Filtragem DNS gratuita vs. paga: do que renuncia um local ao optar pelo serviço gratuito

Utilize um filtro DNS gratuito quando gere apenas uma rede de baixo risco e não necessita de relatórios; utilize filtragem DNS paga quando segmenta VLANs de convidados e de funcionários ou quando gere vários locais. Os resolutores públicos gratuitos aplicam uma política fixa e não fornecem registos de consultas. Os serviços pagos, tais como o Purple Shield, o DNSFilter e o Cisco Umbrella, adicionam políticas por VLAN, relatórios e suporte.

Quando é que um filtro DNS gratuito é suficiente para a rede de um local?

Comece pelo local onde a filtragem ocorre. Cada ligação começa com uma pesquisa DNS, na qual o dispositivo pede a um resolutor o endereço IP associado a um nome de domínio. Um resolutor de proteção verifica esse domínio com base numa política antes de responder. Se o domínio for malicioso ou pertencer a uma categoria bloqueada, não é devolvido qualquer endereço e a ligação não é aberta.

Esta localização é a razão pela qual a filtragem DNS deteta o que um firewall deixa passar. Um firewall inspeciona o tráfego após a ligação existir, e a encriptação oculta uma maior parte de cada sessão. Ainda assim, a pesquisa ocorre sempre em primeiro lugar, para todas as aplicações e todos os dispositivos no SSID.

Tanto a filtragem gratuita como a paga funcionam exatamente neste mesmo ponto. A questão da filtragem DNS gratuita vs. paga resume-se a quem define a política, quem vê os resultados e quem responde quando algo falha.

Um filtro DNS gratuito é suficiente quando se verificam três condições em simultâneo:

• Uma rede, um público. Um único SSID de convidados, sem tráfego de funcionários, pagamentos ou residentes a partilhar a mesma política.
• Nada a comprovar. Nenhum regulador, seguradora, condição de licença ou dever de proteção exige que comprove o que está a bloquear.
• Uma lista de bloqueio fixa é aceitável. Pode aceitar as categorias do fornecedor e aguardar quando um site legítimo é bloqueado por engano.

Se quebrar qualquer uma destas condições, a filtragem DNS paga justifica o seu custo. Para conhecer o conjunto mais amplo de opções, consulte o nosso guia de alternativas de filtragem DNS.

Filtragem de DNS gratuita ou paga: a decisão num único gráfico

Responda a quatro perguntas por ordem. Cada uma indica uma condição que o retira da opção gratuita.

Qual é a opção adequada para cada cenário de local?

A tabela associa redes de locais comuns a uma recomendação e à condição subjacente.

Cenário prático: um NHS trust com redes para pacientes, visitantes e funcionários

Situação. Um hospital trust opera WiFi para pacientes, visitantes e pessoal clínico. Um resolver gratuito daria aos três grupos a mesma política e deixaria a equipa de segurança sem qualquer registo de bloqueios.

O que foi feito. O St George's Healthcare NHS Trust utiliza o Purple Shield como DNS de proteção no seu WiFi.

Resultado. O Purple Shield bloqueia ameaças maliciosas no trust, cada uma delas antes de uma ligação ser aberta. Um resolver gratuito poderia deter alguns dos mesmos domínios, mas ninguém no trust saberia o número exato.

Cenário prático: um hotel de 200 quartos a migrar de um resolver gratuito

Situação. Um hotel de 200 quartos direciona as VLANs de convidados e funcionários para um resolver gratuito com filtro familiar. O website de um parceiro de reservas é incorretamente bloqueado para a receção e a rede de convidados fica lenta em noites de grande movimento.

O que é feito. O hotel muda para um DNS de proteção pago com políticas separadas para convidados e funcionários. Adiciona o website do parceiro à lista de permissões de uma só vez e ativa o bloqueio de anúncios para a VLAN de convidados.

