Pi-hole vs. filtragem DNS gerida para o seu espaço

Utilize o Pi-hole quando gerir apenas um local, precisar somente de bloqueio de anúncios e rastreadores, e tiver alguém para aplicar atualizações. Utilize a filtragem DNS gerida, como o Purple Shield, quando gerir vários locais ou precisar de inteligência contra ameaças. O Shield define uma política por rede e local a partir de um único painel de controlo. Com base nos dados da Purple, o seu bloqueio de anúncios reduz as consultas DNS até 62%.

Quando deve um local utilizar o Pi-hole e quando deve optar pela filtragem DNS gerida?

A implementação decide o que cada opção pode fazer. A filtragem DNS (Domain Name System) atua quando um dispositivo solicita um endereço, antes de qualquer ligação ser aberta. O telemóvel de um convidado pergunta ao resolvedor onde se encontra um domínio de phishing. O filtro recusa responder, garantindo que nenhum tráfego chega a esse anfitrião. Um firewall atua um passo mais tarde, em endereços IP e portas, após a pesquisa ter sido bem-sucedida. É por isso que o DNS protetor deteta o que um firewall deixa passar. Os exemplos incluem anfitriões de phishing de alteração rápida, domínios de malware e rastreadores em redes de distribuição partilhadas.

O Pi-hole e os serviços geridos filtram exatamente no mesmo ponto. A diferença reside no local onde o resolvedor se encontra e em quem o mantém em funcionamento. O Pi-hole é um software gratuito e de código aberto que instala num pequeno servidor dentro de cada local. Um serviço gerido, como o Purple Shield, DNSFilter ou Cisco Umbrella, executa os seus resolvedores na nuvem. Altera o servidor DNS fornecido pelo seu âmbito DHCP (Dynamic Host Configuration Protocol) e, em seguida, gere a política de forma centralizada.

A regra geral decorre dessa divisão. O Pi-hole não tem custos de licenciamento, mas cada local adiciona equipamentos para atualizar, fazer cópias de segurança e manter ativos. Um serviço gerido tem o custo de uma subscrição, mas o 30.º local não exige mais esforço do que o primeiro. Para um único local com um responsável atribuído, o Pi-hole é uma escolha sensata. Para uma rede de estabelecimentos, ou qualquer rede com requisitos regulamentares, a filtragem gerida é a opção mais económica assim que contabiliza o tempo da equipa. A nossa visão geral das alternativas de filtragem DNS abrange a categoria de forma mais ampla.

Como escolher entre o Pi-hole e a filtragem de DNS gerida?

Quatro perguntas definem a maioria dos locais. Dois termos recorrentes. Um SSID é o nome da rede que um convidado vê. Uma VLAN (LAN virtual) é uma rede logicamente separada em switches partilhados, que mantém o tráfego de convidados, funcionários e inquilinos separado. Se diferentes SSIDs ou VLANs precisarem de regras diferentes, a resposta aponta claramente para um serviço gerido.

Qual é a opção adequada para cada tipo de local?

O tipo de local é um bom indicador para as condições no gráfico. Sinaliza quantas redes opera, quem está de prevenção e qual a carga regulatória que o WiFi carrega. Leia a coluna "porquê" para entender a razão por trás de cada decisão.

Destacam-se dois padrões. O Pi-hole vence apenas onde o requisito é o bloqueio de anúncios e uma pessoa é responsável pelo dispositivo. Todos os cenários com públicos distintos precisam de uma política por rede. O Pi-hole consegue aproximar-se disso com a gestão de grupos, mas apenas por instância e unicamente por endereço de cliente.

Pi-hole para WiFi de locais: o que obtém e o que opera

O que o Pi-hole faz bem

O Pi-hole é um sinkhole de DNS concebido para o bloqueio de anúncios em toda a rede. Responde a pesquisas de domínios na lista de bloqueio sem um endereço utilizável, pelo que os anúncios e rastreadores nunca chegam a carregar. Funciona em Linux, num contentor ou num Raspberry Pi. A sua interface web mostra todas as consultas em tempo real. Pode validar DNSSEC, reencaminhar para um resolutor a montante à sua escolha e atuar como servidor DHCP.

