Smart DNS ไม่ใช่ VPN: การตั้งค่า DNS นั้นเปลี่ยนอะไรจริง ๆ
การตั้งค่า Smart DNS เปลี่ยนเส้นทางการค้นหาชื่อสำหรับบางบริการ ไม่ใช่ทันเนลที่เข้ารหัส และช่องว่างนั้นเป็นตัวกำหนดว่าใครเห็นทราฟฟิกของคุณได้
คุณชี้ทีวีไปที่ตัวแก้ไข Smart DNS แอปสตรีมมิ่งหนึ่งตัวเริ่มใช้งานได้ และข้อสรุปก็เขียนตัวเองขึ้นมา นี่คือ VPN ที่ราคาถูกกว่าและติดตั้งเร็วกว่า ไม่ใช่ และช่องว่างนี้ไม่ใช่การจับผิด สิ่งที่เปลี่ยนไปคือคำตอบที่ทีวีได้รับเมื่อถามว่าชื่อโฮสต์หนึ่งอาศัยอยู่ที่ไหน สิ่งที่ไม่เปลี่ยนคือทุกแพ็กเก็ตยังออกจากบ้านคุณแบบเปิดเผย บนเส้นทางเดิม จากที่อยู่เดิมที่ ISP รู้อยู่แล้ว ตำนานคือการตั้งค่า DNS คือทันเนล ความจริงแคบกว่าและมีประโยชน์กว่าทันทีที่คุณเห็นมัน
ตำนาน: การเปลี่ยน DNS เปลี่ยนเส้นทางทราฟฟิกของคุณ
DNS ปกติบอกแอปพลิเคชันว่าควรเชื่อมต่อที่ไหน บริการ Smart DNS ตอบชื่อโฮสต์ที่เลือกด้วยที่อยู่ที่อยู่ในโครงสร้างพื้นฐานของผู้ให้บริการเอง แอปจึงเชื่อมต่อที่นั่นแทนที่จะเชื่อมต่อกับบริการโดยตรง จากนั้นผู้ให้บริการส่งต่อสตรีมเดียวนั้นไปยังปลายทางจริง ไม่มีสิ่งอื่นใดบนอุปกรณ์เคลื่อนที่
นี่คือเหตุผลที่กลอุบายนี้ทำงานบนโทรทัศน์หรือคอนโซลได้เลย ไม่มีไคลเอนต์ ไม่มีอินเทอร์เฟซ ไม่มีรายการในตารางเส้นทาง ไม่มีชั้นการเข้ารหัส อุปกรณ์ทำสิ่งที่มันทำมาตลอด คือแก้ไขชื่อแล้วเชื่อมต่อกับสิ่งที่ส่งกลับมา คุณเปลี่ยนคำตอบ ไม่ใช่เส้นทางของทุกแพ็กเก็ต
ป้ายนี้ยังถูกใช้โดยโครงการ DNS ที่ไม่เกี่ยวข้อง ดังนั้นควรตรวจเอกสารของผู้ให้บริการเองแทนการสันนิษฐานชุดคุณสมบัติจากชื่อ ไม่มีโปรโตคอล Smart DNS มาตรฐาน ความครอบคลุมของผลิตภัณฑ์หนึ่งไม่ได้บอกอะไรที่เชื่อถือได้เกี่ยวกับอีกผลิตภัณฑ์หนึ่ง
สิ่งที่ถูกเปลี่ยนเส้นทางจริง และสิ่งที่ไม่
ความแตกต่างเห็นได้ง่ายเมื่อคุณไล่ตามโฟลว์แทนที่จะไล่ตามอุปกรณ์
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
คุณเห็นได้ด้วยตัวเอง ถามตัวแก้ไขของผู้ให้บริการเกี่ยวกับชื่อโฮสต์หนึ่ง และถามตัวแก้ไขสาธารณะเกี่ยวกับชื่อเดียวกัน
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleคำตอบที่ต่างกันหมายถึงการเปลี่ยนเส้นทางที่ชั้นชื่อ คำตอบเดียวกันหมายถึงบริการไม่ครอบคลุมชื่อนั้น หรืออุปกรณ์ไม่ได้ใช้ตัวแก้ไขนั้น ซึ่งเป็นความล้มเหลวที่ดูเหมือนการตั้งค่า DNS ผิดและมักถูกเข้าใจผิดว่าเป็นบัญชีที่ใช้ไม่ได้
ยังมีความล้มเหลวที่สองที่มีกลิ่นเดียวกัน ผู้ให้บริการจำนวนมากอนุญาตตามที่อยู่สาธารณะที่คุณใช้อยู่ ดังนั้นบัญชีจะทำงานจนกว่าที่อยู่จะเปลี่ยน การหมุน NAT ระดับผู้ให้บริการ หรือ VPN ที่วางทับอยู่ จะย้ายที่อยู่นั้นและรีเลย์จะปฏิเสธคุณ ในขณะที่การแก้ชื่อยังสำเร็จอยู่ รายการในทะเบียนคือการควบคุมการเข้าถึง ไม่ใช่หลักฐานของทางออกเฉพาะ
DNS ที่เข้ารหัสเป็นเรื่องที่สามโดยสิ้นเชิง
DNS บน HTTPS และ DNS บน TLS ปกป้องการแลกเปลี่ยนระหว่างอุปกรณ์ของคุณกับตัวแก้ไข ทั้งคู่เข้ารหัสและพิสูจน์ตัวตนของคำถาม เพื่อให้เครือข่ายท้องถิ่นอ่านหรือเขียนใหม่ไม่ได้ และ DoH พามันในทราฟฟิก HTTPS ปกติบนพอร์ต 443 ซึ่งเป็นเหตุผลที่มันดูเหมือนทราฟฟิกเว็บต่อฟิลเตอร์ นั่นคือคุณสมบัติด้านความเป็นส่วนตัวของการค้นหา
