Smart DNS не е VPN: какво всъщност променя тази настройка на DNS

Насочвате телевизора към resolver на Smart DNS, едно приложение за стрийминг започва да работи и изводът се пише сам: това е VPN, който струва по-малко и се инсталира по-бързо. Не е, и разликата не е дребнавост. Промени се отговорът, който телевизорът получи, когато попита къде живее дадено име на хост; не се промени това, че всеки пакет продължава да напуска дома ви в открит вид, по същия път, от същия адрес, който доставчикът вече знае. Митът е, че настройката на DNS е тунел. Реалността е по-тясна и по-полезна, щом я видите.

Митът: промяната на DNS пренасочва трафика ви

Обикновеният DNS казва на приложението къде да се свърже. Услугата Smart DNS отговаря на избрани имена на хостове с адреси, принадлежащи на собствената инфраструктура на доставчика, така че приложението се свързва там, вместо директно с услугата. След това доставчикът препраща този един поток към истинската дестинация. Нищо друго на устройството не се мести.

Точно затова трикът работи изобщо на телевизор или конзола. Няма клиент, няма интерфейс, няма запис в таблицата за маршрутизация, няма слой за шифроване. Устройството прави точно това, което винаги е правило: разрешава име и се свързва с каквото върне. Променихте отговора, а не пътя на всеки пакет.

Етикетът се използва и от несвързани DNS проекти, затова проверете собствената документация на доставчика, вместо да предполагате набор от функции от името. Няма стандартен протокол Smart DNS; покритието на един продукт не казва нищо надеждно за друг.

Какво всъщност се насочва и какво не

Разликата се вижда лесно, щом я изброите по потоци, а не по устройства.

Можете да го наблюдавате. Попитайте resolver на доставчика за име на хост и попитайте публичен resolver за същото:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Различните отговори означават насочване на ниво име. Еднакъв отговор означава или че услугата не покрива това име, или че устройството не използва този resolver — повреда, която изглежда като грешна настройка на DNS и често се бърка със счупен акаунт.

Има и втора повреда със същата миризма. Много доставчици оторизират по публичния адрес, който използвате в момента, така че акаунтът работи, докато адресът не се промени. Ротацията на carrier-grade NAT или VPN отгоре местят този адрес и релето ви отказва, докато разрешаването продължава да успява. Записът в регистъра е контрол на достъпа, а не доказателство за ексклузивен изход.

Шифрованият DNS е трето нещо съвсем

DNS през HTTPS и DNS през TLS защитават обмена между устройството ви и resolver-а. Те шифроват и удостоверяват заявката, така че локалната мрежа да не може да я прочете или пренапише, а DoH я носи в обикновен HTTPS трафик на порт 443, което е и причината да изглежда като уеб трафик пред филтъра. Това е функция за поверителност на заявките.

Насочването на услуга е друга функция: самият отговор сочи към посредник. Продукт може да предлага и двете наведнъж и много го правят, но едното не предполага другото. Шифроването на заявките ви никога не е преместило нито един байт видео през друга държава.

Значи „шифрован DNS“ отговаря на въпроса кой може да чете заявките ви. Не отговаря кой може да вижда трафика ви и не ви дава нов адрес за изход. спецификацията на DNS over HTTPS е правилната справка за това какво покрива тази защита и не казва нищо за маршрутизацията.

Кой какво вижда при всяка подредба

При Smart DNS resolver-ът вижда имената, които търсите, релето на доставчика вижда връзките, които пренася, а интернет доставчикът ви все още вижда всичко останало в структура от открит текст: кои адреси сте посетили, кога и колко. Съдържанието остава защитено с TLS до дестинацията в насочения поток, така че релето препраща шифрована сесия, която не може да прочете — но вижда, че сте се свързали, откъде и за колко дълго.

При VPN операторът на тунела вижда трафика и дестинациите ви, което е едно концентрирано решение за доверие, а интернет доставчикът ви вижда само шифрован поток към една крайна точка. Различно излагане, не автоматично по-малко. Нито един модел не бива да се оценява по това дали един сайт се отваря.

Скоростта следва пътя, а не етикета. Селективно реле може да държи несвързания трафик извън обиколка, което е реално предимство за устройство, което иначе би тунелирало всичко. Това също не е гаранция и никоя подредба не обещава постоянен достъп до услуга, която активно се опитва да го открие.

Кога Smart DNS е правилният инструмент

Той е наистина правилният инструмент, когато устройството изобщо не може да пусне VPN клиент — телевизор, конзола, set-top box със заключен мрежов стек — и когато има значение само една конкретна услуга. Разумен е и когато умишлено не искате всеки пакет на това устройство да минава през тунел.

Той е грешният инструмент, когато изискването е шифроване, адрес за изход за цялото устройство или защита от локалната мрежа и интернет доставчика. Това са свойства на тунел и никаква настройка на resolver не ги създава. А ако държите VPN на същото устройство, очаквайте оторизацията, базирана на регистрация, да се счупи, защото публичният ви адрес вече е адресът на тунела.

Изпълнете това решение по ред и спрете на първия ред, който е верен:

• Нуждаете се трафикът да е шифрован и цялото устройство на нов изход? Използвайте VPN и проверете маршрутите и изключенията му, а не индикатора за свързване.
• Нуждаете се само от няколко конкретни услуги на устройство, което не може да тунелира? Smart DNS е съразмерен.
• Нуждаете се заявките ви да са поверителни, но трафикът ви да не се мести? Това е шифрован DNS, който не е нито едно от горните.
• Доставчикът разчита на текущия ви адрес? Очаквайте срив в мига, в който се промени.