Ang Smart DNS ay hindi VPN: ano ang talagang binabago ng setting na DNS
Ang setting ng Smart DNS ay nagtuturo ng paghahanap ng pangalan para sa ilang serbisyo. Hindi ito naka-encrypt na tunel, at ang agwat ang nagpapasya kung sino ang makakakita ng iyong trapiko.
Itinuturo mo ang TV sa isang Smart DNS resolver, isang streaming app ang nagsisimulang gumana, at ang konklusyon ay kusang nagsusulat: ito ay isang VPN na mas mura at mas mabilis i-install. Hindi, at ang agwat ay hindi kabalintunaan. Ang nagbago ay ang sagot na natanggap ng TV nang itanong nito kung saan nakatira ang isang hostname; ang hindi nagbago ay ang bawat packet ay umaalis pa rin sa bahay mo nang lantad, sa parehong ruta, mula sa parehong address na alam na ng ISP. Ang mito ay ang setting ng DNS ay isang tunel. Ang realidad ay mas makitid at mas kapaki-pakinabang kapag nakita mo na.
Ang mito: binabago ng pagbabago sa DNS ang ruta ng trapiko mo
Sinasabi ng ordinaryong DNS sa app kung saan kumonekta. Sinasagot ng serbisyong Smart DNS ang mga piling hostname ng address na kabilang sa sariling imprastruktura ng provider, kaya kumonekta ang app doon imbes na direkta sa serbisyo. Pagkatapos ay ipinapasa ng provider ang nag-iisang daloy na iyon sa tunay na destinasyon. Walang ibang gumagalaw sa device.
Ito ang dahilan kung bakit gumagana ang daya sa isang telebisyon o console. Walang client, walang interface, walang entry sa routing table, walang layer ng encryption. Ginagawa ng device ang eksaktong ginawa nito noon pa: niresolba ang pangalan at kumonekta sa kung ano ang bumalik. Binago mo ang sagot, hindi ang ruta ng bawat packet.
Ginagamit din ang label na ito ng mga proyektong DNS na walang kaugnayan, kaya tingnan ang dokumentasyon ng provider mismo kaysa maghaka ng set ng feature mula sa pangalan. Walang pamantayang Smart DNS protocol; ang saklaw ng isang produkto ay walang sinasabi na mapagkakatiwalaan tungkol sa isa pa.
Ano ang talagang itinuturo, at ano ang hindi
Madaling makita ang pagkakaiba kapag inilista mo ito ayon sa daloy kaysa ayon sa device.
| Flow | Steered by Smart DNS? | Why |
|---|---|---|
| A supported streaming hostname | Yes, usually | The resolver returns a provider address for that name |
| The same app's other hostnames | Only if the provider lists them | Steering is per-name, and lists are curated |
| Your browser, email, game downloads | No | Their names resolve to the ordinary destination |
| Traffic from devices not using that resolver | No | Nothing forces a device onto a particular resolver |
| Payload encryption | No | Unrelated to name resolution |
Makikita mo itong nangyayari. Tanungin ang resolver ng provider tungkol sa isang hostname at tanungin ang isang pampublikong resolver tungkol sa parehong pangalan:
dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.exampleIba't ibang sagot ay nangangahulugang pagtuturo sa antas ng pangalan. Parehong sagot ay nangangahulugang alinman sa hindi saklaw ng serbisyo ang pangalang iyon o hindi ginagamit ng device ang resolver na iyon — isang pagkabigo na mukhang maling DNS configuration at madalas napagkakamalang sirang account.
May pangalawang pagkabigo na may parehong amoy. Maraming provider ang nagpapahintulot batay sa pampublikong address na ginagamit mo ngayon, kaya gumagana ang account hanggang magbago ang address. Ang pag-ikot ng NAT sa antas ng carrier, o isang VPN sa ibabaw nito, ay naglilipat ng address na iyon at tinatanggihan ka ng relay, habang patuloy na nagtatagumpay ang resolusyon. Ang entry sa rehistro ay isang kontrol sa pag-access, hindi patunay ng eksklusibong labasan.
