Pi-hole 与托管式 DNS 过滤在场馆网络中的对比

当您运营单个场所、只需要广告和追踪程序拦截且有专人负责补丁更新时，可以使用 Pi-hole。当您运营多个场所或需要威胁情报时，请使用 Purple Shield 等托管式 DNS 过滤服务。Shield 可以通过统一的控制面板针对每个网络和场所设置策略。根据 Purple 的数据，其广告拦截功能可减少高达 62% 的 DNS 查询。

场所何时应使用 Pi-hole，何时应使用托管式 DNS 过滤？

部署位置决定了这两种选择各自的功能。DNS（域名系统）过滤在设备请求地址时（即任何连接建立之前）发挥作用。当访客的手机询问解析器某个钓鱼域名位于何处时，过滤器会拒绝回答，因此不会有任何流量到达该主机。防火墙则在下一步发挥作用，即在查找成功后针对 IP 地址和端口进行处理。这就是为什么防御性 DNS 能捕获防火墙遗漏的威胁。示例包括快速变化的钓鱼主机、恶意软件域名以及共享分发网络上的追踪程序。

Pi-hole 与托管服务在完全相同的节点进行过滤。区别在于解析器运行的位置以及由谁来维护其运行。Pi-hole 是一款免费的开源软件，安装在每个场所内部的小型服务器上。而像 Purple Shield、DNSFilter 或 Cisco Umbrella 这样的托管服务则在云端运行其解析器。您只需更改 DHCP（动态主机配置协议）作用域分配的 DNS 服务器，即可进行集中式的策略管理。

经验法则也正源于这种架构上的差异。Pi-hole 无需许可费用，但每个新增场所都会增加需要打补丁、备份和维护运行的硬件设备。托管服务虽然需要订阅费用，但管理第 30 个场所与管理第一个场所消耗的精力完全相同。对于拥有指定负责人的单个场所，Pi-hole 是个不错的选择。但对于多场所企业或任何具有合规监管要求的网络，一旦算上人员时间成本，托管式过滤才是更具性价比的默认方案。我们关于 DNS 过滤替代方案 的概述涵盖了更广泛的产品类别。

如何在 Pi-hole 与托管 DNS 过滤之间做出选择？

通过四个问题即可为大多数场所做出决定。在此之前，先明确两个常用术语：SSID 是访客看到的网络名称；VLAN（虚拟局域网）是共享交换机上的逻辑隔离网络，用于隔离访客、员工和租户的流量。如果不同的 SSID 或 VLAN 需要应用不同的规则，答案就会明确指向托管服务。

哪种方案适合每种类型的场所？

场所类型是评估图表中各项条件的有效参考指标。它反映了您运行的网络数量、谁负责值班响应，以及 WiFi 所承担的合规监管比重。请阅读“原因”一栏，了解每个决策背后的关键条件。

两种模式非常鲜明。Pi-hole 仅适用于需求仅为广告拦截且有专人管理设备的情况。每一个涉及不同受众群体的高级场景，都需要针对每个网络配置单独的策略。Pi-hole 虽然可以通过分组管理实现类似功能，但仅限于单个实例且只能按客户端地址进行划分。

用于场所 WiFi 的 Pi-hole：功能体验与运维要求

Pi-hole 的优势

Pi-hole 是一款专为全网广告拦截设计的 DNS 沉洞 (DNS sinkhole)。它对黑名单域名发起的查询返回无效地址，从而使广告和追踪器无法加载。它可以运行在 Linux、容器或 Raspberry Pi 上。其 Web 界面支持实时查看每条查询。它还可以验证 DNSSEC，转发至您指定的上游解析器，并充当 DHCP 服务器。

对于单一场所而言，这涵盖了许多需求。查询日志保留在您自己的硬件上，这更符合部分隐私合规团队的偏好。分组管理允许对不同的客户端应用不同的黑名单。内置备份工具 Teleporter 可以导出设置，方便您在设备故障时快速重建。

Pi-hole 在场所应用中的瓶颈

当 Pi-hole 从家庭网络拓展到有数百名陌生人依赖的访客网络时，局限性便显现出来。

• 单点故障。 如果唯一的解析器停止工作，访客将无法进行域名解析，并会报告 WiFi 故障。
• 基于名单而非类别。 Pi-hole 仅拦截其名单中包含的内容。新的钓鱼网站在被名单维护者添加前依然可以通过。
• 没有拦截页面。 被拦截的域名不会返回可用地址，因此访客会看到浏览器报错。这需要前台工作人员答疑解惑。
• 每个站点一个实例。 缺乏针对多实例的内置控制台。虽然存在社区同步工具，但同样需要由您来维护。
• 仅限社区支持。 帮助来自论坛和文档，而不是具有响应时间保证的服务台。

