Smart DNS bukan VPN: apa yang sebenarnya diubah pengaturan DNS itu

Anda mengarahkan TV ke resolver Smart DNS, satu aplikasi streaming mulai berfungsi, dan kesimpulannya menulis dirinya sendiri: ini VPN yang lebih murah dan lebih cepat dipasang. Bukan, dan selisihnya bukan keremehan. Yang berubah adalah jawaban yang diterima TV ketika bertanya di mana sebuah nama host tinggal; yang tidak berubah adalah setiap paket tetap meninggalkan rumah Anda terbuka, di jalur yang sama, dari alamat yang sudah dikenal ISP. Mitosnya adalah pengaturan DNS itu sebuah terowongan. Kenyataannya lebih sempit dan lebih berguna begitu Anda melihatnya.

Mitos: perubahan DNS mengalihkan lalu lintas Anda

DNS biasa memberi tahu aplikasi ke mana harus terhubung. Layanan Smart DNS menjawab nama host terpilih dengan alamat milik infrastruktur penyedia sendiri, sehingga aplikasi terhubung ke sana alih-alih langsung ke layanan. Penyedia lalu meneruskan satu aliran itu ke tujuan sebenarnya. Tidak ada hal lain di perangkat yang bergerak.

Itulah sebabnya trik ini bisa bekerja di televisi atau konsol. Tidak ada klien, tidak ada antarmuka, tidak ada entri di tabel rute, tidak ada lapisan enkripsi. Perangkat melakukan persis apa yang selalu dilakukannya: menyelesaikan nama dan terhubung ke apa pun yang kembali. Anda mengubah jawabannya, bukan jalur setiap paket.

Label ini juga dipakai proyek DNS yang tidak berhubungan, jadi periksa dokumentasi penyedia sendiri alih-alih mengasumsikan sekumpulan fitur dari namanya. Tidak ada protokol Smart DNS standar; cakupan satu produk tidak mengatakan apa pun yang andal tentang produk lain.

Apa yang sebenarnya diarahkan, dan apa yang tidak

Perbedaannya mudah dilihat begitu Anda mendaftarnya per aliran, bukan per perangkat.

Anda bisa melihatnya terjadi. Tanyakan nama host ke resolver penyedia dan tanyakan hal yang sama ke resolver publik:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Jawaban berbeda berarti pengarahan di lapisan nama. Jawaban sama berarti entah layanan tidak mencakup nama itu atau perangkat tidak memakai resolver itu — kegagalan yang tampak seperti salah konfigurasi DNS dan sering disalahartikan sebagai akun rusak.

Ada kegagalan kedua dengan bau yang sama. Banyak penyedia mengotorisasi berdasarkan alamat publik yang Anda pakai sekarang, jadi akun berfungsi sampai alamat berubah. Rotasi NAT tingkat operator, atau VPN di atasnya, memindahkan alamat itu dan relay menolak Anda, sementara resolusi terus berhasil. Entri registri adalah kontrol akses, bukan bukti jalan keluar eksklusif.

DNS terenkripsi adalah hal ketiga yang sama sekali berbeda

DNS melalui HTTPS dan DNS melalui TLS melindungi pertukaran antara perangkat Anda dan resolver. Keduanya mengenkripsi dan mengautentikasi kueri sehingga jaringan lokal tidak dapat membacanya atau menulisnya ulang, dan DoH membawanya dalam lalu lintas HTTPS biasa di port 443, yang juga sebabnya ia tampak seperti lalu lintas web bagi filter. Itu fitur kerahasiaan untuk pencarian.

Mengarahkan layanan adalah fungsi lain: jawabannya sendiri menunjuk ke perantara. Sebuah produk dapat menawarkan keduanya sekaligus, dan banyak yang melakukannya, tetapi yang satu tidak berarti yang lain. Mengenkripsi pencarian Anda tidak pernah memindahkan satu byte video pun lewat negara lain.

Jadi «DNS terenkripsi» menjawab pertanyaan tentang siapa yang bisa membaca kueri Anda. Itu tidak menjawab siapa yang bisa melihat lalu lintas Anda, dan tidak memberi Anda alamat keluar baru. spesifikasi DNS over HTTPS adalah rujukan yang tepat untuk apa yang dicakup perlindungan itu, dan tidak mengatakan apa pun tentang perutean.

Siapa melihat apa dalam setiap susunan

Dengan Smart DNS, resolver melihat nama yang Anda cari, relay penyedia melihat koneksi yang dibawanya, dan ISP Anda tetap melihat semua yang lain dalam struktur teks terbuka: alamat mana yang Anda hubungi, kapan, dan berapa banyak. Konten tetap dilindungi TLS ke tujuan dalam aliran yang diarahkan, jadi relay meneruskan sesi terenkripsi yang tidak bisa dibacanya — tetapi ia bisa melihat bahwa Anda terhubung, dari mana, dan berapa lama.

Dengan VPN, operator terowongan melihat lalu lintas dan tujuan Anda, yang merupakan satu keputusan kepercayaan terpusat, dan ISP Anda hanya melihat aliran terenkripsi ke satu titik akhir. Paparan berbeda, bukan otomatis lebih kecil. Tidak ada model yang harus dinilai dari apakah satu situs terbuka.

Kecepatan mengikuti jalur, bukan label. Relay selektif dapat menjauhkan lalu lintas tak terkait dari jalan memutar, yang merupakan keuntungan nyata bagi perangkat yang jika tidak akan menerowongkan semuanya. Itu juga bukan jaminan, dan tidak ada susunan yang menjanjikan akses permanen ke layanan yang secara aktif berusaha mendeteksinya.

Kapan Smart DNS adalah alat yang tepat

Itu benar-benar alat yang tepat ketika perangkat sama sekali tidak bisa menjalankan klien VPN — televisi, konsol, set-top box dengan tumpukan jaringan terkunci — dan ketika hanya satu layanan bernama yang penting. Itu juga masuk akal ketika Anda sengaja tidak ingin setiap paket di perangkat itu diterowongkan.

Itu alat yang salah ketika persyaratannya enkripsi, alamat keluar untuk seluruh perangkat, atau perlindungan dari jaringan lokal dan ISP. Itu sifat terowongan, dan tidak ada pengaturan resolver yang menghasilkannya. Dan jika Anda membiarkan VPN berjalan di perangkat yang sama, perkirakan otorisasi berbasis registrasi akan rusak, karena alamat publik Anda sekarang milik terowongan.

Jalankan keputusan ini berurutan dan berhenti di baris pertama yang benar:

• Apakah Anda perlu lalu lintas terenkripsi dan seluruh perangkat di jalan keluar baru? Gunakan VPN, dan periksa rute serta pengecualiannya, bukan indikator terhubungnya.
• Apakah Anda hanya perlu beberapa layanan bernama di perangkat yang tidak bisa menerowongkan? Smart DNS proporsional.
• Apakah Anda perlu pencarian tetap privat tetapi lalu lintas tidak berpindah? Itu DNS terenkripsi, yang bukan salah satu dari yang di atas.
• Apakah penyedia bergantung pada alamat Anda saat ini? Perkirakan gangguan saat alamat itu berubah.