Smart DNS không phải VPN: cài đặt DNS đó thực sự thay đổi điều gì

Bạn trỏ TV vào một trình phân giải Smart DNS, một ứng dụng phát trực tuyến bắt đầu hoạt động, và kết luận tự viết ra: đây là một VPN rẻ hơn và cài nhanh hơn. Không phải vậy, và khoảng cách đó không phải là bắt bẻ. Điều đã thay đổi là câu trả lời TV nhận được khi hỏi một tên máy chủ sống ở đâu; điều không thay đổi là mỗi gói vẫn rời khỏi nhà bạn một cách công khai, trên cùng đường đi, từ cùng địa chỉ mà ISP đã biết. Huyền thoại là một cài đặt DNS chính là một đường hầm. Thực tế hẹp hơn và hữu ích hơn ngay khi bạn thấy nó.

Huyền thoại: một thay đổi DNS định tuyến lại lưu lượng của bạn

DNS thông thường cho ứng dụng biết nên kết nối ở đâu. Dịch vụ Smart DNS trả lời các tên máy chủ được chọn bằng địa chỉ thuộc hạ tầng của chính nhà cung cấp, nên ứng dụng kết nối tới đó thay vì trực tiếp tới dịch vụ. Nhà cung cấp sau đó chuyển tiếp đúng một luồng đó tới đích thực. Không có gì khác trên thiết bị di chuyển.

Đó là lý do mẹo này hoạt động trên TV hoặc máy chơi game. Không có ứng dụng khách, không có giao diện, không có mục trong bảng định tuyến, không có lớp mã hóa. Thiết bị làm đúng điều nó luôn làm: phân giải một tên và kết nối tới bất cứ thứ gì trả về. Bạn đã thay đổi câu trả lời, không phải đường đi của mọi gói.

Nhãn này cũng được các dự án DNS không liên quan dùng, nên hãy xem tài liệu của chính nhà cung cấp thay vì suy ra một bộ tính năng từ cái tên. Không có giao thức Smart DNS tiêu chuẩn; phạm vi của một sản phẩm không nói lên điều gì đáng tin về sản phẩm khác.

Điều gì thực sự được định hướng, và điều gì không

Dễ thấy sự khác biệt khi bạn liệt kê theo luồng thay vì theo thiết bị.

Bạn có thể thấy điều đó xảy ra. Hỏi trình phân giải của nhà cung cấp về một tên máy chủ và hỏi một trình phân giải công cộng về đúng tên đó:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Câu trả lời khác nhau nghĩa là định hướng ở lớp tên. Cùng một câu trả lời nghĩa là hoặc dịch vụ không bao phủ tên đó hoặc thiết bị không dùng trình phân giải đó — một lỗi trông như cấu hình DNS sai và thường bị nhầm là tài khoản hỏng.

Có một lỗi thứ hai cùng mùi. Nhiều nhà cung cấp cấp quyền theo địa chỉ công cộng bạn đang dùng, nên tài khoản hoạt động cho tới khi địa chỉ thay đổi. Việc xoay NAT cấp nhà mạng, hoặc một VPN đặt lên trên, di chuyển địa chỉ đó và relay từ chối bạn, trong khi việc phân giải tên vẫn thành công. Mục đăng ký là kiểm soát truy cập, không phải bằng chứng về một lối ra độc quyền.

DNS mã hóa là một thứ thứ ba hoàn toàn khác

DNS qua HTTPS và DNS qua TLS bảo vệ việc trao đổi giữa thiết bị của bạn và trình phân giải. Chúng mã hóa và xác thực truy vấn để mạng cục bộ không thể đọc hay viết lại nó, và DoH mang nó trong lưu lượng HTTPS thông thường trên cổng 443, cũng là lý do nó trông như lưu lượng web với một bộ lọc. Đó là một tính năng bảo mật cho các truy vấn.