Para um único local, isso cobre bastante. Os registos de consultas permanecem no seu próprio hardware, o que algumas equipas de privacidade preferem. A gestão de grupos aplica diferentes listas de bloqueio a diferentes clientes. O Teleporter, a ferramenta de cópia de segurança integrada, exporta as definições para que possa reconstruir rapidamente um dispositivo com falha.

Onde o Pi-hole tem dificuldades num local

Os limites surgem quando o Pi-hole passa de uma rede doméstica para uma rede de convidados em que centenas de estranhos confiam.

• Um ponto único de falha. Se o único resolutor parar, os convidados perdem a resolução de nomes e reportam a WiFi como inoperacional.
• Listas, não categorias. O Pi-hole bloqueia o que as suas listas contêm. Um anfitrião recente de phishing passa até que o responsável por uma lista o adicione.
• Sem página de bloqueio. Um domínio bloqueado não devolve qualquer endereço utilizável, pelo que o visitante vê um erro no navegador. A equipa de atendimento ao cliente tem de responder às dúvidas.
• Uma instância por local. Não existe uma consola incorporada para gerir múltiplas instâncias. Existem ferramentas de sincronização da comunidade, mas também terá de as manter.
• Apenas suporte da comunidade. A ajuda vem de fóruns e documentação, não de um serviço de suporte com tempo de resposta garantido.

Filtragem de DNS gerida: Purple Shield, DNSFilter e Cisco Umbrella

Como funciona a filtragem gerida

Um serviço de DNS de proteção gerido executa os resolvedores por si. Basta apontar o DNS de cada rede para o serviço. Cada consulta é depois verificada em relação a fontes de ameaças e categorias atualizadas. O fornecedor classifica novos domínios e aplica correções na infraestrutura. Define as políticas numa única consola e consulta relatórios de todos os locais.

Como a alteração é feita no DHCP, a filtragem gerida é independente do hardware. Funciona em redes Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet sem necessidade de equipamento novo. Siga a documentação do seu fornecedor para saber a definição exata do DHCP.

Como diferem os três serviços

O DNSFilter e o Cisco Umbrella são serviços de DNS de proteção de uso geral. Ambos são vendidos a equipas de TI empresariais e a fornecedores de serviços geridos, e ambos documentam páginas de bloqueio personalizáveis. O Umbrella integra o portfólio de segurança mais amplo da Cisco, pelo que o licenciamento segue o modelo da Cisco. O nosso guia sobre preços do Cisco Umbrella explica o que deve analisar antes de solicitar um orçamento.

O Purple Shield foi desenvolvido para WiFi em edifícios e grandes espaços. Pode executá-lo de forma independente em qualquer rede WiFi ou juntamente com o Purple Access. Em qualquer um dos casos, define uma política por SSID, VLAN e local a partir de um único painel de controlo. Isto alinha-se com a forma como os espaços estão segmentados: as redes de visitantes, funcionários, inquilinos e administrativas raramente exigem as mesmas regras. A Purple opera em mais de 80 000 edifícios ativos em 90 países, e o Shield partilha essa mesma plataforma.

O Shield também bloqueia anúncios, o que é fundamental em ligações partilhadas ou com limite de tráfego. Segundo os dados da Purple, o bloqueio de anúncios reduz os dados até 44% e as consultas DNS até 62%. Essa largura de banda fica disponível para os conteúdos que os seus visitantes realmente procuram.

Quanto custa um filtro DNS auto-alojado em múltiplos locais?

A linha do licenciamento é onde o Pi-hole parece imbatível, e é a única linha onde realmente o é. O custo total de um filtro DNS auto-alojado é o hardware mais a mão de obra, multiplicado pelo número de instâncias.

Um modelo simples para o seu parque informático

Construa o modelo com base em instâncias e não em locais. Duas instâncias por local é o mínimo para evitar a armadilha do DNS secundário. Assim, 30 locais significam 60 resolutores, cada um com o seu próprio sistema operativo e definições de listas de bloqueio.

Depois, atribua um valor de tempo a cada tarefa recorrente. Os valores abaixo são pressupostos de planeamento para demonstrar a aritmética; substitua-os pelos seus próprios.

