Smart DNS ist kein VPN: Was diese DNS-Einstellung wirklich ändert

Sie richten den Fernseher auf einen Smart-DNS-Resolver, eine Streaming-App funktioniert wieder, und der Schluss schreibt sich von selbst: Das ist ein VPN, das weniger kostet und schneller installiert ist. Ist es nicht, und der Unterschied ist keine Pedanterie. Geändert hat sich die Antwort, die der Fernseher erhielt, als er fragte, wo ein Hostname lebt; nicht geändert hat sich, dass jedes Paket Ihr Haus weiterhin im Klartext verlässt, auf demselben Weg, von derselben Adresse, die der ISP bereits kennt. Der Mythos ist, dass eine DNS-Einstellung ein Tunnel sei. Die Realität ist enger und nützlicher, sobald man sie sieht.

Der Mythos: Eine DNS-Änderung leitet Ihren Verkehr um

Gewöhnliches DNS sagt einer Anwendung, wohin sie sich verbinden soll. Ein Smart-DNS-Dienst beantwortet ausgewählte Hostnamen mit Adressen aus der eigenen Infrastruktur des Anbieters, sodass die App dorthin verbindet statt direkt zum Dienst. Der Anbieter leitet dann genau diesen einen Fluss an das echte Ziel weiter. Sonst bewegt sich nichts auf dem Gerät.

Genau deshalb funktioniert der Trick überhaupt auf einem Fernseher oder einer Konsole. Es gibt keinen Client, keine Schnittstelle, keinen Eintrag in der Routentabelle, keine Verschlüsselungsschicht. Das Gerät tut genau das, was es immer tat: einen Namen auflösen und sich mit dem verbinden, was zurückkommt. Sie haben die Antwort geändert, nicht den Weg jedes Pakets.

Das Etikett wird auch von unabhängigen DNS-Projekten verwendet, also prüfen Sie die Dokumentation des Anbieters, statt aus dem Namen einen Funktionsumfang abzuleiten. Es gibt kein Standardprotokoll für Smart DNS; die Abdeckung eines Produkts sagt nichts Verlässliches über ein anderes.

Was tatsächlich gelenkt wird und was nicht

Der Unterschied ist leicht zu sehen, wenn man ihn nach Fluss statt nach Gerät auflistet.

Sie können es beobachten. Fragen Sie den Resolver des Anbieters nach einem Hostnamen und einen öffentlichen Resolver nach demselben:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Verschiedene Antworten bedeuten Lenkung auf der Namensebene. Dieselbe Antwort bedeutet entweder, dass der Dienst für diesen Namen nicht abgedeckt ist, oder dass das Gerät diesen Resolver nicht verwendet — ein Fehler, der wie eine falsche DNS-Konfiguration aussieht und oft für ein kaputtes Konto gehalten wird.

Es gibt einen zweiten Fehler mit demselben Geruch. Viele Anbieter autorisieren anhand der öffentlichen Adresse, die Sie gerade verwenden, sodass das Konto funktioniert, bis sich die Adresse ändert. Carrier-Grade-NAT-Rotation oder ein darübergelegtes VPN verschiebt diese Adresse, und das Relay weist Sie ab, während die Auflösung weiterhin gelingt. Der Registereintrag ist eine Zugangskontrolle, kein Beweis für einen exklusiven Ausgang.

Verschlüsseltes DNS ist etwas völlig Drittes

DNS über HTTPS und DNS über TLS schützen den Austausch zwischen Ihrem Gerät und dem Resolver. Sie verschlüsseln und authentifizieren die Abfrage, sodass das lokale Netz sie nicht lesen oder umschreiben kann, und DoH trägt sie in gewöhnlichem HTTPS-Verkehr auf Port 443, weshalb sie für einen Filter wie Webverkehr aussieht. Das ist eine Vertraulichkeitsfunktion für Abfragen.

