Smart DNS ليس VPN: ما الذي تغيّره إعداد DNS تلك فعلاً
إعداد Smart DNS يوجّه استعلامات الأسماء لخدمات قليلة. وهو ليس نفقاً مشفّراً، والفارق يحدّد من يستطيع رؤية حركة مرورك.
توجّه التلفاز إلى خادم Smart DNS، فتبدأ إحدى تطبيقات البث بالعمل، فيكتب الاستنتاج نفسه: هذا VPN أرخص وأسرع تثبيتاً. لكنه ليس كذلك، والفارق ليس تنطّعاً. ما تغيّر هو الجواب الذي تلقاه التلفاز عندما سأل أين يقيم اسم مضيف؛ وما لم يتغيّر هو أن كل حزمة ما زالت تغادر بيتك مكشوفة، على المسار نفسه، ومن العنوان نفسه الذي يعرفه مزوّد الخدمة سلفاً. الأسطورة أن إعداد DNS نفق. والواقع أضيق وأكثر فائدة حين تراه.
الأسطورة: تغيير DNS يعيد توجيه حركة مرورك
DNS العادي يخبر التطبيق بأين يتصل. خدمة Smart DNS تجيب عن أسماء مضيفين مختارة بعناوين تنتمي إلى البنية التحتية للمزوّد نفسه، فيتصل التطبيق هناك بدلاً من الخدمة مباشرة. ثم يمرّر المزوّد ذلك المسار الواحد إلى الوجهة الحقيقية. ولا يتحرك شيء آخر على الجهاز.
لهذا تعمل الحيلة أصلاً على تلفاز أو وحدة تحكّم. لا يوجد عميل، ولا واجهة، ولا مدخل في جدول التوجيه، ولا طبقة تشفير. الجهاز يفعل بالضبط ما فعله دائماً: يحلّ اسماً ويتصل بما يعود. أنت غيّرت الجواب، لا مسار كل حزمة.
يُستخدم هذا الاسم أيضاً في مشاريع DNS غير ذات صلة، فتحقّق من وثائق المزوّد نفسه بدلاً من افتراض مجموعة ميزات من الاسم. لا يوجد بروتوكول Smart DNS قياسي؛ وتغطية منتج واحد لا تقول شيئاً موثوقاً عن آخر.
ما الذي يُوجَّه فعلاً، وما الذي لا يُوجَّه
التمييز سهل الرؤية بمجرد أن تسرد الأمر حسب التدفّق لا حسب الجهاز.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
يمكنك أن ترى ذلك يحدث. اسأل خادم المزوّد عن اسم مضيف واسأل خادماً عاماً عن الاسم نفسه:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleالإجابات المختلفة تعني توجيهاً على طبقة الاسم. والإجابة نفسها تعني إمّا أن الخدمة غير مشمولة لذلك الاسم أو أن الجهاز لا يستخدم ذلك الخادم — عطل يبدو كخطأ في إعداد DNS ويُظنّ كثيراً أنه حساب معطوب.
هناك عطل ثانٍ بالرائحة نفسها. كثير من المزوّدين يصرّحون بحسب العنوان العام الذي تستخدمه حالياً، لذا يعمل الحساب حتى يتغيّر العنوان. تدوير NAT من نوع Carrier-grade، أو VPN فوقه، ينقل ذلك العنوان فيرفضك المُرحّل، بينما يظلّ الحلّ ناجحاً. قيد السجل هو تحكّم في الوصول، لا دليل على مخرج حصري.
DNS المشفّر شيء ثالث تماماً
DNS عبر HTTPS وDNS عبر TLS يحمي التبادل بين جهازك والخادم. فهو يشفّر الاستعلام ويوثّقه كي لا تستطيع الشبكة المحلية قراءته أو إعادة كتابته، ويحمله DoH داخل حركة HTTPS عادية على المنفذ 443، ولهذا أيضاً يبدو كحركة ويب أمام أي مُصفٍّ. تلك ميزة سرّية للاستعلامات.
