Smart DNS non è una VPN: cosa cambia davvero quell'impostazione DNS

Punti il televisore su un resolver Smart DNS, un'app di streaming inizia a funzionare e la conclusione si scrive da sola: questa è una VPN che costa meno e si installa più in fretta. Non lo è, e la differenza non è pedanteria. Ciò che è cambiato è la risposta che il televisore ha ricevuto quando ha chiesto dove vive un nome host; ciò che non è cambiato è che ogni pacchetto esce ancora da casa tua in chiaro, sullo stesso percorso, dallo stesso indirizzo che l'ISP conosce già. Il mito è che un'impostazione DNS sia un tunnel. La realtà è più stretta e più utile appena la vedi.

Il mito: un cambiamento DNS reindirizza il tuo traffico

Il DNS ordinario dice a un'applicazione dove connettersi. Un servizio Smart DNS risponde a nomi host selezionati con indirizzi che appartengono all'infrastruttura del provider stesso, così l'app si connette lì invece che direttamente al servizio. Il provider poi inoltra quell'unico flusso alla destinazione reale. Nient'altro sul dispositivo si muove.

È per questo che il trucco funziona su un televisore o una console. Non c'è client, non c'è interfaccia, non c'è voce nella tabella di routing, non c'è livello di cifratura. Il dispositivo fa esattamente quello che ha sempre fatto: risolve un nome e si connette a ciò che torna. Hai cambiato la risposta, non il percorso di ogni pacchetto.

L'etichetta è usata anche da progetti DNS non correlati, quindi controlla la documentazione del provider invece di dedurre un insieme di funzioni dal nome. Non esiste un protocollo Smart DNS standard; la copertura di un prodotto non dice nulla di affidabile su un altro.

Cosa viene davvero indirizzato e cosa no

La distinzione è facile da vedere quando la elenchi per flusso invece che per dispositivo.

Puoi vederlo accadere. Chiedi al resolver del provider un nome host e chiedi lo stesso a un resolver pubblico:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Risposte diverse significano indirizzamento a livello di nome. La stessa risposta significa o che il servizio non copre quel nome o che il dispositivo non usa quel resolver — un guasto che sembra una cattiva configurazione DNS e viene spesso scambiato per un account rotto.

C'è un secondo guasto con lo stesso odore. Molti provider autorizzano in base all'indirizzo pubblico che stai usando ora, quindi l'account funziona finché l'indirizzo non cambia. La rotazione NAT di grado operatore, o una VPN sopra, sposta quell'indirizzo e il relay ti rifiuta, mentre la risoluzione continua a riuscire. La voce nel registro è un controllo di accesso, non la prova di un'uscita esclusiva.

Il DNS cifrato è una terza cosa del tutto

DNS su HTTPS e DNS su TLS proteggono lo scambio tra il tuo dispositivo e il resolver. Cifrano e autenticano la query così la rete locale non può leggerla o riscriverla, e DoH la trasporta in normale traffico HTTPS sulla porta 443, ed è anche per questo che a un filtro sembra traffico web. È una funzione di riservatezza per le query.

Indirizzare un servizio è un'altra funzione: la risposta stessa punta a un intermediario. Un prodotto può offrire entrambe insieme, e molti lo fanno, ma una non implica l'altra. Cifrare le tue query non ha mai spostato un solo byte di video attraverso un altro paese.

Quindi «DNS cifrato» risponde a una domanda su chi può leggere le tue query. Non risponde a chi può vedere il tuo traffico, e non ti dà un nuovo indirizzo di uscita. La specifica di DNS over HTTPS è il riferimento giusto per ciò che quella protezione copre, e non dice nulla sul routing.

Chi vede cosa in ciascuna disposizione

Con Smart DNS, il resolver vede i nomi che cerchi, il relay del provider vede le connessioni che trasporta, e il tuo ISP vede ancora tutto il resto in struttura di testo aperto: quali indirizzi hai contattato, quando e quanto. Il contenuto resta protetto da TLS fino alla destinazione nel flusso indirizzato, quindi il relay inoltra una sessione cifrata che non può leggere — ma può vedere che ti sei connesso, da dove e per quanto tempo.

Con una VPN, l'operatore del tunnel vede il tuo traffico e le tue destinazioni, che è un'unica decisione di fiducia concentrata, e il tuo ISP vede solo un flusso cifrato verso un endpoint. Un'esposizione diversa, non automaticamente minore. Nessuno dei due modelli dovrebbe essere giudicato da se un sito si apre.

La velocità segue il percorso, non l'etichetta. Un relay selettivo può tenere il traffico non correlato fuori da una deviazione, il che è un vantaggio reale per un dispositivo che altrimenti incanalerebbe tutto. Non è nemmeno una garanzia, e nessuna disposizione promette accesso permanente a un servizio che cerca attivamente di rilevarlo.

Quando Smart DNS è lo strumento giusto

È davvero lo strumento giusto quando il dispositivo non può eseguire alcun client VPN — un televisore, una console, un set-top box con stack di rete bloccato — e quando conta solo un servizio con nome. È anche ragionevole quando deliberatamente non vuoi che ogni pacchetto di quel dispositivo passi in un tunnel.

È lo strumento sbagliato quando il requisito è la cifratura, un indirizzo di uscita per tutto il dispositivo o la protezione dalla rete locale e dall'ISP. Sono proprietà del tunnel, e nessuna impostazione del resolver le produce. E se tieni una VPN sullo stesso dispositivo, aspettati che l'autorizzazione basata sulla registrazione si rompa, perché il tuo indirizzo pubblico ora è quello del tunnel.

Percorri questa decisione in ordine e fermati alla prima riga che è vera:

• Ti serve il traffico cifrato e tutto il dispositivo su una nuova uscita? Usa una VPN, e controlla le sue rotte ed esclusioni, non il suo indicatore di connessione.
• Ti servono solo pochi servizi con nome su un dispositivo che non può incanalare? Smart DNS è proporzionato.
• Ti servono le query private ma non spostare il traffico? È DNS cifrato, che non è nessuno dei precedenti.
• Il provider si basa sul tuo indirizzo attuale? Aspettati un'interruzione nel momento in cui cambia.