Smart DNS VPN deyil: o DNS parametri əslində nəyi dəyişir

Televizoru Smart DNS həlledicisinə yönəldirsiniz, bir yayım tətbiqi işləməyə başlayır və nəticə özünü yazır: bu, daha ucuz və daha sürətli quraşdırılan VPN-dir. Belə deyil və fərq xırdaçılıq deyil. Dəyişən şey, televizorun hansısa host adının harada yaşadığını soruşanda aldığı cavabdır; dəyişməyən şey isə hər paketin hələ də evinizdən açıq şəkildə, eyni yolla, provayderin artıq bildiyi eyni ünvandan çıxmasıdır. Mif budur ki, DNS parametri tuneldir. Reallıq isə onu görəndə daha dar və daha faydalıdır.

Mif: DNS dəyişikliyi trafikinizin yolunu dəyişdirir

Adi DNS tətbiqə hara qoşulacağını deyir. Smart DNS xidməti seçilmiş host adlarını provayderin öz infrastrukturuna aid ünvanlarla cavablandırır, beləliklə tətbiq xidmətin özünə deyil, ora qoşulur. Sonra provayder həmin bir axını real təyinat yerinə ötürür. Cihazda başqa heç nə yerindən tərpənmir.

Buna görə hiylə ümumiyyətlə televizorda və ya konsolda işləyir. Nə klient var, nə interfeys, nə marşrut cədvəlində qeyd, nə şifrələmə qatı. Cihaz həmişə etdiyini edir: adı həll edir və geri gələnə qoşulur. Siz cavabı dəyişdiniz, hər paketin yolunu yox.

Bu ad əlaqəsiz DNS layihələri tərəfindən də istifadə olunur, ona görə addan funksiya dəsti fərz etmək əvəzinə provayderin öz sənədlərinə baxın. Standart Smart DNS protokolu yoxdur; bir məhsulun əhatəsi digəri haqqında etibarlı heç nə demir.

Əslində nə yönləndirilir, nə yönləndirilmir

Fərqi cihaza görə deyil, axına görə sadalayanda görmək asandır.

Bunu görə bilərsiniz. Provayderin həlledicisindən bir host adı soruşun və eyni adı ictimai həlledicidən soruşun:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Fərqli cavablar ad qatında yönləndirmə deməkdir. Eyni cavab ya xidmətin həmin ad üçün əhatə olunmadığını, ya da cihazın həmin həlledicini istifadə etmədiyini bildirir — DNS səhv konfiqurasiyasına bənzəyən və çox vaxt pozulmuş hesabla səhv salınan bir nasazlıq.

Eyni iyə malik ikinci nasazlıq da var. Bir çox provayder hazırda istifadə etdiyiniz ictimai ünvana görə icazə verir, ona görə hesab ünvan dəyişənə qədər işləyir. Carrier-grade NAT rotasiyası və ya üstünə qoyulmuş VPN həmin ünvanı dəyişir və relay sizi rədd edir, həll isə uğurlu olmağa davam edir. Reyestr qeydi giriş nəzarətidir, eksklüziv çıxışın sübutu deyil.

Şifrələnmiş DNS tamamilə üçüncü bir şeydir

HTTPS üzərindən DNS və TLS üzərindən DNS cihazınızla həlledici arasındakı mübadiləni qoruyur. Sorğunu şifrələyir və doğrulaşdırır ki, yerli şəbəkə onu oxuya və ya yenidən yaza bilməsin, DoH isə bunu 443 portunda adi HTTPS trafiki içində daşıyır, buna görə də filtr üçün veb trafik kimi görünür. Bu, sorğular üçün məxfilik xüsusiyyətidir.

Xidməti yönləndirmək başqa funksiyadır: cavabın özü bir vasitəçini göstərir. Məhsul hər ikisini eyni vaxtda təklif edə bilər və çoxu edir, amma biri digərini şərtləndirmir. Sorğularınızı şifrələmək heç vaxt bir bayt videonu başqa ölkədən keçirməyib.

Yəni «şifrələnmiş DNS» sorğularınızı kimin oxuya biləcəyi sualına cavab verir. Trafikinizi kimin görə biləcəyi sualına cavab vermir və sizə yeni çıxış ünvanı vermir. DNS over HTTPS spesifikasiyası həmin qorumaların nəyi əhatə etdiyi üçün düzgün mənbədir və marşrutlaşdırma haqqında heç nə demir.

Hər quruluşda kim nə görür

Smart DNS ilə həlledici sorğu etdiyiniz adları görür, provayderin relay-i daşıdığı bağlantıları görür, internet provayderiniz isə qalan hər şeyi açıq mətn strukturunda görür: hansı ünvanlarla əlaqə saxladığınızı, nə vaxt və nə qədər. Yönləndirilən axında məzmun təyinat yerinə qədər TLS ilə qorunur, yəni relay oxuya bilmədiyi şifrələnmiş sessiyanı ötürür — amma görür ki, siz qoşuldunuz, haradan və nə qədər müddətə.

VPN ilə tunel operatoru trafikinizi və təyinatlarınızı görür, bu tək mərkəzləşmiş etimad qərarıdır, internet provayderiniz isə yalnız bir son nöqtəyə şifrələnmiş axın görür. Fərqli məruz qalma, avtomatik olaraq az deyil. Nə model bir saytın açılıb-açılmaması ilə qiymətləndirilməməlidir.

Sürət etiketi deyil, yolu izləyir. Selektiv relay əlaqəsiz trafiki yayındırmadan kənarda saxlaya bilər, bu isə hər şeyi tuneldən keçirəcək cihaz üçün real üstünlükdür. Bu həm də zəmanət deyil və heç bir quruluş onu aktiv şəkildə aşkarlamağa çalışan xidmətə daimi giriş vəd etmir.

Smart DNS nə vaxt düzgün alətdir

Cihaz ümumiyyətlə VPN klienti işlədə bilmədikdə — televizor, konsol, kilidli şəbəkə yığını olan set-top box — və yalnız adı çəkilən xidmət vacib olduqda, həqiqətən düzgün alətdir. Həmin cihazda hər paketin tuneldən keçməsini qəsdən istəmədikdə də məqbuldur.

Tələb şifrələmə, bütün cihaz üçün çıxış ünvanı və ya yerli şəbəkədən və internet provayderindən qorunma olduqda səhv alətdir. Bunlar tunel xassələridir və heç bir həlledici parametri onları yaratmır. Eyni cihazda VPN işlətməyə davam etsəniz, qeydiyyata əsaslanan icazənin pozulacağını gözləyin, çünki ictimai ünvanınız artıq tunelin ünvanıdır.

Bu qərarı ardıcıllıqla verin və doğru olan ilk sətirdə dayanın:

• Trafikin şifrələnməsinə və bütün cihazın yeni çıxışa keçməsinə ehtiyacınız var? VPN istifadə edin və qoşulma göstəricisinə deyil, marşrutlarına və istisnalarına baxın.
• Tuneldən keçə bilməyən cihazda yalnız bir neçə adı çəkilən xidmətə ehtiyacınız var? Smart DNS mütənasibdir.
• Sorğularınızın məxfi olmasına, amma trafikinizin yerinin dəyişməməsinə ehtiyacınız var? Bu, yuxarıdakıların heç biri olmayan şifrələnmiş DNS-dir.
• Provayder hazırkı ünvanınızdan asılıdır? Dəyişdiyi anda pozulma gözləyin.