DNSとVPN：それぞれが実際にすること

数年前、自宅ルーターのDNS設定を変え、プライバシーをうたうリゾルバを選び、静かに満足していました。数か月後、同じ理由でVPNのサブスクリプションを買いました。どちらのときも「プライベートになった」と信じていました。どちらのときも面白い形で間違っていて、パケットのレベルで少し探ってみるまで、自分が毎回何を買ったのか分かっていませんでした。

混乱は理解できます。どちらも同じ言葉で売られているからです。しかしDNSとVPNは、接続のまったく違う地点で働きます。それが見えれば、残り——リーク、地域の小細工、速度——は自ずと収まります。

まず、問い合わせとは何かから

ブラウザが example.com を読み込む前に、その名前をIPアドレスに翻訳してもらう必要があります。DNSリゾルバに尋ねると、203.0.113.25 のようなものが返ってきます。この質問と回答が問い合わせです。小さく、速く、実際の訪問とは別物です。回答が戻ってきて初めて、ブラウザはそのアドレスへの接続を開き、ページを取りに行きます。

この二つの段階を頭の中でしっかり分けておいてください。DNS対VPNの疑問全体がそこに住んでいるからです。DNSの変更は第一段階にしか触れません。VPNは第二段階も引き受けます。

DNSを変えると実際に何が起きるか

リゾルバを切り替えること——手動でも、ブラウザの暗号化DNSを使っても——は、質問に答える相手を変えます。ISPのリゾルバは、あなたが引いた名前すべての日記を見るのをやめ、代わりに新しいリゾルバが見始めます。フィルタリングするリゾルバは、マルウェアや広告で知られた名前を拒否できます。別の国にあるリゾルバは、問い合わせがどこから来たように見えるかで表示内容を決めるサービスにとって重要になることがあります。これがスマートDNSサービスの裏にある仕掛けのすべてです。

地域の角度についても正直にしておく価値があります。一部のサービスは、あなたがどこにいるかではなく、リゾルバがどこにあるように見えるかをチェックします。歴史的に問い合わせが位置のそこそこ使える代用品だったからです。それがスマートDNSの基盤のすべてです。暗号化でもトンネルでもなく、別の場所のプロキシを指すように選ばれた回答だけです。サービスが代わりにあなたの接続のアドレスをチェックし始めると——大半はそうします——その小細工は効かなくなります。だからスマートDNSは一部のカタログを解放し、他では何もしません。

そしてリストはだいたいそれで全部です。訪問自体は変わりません。データは今まで通り自宅から、自分の接続で、自分のIPアドレスの下に出ていき、訪れるサイトからは以前とまったく同じに見えます。リゾルバのトラフィックが暗号化されていればISPは問い合わせを読めなくなりますが、どのIPアドレスに接続しているかは見えます。私は電話帳を変えたのであって、道路は変えていません。

VPNが実際にすること

VPNはあなたのトラフィックのすべて——問い合わせもページの取得も——を、VPNプロバイダが運営するサーバーへの暗号化トンネルに包みます。そのサーバーが代わりにインターネットと話します。ウェブサイトが見えるのは、あなたのものではなくVPNサーバーのアドレスです。ISPが見えるのは、一つの宛先への一つの暗号化された流れと、それほど多くはありません。

ただし、静かに起きたことに注目してください。信頼は消えたのではなく、引っ越したのです。VPNプロバイダは、あなたがすることのすべてがそのマシンを通るので、ISPが見ていたものを見られるようになります。VPNは見る側の交代であって、見られることの終わりではありません。そしてマーケティングの「匿名」という言葉は、DNSリークの平明な解説がリークに適用する懐疑に値します。

次のセクションのリークを説明する、知っておく価値のある配管の細部があります。裏側では、問い合わせはリゾルバのアドレスへ送られる小さなパケット——プレーンなDNSではポート53——ですが、VPNはすべて、すべてのプログラムのすべてのパケットを、トンネルの中へ移します。トンネルの規則がその小さな問い合わせパケットを含めるのを忘れると、それらは通常のネットワークへ滑り出ます。段階が違えば、故障の仕方も違います。

並べて比べる

最後の行は、販売側が一番飛ばしてほしい行です。どちらのツールも、ログインするアカウント、サイトが置くCookie、ブラウザが提示する指紋を消しません。VPN越しにメールにログインすれば、そのサービスはあなたが誰かを正確に知っています。違う返送先アドレスが見えるだけです。

