Το Smart DNS δεν είναι VPN: τι αλλάζει πραγματικά αυτή η ρύθμιση DNS

Στρέφετε την τηλεόραση σε έναν resolver Smart DNS, μια εφαρμογή ροής αρχίζει να δουλεύει, και το συμπέρασμα γράφεται μόνο του: αυτό είναι ένα VPN που κοστίζει λιγότερο και εγκαθίσταται γρηγορότερα. Δεν είναι, και η διαφορά δεν είναι σχολαστικότητα. Αυτό που άλλαξε είναι η απάντηση που πήρε η τηλεόραση όταν ρώτησε πού κατοικεί ένα όνομα κεντρικού υπολογιστή· αυτό που δεν άλλαξε είναι ότι κάθε πακέτο εξακολουθεί να φεύγει από το σπίτι σας ανοιχτό, στην ίδια διαδρομή, από την ίδια διεύθυνση που ο ISP γνωρίζει ήδη. Ο μύθος είναι ότι μια ρύθμιση DNS είναι σήραγγα. Η πραγματικότητα είναι στενότερη και πιο χρήσιμη μόλις τη δείτε.

Ο μύθος: μια αλλαγή DNS αναδρομολογεί την κίνησή σας

Το συνηθισμένο DNS λέει σε μια εφαρμογή πού να συνδεθεί. Μια υπηρεσία Smart DNS απαντά σε επιλεγμένα ονόματα κεντρικών υπολογιστών με διευθύνσεις που ανήκουν στην υποδομή του ίδιου του παρόχου, ώστε η εφαρμογή να συνδέεται εκεί αντί απευθείας στην υπηρεσία. Ο πάροχος έπειτα προωθεί αυτή τη μία ροή στον πραγματικό προορισμό. Τίποτα άλλο στη συσκευή δεν κινείται.

Γι' αυτό το κόλπο δουλεύει καθόλου σε τηλεόραση ή κονσόλα. Δεν υπάρχει client, δεν υπάρχει διεπαφή, δεν υπάρχει καταχώριση στον πίνακα δρομολόγησης, δεν υπάρχει επίπεδο κρυπτογράφησης. Η συσκευή κάνει ακριβώς αυτό που έκανε πάντα: επιλύει ένα όνομα και συνδέεται σε ό,τι επιστρέψει. Αλλάξατε την απάντηση, όχι τη διαδρομή κάθε πακέτου.

Η ετικέτα χρησιμοποιείται και από άσχετα έργα DNS, οπότε ελέγξτε την τεκμηρίωση του ίδιου του παρόχου αντί να υποθέσετε σύνολο λειτουργιών από το όνομα. Δεν υπάρχει πρότυπο πρωτόκολλο Smart DNS· η κάλυψη ενός προϊόντος δεν λέει τίποτα αξιόπιστο για ένα άλλο.

Τι κατευθύνεται πραγματικά και τι όχι

Η διάκριση φαίνεται εύκολα μόλις την απαριθμήσετε ανά ροή και όχι ανά συσκευή.

Μπορείτε να το δείτε να συμβαίνει. Ρωτήστε τον resolver του παρόχου για ένα όνομα κεντρικού υπολογιστή και ρωτήστε έναν δημόσιο resolver για το ίδιο:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Διαφορετικές απαντήσεις σημαίνουν κατεύθυνση στο επίπεδο του ονόματος. Η ίδια απάντηση σημαίνει είτε ότι η υπηρεσία δεν καλύπτει αυτό το όνομα είτε ότι η συσκευή δεν χρησιμοποιεί αυτόν τον resolver — μια αποτυχία που μοιάζει με λάθος ρύθμιση DNS και συχνά εκλαμβάνεται ως χαλασμένος λογαριασμός.

Υπάρχει και δεύτερη αποτυχία με την ίδια μυρωδιά. Πολλοί πάροχοι εξουσιοδοτούν με βάση τη δημόσια διεύθυνση που χρησιμοποιείτε τώρα, οπότε ο λογαριασμός δουλεύει μέχρι να αλλάξει η διεύθυνση. Η περιστροφή NAT φορέα ή ένα VPN από πάνω μετακινούν αυτή τη διεύθυνση και το relay σας αρνείται, ενώ η επίλυση συνεχίζει να πετυχαίνει. Η καταχώριση στο μητρώο είναι έλεγχος πρόσβασης, όχι απόδειξη αποκλειστικής εξόδου.

Το κρυπτογραφημένο DNS είναι εντελώς τρίτο πράγμα

DNS over HTTPS και DNS over TLS προστατεύουν την ανταλλαγή ανάμεσα στη συσκευή σας και τον resolver. Κρυπτογραφούν και επαληθεύουν το ερώτημα ώστε το τοπικό δίκτυο να μην μπορεί να το διαβάσει ή να το ξαναγράψει, και το DoH το μεταφέρει σε συνηθισμένη κίνηση HTTPS στη θύρα 443, γι' αυτό και μοιάζει με κίνηση ιστού σε ένα φίλτρο. Είναι χαρακτηριστικό εμπιστευτικότητας για αναζητήσεις.

