免費與付費 DNS 過濾：場所使用免費方案會失去什麼

當您維運單一低風險網路且不需要報告時，可以使用免費的 DNS 過濾；當您劃分訪客與員工 VLAN 或營運多個場所時，請使用付費 DNS 過濾。免費的公共解析器僅套用單一固定策略，且不提供任何查詢日誌。而 Purple Shield、DNSFilter 與 Cisco Umbrella 等付費服務則新增了針對特定 VLAN 的策略、報告與技術支援。

場所網路何時使用免費 DNS 過濾就足夠？

首先要了解過濾發生的位置。每個連線都始於 DNS 查詢，裝置在此步驟向解析器詢問功能變數名稱背後的 IP 地址。防護型解析器會在回答之前，對照策略檢查該功能變數名稱。如果該功能變數名稱屬於惡意網站或遭封鎖的類別，就不會傳回地址，連線也無法建立。

正是這種部署位置，讓 DNS 過濾能夠攔截防火牆遺漏的威脅。防火牆是在連線建立後才檢查流量，且加密技術隱藏了更多會話內容。然而，不論是 SSID 上的任何應用程式或任何裝置，查詢依然是第一個發生的步驟。

免費與付費過濾運作的位置完全相同。免費與付費 DNS 過濾的選擇關鍵，在於由誰制定策略、由誰查看結果，以及發生故障時由誰負責支援。

當同時滿足以下三個條件時，使用免費 DNS 過濾就足夠了：

• 單一網路，單一受眾。 單一訪客 SSID，且沒有員工、支付或住戶流量共用此策略。
• 無需舉證。 沒有監管機構、保險公司、執照條件或安全防護職責要求您出示封鎖紀錄證明。
• 可接受固定的封鎖清單。 您可以接受服務提供者的類別劃分，並能在合法網站被誤封鎖時等待處理。

只要打破上述任何一項條件，付費 DNS 過濾就物有所值。如需了解更廣泛的選擇，請參閱我們的 DNS 過濾替代方案指南。

免費與付費 DNS 過濾：用一張決策圖快速判斷

依序回答四個問題。只要符合其中任何一個條件，就代表您應該選用付費方案。

哪種方案適合哪種場地情境？

本表將常見的場地網路型態對應至建議方案及其背後的評估條件。

實際案例：擁有病患、訪客和員工網路的 NHS 信託基金

情況。 一家醫院信託基金為病患、訪客和臨床員工營運 WiFi。使用單一免費解析器會給予這三個群體相同的原則，並讓安全團隊無法取得封鎖紀錄。

採取的做法。 St George's Healthcare NHS Trust 在其 WiFi 上運行 Purple Shield 作為防護型 DNS。

結果。 Shield 替該信託基金封鎖惡意威脅，每一個威脅都在連線建立前被阻擋。免費解析器或許能封鎖部分相同的網域，但信託基金中沒有人能看到具體數量。

實際案例：擁有 200 間客房的飯店停止使用免費解析器

情況。 一家擁有 200 間客房的飯店將訪客和員工 VLAN 指向同一個免費的家庭過濾解析器。櫃檯工作人員存取訂房夥伴的網站時被錯誤封鎖，且訪客網路在繁忙的晚上速度變慢。

採取的做法。 飯店轉用具有獨立訪客與員工原則的付費防護型 DNS。飯店將夥伴網站列入允許清單一次，並為訪客 VLAN 開啟廣告封鎖功能。

可預期的成果。 櫃台的網路壅塞問題只需一項變更即可化解，不必再向沒有工單排隊機制的供應商提交支援工單。根據 Purple 的內部數據，廣告攔截可減少高達 44% 的資料傳輸量以及高達 62% 的 DNS 查詢量。這意味著在尖峰時段能將更多網路容量還給訪客。

免費 DNS 過濾器能提供什麼？又缺少了什麼？

免費的公用解析器能出色地完成一項工作：拒絕解析其封鎖清單上的網域。場館網路中最常見的有三種：

• Cloudflare 1.1.1.1 家庭版 提供兩種固定設定：封鎖惡意軟體，或是封鎖惡意軟體加成人內容（Cloudflare 技術文件）。
• Quad9 利用來自安全性合作夥伴的威脅情報封鎖惡意網域，但不具備內容分類功能。它由一家總部位於瑞士的非營利基金會營運。
• OpenDNS FamilyShield 會根據預先設定好的清單封鎖成人內容。Cisco 的付費 Umbrella 服務就是從 OpenDNS 發展而來的。

NextDNS 和 AdGuard DNS 等免費增值服務在免費方案中增加了儀表板與自訂清單。但它們會限制使用量，且規格僅適用於家庭，因此在部署到飯店前請先確認條款。

