Smart DNS कोई VPN नहीं है: वह DNS सेटिंग असल में क्या बदलती है
Smart DNS सेटिंग कुछ सेवाओं के लिए नाम-लुकअप को निर्देशित करती है। यह एन्क्रिप्टेड टनल नहीं है, और यही अंतर तय करता है कि आपका ट्रैफ़िक कौन देख सकता है।
आप टीवी को किसी Smart DNS रिज़ॉल्वर की ओर मोड़ते हैं, एक स्ट्रीमिंग ऐप काम करने लगता है, और नतीजा खुद लिखा जाता है: यह ऐसा VPN है जो कम खर्च में और जल्दी इंस्टॉल होता है। ऐसा नहीं है, और यह अंतर नुक्ताचीनी नहीं है। जो बदला वह टीवी को मिला जवाब है जब उसने पूछा कि कोई होस्टनेम कहाँ रहता है; जो नहीं बदला वह यह है कि हर पैकेट अब भी आपका घर खुले रूप में छोड़ता है, उसी रास्ते से, उसी पते से जिसे ISP पहले से जानता है। मिथक यह है कि DNS सेटिंग एक टनल है। सच्चाई इससे सँकरी और ज़्यादा काम की है, एक बार जब आप उसे देख लें।
मिथक: DNS बदलना आपके ट्रैफ़िक का रास्ता बदल देता है
साधारण DNS किसी ऐप को बताता है कि कहाँ जुड़ना है। Smart DNS सेवा चुने हुए होस्टनेम का जवाब प्रोवाइडर की अपनी अधोसंरचना के पते देकर देती है, इसलिए ऐप सीधे सेवा से नहीं, वहाँ जुड़ता है। फिर प्रोवाइडर उस एक प्रवाह को असली गंतव्य तक भेजता है। डिवाइस पर बाकी कुछ नहीं हिलता।
इसीलिए यह तरकीब टीवी या कंसोल पर बिलकुल काम करती है। कोई क्लाइंट नहीं, कोई इंटरफ़ेस नहीं, रूट टेबल में कोई प्रविष्टि नहीं, एन्क्रिप्शन की कोई परत नहीं। डिवाइस ठीक वही करता है जो हमेशा करता आया है: नाम सुलझाता है और जो लौटता है उससे जुड़ जाता है। आपने जवाब बदला, हर पैकेट का रास्ता नहीं।
यह लेबल असंबंधित DNS परियोजनाएँ भी इस्तेमाल करती हैं, इसलिए नाम से सुविधाओं का अनुमान लगाने के बजाय प्रोवाइडर का अपना दस्तावेज़ देखें। कोई मानक Smart DNS प्रोटोकॉल नहीं है; एक उत्पाद की कवरेज दूसरे के बारे में कुछ भी भरोसेमंद नहीं कहती।
असल में क्या निर्देशित होता है, और क्या नहीं
डिवाइस के बजाय प्रवाह के हिसाब से सूची बनाएँ तो अंतर देखना आसान है।
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
आप इसे होते देख सकते हैं। प्रोवाइडर के रिज़ॉल्वर से कोई होस्टनेम पूछें और वही नाम किसी सार्वजनिक रिज़ॉल्वर से पूछें:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleअलग जवाब नाम की परत पर निर्देशन का मतलब रखते हैं। एक ही जवाब का मतलब या तो यह कि सेवा उस नाम के लिए शामिल नहीं है, या यह कि डिवाइस उस रिज़ॉल्वर का उपयोग नहीं कर रहा — ऐसी विफलता जो गलत DNS कॉन्फ़िगरेशन जैसी दिखती है और अक्सर टूटे खाते समझ ली जाती है।
उसी गंध वाली दूसरी विफलता भी है। कई प्रोवाइडर उस सार्वजनिक पते के आधार पर अधिकृत करते हैं जो आप अभी इस्तेमाल कर रहे हैं, इसलिए खाता तब तक चलता है जब तक पता न बदले। Carrier-grade NAT का घूमना, या ऊपर से एक VPN, उस पते को हिला देता है और रिले आपको मना कर देता है, जबकि नाम सुलझना सफल होता रहता है। रजिस्ट्री प्रविष्टि एक प्रवेश नियंत्रण है, किसी अनन्य निकास का प्रमाण नहीं।
एन्क्रिप्टेड DNS बिलकुल तीसरी चीज़ है
HTTPS पर DNS और TLS पर DNS आपके डिवाइस और रिज़ॉल्वर के बीच के आदान-प्रदान की रक्षा करते हैं। वे क्वेरी को एन्क्रिप्ट और प्रमाणित करते हैं ताकि स्थानीय नेटवर्क उसे पढ़ या फिर से लिख न सके, और DoH उसे पोर्ट 443 पर साधारण HTTPS ट्रैफ़िक में ले जाता है, इसीलिए वह किसी फ़िल्टर को वेब ट्रैफ़िक जैसा दिखता है। यह लुकअप के लिए गोपनीयता की सुविधा है।