Resultado a esperar. O bloco da receção é libertado com uma alteração, em vez de um pedido de suporte para um fornecedor sem fila de pedidos. Com base nos próprios dados da Purple, o bloqueio de anúncios proporciona até 44% menos dados e até 62% menos consultas DNS. Trata-se de capacidade devolvida aos clientes nos momentos de pico.

O que oferece um filtro DNS gratuito e o que deixa de fora?

Os resolvers públicos gratuitos cumprem bem uma função: recusam resolver domínios na sua lista de bloqueio. Três são comuns em redes de instalações:

• O Cloudflare 1.1.1.1 for Families oferece duas definições fixas: bloqueio de malware, ou malware mais conteúdo para adultos (documentação da Cloudflare).
• O Quad9 bloqueia domínios maliciosos utilizando inteligência sobre ameaças de parceiros de segurança, sem categorias de conteúdo. É gerido por uma fundação sem fins lucrativos sediada na Suíça.
• O OpenDNS FamilyShield bloqueia conteúdo para adultos a partir de uma lista pré-configurada. O serviço pago Umbrella da Cisco nasceu a partir do OpenDNS.

Os serviços freemium como o NextDNS e o AdGuard DNS adicionam um painel de controlo e listas personalizadas nos seus planos gratuitos. Limitam a utilização e estão dimensionados para residências, por isso verifique os termos antes de implementar um num hotel.

Eis o que uma rede empresarial perde quando confia num resolver gratuito:

• Uma política para todas as redes. O resolver vê o seu endereço IP público, não a sua VLAN. Pode apontar cada VLAN para um resolver gratuito diferente, mas estará a escolher entre menus fixos, em vez de definir uma política.
• Sem registos que possa ler. Quando o portátil de um funcionário acede a um domínio de phishing, não tem nada para investigar. Não pode saber qual o dispositivo que fez o pedido, nem quando.
• Sem exceções manuais. Não pode colocar na lista de permissões o site de um fornecedor bloqueado incorretamente. Tem de aguardar que o fornecedor o reclassifique, ou mudar todos para outro resolver.
• Sem escolha de categorias. Jogos de azar, redes sociais, streaming e partilha de ficheiros são decisões suas. Os resolvers gratuitos tomam-as por si, ou simplesmente não as tomam.
• Sem suporte. Não há pedido de suporte, contacto atribuído nem nível de serviço quando a resolução fica lenta num sábado à noite.
• Sem provas. As auditorias de salvaguarda, questionários de seguradoras e revisões de licenças perguntam o que bloqueia. Um resolver gratuito não lhe deixa nada para mostrar.

O que adiciona a filtragem DNS paga a uma rede empresarial?

A filtragem DNS paga mantém a mesma localização e adiciona controlo, visibilidade e suporte dedicado. Cinco adições são essenciais para um local:

• Uma política por SSID, VLAN e local. Os clientes recebem bloqueios de malware, phishing e conteúdo para adultos. A equipa recebe uma política adequada ao seu trabalho. Os residentes obtêm um acesso de estilo doméstico com proteção contra malware, tudo gerido a partir de um único painel de controlo.
• Relatórios e registos de consultas. Veja as ameaças bloqueadas por rede e investigue as procuras de um dispositivo após um incidente. Defina um período de retenção que possa justificar no âmbito do GDPR.
• Listas de permissão e bloqueio. Desbloqueie um fornecedor uma única vez e a alteração é aplicada a todos os locais.
• Inteligência sobre ameaças mais rápida. O Shield sinaliza ameaças mais rapidamente através de inteligência sobre ameaças atualizada.
• Bloqueio de anúncios. As medições da própria Purple mostram até menos 44% de dados e até menos 62% de consultas DNS com o bloqueio de anúncios ativo. Numa rede de eventos ou de transportes congestionada, isso representa largura de banda recuperada.