以下是企業網路依賴免費解析器時所放棄的功能：

• 所有網路只能使用單一策略。 解析器只能看到您的公用 IP 位址，看不見您的 VLAN。您可以將每個 VLAN 指向不同的免費解析器，但這只是在固定菜單中做選擇，而不是在制定策略。
• 沒有可供讀取的日誌。 當員工的筆記型電腦存取釣魚網域時，您沒有任何紀錄可供調查。您無法得知是哪台裝置在何時提出的請求。
• 無法手動覆蓋。 您無法將被誤封鎖的供應商網站列入白名單。您只能等待服務提供者重新分類該網站，或者將所有人轉移到另一個解析器。
• 無法選擇分類。 賭博、社交媒體、影音串流和檔案分享都是您需要決策的項目。免費解析器會替您決定，或是完全不提供這些選項。
• 沒有客戶支援。 當週六晚上解析速度變慢時，沒有工單系統、沒有指定的聯絡人，也沒有服務層級協定。
• 沒有稽核證據。 安全防護稽核、保險公司問卷和執照審查都會詢問您封鎖了哪些內容。免費解析器無法提供任何資料供您展示。

付費 DNS 過濾能為企業網路增加什麼？

付費 DNS 過濾保持相同的部署位置，並增加了控制力、可視性以及專人支援。對場館而言，最重要的是以下五項新增功能：

• 依據 SSID、VLAN 和場館客製化策略。 訪客獲得惡意軟體、網路釣魚和成人內容封鎖保護。員工獲得符合其工作的策略。住宿居民獲得具有惡意軟體防護的家庭式存取權，全部由單一儀表板統一管理。
• 報告與查詢記錄。 您可以檢視每個網路被攔截的威脅，並在事件發生後調查特定裝置的查尋紀錄。設定符合 GDPR 規範且合理的保留期限。
• 允許與阻擋清單。 解除對供應商的阻擋一次，變更即可同步至每個據點。
• 更快速的威脅情報。 Shield 使用最新威脅情報，以更快的速度標記威脅。
• 廣告攔截。 Purple 的內部測量顯示，啟用廣告攔截後，數據傳輸量最多可減少 44%，DNS 查詢量最多可減少 62%。在擁擠的活動或交通網路中，這能為您釋放出寶貴的後傳頻寬。

付費方案有何不同

Cisco Umbrella 隸屬於 Cisco 更廣泛的安全產品組合。它適合已經採用 Cisco 安全工具標準化的團隊；我們的 Cisco Umbrella 定價指南 詳細說明了其定價結構。

DNSFilter 是一項獨立的保護性 DNS 服務，並提供針對託管服務提供者 (MSP) 的方案。它適合將 DNS 過濾作為獨立工具的 IT 團隊與 MSP。

Purple Shield 是專為場地 WiFi 設計的保護性 DNS。它可以獨立執行於任何 WiFi 上，或附加至 Purple Access，並能針對每個 SSID、VLAN 與場地設定獨立原則。由於它在 DNS 層級運作，因此無需安裝新硬體。它可在基於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 建置的網路上執行。Purple 的服務已覆蓋全球 90 個國家/地區、超過 80,000 個場地。

每種方案的營運成本是多少？

授權費是此比較中佔比最小的項目。請比較各方案在一年之中所消耗的人力時間。

免費過濾只是將成本從發票轉移到您的團隊身上。每一次誤報都會變成無解的工單，只能被動等待；每一次事件都會變成缺乏資料佐證的調查。

像 Pi-hole 這樣的自託管過濾器，是用修補、硬體及非工作時間的維運責任來換取免授權費。Pi-hole 與託管型 DNS 過濾比較 詳細分析了這種取捨。

付費廠商通常按場地、網路、裝置或席位計費。在比較報價之前，請先建立符合您場域規模的估算模型。關於 Shield，請參閱 Purple Shield 定價，並可將廣告攔截所節省的頻寬費用抵扣訂閱費。

哪些因素會改變評估結果？

未滿 18 歲者會使用該網路

在英格蘭，中小學與大專院校必須符合教育部的 過濾與監控標準。這些標準與兒童安全教育指引 (KCSIE) 並行。官方要求您必須明確掌握被封鎖的內容並定期審查。沒有存取記錄的免費解析器無法提供此證明，因此這種情況下必須選擇付費方案。

您是符合資格的英國公營機構

NCSC 為符合資格的公營機構提供免費的 Protective DNS 服務。它可以封鎖企業網路上的已知惡意網域。但它無法為訪客 WiFi 提供內容分類或針對個別 SSID 的策略設定。一種可行的分工方式是在企業網路上使用 NCSC Protective DNS，並在訪客 WiFi 上使用付費過濾。

