Smart DNS nije VPN: šta ta DNS postavka zapravo mijenja
Smart DNS postavka usmjerava upite imena za nekoliko usluga. To nije šifrovani tunel, a razlika odlučuje ko može vidjeti vaš saobraćaj.
Usmjerite televizor na Smart DNS resolver, jedna streaming aplikacija počne raditi i zaključak se sam napiše: ovo je VPN koji košta manje i instalira se brže. Nije, a razlika nije cjepidlačenje. Promijenio se odgovor koji je televizor dobio kada je pitao gdje živi neko ime hosta; nije se promijenilo to da svaki paket i dalje napušta vašu kuću otvoreno, istim putem, sa iste adrese koju provajder već zna. Mit je da je DNS postavka tunel. Stvarnost je uža i korisnija kad je vidite.
Mit: promjena DNS-a preusmjerava vaš saobraćaj
Obični DNS kaže aplikaciji gdje da se poveže. Smart DNS usluga odgovara na odabrana imena hostova adresama koje pripadaju provajderovoj vlastitoj infrastrukturi, pa se aplikacija povezuje tamo umjesto direktno na uslugu. Provajder zatim prosljeđuje taj jedan tok do pravog odredišta. Ništa drugo na uređaju se ne pomjera.
Zato trik uopšte radi na televizoru ili konzoli. Nema klijenta, nema interfejsa, nema unosa u tablici ruta, nema sloja šifrovanja. Uređaj radi tačno ono što je oduvijek radio: razrješava ime i povezuje se na ono što se vrati. Promijenili ste odgovor, a ne put svakog paketa.
Oznaku koriste i nepovezani DNS projekti, pa provjerite provajderovu vlastitu dokumentaciju umjesto da iz imena pretpostavljate skup funkcija. Ne postoji standardni Smart DNS protokol; pokrivenost jednog proizvoda ne govori ništa pouzdano o drugom.
Šta se zapravo usmjerava, a šta ne
Razliku je lako vidjeti kada je navedete po toku, a ne po uređaju.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
Možete to vidjeti. Pitajte provajderov resolver za ime hosta i pitajte javni resolver za isto:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleRazličiti odgovori znače usmjeravanje na sloju imena. Isti odgovor znači ili da usluga nije pokrivena za to ime ili da uređaj ne koristi taj resolver — kvar koji izgleda kao pogrešna DNS konfiguracija i često se zamijeni za pokvaren račun.
Postoji i drugi kvar istog mirisa. Mnogi provajderi autorizuju prema javnoj adresi koju trenutno koristite, pa račun radi dok se adresa ne promijeni. Carrier-grade NAT rotacija, ili VPN povrh toga, pomjera tu adresu i relej vas odbija, dok razrješavanje nastavlja uspijevati. Unos u registru je kontrola pristupa, a ne dokaz ekskluzivnog izlaza.
Šifrovani DNS je nešto treće sasvim
DNS preko HTTPS-a i DNS preko TLS-a štite razmjenu između vašeg uređaja i resolvera. Šifruju i autentificiraju upit tako da lokalna mreža ne može da ga pročita ili prepiše, a DoH to nosi u običnom HTTPS saobraćaju na portu 443, zbog čega i izgleda kao web saobraćaj filteru. To je svojstvo povjerljivosti za upite.
Usmjeravanje usluge je druga funkcija: sam odgovor pokazuje na posrednika. Proizvod može nuditi oboje odjednom, i mnogi to rade, ali jedno ne podrazumijeva drugo. Šifrovanje vaših upita nikada nije prenijelo ni jedan bajt videa kroz drugu zemlju.
Dakle „šifrovani DNS“ odgovara na pitanje ko može čitati vaše upite. Ne odgovara ko može vidjeti vaš saobraćaj i ne daje vam novu izlaznu adresu. specifikacija DNS over HTTPS je pravi izvor za to šta ta zaštita pokriva, i ne govori ništa o rutiranju.
Ko šta vidi u svakom rasporedu
Uz Smart DNS, resolver vidi imena koja tražite, provajderov relej vidi veze koje prenosi, a vaš ISP i dalje vidi sve ostalo u strukturi otvorenog teksta: koje adrese ste kontaktirali, kada i koliko. Sadržaj ostaje zaštićen TLS-om do odredišta u usmjerenom toku, pa relej prosljeđuje šifrovanu sesiju koju ne može pročitati — ali vidi da ste se povezali, odakle i koliko dugo.
Uz VPN, operator tunela vidi vaš saobraćaj i vaša odredišta, što je jedna koncentrisana odluka o povjerenju, a vaš ISP vidi samo šifrovani tok do jedne krajnje tačke. Drugačija izloženost, ne automatski manja. Nijedan model ne treba ocjenjivati po tome da li se jedna stranica otvara.
Brzina slijedi put, a ne oznaku. Selektivni relej može držati nepovezan saobraćaj van obilaznice, što je stvarna prednost za uređaj koji bi inače tunelovao sve. To takođe nije garancija, i nijedan raspored ne obećava trajni pristup usluzi koja ga aktivno pokušava otkriti.
Kada je Smart DNS pravi alat
To je zaista pravi alat kada uređaj uopšte ne može pokrenuti VPN klijent — televizor, konzola, set-top box sa zaključanim mrežnim stekom — i kada je važna samo jedna imenovana usluga. Razumno je i kada svjesno ne želite da svaki paket na tom uređaju ide kroz tunel.
To je pogrešan alat kada je zahtjev šifrovanje, izlazna adresa za cijeli uređaj ili zaštita od lokalne mreže i ISP-a. To su svojstva tunela i nijedna postavka resolvera ih ne proizvodi. A ako držite VPN na istom uređaju, očekujte da će se autorizacija zasnovana na registraciji pokvariti, jer je vaša javna adresa sada adresa tunela.
Prođite ovu odluku po redu i zaustavite se na prvom redu koji je istinit:
- Trebate li šifrovan saobraćaj i cijeli uređaj na novom izlazu? Koristite VPN i provjerite njegove rute i izuzetke, a ne indikator povezanosti.
- Trebate li samo nekoliko imenovanih usluga na uređaju koji ne može tunelovati? Smart DNS je srazmjeran.
- Trebate li privatne upite, ali ne i premještanje saobraćaja? To je šifrovani DNS, koji nije ni jedno od navedenog.
- Oslanja li se provajder na vašu trenutnu adresu? Očekujte prekid onog trenutka kada se promijeni.