Smart DNS није VPN: шта та DNS поставка заиста мења
Smart DNS поставка усмерава упите имена за неколико услуга. То није шифровани тунел, а разлика одлучује ко може да види ваш саобраћај.
Усмерите телевизор на Smart DNS резолвер, једна апликација за стримовање почне да ради, и закључак се сам пише: ово је VPN који кошта мање и инсталира се брже. Није, а разлика није ситничарење. Променио се одговор који је телевизор добио када је питао где живи име домаћина; није се променило то да сваки пакет и даље напушта вашу кућу отворено, истим путем, са исте адресе коју провајдер већ зна. Мит је да је DNS поставка тунел. Стварност је ужа и кориснија када је видите.
Мит: промена DNS-а преусмерава ваш саобраћај
Обичан DNS каже апликацији где да се повеже. Услуга Smart DNS одговара на изабрана имена домаћина адресама које припадају сопственој инфраструктури провајдера, па се апликација повезује тамо уместо директно на услугу. Провајдер затим прослеђује тај један ток до правог одредишта. Ништа друго на уређају се не помера.
Зато трик уопште ради на телевизору или конзоли. Нема клијента, нема интерфејса, нема записа у табели рутирања, нема слоја за шифровање. Уређај ради тачно оно што је одувек радио: решава име и повезује се са оним што се врати. Променили сте одговор, а не пут сваког пакета.
Ознаку користе и неповезани DNS пројекти, зато проверите сопствену документацију провајдера уместо да из имена претпостављате скуп функција. Не постоји стандардни Smart DNS протокол; покривеност једног производа не говори ништа поуздано о другом.
Шта се заиста усмерава, а шта не
Разлику је лако видети када је набројите по току, а не по уређају.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
Можете то да видите. Питајте резолвер провајдера за име домаћина и питајте јавни резолвер за исто:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleРазличити одговори значе усмеравање на нивоу имена. Исти одговор значи или да услуга не покрива то име или да уређај не користи тај резолвер — квар који изгледа као погрешна DNS конфигурација и често се замењује за покварен налог.
Постоји и други квар истог мириса. Многи провајдери ауторизују према јавној адреси коју тренутно користите, па налог ради док се адреса не промени. Ротација NAT-а на нивоу оператера, или VPN поврх тога, помера ту адресу и релеј вас одбија, док решавање имена наставља да успева. Запис у регистру је контрола приступа, не доказ ексклузивног излаза.
Шифровани DNS је сасвим трећа ствар
DNS преко HTTPS-а и DNS преко TLS-а штите размену између вашег уређаја и резолвера. Они шифрују и аутентикују упит тако да локална мрежа не може да га прочита или препише, а DoH га носи у обичном HTTPS саобраћају на порту 443, због чега и изгледа као веб саобраћај филтеру. То је својство поверљивости за упите.
Усмеравање услуге је друга функција: сам одговор указује на посредника. Производ може да нуди обоје истовремено, и многи то раде, али једно не подразумева друго. Шифровање ваших упита никада није преместило ни један бајт видеа кроз другу земљу.
Дакле „шифровани DNS“ одговара на питање ко може да чита ваше упите. Не одговара ко може да види ваш саобраћај, и не даје вам нову излазну адресу. спецификација DNS over HTTPS је прави извор за то шта та заштита покрива, и не говори ништа о рутирању.
Ко шта види у сваком распореду
Са Smart DNS-ом резолвер види имена која тражите, релеј провајдера види везе које преноси, а ваш ISP и даље види све остало у структури отвореног текста: са којим адресама сте контактирали, када и колико. Садржај остаје заштићен TLS-ом до одредишта у усмереном току, па релеј прослеђује шифровану сесију коју не може да прочита — али може да види да сте се повезали, одакле и колико дуго.
Са VPN-ом оператер тунела види ваш саобраћај и ваша одредишта, што је једна концентрисана одлука о поверењу, а ваш ISP види само шифровани ток до једне крајње тачке. Другачија изложеност, не аутоматски мања. Ниједан модел не треба оцењивати по томе да ли се један сајт отвара.
Брзина прати пут, а не ознаку. Селективни релеј може да држи неповезани саобраћај ван обилазнице, што је стварна предност за уређај који би иначе тунелирао све. То такође није гаранција, и ниједан распоред не обећава трајан приступ услузи која активно покушава да га открије.
Када је Smart DNS прави алат
То је заиста прави алат када уређај уопште не може да покрене VPN клијент — телевизор, конзола, set-top box са закључаним мрежним стеком — и када је важна само једна именована услуга. Разуман је и када свесно не желите да сваки пакет на том уређају иде кроз тунел.
То је погрешан алат када је захтев шифровање, излазна адреса за цео уређај или заштита од локалне мреже и ISP-а. То су својства тунела, и никаква поставка резолвера их не ствара. А ако држите VPN на истом уређају, очекујте да ће се ауторизација заснована на регистрацији покварити, јер је ваша јавна адреса сада адреса тунела.
Прођите ову одлуку по реду и зауставите се на првом реду који је истинит:
- Да ли вам треба шифровани саобраћај и цео уређај на новом излазу? Користите VPN и проверите његове руте и изузетке, а не индикатор повезаности.
- Да ли вам треба само неколико именованих услуга на уређају који не може да тунелира? Smart DNS је сразмеран.
- Да ли вам требају приватни упити, али не и премештање саобраћаја? То је шифровани DNS, који није ниједно од наведеног.
- Да ли се провајдер ослања на вашу тренутну адресу? Очекујте прекид у тренутку када се промени.