किसी सेवा को निर्देशित करना अलग कार्य है: जवाब खुद एक मध्यस्थ की ओर इशारा करता है। कोई उत्पाद दोनों एक साथ दे सकता है, और कई देते हैं, पर एक से दूसरा नहीं निकलता। आपके लुकअप एन्क्रिप्ट करने ने कभी एक भी बाइट वीडियो दूसरे देश से नहीं भेजा।
इसलिए «एन्क्रिप्टेड DNS» इस सवाल का जवाब देता है कि आपकी क्वेरी कौन पढ़ सकता है। यह नहीं बताता कि आपका ट्रैफ़िक कौन देख सकता है, और यह आपको नया निकास पता नहीं देता। DNS over HTTPS विनिर्देश इस बात का सही संदर्भ है कि वह सुरक्षा क्या कवर करती है, और यह रूटिंग के बारे में कुछ नहीं कहता।
हर व्यवस्था में कौन क्या देखता है
Smart DNS के साथ, रिज़ॉल्वर वे नाम देखता है जो आप खोजते हैं, प्रोवाइडर का रिले वे कनेक्शन देखता है जो वह ले जाता है, और आपका ISP बाकी सब कुछ खुले पाठ की संरचना में देखता रहता है: आपने किन पतों से संपर्क किया, कब और कितना। सामग्री निर्देशित प्रवाह में गंतव्य तक TLS से सुरक्षित रहती है, इसलिए रिले एक एन्क्रिप्टेड सत्र आगे भेजता है जिसे वह पढ़ नहीं सकता — पर वह देख सकता है कि आप जुड़े, कहाँ से और कितनी देर।
VPN के साथ, टनल ऑपरेटर आपका ट्रैफ़िक और आपके गंतव्य देखता है, जो एक केंद्रित भरोसे का निर्णय है, और आपका ISP केवल एक अंतिम बिंदु तक एन्क्रिप्टेड धारा देखता है। अलग जोखिम, अपने आप कम नहीं। किसी भी मॉडल को इस बात से नहीं आँकना चाहिए कि एक साइट खुलती है या नहीं।
गति लेबल नहीं, रास्ते का पीछा करती है। एक चुनिंदा रिले असंबंधित ट्रैफ़िक को घुमाव से बाहर रख सकता है, जो ऐसे डिवाइस के लिए असली फ़ायदा है जो वरना सब कुछ टनल करता। यह कोई गारंटी भी नहीं है, और कोई व्यवस्था ऐसी सेवा तक स्थायी पहुँच का वादा नहीं करती जो सक्रिय रूप से उसे पकड़ने की कोशिश कर रही हो।
Smart DNS सही औज़ार कब है
यह सचमुच सही औज़ार है जब डिवाइस बिलकुल VPN क्लाइंट नहीं चला सकता — टीवी, कंसोल, बंद नेटवर्क स्टैक वाला सेट-टॉप बॉक्स — और जब सिर्फ़ एक नामित सेवा मायने रखती है। यह तब भी उचित है जब आप जानबूझकर नहीं चाहते कि उस डिवाइस का हर पैकेट टनल से जाए।
यह गलत औज़ार है जब ज़रूरत एन्क्रिप्शन, पूरे डिवाइस के लिए निकास पता, या स्थानीय नेटवर्क और ISP से सुरक्षा हो। वे टनल के गुण हैं, और कोई रिज़ॉल्वर सेटिंग उन्हें पैदा नहीं करती। और अगर आप उसी डिवाइस पर VPN चलाते रहें, तो पंजीकरण-आधारित अधिकृति टूटने की अपेक्षा रखें, क्योंकि आपका सार्वजनिक पता अब टनल का है।
यह निर्णय क्रम से चलाएँ और पहली सही पंक्ति पर रुकें:
- क्या आपको ट्रैफ़िक एन्क्रिप्टेड और पूरा डिवाइस नए निकास पर चाहिए? VPN इस्तेमाल करें, और उसके कनेक्टेड संकेतक के बजाय उसके रूट और अपवाद जाँचें।
- क्या आपको ऐसे डिवाइस पर सिर्फ़ कुछ नामित सेवाएँ चाहिए जो टनल नहीं कर सकता? Smart DNS अनुपातिक है।
- क्या आपको अपने लुकअप निजी चाहिए पर ट्रैफ़िक हिलाना नहीं? वह एन्क्रिप्टेड DNS है, जो ऊपर के किसी भी विकल्प में नहीं है।
- क्या प्रोवाइडर आपके मौजूदा पते पर निर्भर है? जिस पल वह बदलेगा, व्यवधान की अपेक्षा रखें।