免费与付费 DNS 过滤：场所放弃免费方案的原因

当您仅运营一个低风险网络且不需要报告时，可以使用免费 DNS 过滤器；当您划分了访客和员工 VLAN 或运营多个场所时，请使用付费 DNS 过滤。免费的公共解析器应用单一固定策略，并且不提供任何查询日志。而 Purple Shield、DNSFilter 和 Cisco Umbrella 等付费服务则增加了基于 VLAN 的策略、报告和技术支持功能。

场所网络何时使用免费 DNS 过滤器就足够了？

首先要了解过滤在何处发生。每个连接都始于 DNS 查询，设备在此过程中向解析器请求域名背后的 IP 地址。保护性解析器在回答之前会根据策略检查该域名。如果该域名包含恶意内容或属于已被封锁的类别，则不会返回地址，也不会建立任何连接。

正是这种部署位置，使得 DNS 过滤能够捕获防火墙错过的威胁。防火墙是在连接建立后对流量进行检查，而加密会隐藏会话的大部分内容。然而，对于 SSID 上的每个应用和每台设备，查找始终是最先发生的步骤。

免费和付费过滤都部署在同一个位置。免费与付费 DNS 过滤的选择问题，核心在于由谁来制定策略、由谁来查看结果，以及当出现故障时由谁来提供技术支持。

当同时满足以下三个条件时，免费 DNS 过滤器就足够了：

• 单一网络，单一受众。 单一的访客 SSID，没有员工、支付或内部人员流量共享该策略。
• 无需合规证明。 没有监管机构、保险公司、许可条件或安全保障职责要求您证明封锁的内容。
• 可以接受固定的封锁列表。 您可以接受提供商预设的类别，并在合法网站被错误封锁时耐心等待处理。

只要违反其中任何一条，付费 DNS 过滤就能物有所值。有关更广泛的选择方案，请参阅我们的 DNS 过滤替代方案指南。

免费还是付费 DNS 过滤：图表决策指南

请按顺序回答四个问题。每一个问题都代表一种促使您从免费方案转向付费方案的条件。

哪种方案适合哪种场所场景？

下表将常见的场所网络与推荐方案及其背后的条件进行了映射。

实操场景：拥有患者、访客和员工网络的 NHS 信托基金

现状。 一家医院信托基金为患者、访客和临床员工运行 WiFi。单一免费解析器会向所有三个群体应用相同的策略，并导致安全团队无法留存拦截记录。

采取的措施。 St George's Healthcare NHS Trust 在其 WiFi 上运行 Purple Shield 作为保护性 DNS。

结果。 Shield 在该信托基金的网络中拦截恶意威胁，在建立连接之前阻止每一个威胁。免费解析器可能会阻止部分相同的域名，但信托基金中无人能看到具体拦截数量。

实操场景：拥有 200 间客房的酒店停用免费解析器

现状。 一家拥有 200 间客房的酒店将访客和员工 VLAN 指向同一个免费家庭过滤解析器。前台访问某预订合作伙伴网站被错误拦截，且访客网络在繁忙的傍晚时段变慢。

采取的措施。 酒店改用具有独立访客和员工策略的付费保护性 DNS。酒店将合作伙伴网站添加至白名单一次，并为访客 VLAN 开启广告拦截。

预期的成效。 现场接待区的网络拥堵只需进行一次更改即可消除，而无需向没有工单排队的提供商提交支持工单。根据 Purple 自身的统计数据，广告拦截可减少高达 44% 的数据流量以及高达 62% 的 DNS 查询。这意味着在高峰期能为宾客恢复更多网络容量。

免费 DNS 过滤器能为您提供什么，又遗漏了什么？

免费的公共解析器可以很好地完成一项工作：拒绝解析其黑名单上的域名。在场所网络中，有三种常见的免费解析器：

• Cloudflare 1.1.1.1 针对家庭的用户方案 提供两种固定设置：恶意软件拦截，或恶意软件加成人内容拦截（参见 Cloudflare 文档）。
• Quad9 利用来自安全合作伙伴的威胁情报拦截恶意域名，但没有内容分类。它由一家总部位于瑞士的非营利基金会运营。
• OpenDNS FamilyShield 根据预先配置的列表拦截成人内容。Cisco 的付费 Umbrella 服务就是在 OpenDNS 的基础上发展而来的。

免费增值服务（如 NextDNS 和 AdGuard DNS）在其免费版本中增加了控制面板和自定义列表。由于它们对使用量设置了上限，且规模仅适用于家庭，因此在将其部署到酒店之前请务必查看具体条款。

