Smart DNS není VPN: co to nastavení DNS skutečně mění
Nastavení Smart DNS směruje dotazy na názvy pro několik služeb. Není to šifrovaný tunel a rozdíl rozhoduje o tom, kdo vidí váš provoz.
Nasměrujete televizi na resolver Smart DNS, jedna streamovací aplikace začne fungovat a závěr se napíše sám: tohle je VPN, která stojí méně a instaluje se rychleji. Není, a rozdíl není puntičkářství. Změnila se odpověď, kterou televize dostala, když se ptala, kde žije nějaké jméno hostitele; nezměnilo se to, že každý paket stále opouští váš dům nešifrovaně, po stejné cestě, ze stejné adresy, kterou poskytovatel už zná. Mýtus je, že nastavení DNS je tunel. Realita je užší a užitečnější, jakmile ji uvidíte.
Mýtus: změna DNS přesměruje váš provoz
Běžné DNS říká aplikaci, kam se připojit. Služba Smart DNS odpovídá na vybraná jména hostitelů adresami, které patří vlastní infrastruktuře poskytovatele, takže aplikace se připojí tam, místo přímo ke službě. Poskytovatel pak ten jeden tok přeposílá do skutečného cíle. Nic jiného na zařízení se nepohne.
Právě proto trik funguje na televizi nebo konzoli. Není tu klient, žádné rozhraní, žádný záznam v routovací tabulce, žádná šifrovací vrstva. Zařízení dělá přesně to, co dělalo vždy: přeloží jméno a připojí se k tomu, co se vrátilo. Změnili jste odpověď, ne cestu každého paketu.
Označení používají i nesouvisející DNS projekty, takže si projděte vlastní dokumentaci poskytovatele, místo abyste z názvu odvozovali sadu funkcí. Standardní protokol Smart DNS neexistuje; pokrytí jednoho produktu neříká nic spolehlivého o jiném.
Co se skutečně směruje a co ne
Rozdíl je snadné vidět, když to vypíšete podle toků, ne podle zařízení.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
Můžete to sledovat. Zeptejte se resolveru poskytovatele na jméno hostitele a zeptejte se veřejného resolveru na totéž:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleRůzné odpovědi znamenají směrování na vrstvě jmen. Stejná odpověď znamená buď že služba toto jméno nepokrývá, nebo že zařízení tento resolver nepoužívá — porucha, která vypadá jako chybná konfigurace DNS a často se považuje za rozbitý účet.
Existuje druhá porucha se stejným pachem. Mnoho poskytovatelů autorizuje podle veřejné adresy, kterou právě používáte, takže účet funguje, dokud se adresa nezmění. Rotace carrier-grade NAT nebo VPN navrch tuto adresu posune a relay vás odmítne, zatímco překlad dál uspěje. Záznam v registru je kontrola přístupu, ne důkaz výhradního výstupu.
Šifrované DNS je úplně třetí věc
DNS přes HTTPS a DNS přes TLS chrání výměnu mezi vaším zařízením a resolverem. Šifrují a ověřují dotaz, aby ho místní síť nemohla přečíst ani přepsat, a DoH ho nese v běžném provozu HTTPS na portu 443, což je i důvod, proč to filtru připadá jako webový provoz. To je vlastnost důvěrnosti pro dotazy.
Směrování služby je jiná funkce: sama odpověď ukazuje na prostředníka. Produkt může nabízet obojí najednou a mnohé to dělají, ale jedno neznamená druhé. Šifrování dotazů nikdy nepřesunulo jediný bajt videa přes jinou zemi.
Takže „šifrované DNS“ odpovídá na otázku, kdo může číst vaše dotazy. Neodpovídá, kdo může vidět váš provoz, a nedává vám novou výstupní adresu. specifikace DNS over HTTPS je správný odkaz pro to, co tato ochrana pokrývá, a o routování neříká nic.
Kdo co vidí v jednotlivých uspořádáních
U Smart DNS resolver vidí jména, která hledáte, relay poskytovatele vidí spojení, která přenáší, a váš poskytovatel internetu stále vidí všechno ostatní ve struktuře otevřeného textu: na které adresy jste se obrátili, kdy a kolik. Obsah zůstává chráněn TLS k cíli ve směrovaném toku, takže relay přeposílá šifrovanou relaci, kterou nedokáže přečíst — ale vidí, že jste se připojili, odkud a jak dlouho.
U VPN operátor tunelu vidí váš provoz a vaše cíle, což je jedno soustředěné rozhodnutí o důvěře, a váš poskytovatel internetu vidí jen šifrovaný tok k jednomu koncovému bodu. Jiná expozice, ne automaticky menší. Ani jeden model by se neměl soudit podle toho, zda se jedna stránka otevře.
Rychlost jde po cestě, ne po označení. Selektivní relay dokáže udržet nesouvisející provoz mimo objížďku, což je skutečná výhoda pro zařízení, které by jinak tunelovalo všechno. Také to není záruka a žádné uspořádání neslibuje trvalý přístup ke službě, která se ho aktivně snaží odhalit.
Kdy je Smart DNS správný nástroj
Je to skutečně správný nástroj, když zařízení vůbec nemůže spustit VPN klienta — televize, konzole, set-top box se zamčeným síťovým zásobníkem — a když záleží jen na jedné pojmenované službě. Je rozumný i tehdy, když záměrně nechcete, aby každý paket na tom zařízení šel tunelem.
Je to špatný nástroj, když je požadavkem šifrování, výstupní adresa pro celé zařízení nebo ochrana před místní sítí a poskytovatelem internetu. To jsou vlastnosti tunelu a žádné nastavení resolveru je nevytváří. A pokud držíte VPN na stejném zařízení, očekávejte, že autorizace založená na registraci se rozbije, protože vaše veřejná adresa je nyní adresou tunelu.
Projděte toto rozhodnutí popořadě a zastavte se u prvního řádku, který je pravdivý:
- Potřebujete šifrovaný provoz a celé zařízení na novém výstupu? Použijte VPN a zkontrolujte její trasy a výjimky, ne indikátor připojení.
- Potřebujete jen několik pojmenovaných služeb na zařízení, které neumí tunelovat? Smart DNS je přiměřený.
- Potřebujete soukromé dotazy, ale ne přesun provozu? To je šifrované DNS, což není ani jedno z výše uvedeného.
- Spoléhá poskytovatel na vaši aktuální adresu? Očekávejte výpadek ve chvíli, kdy se změní.