Smart DNS — это не VPN: что на самом деле меняет та настройка DNS

Вы направляете телевизор на резолвер Smart DNS, одно приложение для стриминга начинает работать, и вывод пишется сам: это VPN, который стоит меньше и устанавливается быстрее. Это не так, и разница не в придирках. Изменился ответ, который телевизор получил, когда спросил, где живёт имя хоста; не изменилось то, что каждый пакет по-прежнему покидает ваш дом открыто, тем же путём, с того же адреса, который провайдер уже знает. Миф в том, что настройка DNS — это туннель. Реальность уже и полезнее, как только вы её увидите.

Миф: смена DNS перенаправляет ваш трафик

Обычный DNS сообщает приложению, куда подключаться. Сервис Smart DNS отвечает на выбранные имена хостов адресами, принадлежащими собственной инфраструктуре провайдера, поэтому приложение подключается туда, а не напрямую к сервису. Затем провайдер передаёт этот единственный поток к настоящему назначению. Больше ничего на устройстве не двигается.

Именно поэтому трюк вообще работает на телевизоре или консоли. Нет клиента, нет интерфейса, нет записи в таблице маршрутизации, нет слоя шифрования. Устройство делает ровно то, что делало всегда: разрешает имя и подключается к тому, что вернулось. Вы изменили ответ, а не путь каждого пакета.

Эту метку используют и несвязанные проекты DNS, поэтому проверяйте собственную документацию провайдера, а не выводите набор функций из названия. Стандартного протокола Smart DNS не существует; покрытие одного продукта ничего надёжного не говорит о другом.

Что на самом деле направляется, а что нет

Разницу легко увидеть, если перечислить её по потокам, а не по устройствам.

Вы можете это увидеть. Спросите резолвер провайдера об имени хоста и спросите публичный резолвер о том же:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Разные ответы означают направление на уровне имени. Один и тот же ответ означает либо что сервис не покрывает это имя, либо что устройство не использует этот резолвер — сбой, который выглядит как неверная настройка DNS и часто принимается за сломанный аккаунт.

Есть и второй сбой с тем же запахом. Многие провайдеры авторизуют по публичному адресу, который вы используете сейчас, поэтому аккаунт работает, пока адрес не изменится. Ротация NAT операторского уровня или VPN поверх неё сдвигает этот адрес, и ретранслятор отказывает вам, тогда как разрешение имени продолжает успешно выполняться. Запись в реестре — это контроль доступа, а не доказательство исключительного выхода.

Шифрованный DNS — это совершенно третья вещь

DNS через HTTPS и DNS через TLS защищают обмен между вашим устройством и резолвером. Они шифруют и аутентифицируют запрос, чтобы локальная сеть не могла его прочитать или переписать, а DoH несёт его в обычном трафике HTTPS на порту 443, поэтому он и выглядит как веб-трафик для фильтра. Это функция конфиденциальности запросов.

Направление сервиса — другая функция: сам ответ указывает на посредника. Продукт может предлагать и то и другое сразу, и многие так и делают, но одно не подразумевает другое. Шифрование ваших запросов ни разу не переместило ни одного байта видео через другую страну.

Итак, «шифрованный DNS» отвечает на вопрос, кто может читать ваши запросы. Он не отвечает, кто может видеть ваш трафик, и не даёт вам новый адрес выхода. спецификация DNS over HTTPS — правильная ссылка на то, что охватывает эта защита, и она ничего не говорит о маршрутизации.

Кто что видит в каждом варианте

При Smart DNS резолвер видит имена, которые вы ищете, ретранслятор провайдера видит соединения, которые он несёт, а ваш провайдер по-прежнему видит всё остальное в структуре открытого текста: к каким адресам вы обращались, когда и сколько. Содержимое остаётся защищённым TLS до назначения в направленном потоке, поэтому ретранслятор передаёт шифрованную сессию, которую не может прочитать — но видит, что вы подключились, откуда и как надолго.

При VPN оператор туннеля видит ваш трафик и ваши назначения, что является одним сосредоточенным решением о доверии, а ваш провайдер видит только шифрованный поток к одной конечной точке. Иная экспозиция, не автоматически меньшая. Ни одну модель не следует оценивать по тому, открывается ли один сайт.

Скорость идёт по пути, а не по метке. Избирательный ретранслятор может держать несвязанный трафик вне обхода, что является реальным преимуществом для устройства, которое иначе туннелировало бы всё. Это тоже не гарантия, и никакая схема не обещает постоянного доступа к сервису, который активно пытается его обнаружить.

Когда Smart DNS — правильный инструмент

Это действительно правильный инструмент, когда устройство вообще не может запустить клиент VPN — телевизор, консоль, приставка с заблокированным сетевым стеком — и когда важен только один названный сервис. Это также разумно, когда вы намеренно не хотите, чтобы каждый пакет на этом устройстве шёл через туннель.

Это неправильный инструмент, когда требуется шифрование, адрес выхода для всего устройства или защита от локальной сети и провайдера. Это свойства туннеля, и никакая настройка резолвера их не создаёт. А если вы держите VPN на том же устройстве, ждите, что авторизация на основе регистрации сломается, потому что ваш публичный адрес теперь адрес туннеля.

Пройдите это решение по порядку и остановитесь на первой верной строке:

• Вам нужен шифрованный трафик и всё устройство на новом выходе? Используйте VPN и проверьте его маршруты и исключения, а не индикатор подключения.
• Вам нужно только несколько названных сервисов на устройстве, которое не умеет туннелировать? Smart DNS соразмерен.
• Вам нужны приватные запросы, но без перемещения трафика? Это шифрованный DNS, который не является ни одним из перечисленного.
• Провайдер полагается на ваш текущий адрес? Ждите сбоя в тот момент, когда он изменится.