一度のページ読み込み、二通りのやり方で

具体的にしましょう。カフェの Wi-Fi で、ブラウザにお店の名前を打ち込みます。DNS の変更だけが施されている場合、あなたの問い合わせは選んだリゾルバへ向かい——そう設定してあれば暗号化され——お店のアドレス、たとえば 198.51.100.25 を持って戻ってきます。次にノートパソコンは、そのアドレスへ直接、カフェのネットワークを横切って、むき出しに接続します。お店に見えるのは、あなたのノートパソコンの本当のアドレスです。カフェのルーターには、あなたがどこへ行き、どれだけのデータが流れたかが見えます。名前の日記は引っ越しましたが、旅そのものはまったく変わっていません。

同じカフェで、VPN をオンにします。問い合わせは今度はトンネルの内側で起き、VPN のリゾルバが答えます。ページの取得もトンネルの中を旅し、VPN のサーバーへ届き、サーバーがページを取りに行ってあなたへ中継します。カフェに見えるのは、一つの宛先への一本の暗号化された流れだけです。お店に見えるのは VPN サーバーのアドレスであり、そのサーバーのある国です。ただし、傍観者に注目してください。彼は劇場を去ってはいません。カフェのルーターという席から、VPN プロバイダのサーバールームという席へ移っただけです。

名前を挙げる価値のあるハイブリッドがあります。不可解なリーク報告を生むからです。split tunnelling です。多くの VPN クライアントは、選んだアプリをトンネルから除外でき、銀行アプリは本物の接続を使い、ブラウザは VPN に乗ります。除外されたアプリの問い合わせも外を旅し、普段のリゾルバが答えます。これはバグでも裏切りでもありません——機能が機能しているのです——しかし、「VPN がオン」という言葉が、あなたのトラフィックの完全な説明ではなくなることを意味します。二つのレーン、二組の目撃者、そして一方のレーンしかサンプリングしないリークテストは、いつも話の半分しか語りません。

厄介な中間のケース：VPN下のDNSリーク

ここで二つが衝突します。VPNは、独自のリゾルバを使って、問い合わせもトンネル経由で送るはずです。しかしOSやブラウザは、トンネルの外へ、古いリゾルバ——多くはISPのもの——へ問い合わせを送ることがあります。ページのトラフィックは隠れているのに、問い合わせの日記が横のドアから漏れ出る。これがDNSリークです。そして、サーバー切り替えのこのガイドにあるような変更済みのDNS設定が、VPNを助けるどころか静かに戦う理由でもあります。

二つの道具は語彙を共有しているため、人々はそれらを組み合わせて、静かに互いを打ち消し合います。繰り返し現れるもの：

• プライバシーのためにカスタムリゾルバを設定し、それから VPN を責めるリークテストを実行すること——逃げている問い合わせは、言われた通りのことを正確にやっている、あなた自身の設定であるにもかかわらず。
• プライバシーのためにスマート DNS を買うこと。それはプライバシーを何も提供しません。問い合わせこそがその製品のすべてであり、あなたのトラフィックは正確に元の場所、あなた自身のアドレスの下に留まります。
• 地域上の理由で VPN を使いながら、ブラウザ自身の暗号化 DNS が、あなたの本当の国のリゾルバへ問い合わせを送っていること。一部のサービスは問い合わせの見かけの場所を読み取るため、あなたの半分は海外にいるように見え、もう半分は自宅にいるように見えます。
• 両方の道具を重ね、遅さを最後にインストールした方のせいにすること。トンネルは、あなたが動かすすべてのバイトに課税します。リゾルバが課税したのは、いつも質問だけでした。

これらの構成のどれも、風変わりなものではありません。私は個人的にそのうち二つを構築しました。毎回、すでに一つ道具のある設定にもう一つ理にかなった道具を足し、組み合わせが実際に何をするのかを一度も確認しませんでした。確認にかかるのは五分と、一つの正直な質問だけです。一回の問い合わせについて、そして一回のページ読み込みについて、私は実際に誰のマシンを使っているのか？

では、どちらが必要ですか？

実際に何を直したいのか自問してください。ISPに見える問い合わせか、遅くてフィルタされた回答か。ならリゾルバを変えましょう。数分で済み、費用もかかりません。信頼できないネットワークから接続するのか、サイトに別のネットワーク上の場所を見せる必要があるのか。それはVPNの仕事で、トンネルごと引き受けます。多くの人は合理的に両方を使い、接続中はVPNが問い合わせを扱うよう設定しています。

どちらの購入でも買えないのが、不可視性です。それを約束するツールは物語として扱ってください。そして自分の設定が実際に何をさらしているか確認したいなら、問い合わせが最初に見るべき場所です。