Ang naka-encrypt na DNS ay isang ganap na ikatlong bagay
DNS sa HTTPS at DNS sa TLS pinoprotektahan ang palitan sa pagitan ng device mo at ng resolver. Ini-encrypt at pinapatunayan nila ang query upang hindi ito mabasa o maisulat muli ng lokal na network, at dinadala ito ng DoH sa ordinaryong trapikong HTTPS sa port 443, kaya mukha itong trapikong web sa isang filter. Iyon ay isang feature ng pagiging kumpidensyal para sa mga paghahanap.
Ang pagtuturo ng serbisyo ay ibang tungkulin: ang sagot mismo ay tumuturo sa isang tagapamagitan. Maaaring mag-alok ang isang produkto ng pareho nang sabay, at marami ang gumagawa nito, ngunit ang isa ay hindi nangangahulugan ng isa pa. Ang pag-encrypt ng mga paghahanap mo ay hindi kailanman naglipat ng kahit isang byte ng video sa ibang bansa.
Kaya sinasagot ng «naka-encrypt na DNS» ang tanong kung sino ang makakabasa ng mga query mo. Hindi nito sinasagot kung sino ang makakakita ng trapiko mo, at hindi ka binibigyan ng bagong address ng labasan. Ang espesipikasyon ng DNS over HTTPS ang tamang sanggunian para sa saklaw ng proteksyong iyon, at wala itong sinasabi tungkol sa routing.
Sino ang nakakakita ng ano sa bawat kaayusan
Sa Smart DNS, nakikita ng resolver ang mga pangalang hinahanap mo, nakikita ng relay ng provider ang mga koneksyong dinadala nito, at nakikita pa rin ng ISP mo ang lahat ng iba pa sa bukas na istruktura ng teksto: aling mga address ang kinontak mo, kailan at gaano karami. Nananatiling protektado ng TLS ang nilalaman hanggang sa destinasyon sa itinurong daloy, kaya ipinapasa ng relay ang isang naka-encrypt na sesyon na hindi nito mabasa — pero nakikita nito na kumonekta ka, mula saan at gaano katagal.
Sa VPN, nakikita ng operator ng tunel ang trapiko at mga destinasyon mo, na isang sentralisadong desisyon sa pagtitiwala, at nakikita lamang ng ISP mo ang isang naka-encrypt na daloy patungo sa isang endpoint. Iba ang pagkakalantad, hindi awtomatikong mas maliit. Wala sa alinmang modelo ang dapat husgahan batay sa kung bumubukas ang isang site.
Sinusundan ng bilis ang ruta, hindi ang label. Maaaring itago ng isang piling relay ang walang kaugnayang trapiko sa labas ng liko, na isang tunay na kalamangan para sa device na kung hindi ay itutunel ang lahat. Hindi rin ito garantiya, at walang kaayusan ang nangangako ng permanenteng access sa isang serbisyong aktibong sinusubukang matukoy ito.
Kailan ang Smart DNS ang tamang kasangkapan
Talagang ito ang tamang kasangkapan kapag hindi kayang magpatakbo ng VPN client ang device — isang telebisyon, isang console, isang set-top box na may nakakandadong network stack — at kapag isang pinangalanang serbisyo lang ang mahalaga. Makatuwiran din ito kapag sadyang ayaw mong dumaan sa tunel ang bawat packet sa device na iyon.
Ito ang maling kasangkapan kapag ang pangangailangan ay encryption, isang address ng labasan para sa buong device, o proteksyon mula sa lokal na network at sa ISP. Mga katangian iyon ng tunel, at walang setting ng resolver ang gumagawa ng mga iyon. At kung panatilihin mong tumatakbo ang VPN sa parehong device, asahan mong masisira ang awtorisasyong nakabatay sa rehistro, dahil ang pampublikong address mo ngayon ay ng tunel.
Sundan ang desisyong ito nang sunud-sunod at huminto sa unang linyang totoo:
- Kailangan mo ba ang trapikong naka-encrypt at ang buong device sa bagong labasan? Gumamit ng VPN, at suriin ang mga ruta at pagbubukod nito, hindi ang indicator ng koneksyon.
- Kailangan mo lang ba ng ilang pinangalanang serbisyo sa isang device na hindi kayang magtunel? Ang Smart DNS ay proporsyonal.
- Kailangan mo ba ang mga paghahanap mo na pribado pero hindi ilipat ang trapiko? Iyon ay naka-encrypt na DNS, na wala sa mga nabanggit.
- Umaasa ba ang provider sa kasalukuyang address mo? Asahan ang pagkaputol sa sandaling magbago ito.