Smart DNS — гэта не VPN: што насамрэч змяняе той параметр DNS

Вы накіроўваеце тэлевізар на рэзалвер Smart DNS, адно праграма для струменевага відэа пачынае працаваць, і выснова напісваецца сама: гэта VPN, які каштуе танней і ўсталёўваецца хутчэй. Гэта не так, і розніца не ў дробязнай прыдзірцы. Змяніўся адказ, які тэлевізар атрымаў, калі спытаў, дзе жыве імя хоста; не змянілася тое, што кожны пакет па-ранейшаму пакідае вашу хату ў адкрытым выглядзе, па тым жа шляху, з таго ж адрасу, які правайдэр ужо ведае. Міф у тым, што налада DNS — гэта тунэль. Рэальнасць вузейшая і карыснейшая, калі вы яе ўбачыце.

Міф: змена DNS перанакіроўвае ваш трафік

Звычайны DNS кажа праграме, куды падключацца. Сэрвіс Smart DNS адказвае на выбраныя імёны хостаў адрасамі, якія належаць уласнай інфраструктуры правайдэра, таму праграма падключаецца туды, а не напрост да сэрвісу. Затым правайдэр перадае гэты адзін паток да сапраўднага прызначэння. Больш нішто на прыладзе не рухаецца.

Менавіта таму гэты трук працуе на тэлевізары ці кансолі наогул. Няма кліента, няма інтэрфейсу, няма запісу ў табліцы маршрутаў, няма слоя шыфравання. Прылада робіць менавіта тое, што рабіла заўсёды: развязвае імя і падключаецца да таго, што вярнулася. Вы змянілі адказ, а не шлях кожнага пакета.

Гэтую назву выкарыстоўваюць і не звязаныя з ёй праекты DNS, таму правярайце ўласную дакументацыю правайдэра, а не выдумляйце набор функцый з назвы. Стандартнага пратаколу Smart DNS няма; пакрыццё аднаго прадукту нічога надзейнага не кажа пра іншы.

Што насамрэч накіроўваецца, а што не

Адрозненне лёгка ўбачыць, калі пералічыць яго па патоках, а не па прыладах.

Вы можаце гэта назіраць. Спытайце рэзалвер правайдэра пра імя хоста і спытайце публічны рэзалвер пра тое ж самае:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Розныя адказы азначаюць накіраванне на ўзроўні імёнаў. Адзін і той жа адказ азначае або што сэрвіс не пакрыты для гэтага імені, або што прылада не выкарыстоўвае гэты рэзалвер — збой, які выглядае як няправільная налада DNS і часта прымаецца за зламаны ўліковы запіс.

Ёсць другі збой з тым жа пахам. Многія правайдэры аўтарызуюць па публічным адрасе, які вы зараз выкарыстоўваеце, таму ўліковы запіс працуе, пакуль адрас не зменіцца. Ратацыя carrier-grade NAT або VPN па-над усім гэтым зрушвае гэты адрас, і рэтранслятар адмаўляе вам, пакуль развязанне імені працягвае паспяваць. Запіс у рэестры — гэта кантроль доступу, а не доказ эксклюзіўнага выхаду.

Шыфраваны DNS — гэта зусім трэцяе

DNS праз HTTPS і DNS праз TLS абараняюць абмен паміж вашай прыладай і рэзалверам. Яны шыфруюць і аўтэнтыфікуюць запыт, каб лакальная сетка не магла яго прачытаць ці перапісаць, а DoH нясе гэта ў звычайным трафіку HTTPS на порце 443, таму ён і выглядае як вэб-трафік для фільтра. Гэта функцыя канфідэнцыйнасці для запытаў.

Накіраванне сэрвісу — іншая функцыя: сам адказ паказвае на пасярэдніка. Прадукт можа прапанаваць абедзве адразу, і многія робяць гэта, але адно не азначае другое. Шыфраванне вашых запытаў ніколі не перамяшчала ніводнага байта відэа праз іншую краіну.

Такім чынам, «шыфраваны DNS» адказвае на пытанне, хто можа чытаць вашы запыты. Ён не адказвае, хто можа бачыць ваш трафік, і не дае вам новы адрас выхаду. спецыфікацыя DNS over HTTPS — правільны даведнік пра тое, што ахоплівае гэтая абарона, і там нічога не сказана пра маршрутызацыю.

Хто што бачыць у кожным варыянце

З Smart DNS рэзалвер бачыць імёны, якія вы шукаеце, рэтранслятар правайдэра бачыць злучэнні, якія ён пераносіць, а ваш інтэрнэт-правайдэр па-ранейшаму бачыць усё астатняе ў структуры адкрытага тэксту: да якіх адрасоў вы падключаліся, калі і колькі. Кантэнт застаецца абароненым TLS да прызначэння ў накіраваным патоку, таму рэтранслятар перадае шыфраваную сесію, якую не можа прачытаць — але ён бачыць, што вы падключыліся, адкуль і наколькі доўга.

З VPN аператар тунэлю бачыць ваш трафік і вашы прызначэнні, што ёсць адным сканцэнтраваным рашэннем даверу, а ваш інтэрнэт-правайдэр бачыць толькі шыфраваны паток да адной канцавой кропкі. Іншая экспазіцыя, а не аўтаматычна меншая. Ні адну мадэль не варта ацэньваць па тым, ці адкрываецца адзін сайт.

Хуткасць ідзе за шляхам, а не за этыкеткай. Селектыўны рэтранслятар можа трымаць незвязаны трафік па-за аб'ездам, і гэта рэальная перавага для прылады, якая інакш тунэлявала б усё. Гэта таксама не гарантыя, і ніводная схема не абяцае пастаяннага доступу да сэрвісу, які актыўна спрабуе яго выявіць.

Калі Smart DNS — правільны інструмент

Гэта сапраўды правільны інструмент, калі прылада наогул не можа запускаць кліент VPN — тэлевізар, кансоль, прыстаўка з зачыненым сеткавым стэкам — і калі важны толькі пэўны названы сэрвіс. Гэта таксама разумна, калі вы свядома не хочаце, каб кожны пакет на гэтай прыладзе ішоў праз тунэль.

Гэта няправільны інструмент, калі патрэбна шыфраванне, адрас выхаду для ўсёй прылады або абарона ад лакальнай сеткі і інтэрнэт-правайдэра. Гэта ўласцівасці тунэлю, і ніводная налада рэзалвера іх не стварае. А калі вы трымаеце VPN на той жа прыладзе, чакайце, што аўтарызацыя на аснове рэгістрацыі зламаецца, бо ваш публічны адрас цяпер — адрас тунэлю.

Правядзіце гэтае рашэнне па парадку і спыніцеся на першым радку, які праўдзівы:

• Вам патрэбна шыфраванне трафіку і ўся прылада на новым выхадзе? Карыстайцеся VPN і правярайце яго маршруты і выключэнні, а не індыкатар падключэння.
• Вам патрэбны толькі некалькі названых сэрвісаў на прыладзе, якая не можа тунэляваць? Smart DNS тут суразмерны.
• Вам патрэбна прыватнасць запытаў, але не перамяшчэнне трафіку? Гэта шыфраваны DNS, які не з'яўляецца ні адным з папярэдніх.
• Правайдэр абапіраецца на ваш бягучы адрас? Чакайце збою ў тую ж хвіліну, калі ён зменіцца.