Smart DNS nie je VPN: čo to nastavenie DNS naozaj mení

Nasmierujete televízor na resolver Smart DNS, jedna streamovacia aplikácia začne fungovať a záver sa napíše sám: toto je VPN, ktorá stojí menej a inštaluje sa rýchlejšie. Nie je, a rozdiel nie je puntičkárstvo. Zmenila sa odpoveď, ktorú televízor dostal, keď sa pýtal, kde žije nejaké meno hostiteľa; nezmenilo sa to, že každý paket stále opúšťa váš dom nešifrovane, po tej istej ceste, z tej istej adresy, ktorú poskytovateľ už pozná. Mýtus je, že nastavenie DNS je tunel. Realita je užšia a užitočnejšia, keď ju uvidíte.

Mýtus: zmena DNS presmeruje vašu prevádzku

Bežné DNS hovorí aplikácii, kam sa pripojiť. Služba Smart DNS odpovedá na vybrané mená hostiteľov adresami, ktoré patria vlastnej infraštruktúre poskytovateľa, takže aplikácia sa pripojí tam namiesto priamo k službe. Poskytovateľ potom ten jeden tok preposiela do skutočného cieľa. Nič iné na zariadení sa nepohne.

Práve preto trik vôbec funguje na televízore alebo konzole. Nie je tu klient, žiadne rozhranie, žiadny záznam v smerovacej tabuľke, žiadna šifrovacia vrstva. Zariadenie robí presne to, čo robilo vždy: preloží meno a pripojí sa k tomu, čo sa vráti. Zmenili ste odpoveď, nie cestu každého paketu.

Označenie používajú aj nesúvisiace DNS projekty, preto si pozrite vlastnú dokumentáciu poskytovateľa, namiesto toho, aby ste z názvu odvodzovali súbor funkcií. Štandardný protokol Smart DNS neexistuje; pokrytie jedného produktu nehovorí nič spoľahlivé o inom.

Čo sa skutočne smeruje a čo nie

Rozdiel je ľahké vidieť, keď to vypíšete podľa tokov, nie podľa zariadení.

Môžete to sledovať. Spýtajte sa resolvera poskytovateľa na meno hostiteľa a spýtajte sa verejného resolvera na to isté:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Rôzne odpovede znamenajú smerovanie na vrstve mien. Rovnaká odpoveď znamená buď že služba toto meno nepokrýva, alebo že zariadenie tento resolver nepoužíva — porucha, ktorá vyzerá ako chybná konfigurácia DNS a často sa považuje za rozbitý účet.

Existuje druhá porucha s rovnakým pachom. Mnohí poskytovatelia autorizujú podľa verejnej adresy, ktorú práve používate, takže účet funguje, kým sa adresa nezmení. Rotácia carrier-grade NAT alebo VPN navrchu túto adresu posunie a relay vás odmietne, zatiaľ čo preklad ďalej uspeje. Záznam v registri je kontrola prístupu, nie dôkaz výhradného výstupu.

Šifrované DNS je úplne tretia vec

DNS cez HTTPS a DNS cez TLS chránia výmenu medzi vaším zariadením a resolverom. Šifrujú a overujú dopyt, aby ho miestna sieť nemohla prečítať ani prepísať, a DoH ho nesie v bežnej prevádzke HTTPS na porte 443, čo je aj dôvod, prečo to filtru pripadá ako webová prevádzka. To je vlastnosť dôvernosti pre dopyty.

Smerovanie služby je iná funkcia: samotná odpoveď ukazuje na prostredníka. Produkt môže ponúkať oboje naraz a mnohé to robia, ale jedno neznamená druhé. Šifrovanie vašich dopytov nikdy nepresunulo jediný bajt videa cez inú krajinu.

Takže „šifrované DNS“ odpovedá na otázku, kto môže čítať vaše dopyty. Neodpovedá, kto môže vidieť vašu prevádzku, a nedáva vám novú výstupnú adresu. špecifikácia DNS over HTTPS je správny odkaz na to, čo táto ochrana pokrýva, a o smerovaní nehovorí nič.

Kto čo vidí v jednotlivých usporiadaniach

Pri Smart DNS resolver vidí mená, ktoré hľadáte, relay poskytovateľa vidí spojenia, ktoré prenáša, a váš poskytovateľ internetu stále vidí všetko ostatné v štruktúre otvoreného textu: na ktoré adresy ste sa obrátili, kedy a koľko. Obsah zostáva chránený TLS k cieľu v smerovanom toku, takže relay preposiela šifrovanú reláciu, ktorú nedokáže prečítať — ale vidí, že ste sa pripojili, odkiaľ a ako dlho.

Pri VPN operátor tunela vidí vašu prevádzku a vaše ciele, čo je jedno sústredené rozhodnutie o dôvere, a váš poskytovateľ internetu vidí len šifrovaný tok k jednému koncovému bodu. Iná expozícia, nie automaticky menšia. Ani jeden model by sa nemal posudzovať podľa toho, či sa jedna stránka otvorí.

Rýchlosť ide po ceste, nie po označení. Selektívny relay dokáže udržať nesúvisiacu prevádzku mimo obchádzky, čo je skutočná výhoda pre zariadenie, ktoré by inak tunelovalo všetko. Tiež to nie je záruka a žiadne usporiadanie nesľubuje trvalý prístup k službe, ktorá sa ho aktívne snaží odhaliť.

Kedy je Smart DNS správny nástroj

Je to skutočne správny nástroj, keď zariadenie vôbec nemôže spustiť klienta VPN — televízia, konzola, set-top box so zamknutým sieťovým zásobníkom — a keď záleží len na jednej pomenovanej službe. Je rozumný aj vtedy, keď zámerne nechcete, aby každý paket na tom zariadení šiel tunelom.

Je to nesprávny nástroj, keď je požiadavkou šifrovanie, výstupná adresa pre celé zariadenie alebo ochrana pred miestnou sieťou a poskytovateľom internetu. To sú vlastnosti tunela a žiadne nastavenie resolvera ich nevytvára. A ak držíte VPN na tom istom zariadení, očakávajte, že autorizácia založená na registrácii sa rozbije, pretože vaša verejná adresa je teraz adresou tunela.

Prejdite toto rozhodnutie po poradí a zastavte sa pri prvom riadku, ktorý je pravdivý:

• Potrebujete šifrovanú prevádzku a celé zariadenie na novom výstupe? Použite VPN a skontrolujte jeho trasy a výnimky, nie indikátor pripojenia.
• Potrebujete len niekoľko pomenovaných služieb na zariadení, ktoré nevie tunelovať? Smart DNS je primeraný.
• Potrebujete súkromné dopyty, ale nie presun prevádzky? To je šifrované DNS, ktoré nie je ani jedno z uvedených.
• Spolieha sa poskytovateľ na vašu aktuálnu adresu? Očakávajte výpadok vo chvíli, keď sa zmení.