Como diferem as opções pagas

O Cisco Umbrella faz parte do portfólio de segurança mais amplo da Cisco. É ideal para equipas que já padronizaram as suas ferramentas de segurança na Cisco; o nosso guia de preços do Cisco Umbrella explica como a sua estrutura de preços está organizada.

O DNSFilter é um serviço de DNS de proteção autónomo com um programa para fornecedores de serviços geridos (MSPs). É adequado para equipas de IT e MSPs que pretendem o filtragem de DNS como uma ferramenta independente.

O Purple Shield é um DNS de proteção concebido para WiFi de recintos. Funciona de forma autónoma em qualquer WiFi ou conecta-se ao Purple Access, com uma política por SSID, VLAN e recinto. Como funciona ao nível do DNS, não requer novo hardware. É executado em redes construídas sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. A Purple opera em mais de 80 000 recintos em 90 países.

Quanto custa gerir cada opção?

A taxa de licença é a menor linha nesta comparação. Compare o tempo de trabalho da equipa que cada opção consome ao longo de um ano.

A filtragem gratuita transfere o custo da fatura para a sua equipa. Cada falso positivo torna-se um pedido de suporte sem solução que não seja esperar. Cada incidente torna-se uma investigação sem dados.

Um filtro alojado pelo próprio, como o Pi-hole, troca a taxa de licença por atualizações, hardware e responsabilidade fora do horário de expediente. O guia Pi-hole vs filtragem de DNS gerida analisa essa troca.

Os fornecedores pagos cobram por local, rede, dispositivo ou utilizador. Modele a unidade que se ajusta ao seu património antes de comparar orçamentos. Para o Shield, consulte os preços do Purple Shield e deduza do valor da taxa qualquer poupança de largura de banda obtida com o bloqueio de anúncios.

O que altera a resposta?

Menores de 18 anos utilizam a rede

Em Inglaterra, as escolas e faculdades devem cumprir os padrões de filtragem e monitorização do Department for Education. Estes funcionam em conjunto com o Keeping Children Safe in Education (KCSIE). Exigem que saiba o que está bloqueado e que o reveja. Uma resolução gratuita sem registos não consegue demonstrar isso, pelo que a resposta passa a ser uma solução paga.

É um organismo elegível do setor público do Reino Unido

O NCSC oferece o seu serviço de DNS Protetivo a organizações elegíveis do setor público sem qualquer custo. Este bloqueia domínios maliciosos conhecidos nas redes corporativas. Não disponibiliza categorias de conteúdo nem políticas por SSID para WiFi de visitantes. Uma divisão viável é ter o DNS Protetivo do NCSC nas redes corporativas e a filtragem paga no WiFi de convidados.

A largura de banda é o gargalo

Num estádio, estação ou num local rural com uma ligação de backhaul reduzida, o bloqueio de anúncios altera as contas. Menos até 44% de dados e menos até 62% de consultas DNS, segundo dados da própria Purple, podem compensar parte do valor do serviço.

Já paga por uma solução de segurança

Se o Cisco Umbrella já cobre o seu património corporativo, alargá-lo ao WiFi de convidados pode custar menos. O teste consiste em saber se o seu modelo de políticas se adequa a redes de convidados por SSID em vários locais. Comprove isso num teste antes de se comprometer.

Opera vários locais ou gere-os para terceiros

Todos os resolvers gratuitos são configurados local a local, sem uma vista partilhada. Em todo o património corporativo, a consola é o produto. A filtragem de DNS para MSPs e locais múltiplos cobre essa situação.

O local é apenas uma divisão e um SSID

Um único café com um SSID de convidados é o caso ideal para uma solução gratuita. Aponte o SSID para um resolver com filtro familiar e feche a contornabilidade. Reconsidere a decisão quando adicionar uma rede de funcionários ou um segundo local.

Qual é a opção padrão recomendada para o WiFi de recintos?

A sua primeira ação é fazer um inventário. Liste todos os SSIDs e VLANs em cada recinto, o resolver utilizado atualmente e quem notaria um site bloqueado incorretamente. Em seguida, realize um teste de filtragem de DNS de 30 dias num recinto com políticas separadas para convidados e funcionários.