以下是企业网络在依赖免费解析器时会失去的功能：

• 所有网络只能使用单一策略。 解析器只能看到您的公网 IP 地址，而看不到您的 VLAN。您可以将每个 VLAN 指向不同的免费解析器，但这样您只是在固定菜单之间做选择，而不是在制定策略。
• 没有可供调阅的日志。 当员工笔记本电脑访问钓鱼域名时，您没有任何记录可供调查。您无法得知是哪台设备在何时发出的请求。
• 无法进行覆盖设置。 您无法将误拦截的供应商网站加入白名单。您只能等待提供商重新对其分类，或者将所有人迁移到另一个解析器。
• 无法选择类别。 赌博、社交媒体、流媒体和文件共享等内容的过滤权限应由您掌控。但免费解析器要么替您做决定，要么完全不管。
• 没有技术支持。 当周六晚上解析速度变慢时，没有支持工单，没有指定的联系人，也没有服务级别保证。
• 没有合规凭据。 保障审计、保险公司调查问卷和许可证审查都会询问您拦截了哪些内容。而免费解析器无法为您提供任何凭据。

付费 DNS 过滤能为企业网络增加什么？

付费 DNS 过滤保持了相同的部署位置，同时增加了控制力、可见性以及专属的服务对接人。对于场所而言，最重要的五项增值包括：

• 按 SSID、VLAN 和场所制定专属策略。 宾客将获得恶意软件、钓鱼网站和成人内容拦截保障。员工将获得符合其工作需求的策略。长期住客则可享有包含恶意软件防护的家庭式网络访问，这一切都从同一个控制面板进行集中管理。
• 报告与查询日志。 您可以查看每个网络被拦截的威胁，并在发生安全事件后调查特定设备的查询记录。设置符合 GDPR 要求的合理保留期。
• 允许与拦截列表。 仅需解封某个供应商一次，该更改就会同步至所有站点。
• 更快获取威胁情报。 Shield 利用最新的威胁情报更快速地标记威胁。
• 广告拦截。 Purple 的自测数据显示，开启广告拦截后，数据流量最高可减少 44%，DNS 查询量最高可减少 62%。在拥堵的活动或交通网络中，这能为您节省大量回传带宽。

付费方案有何不同

Cisco Umbrella 属于 Cisco 广泛的安全产品组合体系。它非常适合已经标准化采用 Cisco 安全工具的团队；我们的 Cisco Umbrella 价格指南 详细解释了其定价结构。

DNSFilter 是一项独立的 DNS 保护服务，并附带针对托管服务提供商 (MSP) 的计划。它适合希望将 DNS 过滤作为独立工具的 IT 团队和 MSP。

Purple Shield 是专为场馆 WiFi 打造的 DNS 保护服务。它可以独立运行于任何 WiFi 上，也可以附加到 Purple Access，支持按 SSID、VLAN 和场馆配置策略。由于它在 DNS 层面工作，因此无需添置新硬件。它支持基于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 构建的网络。Purple 已在全球 90 个国家的 80,000 多个场馆投入使用。

每种方案的运行成本是多少？

在本次对比中，许可费用是最小的一笔支出。请对比各项方案在一整年中需要消耗的人工时间成本。

免费过滤只是将成本从账单转移到了您的团队身上。每一次误报都会变成无法立即解决的工单，唯一的解决办法只有等待。每一次安全事件都会变成没有任何数据可查的调查。

像 Pi-hole 这样的自托管过滤器虽然免去了许可费用，但换来的是补丁更新、硬件维护和非工作时间的运维责任。Pi-hole vs 托管 DNS 过滤 详细分析了这一权衡。

付费供应商按场馆、网络、设备或席位计费。在比较报价之前，请先对适合您资产规模的计量单位进行建模。关于 Shield 的定价，请参阅 Purple Shield 定价，并将广告拦截带来的带宽节省与费用进行抵扣。

哪些因素会改变选择？

18 岁以下人群使用该网络

在英格兰，中小学和学院必须符合英国教育部颁布的 过滤与监控标准。这些标准与《保持儿童在教育中的安全》(KCSIE) 一起实施。它们要求您明确了解哪些内容被拦截并定期进行审查。没有日志记录的免费解析器无法证明这一点，因此在这种情况下必须选择付费方案。

您是符合条件的英国公共部门机构

NCSC 为符合条件的公共部门机构免费提供其 Protective DNS 服务。它可以在企业网络上拦截已知的恶意域名。但它不会为访客 WiFi 提供内容分类或按 SSID 划分的策略。一种可行的分工方案是在企业网络上使用 NCSC Protective DNS，而在访客 WiFi 上使用付费过滤。

