場域專用的 Pi-hole 與代管式 DNS 過濾比較

當您僅營運單一場域、只需要廣告與追蹤器封鎖功能，且有人能定期進行修補時，可以使用 Pi-hole。當您營運多個場域或需要威脅情資時，請使用像是 Purple Shield 這類的託管式 DNS 過濾服務。Shield 能透過單一儀表板，針對每個網路與場域設定統一的策略。根據 Purple 的數據，其廣告封鎖功能最多可減少高達 62% 的 DNS 查詢。

場域何時該使用 Pi-hole？何時該使用託管式 DNS 過濾？

部署位置決定了這兩種選項能發揮的作用。DNS（網域名稱系統）過濾是在裝置請求位址時、任何連線建立之前就採取行動。當訪客的手機向解析器詢問釣魚網域的位置時，過濾器會拒絕回答，因此不會有任何流量到達該主機。防火牆則是在下一步行動，即解析成功後，針對 IP 位址和連接埠進行處置。這就是為什麼防護性 DNS 能攔截防火牆遺漏的威脅。範例包括快速變更的釣魚主機、惡意軟體網域，以及共享發送網路上的追蹤器。

Pi-hole 與託管服務在完全相同的時間點進行過濾。差別在於解析器所在的位置以及由誰維運。Pi-hole 是免費的開放原始碼軟體，您可以安裝在每個場域內部的小型伺服器上。而像是 Purple Shield、DNSFilter 或 Cisco Umbrella 等託管服務，則是在雲端運行其解析器。您只需變更 DHCP（動態主機設定協定）範圍發放的 DNS 伺服器，就能從中央集中管理策略。

經驗法則即源於此分界。Pi-hole 不需要授權費用，但每個據點都會增加需要修補、備份和維持運作的硬體設備。託管服務雖然需要訂閱費用，但維護第 30 個場域所需的花費精力並不比第一個場域多。對於擁有明確負責人的單一場域而言，Pi-hole 是個明智的選擇。但若算上人力成本，對於擁有多個據點的企業資產，或是任何具有法規合規壓力的網路，託管式過濾才是更具成本效益的預設選擇。我們針對 DNS 過濾替代方案 的總覽涵蓋了更廣泛的產品類別。

您該如何在 Pi-hole 與代管式 DNS 過濾之間進行選擇？

四個問題就能決定大多數場所的需求。這裡有兩個經常出現的術語：SSID 是訪客看到的網路名稱；VLAN（虛擬區域網路）則是共用交換器上邏輯隔離的網路，用於分隔訪客、員工與租戶的流量。如果不同的 SSID 或 VLAN 需要不同的規則，選擇就會明確朝向代管式服務。

哪種方案適合每種類型的場所？

場所類型是衡量圖表中各項條件的實用指標。它代表您維運的網路數量、負責待命的人員，以及 WiFi 所承擔的法規比重。請參閱「原因」一欄，瞭解每項決策背後的條件。

有兩個模式特別明顯。只有在主要需求為廣告攔截且有專人管理設備時，Pi-hole 才勝出。每個擁有不同受眾的情境都需要為每個網路設定獨立策略。Pi-hole 雖然能透過群組管理來達成類似效果，但僅限於單一執行個體，且只能依據用戶端位址進行設定。

用於場所 WiFi 的 Pi-hole：您能獲得什麼與需要維運什麼

Pi-hole 的優勢

Pi-hole 是一款專為全網路廣告攔截而設計的 DNS 封鎖洞 (DNS sinkhole)。它對黑名單網域的查詢回應無效位址，使廣告與追蹤器無法載入。它可以運行在 Linux、容器或 Raspberry Pi 上。其 Web 介面能即時顯示每筆查詢。它還可以驗證 DNSSEC、轉發至您選擇的上游解析器，並作為 DHCP 伺服器運作。