托管式 DNS 过滤：Purple Shield、DNSFilter 和 Cisco Umbrella

托管式过滤的工作原理

托管式保护性 DNS 服务会为您运行解析器。您只需将每个网络的 DNS 指向该服务。随后的每次查询都会根据维护好的类别和威胁情报库进行核查。供应商负责对新域名进行分类并修复基础设施。您可以在同一个控制台中设置策略并查看所有站点的报告。

由于更改发生在 DHCP 中，因此托管式过滤与硬件无关。无需新设备即可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 网络上运行。请参考您供应商的文档以获取准确的 DHCP 设置。

三种服务的区别

DNSFilter 和 Cisco Umbrella 是通用保护性 DNS 服务。两者均面向企业 IT 团队和托管服务提供商销售，且都提供可自定义拦截页面的文档说明。Umbrella 包含在 Cisco 更广泛的安全产品组合中，因此许可方式遵循 Cisco 的打包方案。我们的 Cisco Umbrella 定价指南 解释了在索取报价前需要规划的内容。

Purple Shield 专为场所 WiFi 打造。您可以将其作为独立服务运行在任何 WiFi 网络上，也可以与 Purple Access 搭配使用。无论哪种方式，您都可以从同一个仪表板为每个 SSID、VLAN 和场所设置策略。这契合了场所的划分类别：访客、员工、租户和后台网络很少需要相同的规则。Purple 在 90 个国家的 80,000 多个真实场所中运行，Shield 共享该平台。

Shield 还可以拦截广告，这对于受限或共享的回传链路至关重要。根据 Purple 的数据，广告拦截可减少高达 44% 的数据流量和高达 62% 的 DNS 查询。这些节省下来的带宽可以重新用于访客真正想要访问的内容。

自托管 DNS 过滤器跨站点的成本是多少？

许可费用是 Pi-hole 看起来无可匹敌的地方，也是它唯一的优势所在。自托管 DNS 过滤器的总成本是硬件加上人工，再乘以实例数量。

适合您网络资产的简单模型

请根据实例数量而非站点数量建立模型。为了避免备用 DNS 陷阱，每个站点最少需要两个实例。因此 30 个站点意味着 60 个解析器，每个解析器都有自己的操作系统和阻止列表设置。

然后为每项日常重复性任务设定时间数值。以下数值为展示计算逻辑的规划假设，您可以替换为自己的实际数值。

• 更新与健康检查： 假设每个实例每月需 15 分钟。对于 60 个实例，每月即为 15 小时。
• 阻止列表修复： 除非您运行同步工具，否则每次允许列表变更都需要在每个实例上单独操作一次。
• 安全事件： 远程站点的磁盘故障需要人员亲临现场。
• 审计凭证： 每个实例分别生成报告，需要人工进行汇总。

将每月耗时乘以您员工的含税工时费，并加上硬件更新成本。将该总额与 Shield 定价页面 的订阅费用进行对比。在单个站点，自托管的总成本很小。但在 30 个站点时，人工成本就成为了需要重点关注的项目，这甚至还没有算上 Pi-hole 无法提供的威胁类别防护价值。

实际案例：拥有 30 家门店的零售网络

一家拥有 30 家门店的时装零售商在三个分店的访客 WiFi 上试点测试了 Pi-hole。试点达到了预期效果：访客网络停止加载广告。然而将其推广意味着需要 60 个实例、一套同步工具以及预算外的轮岗值班表。IT 团队采用上述假设对日常维护进行了建模，计算得出每月需要 15 小时。最终，他们将所有 30 家门店全部切换为托管式 DNS，分别为访客和员工设置了一套策略。最终结果：以 0 台现场设备替代了原计划的 60 个解析器，每次策略变更只需执行一次，而非 60 次。

哪些因素会改变结论？

经验法则在五种情况下会有所改变。每一种情况都可能让场所从一种选择转向另一种选择。

站点和网络数量

带有单个访客网络的单个站点可以使 Pi-hole 保持可行。每增加一个站点就会增加两个实例。每个带有独立规则的额外 SSID 或 VLAN 都会在每个实例上增加组配置。我们关于 面向 MSP 和多站点场所的 DNS 过滤指南 深入探讨了多站点环境。

凌晨两点的责任归属

Pi-hole 依赖于有时间投入的指定负责人。如果负责人意味着“当时负责搭建的人”（通常是已经离职的承包商），请选择托管服务。

广告拦截还是威胁防护

如果需求仅仅是减少广告和更轻量化的页面，Pi-hole 的列表就足够了。如果还包括防范钓鱼网站、恶意软件和新注册的域名，您就需要持续更新的威胁情报源。这正是防护型 DNS 服务所提供的功能。

关怀义务与合规监管

图书馆、学校和医疗机构的公共 WiFi 负有过滤有害内容的关怀义务。例如，英格兰的学校需要遵循英国教育部制定的 过滤与监控标准。相比逐个站点的列表，集中式的分类报告更容易提供合规证据。对于 PCI-DSS 而言，DNS 过滤并不能取代持卡人数据环境的隔离。但它确实降低了周边网络上的恶意软件风险。我们的 企业级 WiFi 安全指南 对网络隔离进行了更深入的探讨。