การเปลี่ยนเส้นทางบริการเป็นฟังก์ชันอีกอย่าง คำตอบเองชี้ไปที่ตัวกลาง ผลิตภัณฑ์หนึ่งให้ทั้งสองอย่างพร้อมกันได้ และหลายตัวก็ทำ แต่สิ่งหนึ่งไม่ได้หมายถึงอีกสิ่งหนึ่ง การเข้ารหัสการค้นหาของคุณไม่เคยย้ายวิดีโอแม้แต่ไบต์เดียวผ่านอีกประเทศ
ดังนั้น «DNS ที่เข้ารหัส» ตอบคำถามว่าใครอ่านคำถามของคุณได้ มันไม่ตอบว่าใครเห็นทราฟฟิกของคุณได้ และไม่ให้ที่อยู่ทางออกใหม่ ข้อกำหนด DNS over HTTPS เป็นแหล่งอ้างอิงที่ถูกต้องสำหรับสิ่งที่การป้องกันนั้นครอบคลุม และไม่พูดอะไรเกี่ยวกับการกำหนดเส้นทาง
ใครเห็นอะไรในแต่ละรูปแบบ
ด้วย Smart DNS ตัวแก้ไขเห็นชื่อที่คุณค้นหา รีเลย์ของผู้ให้บริการเห็นการเชื่อมต่อที่มันขนส่ง และ ISP ของคุณยังเห็นทุกอย่างที่เหลือในโครงสร้างข้อความเปิด ที่อยู่ใดที่คุณติดต่อ เมื่อใด และเท่าใด เนื้อหายังได้รับการปกป้องด้วย TLS ไปยังปลายทางในโฟลว์ที่ถูกเปลี่ยนเส้นทาง รีเลย์จึงส่งต่อเซสชันที่เข้ารหัสซึ่งอ่านไม่ได้ แต่เห็นได้ว่าคุณเชื่อมต่อ จากที่ไหน และนานเท่าใด
ด้วย VPN ผู้ดำเนินการทันเนลเห็นทราฟฟิกและปลายทางของคุณ ซึ่งเป็นการตัดสินใจไว้ใจแบบรวมศูนย์เพียงครั้งเดียว และ ISP ของคุณเห็นเพียงสตรีมที่เข้ารหัสไปยังปลายทางเดียว การเปิดเผยต่างกัน ไม่ได้น้อยลงโดยอัตโนมัติ ไม่ควรตัดสินแบบจำลองใดจากการที่เว็บไซต์หนึ่งเปิดได้
ความเร็วตามเส้นทาง ไม่ใช่ตามป้าย รีเลย์แบบเลือกได้สามารถกันทราฟฟิกที่ไม่เกี่ยวข้องออกจากการอ้อม ซึ่งเป็นข้อได้เปรียบจริงสำหรับอุปกรณ์ที่มิฉะนั้นจะอุโมงค์ทุกอย่าง และไม่ใช่การรับประกันเช่นกัน ไม่มีรูปแบบใดสัญญาว่าจะเข้าถึงบริการที่พยายามตรวจจับมันอยู่ตลอดได้อย่างถาวร
เมื่อใด Smart DNS จึงเป็นเครื่องมือที่เหมาะสม
มันเป็นเครื่องมือที่เหมาะสมจริง ๆ เมื่ออุปกรณ์ไม่สามารถรันไคลเอนต์ VPN ได้เลย เช่น โทรทัศน์ คอนโซล กล่องรับสัญญาณที่มีสแตกเครือข่ายถูกล็อก และเมื่อมีเพียงบริการที่ระบุชื่อหนึ่งเดียวที่สำคัญ มันยังสมเหตุสมผลเมื่อคุณไม่ต้องการให้ทุกแพ็กเก็ตบนอุปกรณ์นั้นผ่านทันเนลโดยเจตนา
มันเป็นเครื่องมือที่ไม่เหมาะสมเมื่อความต้องการคือการเข้ารหัส ที่อยู่ทางออกสำหรับทั้งอุปกรณ์ หรือการป้องกันจากเครือข่ายท้องถิ่นและ ISP เหล่านั้นเป็นคุณสมบัติของทันเนล และไม่มีการตั้งค่าตัวแก้ไขใดสร้างสิ่งเหล่านั้น และหากคุณเปิด VPN ไว้บนอุปกรณ์เดียวกัน ให้คาดว่าการอนุญาตตามการลงทะเบียนจะพัง เพราะที่อยู่สาธารณะของคุณตอนนี้คือของทันเนล
ทำตามการตัดสินใจนี้ตามลำดับและหยุดที่บรรทัดแรกที่เป็นจริง
- คุณต้องการให้ทราฟฟิกเข้ารหัสและทั้งอุปกรณ์อยู่บนทางออกใหม่หรือไม่ ใช้ VPN และตรวจเส้นทางและข้อยกเว้นของมัน ไม่ใช่ตัวบ่งชี้การเชื่อมต่อ
- คุณต้องการเพียงบริการที่ระบุชื่อไม่กี่บริการบนอุปกรณ์ที่ไม่สามารถอุโมงค์ได้หรือไม่ Smart DNS เหมาะสมตามสัดส่วน
- คุณต้องการให้การค้นหาเป็นส่วนตัวแต่ไม่ต้องการย้ายทราฟฟิกหรือไม่ นั่นคือ DNS ที่เข้ารหัส ซึ่งไม่ใช่ทั้งสองอย่างข้างต้น
- ผู้ให้บริการพึ่งพาที่อยู่ปัจจุบันของคุณหรือไม่ ให้คาดว่าจะขาดตอนในทันทีที่มันเปลี่ยน