對於單一場所來說，這已涵蓋許多功能。查詢記錄會保留在您自己的硬體上，這是某些隱私團隊偏好的方式。群組管理功能可將不同的黑名單套用到不同的用戶端。內建的備份工具 Teleporter 能匯出設定，方便您在設備故障時迅速重構。

Pi-hole 在場所應用中的局限

當 Pi-hole 從家用網路轉移到數百名陌生人依賴的訪客網路時，其局限性就會顯現出來。

• 單點故障 (Single point of failure)。 如果唯一的解析器停止運作，訪客將失去功能正常的功能功能，並回報 WiFi 故障。
• 僅支援清單，不支援類別。 Pi-hole 只會封鎖清單內包含的項目。全新的釣魚主機在清單維護者將其納入之前皆能順利通過。
• 無封鎖頁面。 被封鎖的網域不會傳回可用的位址，因此訪客會看到瀏覽器錯誤訊息。現場服務人員必須負責回答這些疑問。
• 每個據點僅能安裝一個執行個體。 沒有針對多個執行個體設計的內建管理主機。雖然有社群同步工具，但這些工具也需要由您自行維護。
• 僅有社群支援。 協助僅來自論壇與說明文件，而非設有回應時間保證的技術支援中心。

託管式 DNS 過濾：Purple Shield、DNSFilter 與 Cisco Umbrella

託管式過濾的運作方式

託管式保護型 DNS 服務會為您運作解析器。您只需將每個網路的 DNS 指向該服務即可。每次查詢都會對照維護中的類別與威脅資情進行檢查。服務提供者會對新網域進行分類並修補基礎架構。您可以在單一控制台設定策略，並讀取跨所有據點的報告。

由於變更發生在 DHCP，因此託管式過濾與硬體無關。它可以在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 網路上運作，無需購買新設備。請參考您的設備廠商文件以取得正確的 DHCP 設定。

這三種服務有何不同

DNSFilter 與 Cisco Umbrella 是通用型的保護型 DNS 服務。兩者皆銷售予企業 IT 團隊與託管服務提供者 (MSP)，且兩者皆提供可自訂封鎖頁面的說明文件。Umbrella 位於 Cisco 更廣泛的安全產品組合中，因此授權方式遵循 Cisco 的包裝。我們的 Cisco Umbrella 定價指南解釋了在索取報價前需要進行哪些評估。

Purple Shield 是專為場域 WiFi 所打造。您可以在任何 WiFi 網路上獨立執行，或者與 Purple Access 搭配使用。無論採用哪種方式，您都可以從單一儀表板針對每個 SSID、VLAN 與場域設定策略。這符合場域的分割方式：訪客、員工、租戶與後台網路很少會使用相同的規則。Purple 營運覆蓋 90 個國家/地區的 80,000 多個實體場域，而 Shield 與該平台共用基礎架構。

Shield 還能封鎖廣告，這對於受到流量限制或共用回傳傳輸的網路非常重要。根據 Purple 的資料，廣告封鎖最多可減少 44% 的資料量以及高達 62% 的 DNS 查詢。節省下來的頻寬資源可重新投入至您訪客真正需要的內容上。

跨據點自行託管的 DNS 過濾器成本為何？

授權費用是 Pi-hole 看起來無懈可擊的地方，但這也是它唯一勝出之處。自行託管 DNS 過濾器的總成本是硬體加上人工，再乘以執行個體的數量。

適用於您企業環境的簡單模型

請從執行個體數量來建立模型，而非據點數量。每個據點設置兩個執行個體是避免次要 DNS 陷阱的最低需求。因此 30 個據點代表 60 個解析器，且每個解析器都有自己的作業系統與黑名單設定。