隐私与数据保护

在 GDPR 框架下，与设备关联的 DNS 查询日志可被视为个人数据。使用 Pi-hole，您需要在每台设备上分别设置数据保留和访问权限。使用托管服务，您则需要一份数据处理协议。Purple 已通过 ISO 27001 认证并符合 GDPR 和 UK GDPR 要求。

实际案例：一家拥有 120 间客房的酒店

一家拥有 120 间客房的城市酒店在一台迷你 PC 上运行了一个 Pi-hole 用于访客 WiFi。DHCP 将其作为唯一的 DNS 服务器分发。当其存储设备在夜间发生故障时，访客可以连接 WiFi 但无法加载任何内容。值班经理在 IT 承包商赶到之前收到了大量投诉。随后，该酒店将访客和员工的 SSID 迁移到了具有独立策略的托管 DNS 上。最终结果：现场零解析器，通过一个控制面板即可配置两条策略，再无本地硬件故障隐患。

场所 WiFi 的推荐默认方案是什么？

对于拥有两个或更多场所的任何地产项目，默认推荐使用托管式防护 DNS；而对于场所 WiFi，我们推荐 Purple Shield。它在连接建立前的解析阶段进行过滤，并按 SSID、VLAN 及场所分别设置策略。此外，它还能将所有本地解析器从您的补丁打法列表中剔除。对于拥有指定负责人且仅需拦截广告的单场所，或是对于实验室，Pi-hole 仍是合适的选择。

您的第一步行动是在一个场所选择一个访客 SSID 并开展为期 30 天的试用。将其 DNS 指向 Shield，保持其他所有网络不变。然后比较拦截的威胁数量、数据流量和支持工单。30 天 DNS 过滤试用计划详细列出了每周需要衡量的指标。

常见问题解答

Pi-hole 可以在商业场所免费使用吗？

是的，该软件开源且免费，您可以将其运行在访客 WiFi 上。不过您仍需支付硬件费用（每个场所需要两个实例以实现冗余），以及用于打补丁、黑名单修复和故障处理的员工时间成本。在单一场所，这些成本很小。但在整个地产项目中，人力成本将成为最大的开支。驱动决策的应当是总成本，而不是许可证成本。

Purple Shield 能与我现有的无线接入点一起工作吗？

可以。Shield 工作在 DNS 层，因此只需更改 DHCP 而无需更换新硬件。它可以运行在由 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 构建的网络上。您可以将其独立运行在任何 WiFi 网络上，也可以与 Purple Access 配合使用，并按 SSID、VLAN 和场所设置策略。

Shield 的定价与运行 Pi-hole 相比如何？

Shield 采用订阅制，而 Pi-hole 免收许可证费用，因此请比较总成本而非标准价格。对于 Pi-hole，需要加上每个场所两台实例的硬件成本、每月补丁更新工时以及值班维护时间。将这些与 Shield 定价页面 上的订阅费用进行对比。随着您添加的场所越来越多，总体对比将更倾向于托管解决方案。

我们能否在不停机的情况下从 Pi-hole 迁移？

可以，前提是您一次迁移一个网络。使用 Pi-hole 的 Teleporter 工具导出您的设置，并记录仍需要的允许列表条目。在新的策略中重新创建这些例外项，然后更改一个 SSID 的 DHCP 作用域上的 DNS 服务器。观察几天后再迁移下一个网络。在最后一个网络完成迁移之前，请保持 Pi-hole 正常运行。

DNS 过滤有助于满足 GDPR 和 PCI DSS 要求吗？

这有所帮助，但仅凭它本身并不能确保合规。对于 PCI DSS，网络隔离可防止访客和员工 WiFi 进入持卡人数据环境。DNS 过滤降低了该边界周围的恶意软件风险。对于 GDPR，绑定到设备的 DNS 日志可能属于个人数据，因此需设置保留与访问规则。Purple 已通过 ISO 27001 认证并符合 GDPR 标准。

Shield 与 Cisco Umbrella 以及 DNSFilter 相比表现如何？

这三者都在云端进行 DNS 解析过滤，因此部署位置带来的优势是一致的。DNSFilter 和 Cisco Umbrella 是面向企业 IT 团队和托管服务提供商销售的通用型服务。Shield 则专为场所 WiFi 打造，支持按 SSID、VLAN 和场所制定策略。它可以独立运行，也可以与 Purple Access 配合使用。Whitbread、AGS Airports 以及 St George's Healthcare NHS Trust 均在运行 Shield。

访客能否绕过 DNS 过滤？

无论选择哪种方案，部分访客都有可能绕过。使用加密 DNS（DoH，RFC 8484）或 VPN 的设备会将查询绕过您的解析器。请封堵已知的公共 DoH 端点，并封堵 Firefox 的 canary domain，该域名可指示浏览器继续使用本地 DNS。在访客 WiFi 上，我们的目标是保护绝大多数从不更改设置的用户。