Smart DNS is nie 'n VPN nie: wat daardie DNS-instelling werklik verander

Jy wys die TV na 'n Smart DNS-oplosser, een stromingsapp begin werk, en die gevolgtrekking skryf homself: dit is 'n VPN wat minder kos en vinniger installeer. Dis nie so nie, en die verskil is nie haarklowery nie. Wat verander het, is die antwoord wat die TV gekry het toe dit gevra het waar 'n gasheernaam woon; wat nie verander het nie, is dat elke pakkie jou huis steeds onversleuteld verlaat, op dieselfde pad, vanaf dieselfde adres wat die ISP reeds ken. Die mite is dat 'n DNS-instelling 'n tonnel is. Die werklikheid is smaller en nuttiger sodra jy dit sien.

Die mite: 'n DNS-verandering herlei jou verkeer

Gewone DNS sê vir 'n toepassing waar om te koppel. 'n Smart DNS-diens beantwoord geselekteerde gasheername met adresse wat aan die verskaffer se eie infrastruktuur behoort, sodat die app daarheen koppel in plaas van direk na die diens. Die verskaffer stuur dan daardie een stroom na die werklike bestemming deur. Niks anders op die toestel beweeg nie.

Dít is hoekom die truuk hoegenaamd op 'n televisie of 'n konsole werk. Daar is geen kliënt, geen koppelvlak, geen inskrywing in die roetetabel, geen enskripsielaag nie. Die toestel doen presies wat dit nog altyd gedoen het: dit los 'n naam op en koppel aan wat ook al terugkom. Jy het die antwoord verander, nie die pad van elke pakkie nie.

Die etiket word ook deur onverwante DNS-projekte gebruik, so kyk na die verskaffer se eie dokumentasie eerder as om 'n funksiestel uit die naam af te lei. Daar is geen standaard Smart DNS-protokol nie; die dekking van een produk sê niks betroubaars oor 'n ander nie.

Wat werklik gerig word, en wat nie

Die onderskeid is maklik om te sien sodra jy dit per stroom eerder as per toestel opnoem.

Jy kan dit sien gebeur. Vra die verskaffer se oplosser vir 'n gasheernaam en vra 'n openbare oplosser vir dieselfde een:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Verskillende antwoorde beteken sturing op die naamlaag. Dieselfde antwoord beteken óf die diens word nie vir daardie naam gedek nie óf die toestel gebruik nie daardie oplosser nie — 'n fout wat soos 'n DNS-waninstelling lyk en dikwels as 'n stukkende rekening beskou word.

Daar is 'n tweede fout met dieselfde reuk. Baie verskaffers magtig op grond van die openbare adres wat jy tans gebruik, so die rekening werk totdat die adres verander. Carrier-grade NAT-rotasie, of 'n VPN bo-op, verskuif daardie adres en die aflos weier jou, terwyl die oplossing aanhou slaag. Die registerinskrywing is 'n toegangsbeheer, nie 'n bewys van 'n eksklusiewe uitgang nie.

Geënkripteerde DNS is heeltemal 'n derde ding

DNS over HTTPS en DNS over TLS beskerm die uitruiling tussen jou toestel en die oplosser. Hulle versleutel en verifieer die navraag sodat die plaaslike netwerk dit nie kan lees of herskryf nie, en DoH dra dit in gewone HTTPS-verkeer op poort 443, wat ook die rede is waarom dit vir 'n filter soos webverkeer lyk. Dit is 'n vertroulikheidsfunksie vir opsoekings.

Om 'n diens te stuur is 'n ander funksie: die antwoord self wys na 'n tussenganger. 'n Produk kan albei gelyktydig bied, en baie doen dit, maar een impliseer nie die ander nie. Om jou opsoekings te versleutel het nog nooit 'n enkele greep video deur 'n ander land beweeg nie.

Dus „geënkripteerde DNS“ beantwoord 'n vraag oor wie jou navrae kan lees. Dit beantwoord nie wie jou verkeer kan sien nie, en dit gee jou nie 'n nuwe uitgangsadres nie. Die spesifikasie van DNS over HTTPS is die regte verwysing vir wat daardie beskerming dek, en dit sê niks oor roetering nie.

Wie sien wat in elke reëling

Met Smart DNS sien die oplosser die name wat jy opsoek, die verskaffer se aflos sien die verbindings wat dit dra, en jou ISP sien steeds alles anders in gewone teksstruktuur: watter adresse jy gekontak het, wanneer, en hoeveel. Inhoud bly deur TLS na die bestemming in die gerigte stroom beskerm, so die aflos stuur 'n geënkripteerde sessie deur wat dit nie kan lees nie — maar dit kan sien dat jy gekoppel het, van waar, en vir hoe lank.

Met 'n VPN sien die tonneloperateur jou verkeer en jou bestemmings, wat 'n enkele gekonsentreerde vertrouensbesluit is, en jou ISP sien net 'n geënkripteerde stroom na een eindpunt. Ander blootstelling, nie outomaties minder nie. Nie een model moet beoordeel word aan of een werf oopgaan nie.

Spoed volg die pad eerder as die etiket. 'n Selektiewe aflos kan onverwante verkeer van 'n ompad hou, wat 'n werklike voordeel is vir 'n toestel wat andersins alles sou tonnel. Dit is ook geen waarborg nie, en geen reëling belowe permanente toegang tot 'n diens wat aktief probeer om dit op te spoor nie.

Wanneer Smart DNS die regte gereedskap is

Dit is werklik die regte gereedskap wanneer die toestel hoegenaamd nie 'n VPN-kliënt kan loop nie — 'n televisie, 'n konsole, 'n set-top box met 'n geslote netwerkstapel — en wanneer net 'n genoemde diens saak maak. Dit is ook redelik wanneer jy doelbewus nie wil hê elke pakkie op daardie toestel moet getonnel word nie.

Dit is die verkeerde gereedskap wanneer die vereiste versleuteling, 'n uitgangsadres vir die hele toestel, of beskerming teen die plaaslike netwerk en die ISP is. Dit is tonnel-eienskappe, en geen oplosserinstelling lewer hulle nie. En as jy 'n VPN op dieselfde toestel laat loop, verwag dat die registrasiegebaseerde magtiging sal breek, want jou openbare adres is nou die tonnel se adres.

Voer hierdie besluit in volgorde uit en stop by die eerste reël wat waar is:

• Het jy die verkeer versleutel nodig en die hele toestel op 'n nuwe uitgang? Gebruik 'n VPN, en kyk na sy roetes en uitsonderings eerder as na sy gekoppelde-aanwyser.
• Het jy net 'n paar genoemde dienste nodig op 'n toestel wat nie kan tonnel nie? Smart DNS is proporsioneel.
• Het jy jou opsoekings privaat nodig, maar nie jou verkeer verskuif nie? Dit is geënkripteerde DNS, wat nie een van die bogenoemde is nie.
• Maak die verskaffer op jou huidige adres staat? Verwag onderbreking die oomblik wanneer dit verander.