接著請評估各項重複性任務的時間成本。以下數字為用於示範計算邏輯的規劃假設；您可替換為貴單位的實際數據。

• 更新與健康檢查： 假設每個執行個體每月需要 15 分鐘。以 60 個執行個體計算，每月即為 15 小時。
• 黑名單修正： 除非您使用同步工具，否則每變更一次白名單，都必須在每個執行個體上各自執行一次。
• 事件處理： 遠端據點的硬碟故障需要安排人員到場處理。
• 稽核證明： 每個執行個體各別產生報告，需要人工進行彙整。

將每月總時數乘以包含加成費用的員工時薪，並加上硬體更新費用。將此總額與 Shield 定價頁面 的訂閱費用進行比對。在僅有單一據點時，自託管的總成本很低。但在 30 個據點時，除了評估 Pi-hole 未曾提供的威脅分類價值外，人力更是需要密切關注的重點項目。

實例情境：擁有 30 家門市的零售企業

一家擁有 30 家門市的服飾零售商，在三家分店試行了用於訪客 WiFi 的 Pi-hole。試驗達成了預期效果：顧客網路上不再載入廣告。但若要全面推廣，則意味著需要維護 60 個執行個體、一套同步工具以及未列入預算的待命排班。IT 團隊使用上述假設進行模型推算，光是日常維護每月就需要 15 小時。最終該公司決定改將所有 30 家門市遷移至託管型 DNS，分別為顧客與員工套用單一原則。成果為：原本預計部署的 60 個解析器縮減為零台現場設備，且每項原則變更只需執行一次，而非 60 次。

哪些因素會改變最終決定？

經驗法則在五種情況下會有彈性空間。每一種情況都可能讓場域從一個選項轉向另一個選項。

據點與網路數量

單一據點配備單一訪客網路能讓 Pi-hole 保持可行。每增加一個據點就會增加兩個執行個體。每增加一個具有獨立規則的 SSID 或 VLAN，就會在每個執行個體上增加群組設定。我們針對 MSP 與多據點物業的 DNS 過濾指南 深入探討了多據點物業的架構。

凌晨兩點由誰負責維護

Pi-hole 仰賴每週有固定時間的指定負責人。如果負責人意味著「當初建置的人」（通常是已離職的外包廠商），請選擇代管服務。

廣告攔截或威脅防護

如果需求只是減少廣告和加快頁面載入，Pi-hole 的清單就足夠了。如果需求包含防範釣魚網站、惡意軟體和新註冊的網域，您需要持續維護的威脅情報源。這正是防護型 DNS 服務所提供的功能。

關懷責任與法規遵循

圖書館、學校和醫療機構的公共 WiFi 負有過濾有害內容的責任。例如英格蘭的學校遵循教育部發布的 過濾與監控標準。比起單一據點的清單，中央分類報告更容易提供合規證明。對於 PCI-DSS，DNS 過濾無法取代持卡人資料環境的網路隔離。但它能降低週邊網路的惡意軟體風險。我們的 企業 WiFi 安全指南 進一步涵蓋了網路隔離的內容。

隱私與資料保護

與裝置連結的 DNS 查詢紀錄在 GDPR 標準下可能被視為個人資料。使用 Pi-hole，您可以在每台硬體上設定資料保留與存取權限。使用代管服務，您需要一份資料處理協議。Purple 通過 ISO 27001 認證並符合 GDPR規範。

實例演練：擁有 120 間客房的飯店

一家擁有 120 間客房的城市飯店在迷你電腦上運作單一 Pi-hole 以提供訪客 WiFi。DHCP 將其作為唯一的 DNS 伺服器發放。當其儲存裝置在夜間故障時，訪客可以連線至 WiFi 但無法載入任何頁面。在 IT 外包廠商趕到之前，值班經理接到了大量客訴。該飯店隨後將訪客和員工 SSID 遷移至具有獨立策略的代管 DNS。結果：現場無需任何解析器、從單一控制面板設定兩項策略，且不再有任何在地端的硬體會發生故障。