O filtragem de DNS é uma camada de segurança da rede. Para saber mais sobre os controlos associados, do IEEE 802.1X (autenticação de rede baseada em portas) ao WPA3, leia o nosso guias de segurança de WiFi empresarial.

Perguntas frequentes

Posso utilizar um filtro de DNS gratuito numa rede de WiFi para visitantes de uma empresa?

Sim, para um único SSID de baixo risco, mas verifique primeiro os termos. Os resolutores públicos gratuitos, como o Quad9 e o Cloudflare 1.1.1.1 for Families, oferecem uma política fixa, sem registos e sem suporte. Os níveis freemium, como o NextDNS, limitam a utilização e destinam-se a residências. Assim que as redes de visitantes e de funcionários partilharem a ligação, ou caso precise de comprovar a filtragem, um resolutor gratuito deixa de ser adequado.

Quanto custa a filtragem de DNS paga?

A filtragem de DNS paga é uma subscrição, cujo preço é calculado por local, rede, dispositivo ou utilizador, dependendo do fornecedor. Não publicamos os preços de outros fornecedores. Modele a unidade correspondente à sua infraestrutura antes de comparar orçamentos. O preço do Shield está disponível na página de preços do Purple Shield. Calcule a poupança de largura de banda resultante do bloqueio de anúncios em comparação com a taxa.

O Purple Shield funciona com os pontos de acesso que já possuo?

Sim. O Shield funciona ao nível do DNS, pelo que não necessita de novo hardware nem de alterar os pontos de acesso. Funciona em redes baseadas em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Pode executá-lo de forma autónoma em qualquer WiFi ou adicioná-lo ao Purple Access, com uma política por SSID, VLAN e local.

Como posso migrar de um resolutor gratuito para a filtragem de DNS paga?

Migre uma rede de cada vez, alterando o servidor DNS fornecido pelo seu âmbito DHCP. Comece pelo SSID para visitantes num local e monitorize os bloqueios e os pedidos de suporte durante uma semana. Em seguida, mude as VLANs dos funcionários para a sua própria política. Elimine o desvio (bypass) no firewall à medida que avança. O nosso plano de teste de 30 dias estabelece a ordem e as verificações.

A filtragem de DNS ajuda na conformidade com o GDPR e com a proteção de menores (safeguarding)?

Sim, quando inclui registos e uma política de retenção clara. Estruturas de proteção como o KCSIE exigem que demonstre o que é filtrado e revisto. Os registos de consultas podem conter dados pessoais nos termos do GDPR, pelo que deve mantê-los apenas pelo tempo que conseguir justificar. O Purple possui certificação ISO 27001 e Cyber Essentials e cumpre o GDPR.

Como se compara o Purple Shield com o Cisco Umbrella e o DNSFilter?

Os três são serviços de DNS de proteção pagas que filtram no momento da resolução, antes de uma ligação ser aberta. O Cisco Umbrella adequa-se a equipas que já utilizam ferramentas de segurança Cisco de forma padronizada. O DNSFilter é um serviço autónomo com um programa de MSP. O Shield foi concebido para WiFi em locais físicos, com uma política por SSID, VLAN e local a partir de um único painel de controlo. É utilizado pela Whitbread, AGS Airports e St George's Healthcare NHS Trust.

Os visitantes podem contornar a filtragem de DNS?

Sim, um convidado determinado pode contornar qualquer filtro de DNS utilizando uma VPN ou um dispositivo configurado com o seu próprio DNS encriptado. Reduza esse risco bloqueando a porta 53 de saída para todos os resolvedores, exceto o seu. Bloqueie também no firewall os pontos de extremidade conhecidos de DNS over HTTPS. No WiFi de convidados, o objetivo é proteger a maioria dos utilizadores comuns e não travar todos os peritos.