A Smart DNS nem VPN: mit változtat meg valójában az a DNS-beállítás

A tévét egy Smart DNS feloldóra állítja, egy streamingszolgáltatás elkezd működni, és a következtetés magától megíródik: ez egy VPN, amely kevesebbe kerül és gyorsabban települ. Nem az, és a különbség nem szőrszálhasogatás. Ami megváltozott, az a válasz, amelyet a tévé kapott, amikor megkérdezte, hol él egy hosztnév; ami nem változott, az az, hogy minden csomag továbbra is nyíltan hagyja el a házát, ugyanazon az útvonalon, ugyanarról a címről, amelyet a szolgáltató már ismer. A mítosz az, hogy a DNS-beállítás egy alagút. A valóság szűkebb és hasznosabb, amint meglátja.

A mítosz: a DNS módosítása átirányítja a forgalmát

A hétköznapi DNS megmondja egy alkalmazásnak, hova csatlakozzon. A Smart DNS szolgáltatás a kiválasztott hosztnevekre a szolgáltató saját infrastruktúrájához tartozó címekkel válaszol, így az alkalmazás oda csatlakozik, nem közvetlenül a szolgáltatáshoz. Ezután a szolgáltató továbbítja azt az egy folyamot a valódi célhoz. Semmi más nem mozdul az eszközön.

Ezért működik egyáltalán a trükk tévén vagy konzolon. Nincs kliens, nincs felület, nincs bejegyzés az útvonaltáblában, nincs titkosítási réteg. Az eszköz pontosan azt teszi, amit mindig is tett: felold egy nevet, és csatlakozik ahhoz, ami visszajön. Ön a választ változtatta meg, nem minden csomag útját.

A címkét független DNS-projektek is használják, ezért nézze meg a szolgáltató saját dokumentációját, ahelyett hogy a névből feltételezne egy funkciókészletet. Nincs szabványos Smart DNS protokoll; egy termék lefedettsége semmit sem mond megbízhatóan egy másikról.

Mi irányul valójában, és mi nem

A különbség könnyen látható, ha folyamonként sorolja fel, nem eszközönként.

Megnézheti, ahogy megtörténik. Kérdezze meg a szolgáltató feloldóját egy hosztnévről, és kérdezzen meg egy nyilvános feloldót ugyanarról:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

A különböző válaszok névszintű irányítást jelentenek. Ugyanaz a válasz vagy azt jelenti, hogy a szolgáltatás nem fedi le azt a nevet, vagy azt, hogy az eszköz nem azt a feloldót használja — olyan hiba, amely rossz DNS-konfigurációnak látszik, és gyakran törött fióknak tartják.

Van egy második hiba ugyanazzal a szaggal. Sok szolgáltató az alapján engedélyez, hogy éppen milyen nyilvános címet használ, így a fiók addig működik, amíg a cím meg nem változik. A hordozói szintű NAT-forgatás vagy egy ráépülő VPN elmozdítja ezt a címet, és a relay elutasítja, miközben a feloldás továbbra is sikerül. A nyilvántartási bejegyzés hozzáférés-ellenőrzés, nem bizonyíték kizárólagos kijáratra.

A titkosított DNS teljesen harmadik dolog

DNS HTTPS-en és DNS TLS-en keresztül védik az eszköze és a feloldó közötti cserét. Titkosítják és hitelesítik a lekérdezést, hogy a helyi hálózat ne tudja olvasni vagy átírni, a DoH pedig szokásos HTTPS-forgalomban viszi a 443-as porton, ami miatt egy szűrőnek webfolyamnak látszik. Ez a lekérdezések bizalmassági tulajdonsága.

Egy szolgáltatás irányítása más funkció: maga a válasz egy közvetítőre mutat. Egy termék kínálhatja mindkettőt egyszerre, és sok teszi is, de az egyik nem jelenti a másikat. A lekérdezések titkosítása még soha nem mozgatott egyetlen bájt videót sem egy másik országon át.

Tehát a „titkosított DNS“ arra a kérdésre válaszol, ki olvashatja a lekérdezéseit. Arra nem válaszol, ki láthatja a forgalmát, és nem ad új kijárati címet. A DNS over HTTPS specifikációja a helyes hivatkozás arra, mit fed le ez a védelem, és semmit sem mond az útválasztásról.

Ki mit lát az egyes elrendezésekben

Smart DNS esetén a feloldó látja a neveket, amelyeket keres, a szolgáltató relayje látja a kapcsolatokat, amelyeket szállít, és az internetszolgáltatója továbbra is lát minden mást nyílt szövegű szerkezetben: milyen címeket keresett fel, mikor és mennyit. A tartalom az irányított folyamban TLS-sel védett a célig, így a relay egy titkosított munkamenetet továbbít, amelyet nem tud olvasni — de látja, hogy csatlakozott, honnan és mennyi ideig.

VPN esetén az alagút üzemeltetője látja a forgalmát és a céljait, ami egyetlen összpontosított bizalmi döntés, az internetszolgáltatója pedig csak egy titkosított adatfolyamot lát egy végpont felé. Más kitettség, nem automatikusan kevesebb. Egyik modellt sem szabadna az alapján megítélni, hogy megnyílik-e egy oldal.

A sebesség az útvonalat követi, nem a címkét. Egy szelektív relay távol tarthatja a kapcsolódó forgalmat egy kerülőúttól, ami valódi előny egy olyan eszköznek, amely különben mindent alagútba tenne. Ez sem garancia, és egyetlen elrendezés sem ígér állandó hozzáférést egy olyan szolgáltatáshoz, amely aktívan fel akarja ismerni.

Mikor a Smart DNS a megfelelő eszköz

Valóban a megfelelő eszköz, amikor az eszköz egyáltalán nem tud VPN-klienst futtatni — egy tévé, egy konzol, egy zárt hálózati vermet használó set-top box —, és amikor csak egy megnevezett szolgáltatás számít. Akkor is ésszerű, amikor szándékosan nem akarja, hogy az eszköz minden csomagja alagúton menjen.

Akkor rossz eszköz, amikor a követelmény a titkosítás, az egész eszköz kijárati címe, vagy a helyi hálózat és az internetszolgáltató elleni védelem. Ezek alagúttulajdonságok, és semmilyen feloldóbeállítás nem hozza létre őket. És ha VPN-t tart futva ugyanazon az eszközön, számítson arra, hogy a regisztrációalapú engedélyezés eltörik, mert a nyilvános címe most az alagúté.

Fusson végig ezen a döntésen sorrendben, és álljon meg az első igaz sornál:

• Titkosított forgalomra és az egész eszköz új kijáratára van szüksége? Használjon VPN-t, és ellenőrizze annak útvonalait és kivételeit, ne a csatlakozott jelzőt.
• Csak néhány megnevezett szolgáltatásra van szüksége egy olyan eszközön, amely nem tud alagutazni? A Smart DNS arányos.
• A lekérdezései legyenek privátak, de a forgalma ne mozduljon? Az titkosított DNS, amely egyik sem a fentiek közül.
• A szolgáltató a jelenlegi címére támaszkodik? Számítson törésre abban a pillanatban, amikor az megváltozik.