Smart DNS er ikke en VPN: hva den DNS-innstillingen egentlig endrer

Du peker TV-en mot en Smart DNS-resolver, én strømmeapp begynner å virke, og konklusjonen skriver seg selv: dette er en VPN som koster mindre og installeres raskere. Det er det ikke, og forskjellen er ikke pedanteri. Det som endret seg, er svaret TV-en fikk da den spurte hvor et vertsnavn bor; det som ikke endret seg, er at hver pakke fortsatt forlater huset ditt i klartekst, på samme vei, fra samme adresse som leverandøren allerede kjenner. Myten er at en DNS-innstilling er en tunnel. Virkeligheten er smalere og mer nyttig når du først ser den.

Myten: en DNS-endring omdirigerer trafikken din

Vanlig DNS forteller en applikasjon hvor den skal koble til. En Smart DNS-tjeneste svarer på utvalgte vertsnavn med adresser som tilhører leverandørens egen infrastruktur, slik at appen kobler til der i stedet for direkte til tjenesten. Leverandøren videresender så den ene strømmen til den virkelige destinasjonen. Ingenting annet på enheten flytter seg.

Derfor virker trikset i det hele tatt på en TV eller en konsoll. Det finnes ingen klient, ingen grensesnitt, ingen oppføring i rutetabellen, ingen krypteringslag. Enheten gjør nøyaktig det den alltid har gjort: slår opp et navn og kobler til det som kommer tilbake. Du endret svaret, ikke veien for hver pakke.

Etiketten brukes også av urelaterte DNS-prosjekter, så sjekk leverandørens egen dokumentasjon i stedet for å anta et funksjonssett ut fra navnet. Det finnes ingen standard Smart DNS-protokoll; dekningen til ett produkt sier ingenting pålitelig om et annet.

Hva som faktisk styres, og hva som ikke gjør det

Forskjellen er lett å se når du lister den opp per strøm i stedet for per enhet.

Du kan se det skje. Spør leverandørens resolver om et vertsnavn og spør en offentlig resolver om det samme:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Ulike svar betyr styring på navnelaget. Samme svar betyr enten at tjenesten ikke dekker det navnet, eller at enheten ikke bruker den resolveren — en feil som ser ut som feil DNS-konfigurasjon og ofte forveksles med en ødelagt konto.

Det finnes en annen feil med samme lukt. Mange leverandører autoriserer etter den offentlige adressen du bruker akkurat nå, så kontoen virker til adressen endres. Carrier-grade NAT-rotasjon, eller en VPN oppå, flytter den adressen, og reléet avviser deg, mens oppslaget fortsatt lykkes. Registeroppføringen er en tilgangskontroll, ikke bevis på en eksklusiv utgang.

Kryptert DNS er noe helt tredje

DNS over HTTPS og DNS over TLS beskytter utvekslingen mellom enheten din og resolveren. De krypterer og autentiserer spørringen slik at det lokale nettet ikke kan lese eller skrive den om, og DoH bærer den i vanlig HTTPS-trafikk på port 443, som også er grunnen til at den ser ut som webtrafikk for et filter. Det er en konfidensialitetsfunksjon for oppslag.

Å styre en tjeneste er en annen funksjon: svaret peker selv på en mellommann. Et produkt kan tilby begge samtidig, og mange gjør det, men det ene innebærer ikke det andre. Å kryptere oppslagene dine har aldri flyttet én eneste byte video gjennom et annet land.

Så „kryptert DNS“ svarer på et spørsmål om hvem som kan lese spørringene dine. Det svarer ikke på hvem som kan se trafikken din, og det gir deg ikke en ny utgangsadresse. spesifikasjonen for DNS over HTTPS er den riktige referansen for hva den beskyttelsen dekker, og den sier ingenting om ruting.

Hvem ser hva i hvert oppsett

Med Smart DNS ser resolveren navnene du slår opp, reléet til leverandøren ser forbindelsene det bærer, og leverandøren din ser fortsatt alt annet i åpen tekststruktur: hvilke adresser du kontaktet, når og hvor mye. Innholdet er fortsatt beskyttet av TLS til destinasjonen i den styrte strømmen, så reléet videresender en kryptert økt det ikke kan lese — men det kan se at du koblet til, hvorfra og hvor lenge.

Med en VPN ser tunneloperatøren trafikken din og destinasjonene dine, som er én konsentrert tillitsbeslutning, og leverandøren din ser bare en kryptert strøm til ett endepunkt. Annen eksponering, ikke automatisk mindre. Ingen av modellene bør vurderes etter om ett nettsted åpner.

Farten følger veien, ikke etiketten. Et selektivt relé kan holde urelatert trafikk utenom en omvei, som er en reell fordel for en enhet som ellers ville tunnele alt. Det er heller ingen garanti, og ingen ordning lover permanent tilgang til en tjeneste som aktivt prøver å oppdage det.

Når Smart DNS er det riktige verktøyet

Det er virkelig det riktige verktøyet når enheten ikke kan kjøre en VPN-klient i det hele tatt — en TV, en konsoll, en set-top-boks med låst nettverksstakk — og når bare én navngitt tjeneste betyr noe. Det er også rimelig når du bevisst ikke vil at hver pakke på den enheten skal tunneles.

Det er feil verktøy når kravet er kryptering, en utgangsadresse for hele enheten eller beskyttelse mot det lokale nettet og leverandøren. Det er tunnelegenskaper, og ingen resolverinnstilling lager dem. Og hvis du holder en VPN kjørende på samme enhet, må du regne med at den registreringsbaserte autorisasjonen bryter sammen, fordi din offentlige adresse nå er tunnelens.

Gå gjennom denne beslutningen i rekkefølge og stopp ved den første linjen som er sann:

• Trenger du trafikken kryptert og hele enheten på en ny utgang? Bruk en VPN, og sjekk rutene og unntakene dens i stedet for tilkoblet-indikatoren.
• Trenger du bare noen få navngitte tjenester på en enhet som ikke kan tunnele? Smart DNS er proporsjonalt.
• Trenger du private oppslag, men ikke å flytte trafikken? Det er kryptert DNS, som ikke er noen av de ovenstående.
• Er leverandøren avhengig av din nåværende adresse? Regn med brudd i det øyeblikket den endres.