Smart DNS to nie VPN: co naprawdę zmienia to ustawienie DNS

Kierujesz telewizor na resolver Smart DNS, jedna aplikacja streamingowa zaczyna działać, a wniosek pisze się sam: to VPN, który kosztuje mniej i instaluje się szybciej. Nie jest, a różnica nie jest czepialstwem. Zmieniła się odpowiedź, którą telewizor otrzymał, gdy zapytał, gdzie mieszka nazwa hosta; nie zmieniło się to, że każdy pakiet nadal opuszcza twój dom jawnie, tą samą drogą, z tego samego adresu, który ISP już zna. Mit głosi, że ustawienie DNS to tunel. Rzeczywistość jest węższa i bardziej użyteczna, gdy ją zobaczysz.

Mit: zmiana DNS przekierowuje twój ruch

Zwykły DNS mówi aplikacji, gdzie ma się połączyć. Usługa Smart DNS odpowiada na wybrane nazwy hostów adresami należącymi do infrastruktury samego dostawcy, więc aplikacja łączy się tam zamiast bezpośrednio z usługą. Dostawca przekazuje następnie ten jeden strumień do prawdziwego celu. Nic innego na urządzeniu się nie porusza.

Właśnie dlatego sztuczka w ogóle działa na telewizorze lub konsoli. Nie ma klienta, nie ma interfejsu, nie ma wpisu w tabeli routingu, nie ma warstwy szyfrowania. Urządzenie robi dokładnie to, co zawsze: rozwiązuje nazwę i łączy się z tym, co wróci. Zmieniłeś odpowiedź, a nie drogę każdego pakietu.

Etykiety używają też niepowiązane projekty DNS, więc sprawdź dokumentację samego dostawcy, zamiast wnioskować o zestawie funkcji z nazwy. Nie ma standardowego protokołu Smart DNS; zasięg jednego produktu nie mówi nic pewnego o innym.

Co jest naprawdę kierowane, a co nie

Różnicę łatwo zobaczyć, gdy wymienisz ją według strumieni, a nie według urządzeń.

Możesz to zobaczyć. Zapytaj resolver dostawcy o nazwę hosta i zapytaj publiczny resolver o to samo:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Różne odpowiedzi oznaczają kierowanie na warstwie nazwy. Ta sama odpowiedź oznacza albo że usługa nie obejmuje tej nazwy, albo że urządzenie nie używa tego resolvera — awaria, która wygląda jak zła konfiguracja DNS i bywa brana za zepsute konto.

Jest druga awaria o tym samym zapachu. Wielu dostawców autoryzuje na podstawie publicznego adresu, którego teraz używasz, więc konto działa, dopóki adres się nie zmieni. Rotacja NAT na poziomie operatora albo VPN nałożony na wierzch przesuwa ten adres i przekaźnik cię odrzuca, podczas gdy rozwiązywanie nazw nadal się udaje. Wpis w rejestrze to kontrola dostępu, nie dowód wyłącznego wyjścia.

Szyfrowany DNS to zupełnie trzecia rzecz

DNS przez HTTPS i DNS przez TLS chronią wymianę między twoim urządzeniem a resolverem. Szyfrują i uwierzytelniają zapytanie, aby sieć lokalna nie mogła go odczytać ani przepisać, a DoH niesie je w zwykłym ruchu HTTPS na porcie 443, i dlatego wygląda ono dla filtra jak ruch webowy. To funkcja poufności zapytań.

Kierowanie usługi to inna funkcja: sama odpowiedź wskazuje pośrednika. Produkt może oferować oba naraz i wiele to robi, ale jedno nie oznacza drugiego. Szyfrowanie twoich zapytań nigdy nie przeniosło ani jednego bajta wideo przez inny kraj.

Zatem „szyfrowany DNS“ odpowiada na pytanie, kto może czytać twoje zapytania. Nie odpowiada, kto może widzieć twój ruch, i nie daje ci nowego adresu wyjścia. specyfikacja DNS over HTTPS jest właściwym źródłem tego, co obejmuje ta ochrona, i nie mówi nic o routingu.

Kto co widzi w każdym układzie

W Smart DNS resolver widzi nazwy, których szukasz, przekaźnik dostawcy widzi połączenia, które przenosi, a twój ISP nadal widzi wszystko inne w strukturze otwartego tekstu: z jakimi adresami się kontaktowałeś, kiedy i ile. Treść pozostaje chroniona przez TLS do celu w kierowanym strumieniu, więc przekaźnik przesyła zaszyfrowaną sesję, której nie może odczytać — ale widzi, że się połączyłeś, skąd i jak długo.

W VPN operator tunelu widzi twój ruch i twoje cele, co jest jedną skoncentrowaną decyzją o zaufaniu, a twój ISP widzi tylko zaszyfrowany strumień do jednego punktu końcowego. Inna ekspozycja, nie automatycznie mniejsza. Żadnego modelu nie należy oceniać po tym, czy jedna strona się otwiera.

Prędkość idzie za drogą, a nie za etykietą. Selektywny przekaźnik może trzymać niepowiązany ruch poza objazdem, co jest realną zaletą dla urządzenia, które inaczej tunelowałoby wszystko. To też nie gwarancja, i żaden układ nie obiecuje stałego dostępu do usługi, która aktywnie próbuje go wykryć.

Kiedy Smart DNS jest właściwym narzędziem

Jest naprawdę właściwym narzędziem, gdy urządzenie w ogóle nie może uruchomić klienta VPN — telewizor, konsola, dekoder z zablokowanym stosem sieciowym — i gdy liczy się tylko jedna nazwana usługa. Jest też rozsądne, gdy świadomie nie chcesz, aby każdy pakiet na tym urządzeniu szedł przez tunel.

Jest złym narzędziem, gdy wymagane jest szyfrowanie, adres wyjścia dla całego urządzenia albo ochrona przed siecią lokalną i ISP. To właściwości tunelu i żadne ustawienie resolvera ich nie tworzy. A jeśli trzymasz VPN na tym samym urządzeniu, spodziewaj się, że autoryzacja oparta na rejestracji się zepsuje, bo twój publiczny adres jest teraz adresem tunelu.

Przejdź tę decyzję po kolei i zatrzymaj się na pierwszej prawdziwej linii:

• Potrzebujesz szyfrowanego ruchu i całego urządzenia na nowym wyjściu? Użyj VPN i sprawdź jego trasy i wyjątki, a nie wskaźnik połączenia.
• Potrzebujesz tylko kilku nazwanych usług na urządzeniu, które nie umie tunelować? Smart DNS jest proporcjonalny.
• Potrzebujesz prywatnych zapytań, ale nie przenoszenia ruchu? To szyfrowany DNS, który nie jest żadnym z powyższych.
• Czy dostawca opiera się na twoim obecnym adresie? Spodziewaj się awarii w chwili, gdy się zmieni.