DNS contre VPN : ce que chacun fait vraiment

Il y a quelques années, j'ai changé les réglages DNS de mon routeur domestique, choisi un résolveur qui promettait la confidentialité, et je m'en suis félicité discrètement. Quelques mois plus tard, j'ai acheté un abonnement VPN pour la même raison. Les deux fois, je croyais être « passé en privé ». Les deux fois, je me trompais d'une manière intéressante, et il m'a fallu trifouiller un moment au niveau des paquets avant de comprendre ce que j'avais réellement acheté chaque fois.

La confusion se comprend, car les deux sont vendus avec les mêmes mots. Mais le DNS et les VPN agissent à des points complètement différents de votre connexion, et une fois que vous voyez cela, le reste — fuites, astuces de région, vitesse — se met en place tout seul.

Commencez par ce qu'est vraiment une requête

Avant que votre navigateur puisse charger example.com, il faut que ce nom soit traduit en adresse IP. Il demande à un résolveur DNS, qui répond avec quelque chose comme 203.0.113.25. Cette question-réponse est une requête : minuscule, rapide et séparée de la visite elle-même. C'est seulement quand la réponse revient que votre navigateur ouvre une connexion vers cette adresse et récupère la page.

Gardez ces deux étapes bien séparées dans votre tête, car toute la question DNS contre VPN vit là. Changer de DNS ne touche que la première étape. Un VPN prend aussi en charge la seconde.

Ce que changer de DNS fait vraiment

Changer de résolveur — à la main, ou en utilisant le DNS chiffré dans le navigateur — change qui répond aux questions. Le résolveur de votre FAI cesse de voir un journal de chaque nom que vous consultez, et le nouveau résolveur commence à le voir à sa place. Un résolveur filtrant peut refuser les noms connus pour les malwares ou les publicités. Un résolveur situé dans un autre pays peut compter pour les services qui décident quoi vous montrer selon l'endroit d'où la requête semble venir, ce qui est toute l'astuce derrière les services de DNS intelligent.

L'angle de la région mérite aussi l'honnêteté. Certains services vérifient où votre résolveur semble se trouver, plutôt que là où vous êtes, car les requêtes étaient historiquement un assez bon indicateur de localisation. C'est toute la base du DNS intelligent : ni chiffrement ni tunnel, juste des réponses choisies pour vous pointer vers un proxy ailleurs. Dès qu'un service vérifie l'adresse de votre connexion — comme la plupart le font —, l'astuce cesse de fonctionner, et c'est pourquoi le DNS intelligent débloque certains catalogues et ne fait rien pour d'autres.

Et c'est à peu près toute la liste. La visite elle-même ne change pas. Vos données quittent toujours votre maison par votre propre connexion, sous votre propre adresse IP, et les sites que vous visitez vous voient exactement comme avant. Votre FAI ne peut plus lire les requêtes si le trafic du résolveur est chiffré, mais il peut toujours voir à quelles adresses IP vous vous connectez. J'avais changé l'annuaire, pas la route.

Ce qu'un VPN fait vraiment

Un VPN enveloppe tout votre trafic — requêtes et chargements de pages confondus — dans un tunnel chiffré jusqu'à un serveur géré par le fournisseur du VPN. Ce serveur parle ensuite à internet en votre nom. Les sites web voient l'adresse du serveur VPN au lieu de la vôtre. Votre FAI voit un seul flux chiffré vers une seule destination, et pas grand-chose d'autre.

Mais remarquez ce qui s'est produit en silence : la confiance n'a pas disparu, elle a déménagé. Le fournisseur du VPN peut désormais observer ce que votre FAI observait avant, car tout ce que vous faites passe par ses machines. Un VPN est un changement de qui regarde, pas la fin du regard, et le mot « anonyme » dans le marketing mérite le scepticisme qu'une explication simple des fuites DNS applique aux fuites.

Il y a un détail de plomberie bon à connaître, car il explique les fuites de la section suivante. En dessous, une requête est un minuscule paquet envoyé à l'adresse du résolveur — le port 53 pour le DNS simple — tandis qu'un VPN déplace tout, chaque paquet de chaque programme, dans son tunnel. Quand les règles du tunnel oublient d'inclure ces petits paquets de requête, ils s'échappent par le réseau normal. Étapes différentes, modes de défaillance différents.

Côte à côte

La dernière ligne est celle que les vendeurs préféreraient que vous sautiez. Aucun des deux outils n'efface les comptes auxquels vous vous connectez, les cookies que les sites déposent ni l'empreinte que présente votre navigateur. Connectez-vous à votre messagerie via un VPN et ce service sait exactement qui vous êtes — il voit simplement une adresse de retour différente.

