Smart DNS nu este un VPN: ce schimbă de fapt acea setare DNS

Îndrepți televizorul către un resolver Smart DNS, o aplicație de streaming începe să funcționeze, iar concluzia se scrie singură: acesta este un VPN care costă mai puțin și se instalează mai repede. Nu este, iar diferența nu este pedanterie. Ce s-a schimbat este răspunsul pe care televizorul l-a primit când a întrebat unde locuiește un nume de gazdă; ce nu s-a schimbat este că fiecare pachet părăsește în continuare casa ta în clar, pe aceeași cale, de la aceeași adresă pe care ISP-ul o știe deja. Mitul este că o setare DNS este un tunel. Realitatea este mai îngustă și mai utilă de îndată ce o vezi.

Mitul: o schimbare de DNS redirecționează traficul

DNS-ul obișnuit spune unei aplicații unde să se conecteze. Un serviciu Smart DNS răspunde la nume de gazdă selectate cu adrese care aparțin infrastructurii furnizorului însuși, așa că aplicația se conectează acolo în loc de serviciu direct. Furnizorul retransmite apoi acel singur flux către destinația reală. Nimic altceva de pe dispozitiv nu se mișcă.

De aceea trucul funcționează pe un televizor sau o consolă. Nu există client, nici interfață, nici intrare în tabela de rutare, nici strat de criptare. Dispozitivul face exact ce a făcut mereu: rezolvă un nume și se conectează la ce revine. Ai schimbat răspunsul, nu calea fiecărui pachet.

Eticheta este folosită și de proiecte DNS fără legătură, așa că verifică documentația furnizorului însuși în loc să presupui un set de funcții din nume. Nu există un protocol Smart DNS standard; acoperirea unui produs nu spune nimic fiabil despre altul.

Ce este dirijat cu adevărat și ce nu

Distincția este ușor de văzut când o listezi pe flux, nu pe dispozitiv.

Poți vedea asta întâmplându-se. Întreabă resolverul furnizorului despre un nume de gazdă și întreabă un resolver public despre același lucru:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Răspunsuri diferite înseamnă direcționare la nivelul numelui. Același răspuns înseamnă fie că serviciul nu acoperă acel nume, fie că dispozitivul nu folosește acel resolver — o defecțiune care arată ca o configurare DNS greșită și care este adesea luată drept cont stricat.

Există o a doua defecțiune cu același miros. Mulți furnizori autorizează după adresa publică pe care o folosești acum, așa că contul funcționează până când adresa se schimbă. Rotirea NAT la nivel de operator, sau un VPN peste ea, mută acea adresă și releul te refuză, în timp ce rezolvarea continuă să reușească. Înregistrarea din registru este un control de acces, nu dovada unei ieșiri exclusive.

DNS-ul criptat este o a treia chestiune, complet diferită

DNS prin HTTPS și DNS prin TLS protejează schimbul dintre dispozitivul tău și resolver. Ele criptează și autentifică interogarea astfel încât rețeaua locală să nu o poată citi sau rescrie, iar DoH o transportă în trafic HTTPS obișnuit pe portul 443, ceea ce este și motivul pentru care pare trafic web unui filtru. Aceasta este o funcție de confidențialitate pentru interogări.

Dirijarea unui serviciu este altă funcție: răspunsul însuși indică un intermediar. Un produs poate oferi ambele simultan, și multe o fac, dar una nu o implică pe cealaltă. Criptarea interogărilor tale nu a mutat niciodată un singur octet de video prin altă țară.

Deci „DNS criptat“ răspunde la o întrebare despre cine poate citi interogările tale. Nu răspunde cine poate vedea traficul tău și nu îți oferă o adresă de ieșire nouă. specificația DNS over HTTPS este referința corectă pentru ce acoperă acea protecție și nu spune nimic despre rutare.

Cine vede ce în fiecare aranjament

Cu Smart DNS, resolverul vede numele pe care le cauți, releul furnizorului vede conexiunile pe care le transportă, iar ISP-ul tău vede în continuare tot restul în structură de text deschis: la ce adrese ai apelat, când și cât. Conținutul rămâne protejat de TLS până la destinație în fluxul dirijat, așa că releul transmite o sesiune criptată pe care nu o poate citi — dar poate vedea că te-ai conectat, de unde și pentru cât timp.

Cu un VPN, operatorul tunelului vede traficul și destinațiile tale, ceea ce este o singură decizie de încredere concentrată, iar ISP-ul tău vede doar un flux criptat către un singur punct final. O expunere diferită, nu automat mai mică. Niciunul dintre modele nu ar trebui judecat după dacă se deschide un site.

Viteza urmează calea, nu eticheta. Un releu selectiv poate ține traficul nelegat în afara unui ocol, ceea ce este un avantaj real pentru un dispozitiv care altfel ar tunela tot. Nici aceasta nu este o garanție, și nicio aranjare nu promite acces permanent la un serviciu care încearcă activ să îl detecteze.

Când Smart DNS este instrumentul potrivit

Este cu adevărat instrumentul potrivit când dispozitivul nu poate rula deloc un client VPN — un televizor, o consolă, un set-top box cu stiva de rețea blocată — și când contează doar un serviciu numit. Este rezonabil și când nu vrei în mod deliberat ca fiecare pachet de pe acel dispozitiv să treacă prin tunel.

Este instrumentul greșit când cerința este criptarea, o adresă de ieșire pentru întregul dispozitiv sau protecția față de rețeaua locală și ISP. Acestea sunt proprietăți ale tunelului, iar nicio setare de resolver nu le produce. Și dacă ții un VPN pe același dispozitiv, așteaptă-te ca autorizarea bazată pe înregistrare să se rupă, pentru că adresa ta publică este acum a tunelului.

Parcurge această decizie în ordine și oprește-te la prima linie care este adevărată:

• Ai nevoie de trafic criptat și de întregul dispozitiv pe o ieșire nouă? Folosește un VPN și verifică-i rutele și excluderile, nu indicatorul de conectare.
• Ai nevoie doar de câteva servicii numite pe un dispozitiv care nu poate tunela? Smart DNS este proporțional.
• Ai nevoie de interogări private, dar fără să mute traficul? Acesta este DNS criptat, care nu este niciuna dintre cele de mai sus.
• Furnizorul se bazează pe adresa ta actuală? Așteaptă-te la o întrerupere în momentul în care se schimbă.