• Atualizações e verificações de estado: assuma 15 minutos por instância por mês. Com 60 instâncias, isso equivale a 15 horas por mês.
• Correções de listas de bloqueio: cada alteração de lista de permissões é aplicada uma vez por instância, a menos que utilize uma ferramenta de sincronização.
• Incidentes: um disco com falha num local remoto exige a presença de alguém no local.
• Evidências de auditoria: cada instância produz o seu próprio relatório, e alguém tem de os consolidar.

Multiplique as horas mensais pela taxa de custos da sua equipa e adicione a renovação de hardware. Compare esse valor com uma subscrição da página de preços do Shield. Num único local, o total do alojamento local é reduzido. Em 30 locais, a mão de obra é a linha a ter em conta, antes de avaliar categorias de ameaças que o Pi-hole nunca ofereceu.

Cenário prático: uma rede de retalho com 30 lojas

Um retalhista de moda com 30 lojas fez um piloto do Pi-hole no WiFi para clientes em três filiais. O piloto cumpriu o seu objetivo: os anúncios deixaram de carregar na rede de clientes. No entanto, escalar a solução significava 60 instâncias, uma ferramenta de sincronização e uma escala de prevenção não orçamentada. A equipa de TI modelou a manutenção de rotina em 15 horas por mês com base nos pressupostos acima. Optou por migrar as 30 lojas para DNS gerido, com uma política para clientes e outra para funcionários. O resultado: 60 resolutores planeados substituídos por zero equipamentos no local, e cada alteração de política efetuada uma única vez em vez de 60 vezes.

O que altera a resposta?

A regra geral altera-se sob cinco condições. Cada uma pode mover um local de uma opção para a outra.

Número de locais e redes

Um local com uma rede de convidados mantém o Pi-hole viável. Cada local adicional adiciona duas instâncias. Cada SSID ou VLAN adicional com as suas próprias regras adiciona uma configuração de grupo em cada instância. O nosso guia de filtragem DNS para MSPs e propriedades com vários locais aborda propriedades em detalhe.

Quem é responsável às 2h da manhã

O Pi-hole depende de um responsável identificado com tempo disponível na sua semana. Se a responsabilidade pertencer a "quem o configurou", muitas vezes um prestador de serviços que já saiu da empresa, escolha a opção gerida.

Bloqueio de anúncios ou proteção contra ameaças

Se o objetivo for menos anúncios e páginas mais leves, as listas do Pi-hole resolvem o problema. Se incluir phishing, malware e domínios recém-registados, precisa de feeds de ameaças atualizados. É isso que um serviço de DNS de proteção oferece.

Dever de diligência e regulamentação

O WiFi público em bibliotecas, escolas e edifícios de cuidados de saúde exige o dever de filtrar conteúdos nocivos. As escolas em Inglaterra, por exemplo, seguem as normas de filtragem e monitorização do Departamento de Educação. Os relatórios de categorias centrais tornam essa prova mais fácil de apresentar do que as listas por local. Para PCI DSS, a filtragem DNS não substitui a segmentação do ambiente de dados de titulares de cartões. Contudo, reduz o risco de malware nas redes circundantes. O nosso guia de segurança WiFi empresarial aborda a segmentação com mais detalhe.

Privacidade e proteção de dados

Os registos de consultas de DNS associados a um dispositivo podem ser considerados dados pessoais ao abrigo do GDPR. Com o Pi-hole, define a retenção e o acesso em cada servidor. Com um serviço gerido, precisa de um acordo de processamento de dados. A Purple possui certificação ISO 27001 e está em conformidade com o GDPR.

Cenário prático: um hotel de 120 quartos

Um hotel urbano de 120 quartos utilizava um Pi-hole num mini PC para o WiFi de convidados. O DHCP distribuía-o como o único servidor DNS. Quando o seu armazenamento falhou durante a noite, os convidados conseguiam ligar-se ao WiFi, mas não carregavam qualquer conteúdo. O gerente de serviço registou uma série de reclamações antes de o técnico de IT chegar. O hotel mudou então os SSIDs de convidados e funcionários para um DNS gerido com políticas separadas. O resultado: zero resolvedores no local, duas políticas configuradas a partir de um único painel e nenhum equipamento local sujeito a falhas.

Qual é o predefinido recomendado para o WiFi de recintos?