Un chargement de page, des deux façons

Rendez cela concret. Vous tapez le nom d'une boutique dans votre navigateur sur le Wi-Fi d'un café. Avec seulement un changement de DNS en place, votre requête part vers le résolveur que vous avez choisi — chiffrée, si vous l'avez configurée ainsi — et revient avec l'adresse de la boutique, disons 198.51.100.25. Puis votre ordinateur portable se connecte directement à cette adresse, à travers le réseau du café, au grand jour. La boutique voit la véritable adresse de votre portable. Le routeur du café voit où vous êtes allé et combien de données ont circulé. Le journal des noms a déménagé ; le voyage n'a pas changé du tout.

Même café, VPN activé. La requête se fait désormais à l'intérieur du tunnel, répondue par le résolveur du VPN. Le chargement de la page voyage lui aussi dans le tunnel, jusqu'au serveur du VPN, qui va chercher la page et vous la relaie. Le café voit un seul flux chiffré vers une seule destination. La boutique voit l'adresse du serveur du VPN, dans le pays du serveur du VPN. Remarquez le spectateur, cependant : il n'a pas quitté le théâtre. Il a changé de fauteuil, passant du routeur du café à la salle des serveurs du fournisseur du VPN.

Il existe un hybride qui mérite d'être nommé, car il produit des rapports de fuite déroutants : le split tunnelling. Beaucoup de clients VPN vous permettent d'exempter des applications choisies du tunnel, si bien que l'application bancaire utilise votre connexion réelle pendant que le navigateur voyage dans le VPN. Les requêtes de ces applications exemptées voyagent elles aussi à l'extérieur, répondues par votre résolveur ordinaire. Ce n'est ni un bug ni une trahison — c'est la fonction qui fonctionne —, mais cela signifie que « le VPN est activé » cesse d'être une description complète de votre trafic. Deux voies, deux ensembles de témoins, et un test de fuite qui n'échantillonne qu'une voie vous racontera toujours la moitié de l'histoire.

Le cas intermédiaire gênant : les fuites DNS sous VPN

C'est là que les deux se heurtent. Un VPN est censé router aussi les requêtes dans le tunnel, en utilisant ses propres résolveurs. Mais les systèmes d'exploitation et les navigateurs envoient parfois les requêtes hors du tunnel, vers l'ancien résolveur, souvent celui du FAI. Le trafic des pages est caché pendant que le journal des requêtes s'échappe par la porte de côté — c'est une fuite DNS, et c'est pourquoi un réglage DNS modifié, comme ceux de ce guide pour changer de serveur, peut lutter en silence contre un VPN au lieu de l'aider.

Parce que les deux outils partagent un vocabulaire, les gens les combinent de façons qui s'annulent silencieusement l'une l'autre. Les cas récurrents :

• Configurer un résolveur personnalisé pour la vie privée, puis lancer un test de fuite qui accuse le VPN — alors que les requêtes qui s'échappent sont votre propre réglage, faisant exactement ce que vous lui avez dit de faire.
• Acheter un DNS intelligent pour la vie privée. Il n'en offre aucune : les requêtes sont tout son produit, et votre trafic reste précisément là où il était, sous votre propre adresse.
• Utiliser un VPN pour des raisons de région pendant que le DNS chiffré propre au navigateur envoie les requêtes à un résolveur situé dans votre pays réel. Certains services lisent l'emplacement apparent de la requête, si bien qu'une moitié de vous semble être à l'étranger et l'autre moitié à la maison.
• Empiler les deux outils et accuser du ralentissement celui qui a été installé en dernier. Le tunnel taxe chaque octet que vous déplacez ; le résolveur n'a jamais taxé que les questions.

Aucune de ces configurations n'est exotique. J'en ai personnellement construit deux, chaque fois en ajoutant un outil sensé à une installation qui en avait déjà un, sans jamais vérifier ce que la combinaison faisait réellement. La vérification prend cinq minutes et une question honnête : pour une seule requête, et pour un seul chargement de page, les machines de qui suis-je réellement en train d'utiliser ?

Alors, lequel vous faut-il ?

Demandez-vous ce que vous essayez vraiment de réparer. Des requêtes visibles par votre FAI, ou des réponses lentes et filtrées ? Changez de résolveur — cela prend quelques minutes et ne coûte rien. Vous connecter depuis un réseau auquel vous ne faites pas confiance, ou avoir besoin que les sites voient un autre emplacement réseau ? C'est le travail du VPN, tunnel compris. Beaucoup de gens utilisent raisonnablement les deux, configurés pour que le VPN gère les requêtes pendant qu'il est connecté.

Ce qu'aucun des deux achats ne vous donne, c'est l'invisibilité. Traitez tout outil qui promet cela comme une histoire — et si vous voulez vérifier ce que votre propre configuration expose vraiment, les requêtes sont le premier endroit où regarder.