頻寬是效能瓶頸

在體育場、車站或回傳網路頻寬有限的偏遠場所，廣告封鎖功能能改變運算條件。根據 Purple 本身蚁數據，減少高達 44% 的資料傳輸量和高達 62% 的 DNS 查詢，即可抵銷部分費用。

您已經付費購買了安全性堆疊

如果 Cisco Umbrella 已經涵蓋您的企業資產，將其擴展至訪客 WiFi 的成本可能會更低。關鍵測試在於其策略模型是否適用於跨多個場地的個別 SSID 訪客網路。在您正式簽約前，請先透過試用來驗證這一點。

您營運多個場地或為他人管理場地

每個免費的解析程式都需要針對各場地單獨設定，無法提供統一的檢視視角。對於跨場地的網路架構，控制台才是產品的核心價值。適用於 MSP 與多場地架構的 DNS 過濾 涵蓋了這種情境。

場地只有一個房間與一個 SSID

只有一個訪客 SSID 的單一咖啡館是適合使用免費方案的合理情境。將該 SSID 指向具備家庭過濾功能的解析程式並關閉繞過通道。當您新增員工網路或第二個場地時，再重新評估此決定。

展場與場地 WiFi 的推薦預設設定是什麼？

您的首要行動是進行資產盤點。列出每個場地的所有 SSID 和 VLAN、目前使用的解析程式，以及如果誤封鎖網站誰會發現。然後在一個場地執行具備獨立訪客與員工策略的 30 天 DNS 過濾試用。

DNS 過濾是網路安全的一個層級。關於其周圍的控制措施，從 IEEE 802.1X（基於連接埠的網路驗證）到 WPA3，請參閱我們的 企業 WiFi 安全指南。

常見問題

我可以在企業訪客 WiFi 網路上使用免費的 DNS 過濾器嗎？

可以，適用於單一低風險的 SSID，但請先查看條款。免費的公共解析器（例如 Quad9 和 Cloudflare 1.1.1.1 for Families）提供單一固定策略，沒有紀錄也沒有支援。Freemium（免費加值）層級（例如 NextDNS）會限制使用量，且規模適用於家庭。一旦訪客和員工網路共享連線，或者您必須證明已進行過濾，免費解析器就不再適用。

付費的 DNS 過濾費用是多少？

付費 DNS 過濾是一種訂閱服務，根據廠商的不同，按照場地、網路、裝置或席位計價。我們不公布其他廠商的價格。在比較報價之前，請先建立符合您資產規模的單位模型。Shield 計價方式請參閱 Purple Shield 價格頁面。您可以將廣告攔截所節省的任何頻寬效益折抵費用。

Purple Shield 是否支援我現有的存取點（AP）？

是的。Shield 在 DNS 層級運作，因此無需新的硬體，也無需更換存取點。它能在基於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 的網路上執行。您可以在任何 WiFi 上單獨執行，或將其新增至 Purple Access，並按照 SSID、VLAN 和場地來設定策略。

如何從免費解析器轉移到付費的 DNS 過濾？

透過變更 DHCP 範圍派發的 DNS 伺服器，一次轉移一個網路。從單一場地的訪客 SSID 開始，觀察一週的封鎖情況和服務台來電。然後將員工 VLAN 轉移到他們專屬的策略上。在轉移過程中，同步關閉防火牆上的旁路。我們的 30 天試用計劃 列出了順序和檢查項目。

DNS 過濾是否有助於符合 GDPR 和保護（safeguarding）合規性？

是的，前提是它附帶紀錄和明確的保留策略。保護架構（例如 KCSIE）希望您能展現哪些內容已被過濾和審查。根據 GDPR，查詢紀錄可能包含個人資料，因此請僅保留在您可以合理說明的時間內。Purple 已通過 ISO 27001 和 Cyber Essentials 認證，並符合 GDPR 標準。

Purple Shield 與 Cisco Umbrella 及 DNSFilter 相比如何？

三者皆為付費的防護型 DNS 服務，能在連線建立前的解析階段進行過濾。Cisco Umbrella 適合已標準化採用 Cisco 安全工具的團隊。DNSFilter 是一項帶有 MSP 方案的獨立服務。Shield 則是專為場地 WiFi 所打造，可透過單一儀表板針對每個 SSID、VLAN 和場地設定策略。Whitbread、AGS Airports 與 St George's Healthcare NHS Trust 皆已採用。

訪客可以繞過 DNS 過濾嗎？

是的，蓄意的訪客可以透過 VPN 或將裝置設定為其專屬的加密 DNS 來繞過任何 DNS 過濾。您可以透過封鎖連往您指定的解析器之外的所有出站 Port 53 來降低此風險。同時也在防火牆端封鎖已知的 DNS over HTTPS 端點。在訪客 WiFi 環境中，核心目標是保護大多數的普通使用者，而非阻擋每一位技術專家。