場域 WiFi 的推薦預設方案是什麼？

對於包含兩個或更多場地的任何資產，預設採用代管式防護型 DNS；而在場地 WiFi 方面，我們建議使用 Purple Shield。它能在連線建立前於解析器端進行過濾，並針對每個 SSID、VLAN 與場地設定政策。此外，它還能從您的修補清單中移除每個現場解析器。對於擁有具名負責人且有廣告攔截需求的單一場地，以及實驗室環境，Pi-hole 仍是合適的解決方案。

您的第一步是在一個場地的單一訪客 SSID 上進行為期 30 天的試用。將其 DNS 指向 Shield，並保持其他所有網路原封不動。接著比較已封鎖的威脅、資料量與技術支援工單。30 天 DNS 過濾試用計畫詳細列出了每週應衡量的指標。

常見問題

在商業場地使用 Pi-hole 是免費的嗎？

是的，該軟體免費且開源，您可以在訪客 WiFi 上執行。但您仍需支付硬體費用（每個場地需要兩個執行個體以實現備援），以及用於修補、封鎖清單修復與事故處理的人力時間。在單一場地，這些成本並不高；但跨多個場地時，人力成本將成為最大開銷。決策應基於總成本而非授權費用。

Purple Shield 能否搭配我現有的基地台運作？

可以。Shield 在 DNS 層運作，因此只需變更 DHCP，無需購買新硬體。它可以運行於採用 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 建置的網路上。您可以獨立在任何 WiFi 網路上執行，也可以與 Purple Access 搭配運作，並針對每個 SSID、VLAN 與場地套用政策。

Shield 的定價與執行 Pi-hole 相比如何？

Shield 採用訂閱制，而 Pi-hole 則無授權費，因此請比較總成本而非目錄價格。就 Pi-hole 而言，需加上每個據點兩台實例的硬體費用、每月修補作業時間和隨時待命時間。將這些成本與 Shield 定價頁面 上的訂閱費用進行比較。每增加一個據點，比較優勢就會進一步轉向託管服務。

我們可以在不停機的情況下從 Pi-hole 移轉嗎？

可以，只要您一次移轉一個網路即可。使用 Pi-hole 的 Teleporter 工具匯出您的設定，並記下您仍需要的核准清單項目。在新策略中重新建立這些例外狀況，然後變更一個 SSID DHCP 範圍內的 DNS 伺服器。觀察幾天後，再移轉下一個網路。在最後一個網路移轉完成之前，請保持 Pi-hole 正常運作。

DNS 過濾是否有助於符合 GDPR 和 PCI DSS 的規範？

這有所幫助，但單憑此項無法確保合規。就 PCI DSS 而言，網路區隔可確保訪客與員工的 WiFi 排除在持卡人資料環境之外。DNS 過濾則能降低該邊界周圍的惡意軟體風險。針對 GDPR，與裝置綁定的 DNS 記錄可能屬於個人資料，因此請設定保留與存取規則。Purple 通過 ISO 27001 認證並符合 GDPR 規範。

Shield 與 Cisco Umbrella 以及 DNSFilter 相比如何？

這三者皆在雲端進行 DNS 解析時過濾，因此部署優勢相同。DNSFilter 和 Cisco Umbrella 是銷售給企業 IT 團隊和託管服務供應商的通用型服務。Shield 則是專為場域 WiFi 所建置，可針對每個 SSID、VLAN 和場域制定策略。它可以單獨執行，也可以與 Purple Access 一起使用。Whitbread、AGS Airports 和 St George's Healthcare NHS Trust 均採用 Shield。

訪客可以繞過 DNS 過濾嗎？

無論您選擇哪種方案，有些人都可能做到。使用 DNS over HTTPS (RFC 8484) 或 VPN 的裝置會將查詢繞過您的解析程式。請封鎖知名的公開 DoH 端點。同時也請封鎖 Firefox 的 canary 網域，該網域會指示瀏覽器繼續使用本機 DNS。在訪客 WiFi 上，目標是保護絕大多數從未變更過設定的使用者。