Smart DNS ei ole VPN: mitä se DNS-asetus oikeasti muuttaa

Suuntaat television Smart DNS -ratkaisijaan, yksi suoratoistosovellus alkaa toimia, ja johtopäätös kirjoittaa itsensä: tämä on VPN, joka maksaa vähemmän ja asentuu nopeammin. Ei ole, eikä ero ole pilkunviilausta. Muuttui se vastaus, jonka televisio sai kysyessään, missä jokin isäntänimi asuu; ei muuttunut se, että jokainen paketti lähtee edelleen kotoasi avoimena, samaa reittiä, samasta osoitteesta, jonka operaattori jo tuntee. Myytti on, että DNS-asetus on tunneli. Todellisuus on kapeampi ja hyödyllisempi, kun sen näkee.

Myytti: DNS-muutos reitittää liikenteesi uudelleen

Tavallinen DNS kertoo sovellukselle, mihin se yhdistää. Smart DNS -palvelu vastaa valittuihin isäntänimiin osoitteilla, jotka kuuluvat palveluntarjoajan omaan infrastruktuuriin, joten sovellus yhdistää sinne suoraan palveluun yhdistämisen sijaan. Sen jälkeen tarjoaja välittää tämän yhden virtauksen oikeaan kohteeseen. Mikään muu laitteessa ei liiku.

Juuri siksi temppu toimii ylipäätään televisiossa tai konsolissa. Ei ole asiakasta, ei käyttöliittymää, ei merkintää reititystaulussa, ei salauskerrosta. Laite tekee täsmälleen sen, mitä se on aina tehnyt: ratkaisee nimen ja yhdistää siihen, mitä tulee takaisin. Sinä muutit vastausta, et jokaisen paketin reittiä.

Tunnistetta käyttävät myös riippumattomat DNS-hankkeet, joten tarkista tarjoajan oma dokumentaatio sen sijaan, että päättelet ominaisuusjoukon nimestä. Standardia Smart DNS -protokollaa ei ole; yhden tuotteen kattavuus ei kerro toisesta mitään luotettavaa.

Mitä oikeastaan ohjataan ja mitä ei

Ero on helppo nähdä, kun sen luettelee virtauksittain eikä laitteittain.

Voit nähdä sen tapahtuvan. Kysy tarjoajan ratkaisijalta isäntänimeä ja kysy julkiselta ratkaisijalta samaa:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Erilaiset vastaukset tarkoittavat ohjausta nimikerroksessa. Sama vastaus tarkoittaa joko, että palvelu ei kata tuota nimeä, tai että laite ei käytä tuota ratkaisijaa — vika, joka näyttää väärältä DNS-määritykseltä ja tulkitaan usein rikkinäiseksi tiliksi.

On toinenkin samanhajuinen vika. Monet tarjoajat valtuuttavat käyttämäsi julkisen osoitteen perusteella, joten tili toimii, kunnes osoite muuttuu. Operaattoritason NAT-kierto tai päälle asetettu VPN siirtää tuota osoitetta ja välityspalvelin hylkää sinut, kun taas nimien ratkaisu onnistuu edelleen. Rekisterimerkintä on käytönvalvontaa, ei todiste yksinomaisesta uloskäynnistä.

Salattu DNS on kokonaan kolmas asia

DNS HTTPS:n yli ja DNS TLS:n yli suojaavat laitteesi ja ratkaisijan välistä vaihtoa. Ne salaavat ja todentavat kyselyn, jotta paikallinen verkko ei voi lukea tai kirjoittaa sitä uudelleen, ja DoH kuljettaa sen tavallisessa HTTPS-liikenteessä portissa 443, minkä vuoksi se näyttää suodattimelle verkkoliikenteeltä. Se on kyselyjen luottamuksellisuusominaisuus.

Palvelun ohjaaminen on eri toiminto: vastaus itse osoittaa välittäjään. Tuote voi tarjota molempia kerralla, ja monet tekevät niin, mutta toinen ei edellytä toista. Kyselyjesi salaaminen ei ole koskaan siirtänyt yhtään videotavua toisen maan kautta.

Niinpä „salattu DNS“ vastaa kysymykseen siitä, kuka voi lukea kyselysi. Se ei vastaa siihen, kuka voi nähdä liikenteesi, eikä anna sinulle uutta uloskäyntiosoitetta. DNS over HTTPS -määritelmä on oikea viite sille, mitä tuo suojaus kattaa, eikä se kerro reitityksestä mitään.

Kuka näkee mitäkin kussakin järjestelyssä

Smart DNS:n kanssa ratkaisija näkee nimet, joita haet, tarjoajan välityspalvelin näkee yhteydet, joita se kuljettaa, ja operaattorisi näkee edelleen kaiken muun avoimessa tekstirakenteessa: mihin osoitteisiin otit yhteyttä, milloin ja kuinka paljon. Sisältö pysyy TLS:n suojaamana kohteeseen ohjatussa virtauksessa, joten välityspalvelin välittää salattua istuntoa, jota se ei voi lukea — mutta se näkee, että yhdistit, mistä ja kuinka kauan.

VPN:n kanssa tunnelin operaattori näkee liikenteesi ja kohteesi, mikä on yksi keskitetty luottamuspäätös, ja operaattorisi näkee vain salatun virran yhteen päätepisteeseen. Erilainen altistuminen, ei automaattisesti pienempi. Kumpaakaan mallia ei pitäisi arvioida sen perusteella, avautuuko yksi sivusto.

Nopeus seuraa reittiä, ei tunnistetta. Valikoiva välityspalvelin voi pitää asiaankuulumattoman liikenteen poissa kierrokselta, mikä on todellinen etu laitteelle, joka muuten tunneloisi kaiken. Sekään ei ole tae, eikä mikään järjestely lupaa pysyvää pääsyä palveluun, joka aktiivisesti yrittää havaita sen.

Milloin Smart DNS on oikea työkalu

Se on todella oikea työkalu, kun laite ei voi lainkaan ajaa VPN-asiakasta — televisio, konsoli, lukittu verkkopinon digiboksi — ja kun vain yksi nimetty palvelu on tärkeä. Se on järkevää myös silloin, kun et tarkoituksella halua jokaista pakettia tuossa laitteessa tunneloiduksi.

Se on väärä työkalu, kun vaatimuksena on salaus, koko laitteen uloskäyntiosoite tai suojaus paikalliselta verkolta ja operaattorilta. Ne ovat tunnelin ominaisuuksia, eikä mikään ratkaisijan asetus tuota niitä. Ja jos pidät VPN:ää käynnissä samassa laitteessa, odota, että rekisteröintiin perustuva valtuutus rikkoutuu, koska julkinen osoitteesi on nyt tunnelin osoite.

Käy tämä päätös järjestyksessä läpi ja pysähdy ensimmäiseen riviin, joka on totta:

• Tarvitsetko salatun liikenteen ja koko laitteen uuteen uloskäyntiin? Käytä VPN:ää ja tarkista sen reitit ja poikkeukset, älä sen yhdistetty-ilmaisinta.
• Tarvitsetko vain muutaman nimetyn palvelun laitteessa, joka ei voi tunneloida? Smart DNS on oikeasuhtainen.
• Tarvitsetko yksityiset kyselyt mutta et liikenteen siirtämistä? Se on salattu DNS, joka ei ole kumpikaan edellisistä.
• Tukeutuuko tarjoaja nykyiseen osoitteeseesi? Odota katkosta heti, kun se muuttuu.