Smart DNS er ikke en VPN: hvad den DNS-indstilling egentlig ændrer

Du peger fjernsynet mod en Smart DNS-resolver, én streamingapp begynder at virke, og konklusionen skriver sig selv: det her er en VPN, der koster mindre og installeres hurtigere. Det er det ikke, og forskellen er ikke pedanteri. Det, der ændrede sig, er det svar, fjernsynet fik, da det spurgte, hvor et værtsnavn bor; det, der ikke ændrede sig, er, at hver pakke stadig forlader dit hus i klartekst, ad samme vej, fra samme adresse, som udbyderen allerede kender. Myten er, at en DNS-indstilling er en tunnel. Virkeligheden er snævrere og mere nyttig, når du først ser den.

Myten: en DNS-ændring omdirigerer din trafik

Almindelig DNS fortæller en applikation, hvor den skal forbinde. En Smart DNS-tjeneste svarer på udvalgte værtsnavne med adresser, der tilhører udbyderens egen infrastruktur, så appen forbinder dertil i stedet for direkte til tjenesten. Udbyderen videresender derefter netop den ene strøm til den rigtige destination. Intet andet på enheden flytter sig.

Det er derfor, tricket overhovedet virker på et fjernsyn eller en konsol. Der er ingen klient, ingen grænseflade, ingen post i rutetabellen, intet krypteringslag. Enheden gør præcis, hvad den altid har gjort: slår et navn op og forbinder til det, der kommer tilbage. Du ændrede svaret, ikke vejen for hver pakke.

Etiketten bruges også af urelaterede DNS-projekter, så læs udbyderens egen dokumentation i stedet for at antage et funktionssæt ud fra navnet. Der findes ingen standard Smart DNS-protokol; én produkts dækning siger intet pålideligt om et andets.

Hvad der faktisk styres, og hvad der ikke gør

Forskellen er let at se, når du oplister den efter strøm i stedet for efter enhed.

Du kan se det ske. Spørg udbyderens resolver om et værtsnavn, og spørg en offentlig resolver om det samme:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Forskellige svar betyder styring på navnelaget. Det samme svar betyder enten, at tjenesten ikke er dækket for det navn, eller at enheden ikke bruger den resolver — en fejl, der ligner en forkert DNS-konfiguration og ofte forveksles med en ødelagt konto.

Der er en anden fejl med samme lugt. Mange udbydere autoriserer ud fra den offentlige adresse, du bruger lige nu, så kontoen virker, indtil adressen ændrer sig. Carrier-grade NAT-rotation eller en VPN ovenpå flytter den adresse, og relæet afviser dig, mens opslaget fortsat lykkes. Registerposten er en adgangskontrol, ikke bevis for en eksklusiv udgang.

Krypteret DNS er noget helt tredje

DNS over HTTPS og DNS over TLS beskytter udvekslingen mellem din enhed og resolveren. De krypterer og godkender forespørgslen, så det lokale netværk ikke kan læse eller omskrive den, og DoH bærer det i almindelig HTTPS-trafik på port 443, hvilket også er grunden til, at det ser ud som webtrafik for et filter. Det er en fortrolighedsfunktion for opslag.

At styre en tjeneste er en anden funktion: svaret peger selv på en mellemmand. Et produkt kan tilbyde begge dele på én gang, og det gør mange, men det ene indebærer ikke det andet. At kryptere dine opslag har aldrig flyttet én eneste byte video gennem et andet land.

Så „krypteret DNS“ besvarer et spørgsmål om, hvem der kan læse dine forespørgsler. Det besvarer ikke, hvem der kan se din trafik, og det giver dig ikke en ny udgangsadresse. Den specifikationen for DNS over HTTPS er den rigtige reference for, hvad den beskyttelse dækker, og den siger intet om routing.

Hvem ser hvad i hver ordning

Med Smart DNS ser resolveren de navne, du slår op, udbyderens relæ ser de forbindelser, det bærer, og din udbyder ser stadig alt andet i åben tekststruktur: hvilke adresser du kontaktede, hvornår og hvor meget. Indholdet er fortsat beskyttet af TLS til destinationen i den styrede strøm, så relæet videresender en krypteret session, det ikke kan læse — men det kan se, at du forbandt, hvorfra og hvor længe.

Med en VPN ser tunneloperatøren din trafik og dine destinationer, hvilket er én koncentreret tillidsbeslutning, og din udbyder ser kun en krypteret strøm til ét endepunkt. Anden eksponering, ikke automatisk mindre. Ingen af modellerne bør vurderes på, om ét websted åbner.

Hastighed følger vejen snarere end etiketten. Et selektivt relæ kan holde urelateret trafik uden om en omvej, hvilket er en reel fordel for en enhed, der ellers ville tunnellere alt. Det er heller ingen garanti, og ingen ordning lover permanent adgang til en tjeneste, der aktivt forsøger at opdage det.

Hvornår Smart DNS er det rigtige værktøj

Det er virkelig det rigtige værktøj, når enheden slet ikke kan køre en VPN-klient — et fjernsyn, en konsol, en set-top-boks med en låst netværksstak — og når kun én navngivet tjeneste betyder noget. Det er også rimeligt, når du bevidst ikke vil have, at hver pakke på den enhed bliver tunnelleret.

Det er det forkerte værktøj, når kravet er kryptering, en udgangsadresse for hele enheden eller beskyttelse mod det lokale netværk og udbyderen. Det er tunnelegenskaber, og ingen resolverindstilling frembringer dem. Og hvis du holder en VPN kørende på samme enhed, så forvent, at den registreringsbaserede autorisation bryder sammen, fordi din offentlige adresse nu er tunnellens.

Kør denne beslutning i rækkefølge, og stop ved den første linje, der er sand:

• Har du brug for, at trafikken er krypteret og hele enheden på en ny udgang? Brug en VPN, og kontroller dens ruter og undtagelser frem for dens forbundet-indikator.
• Har du kun brug for et par navngivne tjenester på en enhed, der ikke kan tunnellere? Smart DNS er proportionelt.
• Har du brug for private opslag, men ikke for at flytte din trafik? Det er krypteret DNS, som ikke er nogen af de ovenstående.
• Er udbyderen afhængig af din nuværende adresse? Forvent brud i det øjeblik, den ændrer sig.