توجيه خدمة وظيفة أخرى: الإجابة نفسها تشير إلى وسيط. يمكن لمنتج أن يقدّم الاثنين معاً، وكثير منها يفعل، لكن أحدهما لا يستلزم الآخر. تشفير استعلاماتك لم ينقل يوماً بايتاً واحداً من فيديو عبر بلد آخر.
لذا فإن «DNS المشفّر» يجيب عن سؤال من يستطيع قراءة استعلاماتك. وهو لا يجيب عن من يستطيع رؤية حركة مرورك، ولا يمنحك عنوان خروج جديداً. و مواصفة DNS عبر HTTPS هي المرجع الصحيح لما تغطّيه تلك الحماية، ولا تقول شيئاً عن التوجيه.
من يرى ماذا في كل ترتيب
مع Smart DNS، يرى الخادم الأسماء التي تستعلم عنها، ويرى مُرحّل المزوّد الاتصالات التي يحملها، وما زال مزوّد الخدمة يرى كل ما تبقّى في بنية نصّ صريح: أي العناوين اتصلت بها، ومتى، وكم. ويظلّ المحتوى محمياً بـ TLS إلى الوجهة في التدفّق الموجّه، فالمُرحّل يمرّر جلسة مشفّرة لا يستطيع قراءتها — لكنه يرى أنك اتصلت، ومن أين، ولكم من الوقت.
مع VPN، يرى مشغّل النفق حركة مرورك ووجهاتك، وهو قرار ثقة واحد مركّز، ويرى مزوّد الخدمة فقط تدفّقاً مشفّراً إلى نقطة طرفية واحدة. تعرّض مختلف، وليس أقل تلقائياً. ولا ينبغي الحكم على أي نموذج من الاثنين بما إذا كان موقع واحد يُفتح.
السرعة تتبع المسار لا التسمية. يمكن لمُرحّل انتقائي أن يبقي حركة المرور غير ذات الصلة بعيداً عن أي التفاف، وهي ميزة حقيقية لجهاز لولا ذلك لأنفق كل شيء في النفق. وهي أيضاً ليست ضماناً، ولا يعد أي ترتيب بوصول دائم إلى خدمة تحاول كشفه بنشاط.
متى يكون Smart DNS الأداة الصحيحة
إنها الأداة الصحيحة حقاً حين لا يستطيع الجهاز تشغيل عميل VPN إطلاقاً — تلفاز، أو وحدة تحكّم، أو صندوق استقبال بمكدّس شبكة مقفل — وحين تهمّ خدمة مسمّاة واحدة فقط. وهي معقولة أيضاً حين لا تريد عمداً أن تُنفَق كل حزمة على ذلك الجهاز.
إنها الأداة الخاطئة حين يكون المطلوب التشفير، أو عنوان خروج للجهاز كله، أو الحماية من الشبكة المحلية ومزوّد الخدمة. تلك خصائص نفق، ولا ينتجها أي إعداد خادم. وإذا أبقيت VPN يعمل على الجهاز نفسه، فتوقّع أن ينكسر التصريح القائم على التسجيل، لأن عنوانك العام صار عنوان النفق.
نفّذ هذا القرار بالترتيب وتوقّف عند أول سطر صحيح:
- هل تحتاج حركة المرور مشفّرة والجهاز كله على مخرج جديد؟ استخدم VPN، وافحص مساراته واستثناءاته لا مؤشّر اتصاله.
- هل تحتاج فقط بضع خدمات مسمّاة على جهاز لا يستطيع إنفاق الحركة؟ Smart DNS هو الحلّ المتناسب.
- هل تحتاج استعلاماتك خاصّة لكن دون نقل حركة مرورك؟ ذلك هو DNS المشفّر، وهو ليس أياً مما سبق.
- هل يعتمد المزوّد على عنوانك الحالي؟ توقّع الانقطاع لحظة تغيّره.