带宽是瓶颈所在

在体育场、车站或回程线路薄弱的偏远场所，广告拦截会带来实质性的改观。根据 Purple 自己的数据，减少高达 44% 的数据流量和高达 62% 的 DNS 查询，可以抵消部分费用。

您已经为安全堆栈付过费了

如果 Cisco Umbrella 已经覆盖了您的企业资产，将其扩展到访客 WiFi 的成本可能会更低。关键在于测试其策略模型是否适合跨多个场所的按 SSID 访客网络。在做出承诺之前，请先在试点中验证这一点。

您运营多个场所或为他人代管场所

每一个免费解析器都是逐个场所单独配置的，没有统一视图。对于拥有多场所的资产而言，控制台本身就是产品核心。面向 MSP 和多场所资产的 DNS 过滤 涵盖了这种情况。

场所只有间房间和一个 SSID

只有单个访客 SSID 的单家咖啡馆，是使用免费服务的绝佳场景。只需将该 SSID 指向家庭过滤解析器并关闭绕过途径即可。当您添加员工网络或开设第二个场所时，再重新评估这一决定。

场所 WiFi 推荐的默认设置是什么？

您的首要行动是盘点。列出每个场所的每个 SSID 和 VLAN、目前使用的解析器，以及如果某个网站被误拦截谁会最先注意到。然后在一个场所运行包含独立访客和员工策略的 30 天 DNS 过滤试用。

DNS 过滤是网络安全的一个层级。有关其周围的控制措施（从 IEEE 802.1X（基于端口的网络身份验证）到 WPA3），请阅读我们的 企业 WiFi 安全指南。

常见问题解答

我可以在企业访客 WiFi 网络上使用免费的 DNS 过滤器吗？

可以，适用于单一低风险 SSID，但请先检查相关条款。Quad9 和 Cloudflare 1.1.1.1 for Families 等免费公共解析器仅提供单一固定策略，无日志且无支持。NextDNS 等免费增值层级有限制使用量，且仅适用于家庭规模。一旦访客网络和员工网络共享该连接，或者您必须证明已实施过滤，免费解析器便不再适用。

付费 DNS 过滤的费用是多少？

付费 DNS 过滤属于订阅制服务，根据供应商的不同，按场所、网络、设备或席位计费。我们不公布其他供应商的价格。在比较报价之前，请先建立与您的资产规模相匹配的单元模型。Shield 的价格可以在 Purple Shield 价格页面 上找到。您可以将广告拦截带来的带宽节省与订阅费用进行对比。

Purple Shield 是否适用于我现有的接入点？

是的。Shield 在 DNS 层级运行，因此无需新硬件，也无需更换接入点。它可以在基于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 构建的网络上运行。您可以在任何 WiFi 上独立运行它，也可以将其添加到 Purple Access 中，并针对每个 SSID、VLAN 和场所制定策略。

如何从免费解析器迁移到付费 DNS 过滤？

通过更改 DHCP 范围分发的 DNS 服务器，一次迁移一个网络。从一个场所的访客 SSID 开始，观察一周的拦截情况和服务台呼叫。然后将员工 VLAN 移至其专属策略。在迁移过程中关闭防火墙上的旁路。我们的30 天试用计划列出了具体的顺序和检查项。

DNS 过滤有助于满足 GDPR 和安全保障合规要求吗？

是的，前提是它附带日志和明确的保留策略。像 KCSIE 这样的安全保障框架希望您能够展示已过滤和已审查的内容。根据 GDPR，查询日志可能包含个人数据，因此请仅在合理的期限内保留这些日志。Purple 已获得 ISO 27001 和 Cyber Essentials 认证，并符合 GDPR 合规要求。

Purple Shield 与 Cisco Umbrella 和 DNSFilter 相比如何？

这三者都是付费的保护性 DNS 服务，可在建立连接之前的解析阶段进行过滤。Cisco Umbrella 适用于已采用 Cisco 安全工具标准化建设的团队。DNSFilter 是一项带有 MSP 计划的独立服务。Shield 专为场所 WiFi 打造，可通过单一仪表板按 SSID、VLAN 和场所设置策略。Whitbread、AGS Airports 和 St George's Healthcare NHS Trust 都在运行它。

访客可以绕过 DNS 过滤吗？

是的，有经验的访客可以通过 VPN 或将设备设置为使用自定义加密 DNS 来绕过任何 DNS 过滤器。您可以通过阻止向除您自身之外的所有解析器开放的出站 53 端口来减少这种情况。同时也在防火墙上拦截已知的 DNS over HTTPS 端点。对于访客 WiFi 而言，目标是保护绝大多数普通用户，而不是阻止每一个技术专家。