Smart DNS não é uma VPN: o que essa definição de DNS realmente muda

Aponta a televisão para um resolutor Smart DNS, uma aplicação de streaming começa a funcionar e a conclusão escreve-se sozinha: isto é uma VPN que custa menos e se instala mais depressa. Não é, e a diferença não é pedantismo. O que mudou é a resposta que a televisão recebeu quando perguntou onde vive um nome de anfitrião; o que não mudou é que cada pacote continua a sair da sua casa em claro, pelo mesmo caminho, a partir do mesmo endereço que o ISP já conhece. O mito é que uma definição de DNS é um túnel. A realidade é mais estreita e mais útil assim que a vê.

O mito: uma alteração de DNS redireciona o seu tráfego

O DNS comum diz a uma aplicação onde se ligar. Um serviço Smart DNS responde a nomes de anfitrião selecionados com endereços que pertencem à infraestrutura do próprio fornecedor, pelo que a aplicação liga-se ali em vez de ao serviço diretamente. O fornecedor encaminha depois esse único fluxo para o destino real. Nada mais do dispositivo se move.

É por isso que o truque funciona numa televisão ou numa consola. Não há cliente, nem interface, nem entrada na tabela de rotas, nem camada de cifra. O dispositivo faz exatamente o que sempre fez: resolve um nome e liga-se ao que voltar. Mudou a resposta, não o caminho de cada pacote.

O rótulo também é usado por projetos de DNS não relacionados, por isso consulte a documentação do próprio fornecedor em vez de supor um conjunto de funções a partir do nome. Não existe um protocolo Smart DNS padrão; a cobertura de um produto não diz nada de fiável sobre outro.

O que é realmente encaminhado e o que não é

A distinção é fácil de ver quando a enumera por fluxo em vez de por dispositivo.

Pode vê-lo acontecer. Pergunte ao resolutor do fornecedor por um nome de anfitrião e pergunte o mesmo a um resolutor público:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Respostas diferentes significam encaminhamento na camada do nome. A mesma resposta significa ou que o serviço não cobre esse nome ou que o dispositivo não usa esse resolutor — uma falha que parece uma má configuração de DNS e que muitas vezes se confunde com uma conta avariada.

Há uma segunda falha com o mesmo cheiro. Muitos fornecedores autorizam pelo endereço público que está a usar agora, pelo que a conta funciona até o endereço mudar. A rotação de NAT de nível de operadora, ou uma VPN por cima, move esse endereço e o relé recusa-o, enquanto a resolução continua a ter êxito. A entrada no registo é um controlo de acesso, não prova de uma saída exclusiva.

O DNS cifrado é uma terceira coisa completamente diferente

DNS sobre HTTPS e DNS sobre TLS protegem a troca entre o seu dispositivo e o resolutor. Cifram e autenticam a consulta para que a rede local não a possa ler nem reescrever, e o DoH transporta-a em tráfego HTTPS comum na porta 443, que é também a razão pela qual parece tráfego web a um filtro. É uma função de confidencialidade para as consultas.

Encaminhar um serviço é outra função: a própria resposta aponta para um intermediário. Um produto pode oferecer as duas ao mesmo tempo, e muitos fazem-no, mas uma não implica a outra. Cifrar as suas consultas nunca moveu um único byte de vídeo por outro país.

Portanto «DNS cifrado» responde a uma pergunta sobre quem pode ler as suas consultas. Não responde quem pode ver o seu tráfego, e não lhe dá um novo endereço de saída. A especificação de DNS over HTTPS é a referência correta para o que essa proteção cobre, e não diz nada sobre encaminhamento.

Quem vê o quê em cada disposição

Com Smart DNS, o resolutor vê os nomes que consulta, o relé do fornecedor vê as ligações que transporta, e o seu ISP continua a ver tudo o resto em estrutura de texto aberto: a que endereços se ligou, quando e quanto. O conteúdo continua protegido por TLS até ao destino no fluxo encaminhado, pelo que o relé reencaminha uma sessão cifrada que não consegue ler — mas pode ver que se ligou, de onde e durante quanto tempo.

Com uma VPN, o operador do túnel vê o seu tráfego e os seus destinos, o que é uma única decisão de confiança concentrada, e o seu ISP vê apenas um fluxo cifrado para um ponto final. Uma exposição diferente, não automaticamente menor. Nenhum dos modelos deve ser julgado por se um site abre.

A velocidade segue o caminho, não o rótulo. Um relé seletivo pode manter o tráfego não relacionado fora de um desvio, o que é uma vantagem real para um dispositivo que de outro modo tunelizaria tudo. Também não é garantia, e nenhuma disposição promete acesso permanente a um serviço que tenta ativamente detetá-lo.

Quando o Smart DNS é a ferramenta certa

É realmente a ferramenta certa quando o dispositivo não pode executar de todo um cliente VPN — uma televisão, uma consola, uma box com a pilha de rede bloqueada — e quando só importa um serviço com nome. Também é razoável quando deliberadamente não quer que cada pacote nesse dispositivo passe por um túnel.

É a ferramenta errada quando o requisito é cifra, um endereço de saída para todo o dispositivo ou proteção contra a rede local e o ISP. São propriedades de túnel, e nenhuma definição de resolutor as produz. E se mantiver uma VPN no mesmo dispositivo, conte com a quebra da autorização baseada no registo, porque o seu endereço público é agora o do túnel.

Percorra esta decisão por ordem e pare na primeira linha que for verdadeira:

• Precisa do tráfego cifrado e de todo o dispositivo numa saída nova? Use uma VPN e verifique as rotas e exclusões, não o indicador de ligação.
• Só precisa de alguns serviços com nome num dispositivo que não consegue tunelizar? O Smart DNS é proporcionado.
• Precisa das consultas privadas mas sem mover o tráfego? Isso é DNS cifrado, que não é nenhuma das anteriores.
• O fornecedor depende do seu endereço atual? Conte com uma quebra no momento em que mudar.