Smart DNS is geen VPN: wat die DNS-instelling echt verandert

U richt de televisie op een Smart DNS-resolver, één streamingapp gaat werken, en de conclusie schrijft zichzelf: dit is een VPN die minder kost en sneller installeert. Dat is het niet, en het verschil is geen muggenzifterij. Wat veranderde, is het antwoord dat de televisie kreeg toen hij vroeg waar een hostnaam woont; wat niet veranderde, is dat elk pakket uw huis nog steeds onversleuteld verlaat, over dezelfde route, vanaf hetzelfde adres dat de provider al kent. De mythe is dat een DNS-instelling een tunnel is. De werkelijkheid is smaller en nuttiger zodra u haar ziet.

De mythe: een DNS-wijziging leidt uw verkeer om

Gewone DNS vertelt een toepassing waar hij moet verbinden. Een Smart DNS-dienst antwoordt op geselecteerde hostnamen met adressen die bij de eigen infrastructuur van de provider horen, zodat de app daar verbindt in plaats van rechtstreeks met de dienst. De provider stuurt die ene stroom vervolgens door naar de echte bestemming. Niets anders op het apparaat beweegt.

Daarom werkt de truc eigenlijk op een televisie of een console. Er is geen client, geen interface, geen vermelding in de routetabel, geen versleutelingslaag. Het apparaat doet precies wat het altijd deed: een naam oplossen en verbinden met wat er terugkomt. U veranderde het antwoord, niet de route van elk pakket.

Het label wordt ook door ongerelateerde DNS-projecten gebruikt, dus controleer de eigen documentatie van de provider in plaats van een functieset uit de naam af te leiden. Er bestaat geen standaard Smart DNS-protocol; de dekking van het ene product zegt niets betrouwbaars over het andere.

Wat werkelijk wordt gestuurd, en wat niet

Het verschil is makkelijk te zien als u het per stroom opsomt in plaats van per apparaat.

U kunt het zien gebeuren. Vraag de resolver van de provider naar een hostnaam en vraag een openbare resolver naar dezelfde:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Verschillende antwoorden betekenen sturing op de naamlaag. Hetzelfde antwoord betekent ofwel dat de dienst die naam niet dekt, ofwel dat het apparaat die resolver niet gebruikt — een storing die op een verkeerde DNS-configuratie lijkt en vaak voor een kapot account wordt aangezien.

Er is een tweede storing met dezelfde geur. Veel providers autoriseren op basis van het openbare adres dat u nu gebruikt, dus het account werkt tot het adres verandert. Carrier-grade NAT-rotatie, of een VPN erbovenop, verplaatst dat adres en de relay weigert u, terwijl de naamresolutie blijft slagen. De registratievermelding is een toegangscontrole, geen bewijs van een exclusieve uitgang.

Versleutelde DNS is iets heel anders, een derde ding

DNS over HTTPS en DNS over TLS beschermen de uitwisseling tussen uw apparaat en de resolver. Ze versleutelen en authenticeren de query zodat het lokale netwerk die niet kan lezen of herschrijven, en DoH draagt die in gewoon HTTPS-verkeer op poort 443, wat ook de reden is dat het voor een filter op webverkeer lijkt. Dat is een vertrouwelijkheidsfunctie voor opzoekingen.

Een dienst sturen is een andere functie: het antwoord zelf wijst naar een tussenpersoon. Een product kan beide tegelijk bieden, en veel doen dat, maar het ene impliceert het andere niet. Uw opzoekingen versleutelen heeft nog nooit één byte video door een ander land verplaatst.

Dus „versleutelde DNS“ beantwoordt een vraag over wie uw queries kan lezen. Het beantwoordt niet wie uw verkeer kan zien, en het geeft u geen nieuw uitgangsadres. De specificatie van DNS over HTTPS is de juiste referentie voor wat die bescherming dekt, en zij zegt niets over routing.

Wie ziet wat in elke opstelling

Met Smart DNS ziet de resolver de namen die u opzoekt, de relay van de provider ziet de verbindingen die hij draagt, en uw provider ziet nog steeds al het andere in open tekststructuur: welke adressen u contacteerde, wanneer en hoeveel. De inhoud blijft beschermd door TLS tot de bestemming in de gestuurde stroom, dus de relay stuurt een versleutelde sessie door die hij niet kan lezen — maar hij kan zien dat u verbond, van waar en hoe lang.

Met een VPN ziet de tunneloperator uw verkeer en uw bestemmingen, wat één geconcentreerde vertrouwensbeslissing is, en uw provider ziet alleen een versleutelde stroom naar één eindpunt. Andere blootstelling, niet automatisch minder. Geen van beide modellen zou moeten worden beoordeeld op of één site opent.

Snelheid volgt de route, niet het label. Een selectieve relay kan ongerelateerd verkeer buiten een omweg houden, wat een echt voordeel is voor een apparaat dat anders alles zou tunnelen. Het is ook geen garantie, en geen enkele opstelling belooft permanente toegang tot een dienst die hem actief probeert te detecteren.

Wanneer Smart DNS het juiste gereedschap is

Het is werkelijk het juiste gereedschap wanneer het apparaat helemaal geen VPN-client kan draaien — een televisie, een console, een set-topbox met een vergrendelde netwerkstack — en wanneer alleen één genoemde dienst ertoe doet. Het is ook redelijk wanneer u bewust niet wilt dat elk pakket op dat apparaat wordt getunneld.

Het is het verkeerde gereedschap wanneer de eis versleuteling, een uitgangsadres voor het hele apparaat of bescherming tegen het lokale netwerk en de provider is. Dat zijn tunneleigenschappen, en geen enkele resolverinstelling brengt ze voort. En als u een VPN op hetzelfde apparaat laat draaien, verwacht dan dat de op registratie gebaseerde autorisatie breekt, want uw openbare adres is nu dat van de tunnel.

Doorloop deze beslissing in volgorde en stop bij de eerste regel die waar is:

• Hebt u het verkeer versleuteld nodig en het hele apparaat op een nieuwe uitgang? Gebruik een VPN, en controleer de routes en uitsluitingen, niet de verbonden-indicator.
• Hebt u alleen een paar genoemde diensten nodig op een apparaat dat niet kan tunnelen? Smart DNS is evenredig.
• Hebt u uw opzoekingen privé nodig, maar uw verkeer niet verplaatst? Dat is versleutelde DNS, dat geen van beide bovenstaande is.
• Vertrouwt de provider op uw huidige adres? Verwacht een breuk op het moment dat het verandert.