Smart DNS ni VPN: kaj to nastavitev DNS v resnici spremeni
Nastavitev Smart DNS usmerja poizvedbe imen za nekaj storitev. To ni šifriran tunel in razlika odloča, kdo lahko vidi vaš promet.
Televizor usmerite na resolver Smart DNS, ena aplikacija za pretakanje začne delovati in sklep se napiše sam: to je VPN, ki stane manj in se namesti hitreje. Ni, in razlika ni malenkost. Spremenil se je odgovor, ki ga je televizor prejel, ko je vprašal, kje živi ime gostitelja; ni se spremenilo to, da vsak paket še vedno zapusti vaš dom odkrito, po isti poti, z istega naslova, ki ga ponudnik že pozna. Mit je, da je nastavitev DNS tunel. Resničnost je ožja in bolj uporabna, ko jo vidite.
Mit: sprememba DNS preusmeri vaš promet
Običajni DNS pove aplikaciji, kam naj se poveže. Storitev Smart DNS odgovori na izbrana imena gostiteljev z naslovi, ki pripadajo lastni infrastrukturi ponudnika, zato se aplikacija poveže tja namesto neposredno na storitev. Ponudnik nato ta en tok posreduje do pravega cilja. Nič drugega na napravi se ne premakne.
Zato trik sploh deluje na televizorju ali konzoli. Ni odjemalca, ni vmesnika, ni vnosa v usmerjevalni tabeli, ni šifrirnega sloja. Naprava dela natanko to, kar je vedno: razreši ime in se poveže s tem, kar se vrne. Spremenili ste odgovor, ne poti vsakega paketa.
Oznako uporabljajo tudi nepovezani projekti DNS, zato preverite lastno dokumentacijo ponudnika, namesto da bi iz imena sklepali na nabor funkcij. Standardnega protokola Smart DNS ni; pokritost enega izdelka ne pove nič zanesljivega o drugem.
Kaj se v resnici usmerja in kaj ne
Razliko je enostavno videti, ko jo naštejete po toku in ne po napravi.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
To lahko vidite. Vprašajte resolver ponudnika za ime gostitelja in vprašajte javni resolver za isto:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleRazlični odgovori pomenijo usmerjanje na ravni imena. Isti odgovor pomeni bodisi da storitev tega imena ne pokriva bodisi da naprava tega resolverja ne uporablja — okvara, ki je videti kot napačna konfiguracija DNS in jo pogosto zamenjajo za pokvarjen račun.
Obstaja še druga okvara z enakim vonjem. Mnogi ponudniki odobrijo glede na javni naslov, ki ga trenutno uporabljate, zato račun deluje, dokler se naslov ne spremeni. Rotacija NAT na ravni operaterja ali VPN na vrhu premakne ta naslov in posrednik vas zavrne, medtem ko razreševanje še naprej uspeva. Vpis v register je nadzor dostopa, ne dokaz izključnega izhoda.
Šifriran DNS je povsem tretja stvar
DNS prek HTTPS in DNS prek TLS ščitita izmenjavo med vašo napravo in resolverjem. Poizvedbo šifrirata in overita, da je lokalno omrežje ne more brati ali prepisati, DoH pa jo prenaša v običajnem prometu HTTPS na vratih 443, zato je za filter videti kot spletni promet. To je funkcija zaupnosti za poizvedbe.
Usmerjanje storitve je druga funkcija: sam odgovor kaže na posrednika. Izdelek lahko ponuja oboje hkrati in mnogi to počnejo, vendar eno ne pomeni drugega. Šifriranje vaših poizvedb še nikoli ni premaknilo niti enega bajta videa skozi drugo državo.
Zato «šifriran DNS» odgovarja na vprašanje, kdo lahko bere vaše poizvedbe. Ne odgovarja, kdo lahko vidi vaš promet, in ne daje vam novega izhodnega naslova. specifikacija DNS over HTTPS je pravi vir za to, kaj ta zaščita pokriva, in o usmerjanju ne pove ničesar.
Kdo kaj vidi v posamezni ureditvi
Pri Smart DNS resolver vidi imena, ki jih iščete, posrednik ponudnika vidi povezave, ki jih prenaša, vaš ponudnik internetnih storitev pa še vedno vidi vse ostalo v strukturi odprtega besedila: s katerimi naslovi ste stopili v stik, kdaj in koliko. Vsebina ostaja zaščitena s TLS do cilja v usmerjenem toku, zato posrednik posreduje šifrirano sejo, ki je ne more brati — vendar vidi, da ste se povezali, od kod in za kako dolgo.
Pri VPN operater tunela vidi vaš promet in vaše cilje, kar je ena osredotočena odločitev o zaupanju, vaš ponudnik internetnih storitev pa vidi le šifriran tok do ene končne točke. Drugačna izpostavljenost, ne samodejno manjša. Nobenega modela ne bi smeli presojati po tem, ali se ena stran odpre.
Hitrost sledi poti, ne oznaki. Selektivni posrednik lahko zadrži nepovezan promet zunaj ovinka, kar je resnična prednost za napravo, ki bi sicer tunelirala vse. Tudi to ni jamstvo in nobena ureditev ne obljublja trajnega dostopa do storitve, ki ga aktivno poskuša zaznati.
Kdaj je Smart DNS pravo orodje
Res je pravo orodje, ko naprava sploh ne more zagnati odjemalca VPN — televizor, konzola, set-top box z zaklenjenim omrežnim skladom — in ko šteje le ena poimenovana storitev. Razumno je tudi, ko namerno ne želite, da bi bil vsak paket na tej napravi tuneliran.
Napačno orodje je, ko je zahteva šifriranje, izhodni naslov za celotno napravo ali zaščita pred lokalnim omrežjem in ponudnikom. To so lastnosti tunela in nobena nastavitev resolverja jih ne ustvari. In če imate VPN na isti napravi, pričakujte, da se bo avtorizacija, ki temelji na registraciji, pokvarila, ker je vaš javni naslov zdaj naslov tunela.
Pojdite skozi to odločitev po vrsti in se ustavite pri prvi vrstici, ki drži:
- Potrebujete šifriran promet in celotno napravo na novem izhodu? Uporabite VPN in preverite njegove poti in izjeme, ne indikatorja povezave.
- Potrebujete le nekaj poimenovanih storitev na napravi, ki ne zmore tuneliranja? Smart DNS je sorazmeren.
- Potrebujete zasebne poizvedbe, ne pa premikanja prometa? To je šifriran DNS, ki ni nobeno od navedenih.
- Ali se ponudnik zanaša na vaš trenutni naslov? Pričakujte prekinitev v trenutku, ko se spremeni.