Định hướng một dịch vụ là một chức năng khác: bản thân câu trả lời chỉ vào một trung gian. Một sản phẩm có thể cung cấp cả hai cùng lúc, và nhiều sản phẩm làm vậy, nhưng cái này không hàm ý cái kia. Mã hóa các truy vấn của bạn chưa bao giờ chuyển một byte video nào qua một quốc gia khác.

Vì vậy «DNS mã hóa» trả lời câu hỏi ai có thể đọc truy vấn của bạn. Nó không trả lời ai có thể thấy lưu lượng của bạn, và nó không cho bạn một địa chỉ ra mới. đặc tả DNS over HTTPS là tài liệu tham chiếu đúng cho những gì biện pháp bảo vệ đó bao phủ, và nó không nói gì về định tuyến.

Ai thấy gì trong mỗi cách bố trí

Với Smart DNS, trình phân giải thấy các tên bạn tra, relay của nhà cung cấp thấy các kết nối nó mang, và ISP của bạn vẫn thấy mọi thứ khác trong cấu trúc văn bản mở: bạn đã liên hệ với địa chỉ nào, khi nào và bao nhiêu. Nội dung vẫn được TLS bảo vệ tới đích trong luồng được định hướng, nên relay chuyển tiếp một phiên mã hóa mà nó không thể đọc — nhưng nó có thể thấy bạn đã kết nối, từ đâu và trong bao lâu.

Với VPN, nhà vận hành đường hầm thấy lưu lượng và đích của bạn, đó là một quyết định tin cậy tập trung duy nhất, và ISP của bạn chỉ thấy một luồng mã hóa tới một điểm cuối. Mức phơi bày khác, không tự động ít hơn. Không mô hình nào nên bị đánh giá bằng việc một trang có mở hay không.

Tốc độ theo đường đi, không theo nhãn. Một relay chọn lọc có thể giữ lưu lượng không liên quan ra khỏi một đường vòng, đó là lợi thế thực sự cho thiết bị mà nếu không sẽ đưa mọi thứ vào đường hầm. Đó cũng không phải bảo đảm, và không cách bố trí nào hứa hẹn truy cập lâu dài tới một dịch vụ đang chủ động cố gắng phát hiện nó.

Khi nào Smart DNS là công cụ đúng

Nó thực sự là công cụ đúng khi thiết bị hoàn toàn không chạy được ứng dụng VPN — một TV, một máy chơi game, một hộp set-top với ngăn xếp mạng bị khóa — và khi chỉ một dịch vụ có tên là quan trọng. Nó cũng hợp lý khi bạn cố ý không muốn mọi gói trên thiết bị đó đi qua đường hầm.

Nó là công cụ sai khi yêu cầu là mã hóa, một địa chỉ ra cho toàn bộ thiết bị, hoặc bảo vệ khỏi mạng cục bộ và ISP. Đó là thuộc tính của đường hầm, và không cài đặt trình phân giải nào tạo ra chúng. Và nếu bạn giữ VPN chạy trên cùng thiết bị, hãy chờ việc cấp quyền dựa trên đăng ký bị phá vỡ, vì địa chỉ công cộng của bạn giờ là của đường hầm.

Hãy chạy quyết định này theo thứ tự và dừng ở dòng đầu tiên đúng:

• Bạn có cần lưu lượng được mã hóa và toàn bộ thiết bị trên một lối ra mới? Dùng VPN, và kiểm tra các tuyến và ngoại lệ của nó, không phải chỉ báo kết nối.
• Bạn chỉ cần vài dịch vụ có tên trên một thiết bị không thể tạo đường hầm? Smart DNS là tương xứng.
• Bạn cần các truy vấn riêng tư nhưng không muốn di chuyển lưu lượng? Đó là DNS mã hóa, không phải bất kỳ điều nào ở trên.
• Nhà cung cấp có dựa vào địa chỉ hiện tại của bạn không? Hãy chờ gián đoạn ngay khi nó thay đổi.