o Protective DNS do NCSC em redes corporativas e a filtragem paga no WiFi de convidados.

A largura de banda é o gargalo

Em um estádio, estação ou local rural com backhaul reduzido, o bloqueio de anúncios muda os cálculos. Até 44% menos dados e até 62% menos consultas DNS, com base nos próprios dados da Purple, podem compensar parte da taxa.

Você já paga por uma estrutura de segurança

Se o Cisco Umbrella já cobre sua infraestrutura corporativa, estendê-lo ao WiFi de convidados pode custar menos. O teste é se seu modelo de política se adapta a redes de convidados por SSID em vários locais. Comprove isso em um teste antes de se comprometer.

Você opera vários locais ou os gerencia para terceiros

Cada resolvedor gratuito é configurado local por local, sem uma visão compartilhada. Em uma infraestrutura completa, o console é o produto. A filtragem DNS para MSPs e propriedades com vários locais abrange esse caso.

O local é apenas uma sala e um SSID

Um único café com um SSID de convidados é o caso ideal para o uso gratuito. Aponte o SSID para um resolvedor de filtro familiar e feche a opção de desvio. Reavalie a decisão quando adicionar uma rede para funcionários ou um segundo local.

Qual é o padrão recomendado para WiFi de locais de atendimento?

Sua primeira ação é fazer um inventário. Liste cada SSID e VLAN em cada local, o resolvedor que ele usa hoje e quem notaria um site bloqueado incorretamente. Em seguida, execute um teste de filtragem DNS de 30 dias em um local com políticas separadas para convidados e funcionários.

O filtragem de DNS é uma camada de segurança de rede. Para saber mais sobre os controles que a envolvem, desde IEEE 802.1X (autenticação de rede baseada em porta) até WPA3, leia nosso guia de segurança para WiFi empresarial.

Perguntas frequentes

Posso usar um filtro de DNS gratuito em uma rede WiFi para visitantes empresarial?

Sim, para um único SSID de baixo risco, mas verifique os termos primeiro. Resolutores públicos gratuitos, como Quad9 e Cloudflare 1.1.1.1 para famílias, oferecem uma política fixa, sem logs e sem suporte. Planos freemium, como o NextDNS, limitam o uso e são dimensionados para residências. A partir do momento em que as redes de visitantes e de funcionários compartilham a conexão, ou se você precisar comprovar a filtragem, um resolutor gratuito deixa de ser adequado.

Quanto custa a filtragem de DNS paga?

A filtragem de DNS paga é uma assinatura, com preço por local, rede, dispositivo ou usuário, dependendo do fornecedor. Não publicamos os preços de outros fornecedores. Modelos de unidades correspondentes à sua estrutura devem ser avaliados antes de comparar orçamentos. O preço do Shield está na página de preços do Purple Shield. Equilibre qualquer economia de largura de banda obtida com o bloqueio de anúncios em relação à taxa.

O Purple Shield funcionará com os pontos de acesso que eu já possuo?

Sim. O Shield funciona no nível de DNS, portanto não precisa de hardware novo nem de alteração no ponto de acesso. Ele roda em redes construídas em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você pode executá-lo de forma autônoma em qualquer WiFi ou adicioná-lo ao Purple Access, com uma política por SSID, VLAN e local.

Como faço a migração de um resolutor gratuito para a filtragem de DNS paga?

Migre uma rede de cada vez, alterando o servidor DNS fornecido pelo seu escopo DHCP. Comece com o SSID de visitantes em um local e acompanhe os bloqueios e chamados no suporte por uma semana. Em seguida, mova as VLANs de funcionários para suas próprias políticas. Bloqueie as rotas alternativas no firewall à medida que avança. Nosso plano de teste de 30 dias estabelece a ordem e as verificações necessárias.

A filtragem de DNS ajuda na conformidade com a GDPR e o safeguarding?

Sim, quando acompanhada de logs e de uma política de retenção clara. Estruturas de safeguarding, como o KCSIE, exigem que você mostre o que é filtrado e analisado. Os logs de consulta podem conter dados pessoais de acordo com a GDPR, portanto, mantenha-os apenas pelo tempo que puder justificar. A Purple possui certificação ISO 27001 e Cyber Essentials, além de estar em conformidade com a GDPR.

Como o Purple Shield se compara ao Cisco Umbrella e ao DNSFilter?

Todos os três são serviços pagos de DNS protetivo que filtram no momento da resolução, antes que uma conexão seja aberta. O Cisco Umbrella é ideal para equipes já padronizadas nas ferramentas de segurança da Cisco. O DNSFilter é um serviço autônomo com um programa de MSP. O Shield foi desenvolvido para WiFi de locais físicos, com política por SSID, VLAN e local a partir de um único painel. Whitbread, AGS Airports e St George's Healthcare NHS Trust utilizam a solução.

Os visitantes podem burlar a filtragem de DNS?

Sim, um convidado determinado pode burlar qualquer filtro de DNS usando uma VPN ou um dispositivo configurado com seu próprio DNS criptografado. Reduza isso bloqueando a porta de saída 53 para todos os resolvers, exceto o seu. Bloqueie também endpoints conhecidos de DNS over HTTPS no firewall. No WiFi de convidados, o objetivo é proteger a maioria casual, não parar todos os especialistas.