Smart DNS bukan VPN: apa yang sebenarnya diubah oleh tetapan DNS itu

Anda mengarahkan TV ke penyelesai Smart DNS, satu aplikasi penstriman mula berfungsi, dan kesimpulannya menulis sendiri: ini VPN yang lebih murah dan lebih cepat dipasang. Bukan, dan jurangnya bukan kejengkelan kecil. Yang berubah ialah jawapan yang diterima TV apabila ia bertanya di mana sesuatu nama hos tinggal; yang tidak berubah ialah setiap paket masih meninggalkan rumah anda secara terbuka, pada laluan yang sama, dari alamat yang sudah diketahui oleh ISP. Mitosnya ialah tetapan DNS itu sebuah terowong. Realitinya lebih sempit dan lebih berguna sebaik sahaja anda melihatnya.

Mitos: perubahan DNS mengubah laluan trafik anda

DNS biasa memberitahu aplikasi ke mana hendak bersambung. Perkhidmatan Smart DNS menjawab nama hos terpilih dengan alamat milik infrastruktur penyedia sendiri, jadi aplikasi bersambung ke sana dan bukan terus ke perkhidmatan. Penyedia kemudian memajukan satu aliran itu ke destinasi sebenar. Tiada apa-apa lain pada peranti bergerak.

Itulah sebabnya helah ini berfungsi pada televisyen atau konsol. Tiada klien, tiada antara muka, tiada entri dalam jadual laluan, tiada lapisan penyulitan. Peranti melakukan tepat apa yang selalu dilakukannya: menyelesaikan nama dan bersambung kepada apa sahaja yang kembali. Anda mengubah jawapannya, bukan laluan setiap paket.

Label ini juga digunakan oleh projek DNS yang tidak berkaitan, jadi semak dokumentasi penyedia sendiri dan bukannya menganggap set ciri daripada namanya. Tiada protokol Smart DNS standard; liputan satu produk tidak mengatakan apa-apa yang boleh dipercayai tentang yang lain.

Apa yang sebenarnya diarahkan, dan apa yang tidak

Bezanya mudah dilihat apabila anda menyenaraikannya mengikut aliran, bukan mengikut peranti.

Anda boleh melihatnya berlaku. Tanya penyelesai penyedia tentang nama hos dan tanya penyelesai awam tentang yang sama:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Jawapan berbeza bermaksud pengarahan pada lapisan nama. Jawapan sama bermaksud sama ada perkhidmatan tidak meliputi nama itu atau peranti tidak menggunakan penyelesai itu — kegagalan yang kelihatan seperti salah konfigurasi DNS dan sering disalah anggap sebagai akaun rosak.

Ada kegagalan kedua dengan bau yang sama. Banyak penyedia membenarkan berdasarkan alamat awam yang anda gunakan sekarang, jadi akaun berfungsi sehingga alamat berubah. Putaran NAT gred pembawa, atau VPN di atasnya, menggerakkan alamat itu dan geganti menolak anda, sementara penyelesaian nama terus berjaya. Entri daftar ialah kawalan akses, bukan bukti jalan keluar eksklusif.

DNS disulitkan ialah perkara ketiga yang sama sekali berbeza

DNS melalui HTTPS dan DNS melalui TLS melindungi pertukaran antara peranti anda dan penyelesai. Ia menyulitkan dan mengesahkan pertanyaan supaya rangkaian tempatan tidak dapat membacanya atau menulis semulanya, dan DoH membawanya dalam trafik HTTPS biasa pada port 443, yang juga sebabnya ia kelihatan seperti trafik web kepada penapis. Itu ciri kerahsiaan untuk carian.

Mengarahkan perkhidmatan ialah fungsi lain: jawapan itu sendiri menunjuk kepada perantara. Sesuatu produk boleh menawarkan kedua-duanya sekali gus, dan banyak yang berbuat demikian, tetapi satu tidak bermakna yang lain. Menyulitkan carian anda tidak pernah memindahkan satu bait video pun melalui negara lain.

Jadi «DNS disulitkan» menjawab soalan tentang siapa yang boleh membaca pertanyaan anda. Ia tidak menjawab siapa yang boleh melihat trafik anda, dan ia tidak memberi anda alamat keluar baharu. spesifikasi DNS over HTTPS ialah rujukan yang betul untuk apa yang dilindungi oleh perlindungan itu, dan ia tidak mengatakan apa-apa tentang penghalaan.

Siapa melihat apa dalam setiap susunan

Dengan Smart DNS, penyelesai melihat nama yang anda cari, geganti penyedia melihat sambungan yang dibawanya, dan ISP anda masih melihat segala-galanya dalam struktur teks terbuka: alamat mana yang anda hubungi, bila, dan berapa banyak. Kandungan kekal dilindungi oleh TLS ke destinasi dalam aliran yang diarahkan, jadi geganti memajukan sesi disulitkan yang tidak dapat dibacanya — tetapi ia boleh melihat bahawa anda bersambung, dari mana, dan berapa lama.

Dengan VPN, pengendali terowong melihat trafik dan destinasi anda, yang merupakan satu keputusan kepercayaan tertumpu, dan ISP anda hanya melihat aliran disulitkan ke satu titik akhir. Pendedahan berbeza, bukan secara automatik lebih kecil. Tiada model yang patut dinilai berdasarkan sama ada satu laman terbuka.

Kelajuan mengikut laluan, bukan label. Geganti terpilih boleh menjauhkan trafik tidak berkaitan daripada lencongan, yang merupakan kelebihan sebenar bagi peranti yang jika tidak akan menerowongkan segala-galanya. Itu juga bukan jaminan, dan tiada susunan menjanjikan akses kekal kepada perkhidmatan yang secara aktif cuba mengesannya.

Bila Smart DNS ialah alat yang betul

Ia benar-benar alat yang betul apabila peranti tidak dapat menjalankan klien VPN sama sekali — televisyen, konsol, kotak set-top dengan tindanan rangkaian terkunci — dan apabila hanya satu perkhidmatan bernama yang penting. Ia juga munasabah apabila anda sengaja tidak mahu setiap paket pada peranti itu diterowongkan.

Ia alat yang salah apabila keperluan ialah penyulitan, alamat keluar untuk seluruh peranti, atau perlindungan daripada rangkaian tempatan dan ISP. Itu sifat terowong, dan tiada tetapan penyelesai menghasilkannya. Dan jika anda membiarkan VPN berjalan pada peranti yang sama, jangkakan kebenaran berasaskan pendaftaran akan rosak, kerana alamat awam anda kini milik terowong.

Jalankan keputusan ini mengikut urutan dan berhenti pada baris pertama yang benar:

• Adakah anda memerlukan trafik disulitkan dan seluruh peranti pada jalan keluar baharu? Gunakan VPN, dan semak laluan serta pengecualiannya, bukan penunjuk bersambungnya.
• Adakah anda hanya memerlukan beberapa perkhidmatan bernama pada peranti yang tidak boleh menerowongkan? Smart DNS adalah berkadar.
• Adakah anda memerlukan carian anda peribadi tetapi trafik tidak dipindahkan? Itu DNS disulitkan, yang bukan mana-mana di atas.
• Adakah penyedia bergantung pada alamat semasa anda? Jangkakan gangguan pada saat ia berubah.