Para qualquer património de dois ou mais locais, a predefinição é o DNS protetor gerido e, para o WiFi do local, recomendamos o Purple Shield. Este filtra no resolver antes de uma ligação ser aberta e define uma política por SSID, VLAN e local. Também remove todos os resolvers no local da sua lista de patches. O Pi-hole continua a ser a resposta certa para um único local com um proprietário identificado e um objetivo de bloqueio de anúncios, bem como para laboratórios.

A sua primeira ação é escolher um SSID de convidados num local e executar um teste de 30 dias. Aponte o respetivo DNS para o Shield e deixe todas as outras redes inalteradas. Em seguida, compare as ameaças bloqueadas, o volume de dados e os pedidos de suporte. O plano de teste de filtragem de DNS de 30 dias estabelece o que deve ser medido a cada semana.

Perguntas frequentes

O Pi-hole é gratuito para utilizar num local comercial?

Sim, o software é gratuito e de código aberto, e pode executá-lo no WiFi de convidados. Continuará a pagar pelo hardware, duas instâncias por local para redundância, e pelo tempo dos funcionários para aplicação de patches, correções de listas de bloqueio e incidentes. Num único local, esses custos são reduzidos. Em todo um património, a mão de obra torna-se a maior despesa. O custo total, e não o custo da licença, deve orientar a decisão.

O Purple Shield funcionará com os pontos de acesso que já possuo?

Sim. O Shield funciona na camada de DNS, pelo que necessita de uma alteração de DHCP e não de novo hardware. Funciona em redes construídas com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Pode executá-lo de forma autónoma em qualquer rede WiFi ou juntamente com o Purple Access, com uma política por SSID, VLAN e local.

Como é que os preços do Shield se comparam com a execução do Pi-hole?

O Shield é uma subscrição e o Pi-hole não tem taxa de licença, pelo que deve comparar o custo total em vez do preço de tabela. Para o Pi-hole, adicione o hardware para duas instâncias por local, as horas mensais de atualização de patches e o tempo de prevenção. Compare esses custos com a subscrição na página de preços do Shield. A comparação tende para a solução gerida a cada local que adiciona.

Podemos migrar do Pi-hole sem tempo de inatividade?

Sim, se migrar uma rede de cada vez. Exporte as suas definições com a ferramenta Teleporter do Pi-hole e tome nota das entradas da lista de permissões de que ainda precisa. Recrie essas exceções na nova política e, em seguida, altere o servidor DNS no âmbito DHCP de um SSID. Monitorize durante alguns dias antes de migrar a rede seguinte. Mantenha o Pi-hole em execução até que a última rede seja migrada.

O fornecimento de filtragem DNS ajuda em termos de GDPR e PCI DSS?

Ajuda, mas não garante a conformidade por si só. No caso do PCI DSS, a segmentação mantém o WiFi para visitantes e colaboradores fora do ambiente de dados dos titulares de cartões. A filtragem DNS reduz o risco de malware em redor desse limite. Quanto ao GDPR, os registos DNS associados a um dispositivo podem constituir dados pessoais, pelo que deve definir regras de retenção e acesso. O Purple tem certificação ISO 27001 e está em conformidade com o GDPR.

Como é que o Shield se compara com o Cisco Umbrella e o DNSFilter?

Os três filtram na resolução de DNS na nuvem, pelo que a vantagem de colocação é a mesma. O DNSFilter e o Cisco Umbrella são serviços de caráter geral vendidos a equipas de TI empresariais e a prestadores de serviços geridos. O Shield foi concebido para WiFi de espaços físicos, com uma política por SSID, VLAN e local. Pode ser executado de forma autónoma ou em conjunto com o Purple Access. A Whitbread, a AGS Airports e a St George's Healthcare NHS Trust utilizam o Shield.

Os visitantes podem contornar a filtragem DNS?

Alguns conseguem, independentemente da opção escolhida. Um dispositivo que utilize DNS sobre HTTPS (RFC 8484) ou uma VPN envia as consultas sem passar pelo seu resolvedor. Bloqueie pontos finais DoH públicos conhecidos. Bloqueie também o domínio canário do Firefox, que indica ao navegador para continuar a utilizar o DNS local. No WiFi para visitantes, o objetivo é proteger a maioria dos utilizadores que nunca altera uma definição.