Einen Dienst zu lenken ist eine andere Funktion: Die Antwort selbst zeigt auf einen Vermittler. Ein Produkt kann beides zugleich bieten, und viele tun das, aber das eine bedingt nicht das andere. Ihre Abfragen zu verschlüsseln hat noch nie ein einziges Byte Video durch ein anderes Land bewegt.

Also beantwortet „verschlüsseltes DNS“ die Frage, wer Ihre Abfragen lesen kann. Es beantwortet nicht, wer Ihren Verkehr sehen kann, und es gibt Ihnen keine neue Ausgangsadresse. Die Spezifikation für DNS over HTTPS ist die richtige Referenz dafür, was dieser Schutz abdeckt, und sie sagt nichts über Routing.

Wer in welcher Anordnung was sieht

Bei Smart DNS sieht der Resolver die Namen, die Sie nachschlagen, das Relay des Anbieters sieht die Verbindungen, die es trägt, und Ihr ISP sieht weiterhin alles andere in offener Textstruktur: welche Adressen Sie kontaktiert haben, wann und wie viel. Der Inhalt bleibt auf dem gelenkten Fluss durch TLS bis zum Ziel geschützt, das Relay leitet also eine verschlüsselte Sitzung weiter, die es nicht lesen kann — aber es sieht, dass Sie verbunden waren, von wo und wie lange.

Bei einem VPN sieht der Tunnelbetreiber Ihren Verkehr und Ihre Ziele, was eine einzige gebündelte Vertrauensentscheidung ist, und Ihr ISP sieht nur einen verschlüsselten Strom zu einem Endpunkt. Andere Exposition, nicht automatisch weniger. Keines der Modelle sollte daran gemessen werden, ob eine Seite aufgeht.

Geschwindigkeit folgt dem Weg, nicht dem Etikett. Ein selektives Relay kann unbeteiligten Verkehr aus einem Umweg heraushalten, was ein echter Vorteil für ein Gerät ist, das sonst alles tunneln würde. Es ist auch keine Garantie, und keine Anordnung verspricht dauerhaften Zugang zu einem Dienst, der aktiv versucht, sie zu erkennen.

Wann Smart DNS das richtige Werkzeug ist

Es ist wirklich das richtige Werkzeug, wenn das Gerät überhaupt keinen VPN-Client ausführen kann — ein Fernseher, eine Konsole, eine Set-Top-Box mit gesperrtem Netzwerk-Stack — und wenn nur ein benannter Dienst zählt. Es ist auch vernünftig, wenn Sie bewusst nicht wollen, dass jedes Paket auf diesem Gerät getunnelt wird.

Es ist das falsche Werkzeug, wenn die Anforderung Verschlüsselung, eine Ausgangsadresse für das ganze Gerät oder Schutz vor dem lokalen Netz und dem ISP ist. Das sind Tunneleigenschaften, und keine Resolver-Einstellung erzeugt sie. Und wenn Sie ein VPN auf demselben Gerät laufen lassen, rechnen Sie damit, dass die registrierungsbasierte Autorisierung bricht, denn Ihre öffentliche Adresse ist jetzt die des Tunnels.

Gehen Sie diese Entscheidung der Reihe nach durch und halten Sie bei der ersten Zeile an, die zutrifft:

• Brauchen Sie verschlüsselten Verkehr und das ganze Gerät auf einem neuen Ausgang? Verwenden Sie ein VPN, und prüfen Sie dessen Routen und Ausnahmen statt seiner Verbunden-Anzeige.
• Brauchen Sie nur wenige benannte Dienste auf einem Gerät, das nicht tunneln kann? Smart DNS ist verhältnismäßig.
• Brauchen Sie private Abfragen, aber keinen verschobenen Verkehr? Das ist verschlüsseltes DNS, das keines der oben genannten ist.
• Verlässt sich der Anbieter auf Ihre aktuelle Adresse? Rechnen Sie mit einem Bruch in dem Moment, in dem sie sich ändert.