Smart DNS er ikkje ein VPN: kva den DNS-innstillinga eigentleg endrar

Du peikar TV-en mot ein Smart DNS-resolver, éin strøymeapp byrjar å verke, og konklusjonen skriv seg sjølv: dette er ein VPN som kostar mindre og blir installert raskare. Det er det ikkje, og skilnaden er ikkje pedanteri. Det som endra seg, er svaret TV-en fekk då han spurde kvar eit vertsnamn bur; det som ikkje endra seg, er at kvar pakke framleis forlèt huset ditt i klartekst, på same veg, frå same adresse som leverandøren allereie kjenner. Myten er at ei DNS-innstilling er ein tunnel. Røynda er smalare og meir nyttig når du først ser ho.

Myten: ei DNS-endring omdirigerer trafikken din

Vanleg DNS fortel ein applikasjon kvar han skal kopla til. Ein Smart DNS-teneste svarar på utvalde vertsnamn med adresser som høyrer til leverandøren si eiga infrastruktur, slik at appen koplar til der i staden for direkte til tenesta. Leverandøren sender så den eine straumen vidare til den verkelege destinasjonen. Ingenting anna på eininga flyttar seg.

Derfor verkar trikset i det heile på ein TV eller ein konsoll. Det finst ingen klient, ingen grensesnitt, ingen oppføring i rutetabellen, ingen krypteringslag. Eininga gjer nøyaktig det ho alltid har gjort: slår opp eit namn og koplar til det som kjem tilbake. Du endra svaret, ikkje vegen for kvar pakke.

Etiketten blir også brukt av urelaterte DNS-prosjekt, så sjekk leverandøren si eiga dokumentasjon i staden for å anta eit funksjonssett ut frå namnet. Det finst ingen standard Smart DNS-protokoll; dekninga til eitt produkt seier ingenting påliteleg om eit anna.

Kva som faktisk blir styrt, og kva som ikkje blir det

Skilnaden er lett å sjå når du listar han opp per straum i staden for per eining.

Du kan sjå det skje. Spør resolvaren til leverandøren om eit vertsnamn og spør ein offentleg resolver om det same:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Ulike svar betyr styring på namnelaget. Same svar betyr anten at tenesta ikkje dekkjer det namnet, eller at eininga ikkje brukar den resolvaren — ein feil som ser ut som feil DNS-konfigurasjon og ofte blir forveksla med ein øydelagd konto.

Det finst ein annan feil med same lukta. Mange leverandørar autoriserer etter den offentlege adressa du brukar akkurat no, så kontoen verkar til adressa blir endra. Carrier-grade NAT-rotasjon, eller ein VPN oppå, flyttar den adressa, og reléet avviser deg, medan oppslaget framleis lykkast. Registeroppføringa er ei tilgangskontroll, ikkje prov på ein eksklusiv utgang.

Kryptert DNS er noko heilt tredje

DNS over HTTPS og DNS over TLS verner utvekslinga mellom eininga di og resolvaren. Dei krypterer og autentiserer spørjinga slik at det lokale nettet ikkje kan lese eller skrive ho om, og DoH ber ho i vanleg HTTPS-trafikk på port 443, som også er grunnen til at ho ser ut som webtrafikk for eit filter. Det er ein konfidensialitetsfunksjon for oppslag.

Å styre ei teneste er ein annan funksjon: svaret peikar sjølv på ein mellommann. Eit produkt kan tilby begge samtidig, og mange gjer det, men det eine inneber ikkje det andre. Å kryptere oppslaga dine har aldri flytta éin einaste byte video gjennom eit anna land.

Så „kryptert DNS“ svarar på eit spørsmål om kven som kan lese spørjingane dine. Det svarar ikkje på kven som kan sjå trafikken din, og det gir deg ikkje ei ny utgangsadresse. spesifikasjonen for DNS over HTTPS er den rette referansen for kva den vernet dekkjer, og han seier ingenting om ruting.

Kven ser kva i kvart oppsett

Med Smart DNS ser resolvaren namna du slår opp, reléet til leverandøren ser sambanda det ber, og leverandøren din ser framleis alt anna i open tekststruktur: kva adresser du kontakta, når og kor mykje. Innhaldet er framleis verna av TLS til destinasjonen i den styrte straumen, så reléet sender vidare ein kryptert økt det ikkje kan lese — men det kan sjå at du kopla til, kvarfrå og kor lenge.

Med ein VPN ser tunneloperatøren trafikken din og destinasjonane dine, som er éi konsentrert tillitsavgjerd, og leverandøren din ser berre ein kryptert straum til eitt endepunkt. Anna eksponering, ikkje automatisk mindre. Ingen av modellane bør vurderast etter om éin nettstad opnar.

Farten følgjer vegen, ikkje etiketten. Eit selektivt relé kan halde urelatert trafikk utanom ein omveg, som er ein reell føremon for ei eining som elles ville tunnele alt. Det er heller inga garanti, og ingen ordning lovar permanent tilgang til ei teneste som aktivt prøver å oppdage det.

Når Smart DNS er det rette verktøyet

Det er verkeleg det rette verktøyet når eininga ikkje kan køyre ein VPN-klient i det heile — ein TV, ein konsoll, ein set-top-boks med låst nettverksstakk — og når berre éi namngitt teneste betyr noko. Det er også rimeleg når du medvite ikkje vil at kvar pakke på den eininga skal bli tunnelert.

Det er feil verktøy når kravet er kryptering, ei utgangsadresse for heile eininga eller vern mot det lokale nettet og leverandøren. Det er tunnelegenskapar, og inga resolverinnstilling lagar dei. Og om du held ein VPN køyrande på same eining, må du rekne med at den registreringsbaserte autorisasjonen bryt saman, fordi den offentlege adressa di no er tunnelens.

Gå gjennom denne avgjerda i rekkefølgje og stopp ved den første linja som er sann:

• Treng du trafikken kryptert og heile eininga på ein ny utgang? Bruk ein VPN, og sjekk rutene og unntaka hans i staden for tilkopla-indikatoren.
• Treng du berre nokre få namngitte tenester på ei eining som ikkje kan tunnele? Smart DNS er proporsjonalt.
• Treng du private oppslag, men ikkje å flytte trafikken? Det er kryptert DNS, som ikkje er nokon av dei ovanståande.
• Er leverandøren avhengig av den noverande adressa di? Rekn med brot i det augneblunken ho blir endra.