Smart DNS bir VPN değildir: o DNS ayarı gerçekte neyi değiştirir

Televizyonu bir Smart DNS çözümleyicisine yönlendirirsiniz, bir yayın uygulaması çalışmaya başlar ve sonuç kendini yazar: bu, daha ucuza gelen ve daha hızlı kurulan bir VPN'dir. Değildir ve bu fark kılı kırk yarmak değildir. Değişen şey, televizyonun bir ana makine adının nerede yaşadığını sorduğunda aldığı yanıttır; değişmeyen şey, her paketin hâlâ evinizden açıkça, aynı yoldan, ISS'nin zaten bildiği aynı adresten çıkmasıdır. Efsane, bir DNS ayarının tünel olduğudur. Gerçek daha dar ve onu gördüğünüzde daha faydalıdır.

Efsane: bir DNS değişikliği trafiğinizi yönlendirir

Sıradan DNS bir uygulamaya nereye bağlanacağını söyler. Bir Smart DNS hizmeti seçilen ana makine adlarını sağlayıcının kendi altyapısına ait adreslerle yanıtlar, böylece uygulama doğrudan hizmete değil oraya bağlanır. Sağlayıcı sonra o tek akışı gerçek hedefe iletir. Cihazdaki başka hiçbir şey hareket etmez.

Bu hilenin bir televizyonda ya da konsolda işe yaramasının nedeni budur. İstemci yok, arayüz yok, yönlendirme tablosunda kayıt yok, şifreleme katmanı yok. Cihaz her zaman yaptığını yapar: bir adı çözer ve geri dönene bağlanır. Yanıtı değiştirdiniz, her paketin yolunu değil.

Etiket, ilgisiz DNS projeleri tarafından da kullanılır, bu yüzden addan bir özellik kümesi varsaymak yerine sağlayıcının kendi belgelerine bakın. Standart bir Smart DNS protokolü yoktur; bir ürünün kapsamı diğeri hakkında güvenilir hiçbir şey söylemez.

Gerçekte ne yönlendirilir ve ne yönlendirilmez

Farkı cihaza göre değil akışa göre listelediğinizde görmek kolaydır.

Bunun olduğunu görebilirsiniz. Sağlayıcının çözümleyicisine bir ana makine adı sorun ve aynı adı bir genel çözümleyiciye sorun:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Farklı yanıtlar ad katmanında yönlendirme demektir. Aynı yanıt ya hizmetin o adı kapsamadığı ya da cihazın o çözümleyiciyi kullanmadığı anlamına gelir — yanlış DNS yapılandırması gibi görünen ve sık sık bozuk hesap sanılan bir arıza.

Aynı kokuda ikinci bir arıza vardır. Birçok sağlayıcı şu anda kullandığınız genel adrese göre yetkilendirir, bu yüzden hesap adres değişene kadar çalışır. Taşıyıcı düzeyinde NAT dönüşü ya da üstüne konan bir VPN o adresi taşır ve ad çözümü başarılı olmaya devam ederken aktarıcı sizi reddeder. Kayıt defteri girdisi bir erişim denetimidir, özel bir çıkışın kanıtı değildir.

Şifreli DNS tamamen üçüncü bir şeydir

HTTPS üzerinden DNS ve TLS üzerinden DNS cihazınızla çözümleyici arasındaki alışverişi korur. Sorguyu şifreler ve doğrular, böylece yerel ağ onu okuyamaz veya yeniden yazamaz ve DoH onu 443 numaralı bağlantı noktasında sıradan HTTPS trafiği içinde taşır; bu yüzden bir filtreye web trafiği gibi görünür. Bu, sorgular için bir gizlilik özelliğidir.

Bir hizmeti yönlendirmek başka bir işlevdir: yanıtın kendisi bir aracıya işaret eder. Bir ürün ikisini birden sunabilir ve çoğu sunar, ama biri diğerini gerektirmez. Sorgularınızı şifrelemek bir tek bayt videoyu bile başka bir ülkeden geçirmedi.

Yani «şifreli DNS», sorgularınızı kimin okuyabileceği sorusunu yanıtlar. Trafiğinizi kimin görebileceğini yanıtlamaz ve size yeni bir çıkış adresi vermez. DNS over HTTPS belirtimi o korumanın neyi kapsadığı için doğru başvurudur ve yönlendirme hakkında hiçbir şey söylemez.

Her düzenlemede kim ne görür

Smart DNS ile çözümleyici aradığınız adları görür, sağlayıcının aktarıcısı taşıdığı bağlantıları görür ve ISS'niz geri kalan her şeyi açık metin yapısında görmeye devam eder: hangi adreslerle ne zaman, ne kadar bağlantı kurdunuz. İçerik yönlendirilen akışta hedefe kadar TLS ile korunur, bu yüzden aktarıcı okuyamadığı şifreli bir oturumu iletir — ama bağlandığınızı, nereden ve ne kadar süreyle gördü.

VPN ile tünel işletmecisi trafiğinizi ve hedeflerinizi görür, bu tek bir yoğunlaşmış güven kararıdır ve ISS'niz yalnızca tek bir uç noktaya giden şifreli bir akış görür. Farklı bir maruz kalma, otomatik olarak daha az değil. Hiçbir model tek bir sitenin açılıp açılmamasıyla değerlendirilmemelidir.

Hız etiketi değil yolu izler. Seçici bir aktarıcı ilgisiz trafiği bir dolambaçtan uzak tutabilir, bu da aksi hâlde her şeyi tünele sokacak bir cihaz için gerçek bir avantajdır. Bu da bir garanti değildir ve hiçbir düzenleme onu etkin biçimde saptamaya çalışan bir hizmete kalıcı erişim vaat etmez.

Smart DNS ne zaman doğru araçtır

Cihaz bir VPN istemcisini hiç çalıştıramadığında — bir televizyon, bir konsol, ağ yığını kilitli bir set üstü kutu — ve yalnızca tek bir adlandırılmış hizmet önemli olduğunda gerçekten doğru araçtır. O cihazdaki her paketin tünelden geçmesini bilerek istemediğinizde de makuldür.

Gereksinim şifreleme, tüm cihaz için bir çıkış adresi ya da yerel ağdan ve ISS'den korunma olduğunda yanlış araçtır. Bunlar tünel özellikleridir ve hiçbir çözümleyici ayarı onları üretmez. Ve aynı cihazda VPN çalıştırmaya devam ederseniz, kayıt tabanlı yetkilendirmenin bozulmasını bekleyin, çünkü genel adresiniz artık tünelinki.

Bu kararı sırayla uygulayın ve doğru olan ilk satırda durun:

• Trafiğin şifrelenmesine ve tüm cihazın yeni bir çıkışa taşınmasına ihtiyacınız var mı? Bir VPN kullanın ve bağlantı göstergesini değil, rotalarını ve istisnalarını denetleyin.
• Tünel kuramayan bir cihazda yalnızca birkaç adlandırılmış hizmete mi ihtiyacınız var? Smart DNS orantılıdır.
• Sorgularınız gizli olsun ama trafiğiniz taşınmasın mı? Bu şifreli DNS'tir ve yukarıdakilerin hiçbiri değildir.
• Sağlayıcı mevcut adresinize mi dayanıyor? Değiştiği anda kesinti bekleyin.