Η κατεύθυνση μιας υπηρεσίας είναι άλλη λειτουργία: η ίδια η απάντηση δείχνει σε έναν μεσάζοντα. Ένα προϊόν μπορεί να προσφέρει και τα δύο μαζί, και πολλά το κάνουν, αλλά το ένα δεν συνεπάγεται το άλλο. Η κρυπτογράφηση των αναζητήσεών σας δεν μετέφερε ποτέ ούτε ένα byte βίντεο μέσα από άλλη χώρα.

Άρα το «κρυπτογραφημένο DNS» απαντά σε ένα ερώτημα για το ποιος μπορεί να διαβάσει τις αναζητήσεις σας. Δεν απαντά ποιος μπορεί να δει την κίνησή σας, και δεν σας δίνει νέα διεύθυνση εξόδου. Η προδιαγραφή του DNS over HTTPS είναι η σωστή αναφορά για το τι καλύπτει αυτή η προστασία, και δεν λέει τίποτα για δρομολόγηση.

Ποιος βλέπει τι σε κάθε διάταξη

Με το Smart DNS, ο resolver βλέπει τα ονόματα που αναζητάτε, το relay του παρόχου βλέπει τις συνδέσεις που μεταφέρει, και ο ISP σας εξακολουθεί να βλέπει όλα τα υπόλοιπα σε δομή ανοιχτού κειμένου: ποιες διευθύνσεις προσεγγίσατε, πότε και πόσο. Το περιεχόμενο παραμένει προστατευμένο με TLS προς τον προορισμό στην κατευθυνόμενη ροή, οπότε το relay προωθεί μια κρυπτογραφημένη συνεδρία που δεν μπορεί να διαβάσει — αλλά βλέπει ότι συνδεθήκατε, από πού και για πόσο.

Με ένα VPN, ο φορέας της σήραγγας βλέπει την κίνησή σας και τους προορισμούς σας, που είναι μία συγκεντρωμένη απόφαση εμπιστοσύνης, και ο ISP σας βλέπει μόνο ένα κρυπτογραφημένο ρεύμα προς ένα τελικό σημείο. Διαφορετική έκθεση, όχι αυτόματα μικρότερη. Κανένα μοντέλο δεν πρέπει να κρίνεται από το αν ανοίγει ένας ιστότοπος.

Η ταχύτητα ακολουθεί τη διαδρομή και όχι την ετικέτα. Ένα επιλεκτικό relay μπορεί να κρατήσει άσχετη κίνηση έξω από μια παράκαμψη, που είναι πραγματικό πλεονέκτημα για συσκευή που αλλιώς θα έβαζε τα πάντα σε σήραγγα. Δεν είναι όμως εγγύηση, και καμία διάταξη δεν υπόσχεται μόνιμη πρόσβαση σε υπηρεσία που προσπαθεί ενεργά να το ανιχνεύσει.

Πότε το Smart DNS είναι το σωστό εργαλείο

Είναι πραγματικά το σωστό εργαλείο όταν η συσκευή δεν μπορεί καθόλου να τρέξει client VPN — τηλεόραση, κονσόλα, αποκωδικοποιητής με κλειδωμένη στοίβα δικτύου — και όταν μετρά μόνο μία ονομαστική υπηρεσία. Είναι επίσης λογικό όταν σκόπιμα δεν θέλετε να περάσει κάθε πακέτο αυτής της συσκευής από σήραγγα.

Είναι το λάθος εργαλείο όταν η απαίτηση είναι κρυπτογράφηση, διεύθυνση εξόδου για όλη τη συσκευή ή προστασία από το τοπικό δίκτυο και τον ISP. Αυτές είναι ιδιότητες σήραγγας, και καμία ρύθμιση resolver δεν τις παράγει. Και αν κρατάτε VPN στην ίδια συσκευή, περιμένετε να σπάσει η εξουσιοδότηση βάσει καταχώρισης, γιατί η δημόσια διεύθυνσή σας είναι τώρα της σήραγγας.

Εκτελέστε αυτή την απόφαση με σειρά και σταματήστε στην πρώτη γραμμή που είναι αληθινή:

• Χρειάζεστε κρυπτογραφημένη κίνηση και όλη τη συσκευή σε νέα έξοδο; Χρησιμοποιήστε VPN, και ελέγξτε τις διαδρομές και τις εξαιρέσεις του και όχι την ένδειξη σύνδεσης.
• Χρειάζεστε μόνο λίγες ονομαστικές υπηρεσίες σε συσκευή που δεν μπορεί να κάνει σήραγγα; Το Smart DNS είναι αναλογικό.
• Χρειάζεστε ιδιωτικές αναζητήσεις αλλά όχι μετακίνηση της κίνησής σας; Αυτό είναι κρυπτογραφημένο DNS, που δεν είναι κανένα από τα παραπάνω.
• Βασίζεται ο πάροχος στην τρέχουσα διεύθυνσή σας; Περιμένετε διακοπή τη στιγμή που θα αλλάξει.