Smart DNS non é unha VPN: que cambia de verdade ese axuste de DNS

Apuntas o televisor a un resolutor de Smart DNS, unha aplicación de streaming comeza a funcionar e a conclusión escríbese soa: isto é unha VPN que custa menos e se instala máis rápido. Non o é, e a diferenza non é pedantería. O que cambiou é a resposta que recibiu o televisor cando preguntou onde vive un nome de host; o que non cambiou é que cada paquete segue saíndo da túa casa en claro, polo mesmo camiño, desde o mesmo enderezo que o ISP xa coñece. O mito é que un axuste de DNS é un túnel. A realidade é máis estreita e máis útil en canto a ves.

O mito: un cambio de DNS redirixe o teu tráfico

O DNS común dille a unha aplicación onde conectarse. Un servizo de Smart DNS responde a nomes de host seleccionados con enderezos que pertencen á infraestrutura do propio provedor, así que a aplicación conecta alí en lugar de ao servizo directamente. Despois o provedor retransmite ese único fluxo ao destino real. Nada máis do dispositivo se move.

Por iso o truco funciona nun televisor ou nunha consola. Non hai cliente, nin interface, nin entrada na táboa de rutas, nin capa de cifrado. O dispositivo fai exactamente o que sempre fixo: resolver un nome e conectarse ao que volva. Cambiaches a resposta, non o camiño de cada paquete.

A etiqueta tamén a usan proxectos de DNS non relacionados, así que consulta a documentación do propio provedor en lugar de supoñer un conxunto de funcións a partir do nome. Non existe un protocolo Smart DNS estándar; a cobertura dun produto non di nada fiable sobre outro.

Que se dirixe realmente e que non

A distinción é fácil de ver cando a enumera por fluxo en lugar de por dispositivo.

Podes velo ocorrer. Pregunta ao resolutor do provedor por un nome de host e pregunta o mesmo a un resolutor público:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Respostas distintas significan direccionamento na capa de nome. A mesma resposta significa ou ben que o servizo non cobre ese nome ou ben que o dispositivo non usa ese resolutor — un fallo que parece unha mala configuración de DNS e que a miúdo se confunde cunha conta rota.

Hai un segundo fallo co mesmo cheiro. Moitos provedores autorizan polo enderezo público que usas agora, así que a conta funciona ata que o enderezo cambia. A rotación de NAT de grao operador, ou unha VPN por riba, move ese enderezo e o repetidor rexéitao, mentres a resolución segue tendo éxito. A entrada do rexistro é un control de acceso, non proba dunha saída exclusiva.

O DNS cifrado é unha terceira cousa de todo

DNS sobre HTTPS e DNS sobre TLS protexen o intercambio entre o teu dispositivo e o resolutor. Cifran e autentican a consulta para que a rede local non poida lela nin reescribila, e DoH lévaa en tráfico HTTPS común polo porto 443, que é tamén a razón de que pareza tráfico web a un filtro. É unha función de confidencialidade para as consultas.

Dirixir un servizo é outra función: a propia resposta apunta a un intermediario. Un produto pode ofrecer ambas as cousas á vez, e moitos fanno, pero unha non implica a outra. Cifrar as túas consultas nunca moveu un só byte de vídeo por outro país.

Así que «DNS cifrado» responde a unha pregunta sobre quen pode ler as túas consultas. Non responde quen pode ver o teu tráfico, e non che dá un enderezo de saída novo. A especificación de DNS over HTTPS é a referencia correcta para o que cobre esa protección, e non di nada sobre o encamiñamento.

Quen ve que en cada disposición

Con Smart DNS, o resolutor ve os nomes que consultas, o repetidor do provedor ve as conexións que transporta, e o teu ISP segue vendo todo o demais en estrutura de texto aberto: a que enderezos te conectaches, cando e canto. O contido segue protexido por TLS ata o destino no fluxo dirixido, así que o repetidor reenvía unha sesión cifrada que non pode ler — pero pode ver que te conectaches, desde onde e durante canto tempo.

Cunha VPN, o operador do túnel ve o teu tráfico e os teus destinos, o que é unha única decisión de confianza concentrada, e o teu ISP só ve un fluxo cifrado cara a un punto final. Unha exposición distinta, non automaticamente menor. Ningún dos dous modelos debería xulgarse por se se abre un sitio.

A velocidade segue o camiño, non a etiqueta. Un repetidor selectivo pode manter o tráfico non relacionado fóra dun desvío, o que é unha vantaxe real para un dispositivo que doutro modo o tunelizaría todo. Tampouco é unha garantía, e ningún arranxo promete acceso permanente a un servizo que intenta detectalo activamente.

Cando Smart DNS é a ferramenta axeitada

É de verdade a ferramenta axeitada cando o dispositivo non pode executar ningún cliente de VPN — un televisor, unha consola, un descodificador coa pila de rede bloqueada — e cando só importa un servizo con nome. Tamén é razoable cando deliberadamente non queres que cada paquete dese dispositivo pase por un túnel.

É a ferramenta equivocada cando o requisito é cifrado, un enderezo de saída para todo o dispositivo ou protección fronte á rede local e o ISP. Son propiedades de túnel, e ningún axuste de resolutor as produce. E se mantés unha VPN no mesmo dispositivo, espera que a autorización baseada no rexistro se rompa, porque o teu enderezo público agora é o do túnel.

Percorre esta decisión en orde e detente na primeira liña que sexa certa:

• Necesitas o tráfico cifrado e todo o dispositivo nunha saída nova? Usa unha VPN e revisa as súas rutas e exclusións, non o seu indicador de conectado.
• Só necesitas uns poucos servizos con nome nun dispositivo que non pode tunelizar? Smart DNS é proporcionado.
• Necesitas as consultas privadas pero sen mover o tráfico? Iso é DNS cifrado, que non é ningunha das anteriores.
• O provedor depende do teu enderezo actual? Espera unha ruptura no momento en que cambie.