Smart DNS nėra VPN: ką tas DNS nustatymas iš tikrųjų keičia

Nukreipiate televizorių į Smart DNS sprendėją, viena srautinio perdavimo programa pradeda veikti, ir išvada parašo save: tai VPN, kuris kainuoja mažiau ir įdiegiamas greičiau. Tai ne, ir skirtumas ne pedantiškumas. Pasikeitė atsakymas, kurį televizorius gavo paklausęs, kur gyvena kompiuterio vardas; nepasikeitė tai, kad kiekvienas paketas vis dar palieka jūsų namus atviras, tuo pačiu keliu, iš to paties adreso, kurį ISP jau žino. Mitas yra tai, kad DNS nustatymas yra tunelis. Tikrovė siauresnė ir naudingesnė, kai ją pamatote.

Mitas: DNS pakeitimas perkelia jūsų srautą kitu keliu

Įprastas DNS pasako programai, kur jungtis. Smart DNS paslauga atsako į pasirinktus kompiuterių vardus adresais, priklausančiais paties tiekėjo infrastruktūrai, todėl programa jungiasi ten, o ne tiesiogiai prie paslaugos. Tada tiekėjas perduoda tą vieną srautą tikrajai paskirties vietai. Niekas kitas įrenginyje nejuda.

Štai kodėl triukas apskritai veikia televizoriuje ar konsolėje. Nėra kliento, nėra sąsajos, nėra įrašo maršrutų lentelėje, nėra šifravimo sluoksnio. Įrenginys daro būtent tai, ką visada darė: išsprendžia vardą ir prisijungia prie to, kas grįžta. Jūs pakeitėte atsakymą, o ne kiekvieno paketo kelią.

Žymą naudoja ir nesusiję DNS projektai, todėl tikrinkite paties tiekėjo dokumentaciją, o ne spėkite funkcijų rinkinį iš pavadinimo. Nėra standartinio Smart DNS protokolo; vieno produkto aprėptis nieko patikimo nepasako apie kitą.

Kas iš tikrųjų nukreipiama, o kas ne

Skirtumą nesunku pamatyti, kai išvardiji jį pagal srautą, o ne pagal įrenginį.

Galite pamatyti, kaip tai vyksta. Paklauskite tiekėjo sprendėjo kompiuterio vardo ir paklauskite viešo sprendėjo to paties:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Skirtingi atsakymai reiškia nukreipimą vardo lygmeniu. Tas pats atsakymas reiškia arba kad paslauga neapima to vardo, arba kad įrenginys nenaudoja to sprendėjo — gedimas, kuris atrodo kaip neteisinga DNS konfigūracija ir dažnai palaikomas sulaužyta paskyra.

Yra ir antras gedimas su tuo pačiu kvapu. Daugelis tiekėjų autorizuoja pagal viešą adresą, kurį naudojate dabar, todėl paskyra veikia, kol adresas pasikeičia. Operatoriaus lygio NAT rotacija arba viršuje uždėtas VPN perkelia tą adresą, ir rele jus atmeta, nors vardo sprendimas vis dar pavyksta. Registro įrašas yra prieigos kontrolė, o ne išskirtinės išvesties įrodymas.

Šifruotas DNS yra visiškai trečias dalykas

DNS per HTTPS ir DNS per TLS apsaugo mainus tarp jūsų įrenginio ir sprendėjo. Jie šifruoja ir autentifikuoja užklausą, kad vietinis tinklas negalėtų jos perskaityti ar perrašyti, o DoH ją neša įprastame HTTPS sraute 443 prievade, todėl ji filtrui atrodo kaip žiniatinklio srautas. Tai užklausų konfidencialumo funkcija.

Paslaugos nukreipimas yra kita funkcija: pats atsakymas nurodo tarpininką. Produktas gali siūlyti abu iš karto, ir daugelis tai daro, bet vienas nereiškia kito. Jūsų užklausų šifravimas niekada neperkėlė nė vieno baito vaizdo per kitą šalį.

Taigi „šifruotas DNS“ atsako į klausimą, kas gali skaityti jūsų užklausas. Jis neatsako, kas gali matyti jūsų srautą, ir nesuteikia naujo išvesties adreso. „DNS over HTTPS“ specifikacija yra tinkama nuoroda, ką ta apsauga apima, ir nieko nesako apie maršrutizavimą.

Kas ką mato kiekvienoje sandaroje

Su Smart DNS sprendėjas mato vardus, kurių ieškote, tiekėjo rele mato ryšius, kuriuos perduoda, o jūsų ISP vis dar mato visa kita atviro teksto struktūroje: su kokiais adresais susisiekėte, kada ir kiek. Turinys lieka apsaugotas TLS iki paskirties vietos nukreiptame sraute, todėl rele perduoda šifruotą sesiją, kurios negali perskaityti — bet mato, kad prisijungėte, iš kur ir kiek laiko.

Su VPN tunelio operatorius mato jūsų srautą ir paskirties vietas, o tai yra vienas sutelktas pasitikėjimo sprendimas, o jūsų ISP mato tik šifruotą srautą į vieną galinį tašką. Kita ekspozicija, ne automatiškai mažesnė. Nė vieno modelio nereikėtų vertinti pagal tai, ar atsidaro viena svetainė.

Greitis seka keliu, o ne etikete. Selektyvus rele gali laikyti nesusijusį srautą už apylankos, o tai tikras pranašumas įrenginiui, kuris kitaip tuneliuotų viską. Tai irgi ne garantija, ir jokia sandara nežada nuolatinės prieigos prie paslaugos, kuri aktyviai bando ją aptikti.

Kada Smart DNS yra tinkamas įrankis

Tai tikrai tinkamas įrankis, kai įrenginys apskritai negali paleisti VPN kliento — televizorius, konsolė, užrakinto tinklo kamino set-top box — ir kai svarbi tik viena įvardyta paslauga. Tai taip pat pagrįsta, kai sąmoningai nenorite, kad kiekvienas to įrenginio paketas eitų per tunelį.

Tai netinkamas įrankis, kai reikalavimas yra šifravimas, viso įrenginio išvesties adresas arba apsauga nuo vietinio tinklo ir ISP. Tai tunelio savybės, ir joks sprendėjo nustatymas jų nesukuria. O jei tame pačiame įrenginyje laikote VPN, tikėkitės, kad registracija pagrįsta autorizacija suges, nes jūsų viešas adresas dabar yra tunelio.

Pereikite šį sprendimą iš eilės ir sustokite ties pirmąja tiesa eilute:

• Ar jums reikia šifruoto srauto ir viso įrenginio naujoje išvestyje? Naudokite VPN ir tikrinkite jo maršrutus bei išimtis, o ne prisijungimo indikatorių.
• Ar jums reikia tik kelių įvardytų paslaugų įrenginyje, kuris negali tuneliuoti? Smart DNS yra proporcingas.
• Ar jums reikia privačių užklausų, bet ne perkelti srauto? Tai šifruotas DNS, kuris nėra nė vienas iš minėtųjų.
• Ar tiekėjas remiasi dabartiniu jūsų adresu? Tikėkitės sutrikimo tą akimirką, kai jis pasikeis.