Smart DNS ei ole VPN: mida see DNS-seade tegelikult muudab
Smart DNS-i seade suunab nimepäringud mõne teenuse jaoks. See ei ole krüpteeritud tunnel ja vahe otsustab, kes näeb sinu liiklust.
Suunad teleri Smart DNS-i lahendajale, üks voogedastusrakendus hakkab tööle ja järeldus kirjutab end ise: see on VPN, mis maksab vähem ja paigaldub kiiremini. Ei ole, ja vahe ei ole tähenäärimine. Muutus vastus, mille teler sai, kui küsis, kus üks hostinimi elab; ei muutunud see, et iga pakett lahkub sinu majast ikka avatult, samal teel, samalt aadressilt, mida ISP juba teab. Müüt on, et DNS-seade on tunnel. Tegelikkus on kitsam ja kasulikum, kui seda näed.
Müüt: DNS-i muutmine suunab sinu liikluse ümber
Tavaline DNS ütleb rakendusele, kuhu ühenduda. Smart DNS-i teenus vastab valitud hostinimedele aadressidega, mis kuuluvad teenusepakkuja enda taristule, nii et rakendus ühendub sinna, mitte otse teenusesse. Seejärel edastab pakkuja selle ühe voo õigesse sihtkohta. Midagi muud seadmes ei liigu.
Just seepärast trikk üldse teleris või konsoolis töötab. Klienti ei ole, liidest ei ole, marsruutimistabelis kannet ei ole, krüpteerimiskihti ei ole. Seade teeb täpselt seda, mida ta on alati teinud: lahendab nime ja ühendub sellega, mis tagasi tuleb. Sina muutsid vastust, mitte iga paketi teed.
Silti kasutavad ka mitteseotud DNS-projektid, seega kontrolli teenusepakkuja enda dokumentatsiooni, selle asemel et nime põhjal funktsioonikomplekti eeldada. Standardset Smart DNS-i protokolli ei ole; ühe toote katvus ei ütle teise kohta midagi usaldusväärset.
Mida tegelikult suunatakse ja mida mitte
Erinevust on lihtne näha, kui loetled selle voo, mitte seadme järgi.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
Saad seda näha. Küsi teenusepakkuja lahendajalt hostinime ja küsi avalikult lahendajalt sama:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleErinevad vastused tähendavad suunamist nime kihil. Sama vastus tähendab kas seda, et teenus ei kata seda nime, või seda, et seade ei kasuta seda lahendajat — tõrge, mis näeb välja nagu vale DNS-i seadistus ja mida sageli peetakse katkiseks kontoks.
On ka teine sama lõhnaga tõrge. Paljud pakkujad autoriseerivad praegu kasutatava avaliku aadressi järgi, nii et konto töötab, kuni aadress muutub. Operaatoritasandi NAT-i rotatsioon või peale pandud VPN liigutab seda aadressi ja relee keeldub sinust, samal ajal kui lahendamine jätkuvalt õnnestub. Registrikirje on juurdepääsukontroll, mitte tõestus ainulaadsest väljapääsust.
Krüpteeritud DNS on hoopis kolmas asi
DNS üle HTTPS-i ja DNS üle TLS-i kaitsevad sinu seadme ja lahendaja vahelist vahetust. Need krüpteerivad ja autentivad päringu, et kohalik võrk ei saaks seda lugeda ega ümber kirjutada, ja DoH kannab seda tavalises HTTPS-liikluses pordil 443, mistõttu see näeb filtri jaoks välja nagu veebiliiklus. See on päringute konfidentsiaalsusfunktsioon.
Teenuse suunamine on teine funktsioon: vastus ise osutab vahendajale. Toode võib pakkuda mõlemat korraga ja paljud teevadki, aga üks ei eelda teist. Päringute krüpteerimine ei ole kunagi liigutanud ühtegi baiti videot läbi teise riigi.
Seega „krüpteeritud DNS“ vastab küsimusele, kes saab sinu päringuid lugeda. See ei vasta, kes saab näha sinu liiklust, ega anna sulle uut väljumisaadressi. DNS over HTTPS-i spetsifikatsioon on õige viide selle kohta, mida see kaitse katab, ja see ei ütle marsruutimise kohta midagi.
Kes mida igas korralduses näeb
Smart DNS-i puhul näeb lahendaja nimesid, mida otsid, pakkuja relee näeb ühendusi, mida ta kannab, ja sinu ISP näeb endiselt kõike muud avatud tekstistruktuuris: milliste aadressidega ühendust võtsid, millal ja kui palju. Sisu jääb suunatud voos sihtkohani TLS-iga kaitstuks, nii et relee edastab krüpteeritud sessiooni, mida ta lugeda ei saa — aga ta näeb, et ühendusid, kust ja kui kauaks.
VPN-i puhul näeb tunnelioperaator sinu liiklust ja sihtkohti, mis on üks koondatud usaldusotsus, ja sinu ISP näeb ainult krüpteeritud voogu ühte lõpp-punkti. Teistsugune kokkupuude, mitte automaatselt väiksem. Kumbagi mudelit ei tohiks hinnata selle järgi, kas üks sait avaneb.
Kiirus järgib teed, mitte silti. Valikuline relee suudab hoida mitteseotud liikluse ümbersõidust eemal, mis on tõeline eelis seadmele, mis muidu tunneliks kõike. See ei ole ka garantii ja ükski korraldus ei taga püsivat juurdepääsu teenusele, mis üritab seda aktiivselt tuvastada.
Millal on Smart DNS õige tööriist
See on tõesti õige tööriist, kui seade ei suuda üldse VPN-klienti käitada — teler, konsool, lukustatud võrgupinuga digiboks — ja kui loeb ainult üks nimetatud teenus. See on mõistlik ka siis, kui sa teadlikult ei taha, et iga pakett selles seadmes tunnelitaks.
See on vale tööriist, kui nõue on krüpteerimine, kogu seadme väljumisaadress või kaitse kohaliku võrgu ja ISP eest. Need on tunneli omadused ja ükski lahendaja seade ei tekita neid. Ja kui hoiad samas seadmes VPN-i töös, oota, et registreerimisel põhinev autoriseerimine katkeb, sest sinu avalik aadress on nüüd tunneli oma.
Käi see otsus järjekorras läbi ja peatu esimesel real, mis on tõsi:
- Kas vajad krüpteeritud liiklust ja kogu seadet uuel väljapääsul? Kasuta VPN-i ja kontrolli selle marsruute ja erandeid, mitte ühenduse indikaatorit.
- Kas vajad vaid mõnda nimetatud teenust seadmes, mis ei suuda tunnelitada? Smart DNS on proportsionaalne.
- Kas vajad privaatseid päringuid, aga mitte liikluse liigutamist? See on krüpteeritud DNS, mis ei ole kumbki eelnevatest.
- Kas pakkuja tugineb sinu praegusele aadressile? Oota katkestust hetkel, mil see muutub.