Smart DNS אינו VPN: מה באמת משנה הגדרת ה-DNS הזו
הגדרת Smart DNS מפנה שאילתות שמות עבור כמה שירותים. זה אינו מנהר מוצפן, והפער קובע מי יכול לראות את התעבורה שלך.
אתם מפנים את הטלוויזיה ל-resolver של Smart DNS, אפליקציית סטרימינג אחת מתחילה לעבוד, והמסקנה נכתבת מעצמה: זהו VPN שעולה פחות ומתקין מהר יותר. זה לא, והפער אינו קפדנות יתר. מה שהשתנה הוא התשובה שקיבלה הטלוויזיה כששאלה היכן חי שם מארח; מה שלא השתנה הוא שכל מקטע עדיין יוצא מהבית שלכם בגלוי, באותו נתיב, מאותה כתובת שה-ISP כבר מכיר. המיתוס הוא שהגדרת DNS היא מנהר. המציאות צרה יותר ושימושית יותר ברגע שרואים אותה.
המיתוס: שינוי DNS מפנה את התעבורה שלכם מחדש
DNS רגיל אומר לאפליקציה לאן להתחבר. שירות Smart DNS עונה לשמות מארח נבחרים בכתובות השייכות לתשתית של הספק עצמו, כך שהאפליקציה מתחברת לשם במקום ישירות לשירות. לאחר מכן הספק מעביר את הזרימה האחת הזו ליעד האמיתי. שום דבר אחר במכשיר לא זז.
זו הסיבה שהטריק עובד בכלל בטלוויזיה או בקונסולה. אין לקוח, אין ממשק, אין רשומה בטבלת הניתוב, אין שכבת הצפנה. המכשיר עושה בדיוק את מה שתמיד עשה: מפענח שם ומתחבר לכל מה שחזר. אתם שיניתם את התשובה, לא את הנתיב של כל מקטע.
התווית משמשת גם פרויקטי DNS לא קשורים, לכן בדקו את התיעוד של הספק עצמו במקום להסיק סט תכונות מהשם. אין פרוטוקול Smart DNS תקני; הכיסוי של מוצר אחד לא אומר דבר מהימן על אחר.
מה באמת מנותב, ומה לא
קל לראות את ההבדל כשמפרטים אותו לפי זרימה ולא לפי מכשיר.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
אפשר לראות את זה קורה. שאלו את ה-resolver של הספק על שם מארח ושאלו resolver ציבורי על אותו שם:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleתשובות שונות משמעות ניתוב בשכבת השם. אותה תשובה משמעה או שהשירות אינו מכסה את השם הזה או שהמכשיר אינו משתמש ב-resolver הזה — תקלה שנראית כמו תצורת DNS שגויה ולעיתים קרובות נחשבת לחשבון שבור.
יש תקלה שנייה עם אותו ריח. ספקים רבים מאשרים לפי הכתובת הציבורית שבה אתם משתמשים כעת, כך שהחשבון עובד עד שהכתובת משתנה. סבב NAT ברמת ספק או VPN מעליו מזיז את הכתובת ההיא וה-relay מסרב לכם, בעוד הפענוח ממשיך להצליח. רשומת הרישום היא בקרת גישה, לא הוכחה ליציאה בלעדית.
DNS מוצפן הוא דבר שלישי לגמרי
DNS over HTTPS ו-DNS over TLS מגנים על החליפין בין המכשיר שלכם ל-resolver. הם מצפינים ומאמתים את השאילתה כדי שהרשת המקומית לא תוכל לקרוא או לשכתב אותה, ו-DoH נושא אותה בתעבורת HTTPS רגילה בפורט 443, וזו גם הסיבה שהיא נראית כמו תעבורת רשת למסנן. זו תכונת סודיות לשאילתות.
ניתוב שירות הוא פונקציה אחרת: התשובה עצמה מצביעה על מתווך. מוצר יכול להציע את שניהם בבת אחת, ורבים עושים זאת, אבל האחד אינו מחייב את השני. הצפנת השאילתות שלכם מעולם לא העבירה בייט אחד של וידאו דרך מדינה אחרת.
אז „DNS מוצפן“ עונה על שאלה מי יכול לקרוא את השאילתות שלכם. הוא אינו עונה מי יכול לראות את התעבורה שלכם, והוא אינו נותן לכם כתובת יציאה חדשה. ה-מפרט של DNS over HTTPS הוא ההפניה הנכונה למה שההגנה הזו מכסה, והוא אינו אומר דבר על ניתוב.
מי רואה מה בכל סידור
עם Smart DNS, ה-resolver רואה את השמות שאתם מחפשים, ה-relay של הספק רואה את החיבורים שהוא נושא, וה-ISP שלכם עדיין רואה כל השאר במבנה טקסט גלוי: לאילו כתובות התחברתם, מתי וכמה. התוכן נשאר מוגן ב-TLS עד היעד בזרימה המנותבת, כך שה-relay מעביר הפעלה מוצפנת שאינו יכול לקרוא — אבל הוא יכול לראות שהתחברתם, מאיפה ולכמה זמן.
עם VPN, מפעיל המנהר רואה את התעבורה ואת היעדים שלכם, וזו החלטת אמון מרוכזת אחת, וה-ISP שלכם רואה רק זרם מוצפן לנקודת קצה אחת. חשיפה שונה, לא פחותה אוטומטית. אין לשפוט אף מודל לפי האם אתר אחד נפתח.
המהירות הולכת אחרי הנתיב ולא אחרי התווית. relay סלקטיבי יכול להשאיר תעבורה לא קשורה מחוץ לעיקוף, וזה יתרון אמיתי למכשיר שאחרת היה מנהור הכול. זו גם אינה הבטחה, ואף סידור אינו מבטיח גישה קבועה לשירות שמנסה לזהות אותו באופן פעיל.
מתי Smart DNS הוא הכלי הנכון
הוא באמת הכלי הנכון כשהמכשיר אינו יכול להריץ לקוח VPN בכלל — טלוויזיה, קונסולה, ממיר עם מחסנית רשת נעולה — וכשחשוב רק שירות אחד בשם. הוא גם סביר כשאתם במכוון לא רוצים שכל מקטע במכשיר הזה יעבור במנהר.
הוא הכלי הלא נכון כשהדרישה היא הצפנה, כתובת יציאה לכל המכשיר, או הגנה מהרשת המקומית וה-ISP. אלה תכונות מנהר, ואף הגדרת resolver לא מייצרת אותן. ואם אתם מחזיקים VPN על אותו מכשיר, צפו שההרשאה מבוססת הרישום תישבר, כי הכתובת הציבורית שלכם היא עכשיו של המנהר.
עברו על ההחלטה הזו לפי הסדר ועצרו בשורה הראשונה שנכונה:
- צריכים את התעבורה מוצפנת ואת כל המכשיר ביציאה חדשה? השתמשו ב-VPN, ובדקו את הנתיבים והחריגים שלו ולא את מחוון החיבור.
- צריכים רק כמה שירותים בשם במכשיר שאינו יכול לבצע מנהור? Smart DNS הוא פרופורציונלי.
- צריכים את השאילתות פרטיות אבל לא להזיז את התעבורה? זה DNS מוצפן, שאינו אף אחד מהאמור.
- האם הספק מסתמך על הכתובת הנוכחית שלכם? צפו לשבר ברגע שהיא משתנה.