DNS vs VPN: o que cada um realmente faz

Há alguns anos, troquei as configurações de DNS do meu roteador de casa, escolhi um resolvedor que prometia privacidade e fiquei discretamente satisfeito comigo mesmo. Alguns meses depois, comprei uma assinatura de VPN pelo mesmo motivo. Nas duas vezes, acreditei que tinha «ficado privado». Nas duas vezes, estava errado de um jeito interessante, e precisei fuçar um pouco no nível dos pacotes antes de entender o que eu tinha realmente comprado em cada vez.

A confusão é compreensível, porque os dois são vendidos com as mesmas palavras. Mas DNS e VPNs operam em pontos completamente diferentes da sua conexão, e quando você enxerga isso, o resto — vazamentos, truques de região, velocidade — se encaixa sozinho.

Comece pelo que uma consulta realmente é

Antes de o seu navegador conseguir carregar example.com, ele precisa que esse nome seja traduzido para um endereço IP. Ele pergunta a um resolvedor DNS, que responde com algo como 203.0.113.25. Essa pergunta-e-resposta é uma consulta: minúscula, rápida e separada da visita em si. Só depois que a resposta volta é que o navegador abre uma conexão com aquele endereço e busca a página.

Mantenha essas duas etapas bem separadas na cabeça, porque toda a questão DNS versus VPN mora aí. Trocar o DNS mexe só na primeira etapa. Uma VPN assume também a segunda.

O que trocar seu DNS realmente faz

Trocar de resolvedor — na mão, ou usando o DNS criptografado no navegador — muda quem responde às perguntas. O resolvedor do seu provedor para de ver um diário de cada nome que você consulta, e o novo resolvedor começa a vê-lo no lugar. Um resolvedor com filtragem pode recusar nomes conhecidos por malware ou anúncios. Um resolvedor localizado em outro país pode importar para os serviços que decidem o que mostrar a você com base em de onde a consulta parece vir, que é todo o truque por trás dos serviços de DNS inteligente.

O ângulo da região também merece honestidade. Alguns serviços verificam onde o seu resolvedor parece estar, em vez de onde você está, porque historicamente as consultas eram um substituto razoavelmente decente da localização. Essa é toda a base do DNS inteligente: nem criptografia, nem um túnel, apenas respostas escolhidas para apontar você a um proxy em outro lugar. No momento em que um serviço verifica o endereço da sua conexão — como a maioria faz —, o truque para de funcionar, e é por isso que o DNS inteligente desbloqueia alguns catálogos e não faz nada por outros.

E essa é mais ou menos a lista inteira. A visita em si não muda. Seus dados continuam saindo da sua casa pela sua própria conexão, com o seu próprio endereço IP, e os sites que você visita veem você exatamente como antes. Seu provedor não consegue mais ler as consultas se o tráfego do resolvedor for criptografado, mas ainda consegue ver a quais endereços IP você se conecta. Eu tinha trocado a lista telefônica, não a estrada.

O que uma VPN realmente faz

Uma VPN envolve todo o seu tráfego — consultas e carregamentos de páginas igualmente — em um túnel criptografado até um servidor operado pelo provedor da VPN. Esse servidor então fala com a internet em seu nome. Os sites veem o endereço do servidor da VPN em vez do seu. Seu provedor vê um único fluxo criptografado para um único destino e não muito mais.

Mas repare no que aconteceu em silêncio: a confiança não desapareceu, ela se mudou. O provedor da VPN agora pode observar o que o seu provedor observava antes, porque tudo o que você faz passa pelas máquinas dele. Uma VPN é uma troca de quem vigia, não o fim de ser vigiado, e a palavra «anônimo» no marketing merece o ceticismo que uma explicação simples sobre vazamentos de DNS aplica aos vazamentos.

Há um detalhe de encanamento que vale conhecer, porque ele explica os vazamentos da próxima seção. Por baixo dos panos, uma consulta é um pacotinho enviado ao endereço do resolvedor — a porta 53 para o DNS simples — enquanto uma VPN move tudo, cada pacote de cada programa, para dentro do túnel dela. Quando as regras do túnel esquecem de incluir esses pacotinhos de consulta, eles escapam pela rede normal. Etapas diferentes, modos de falha diferentes.

Lado a lado

A última linha é a que os vendedores prefeririam que você pulasse. Nenhuma das ferramentas apaga as contas em que você faz login, os cookies que os sites definem ou a impressão digital que o seu navegador apresenta. Faça login no seu e-mail por uma VPN e aquele serviço sabe exatamente quem você é — ele só vê um endereço de retorno diferente.

Um carregamento de página, dos dois jeitos

Vamos ao concreto. Você digita o nome de uma loja no seu navegador, no Wi-Fi de um café. Com apenas uma troca de DNS ativa, sua consulta vai ao resolvedor que você escolheu — criptografada, se você configurou assim — e volta com o endereço da loja, digamos 198.51.100.25. Depois, seu laptop se conecta diretamente àquele endereço, atravessando a rede do café, abertamente. A loja vê o endereço real do seu laptop. O roteador do café vê aonde você foi e quantos dados fluíram. O diário de nomes mudou de casa; a viagem não mudou em nada.

Mesmo café, VPN ligada. A consulta agora acontece dentro do túnel, respondida pelo resolvedor da VPN. A busca da página também viaja dentro do túnel, até o servidor da VPN, que busca a página e a retransmite para você. O café vê um único fluxo criptografado para um único destino. A loja vê o endereço do servidor da VPN, no país do servidor da VPN. Repare no espectador, porém: ele não saiu do teatro. Ele trocou de cadeira, do roteador do café para a sala de servidores do provedor da VPN.

Existe um híbrido que merece nome, porque ele produz relatórios de vazamento desconcertantes: o split tunnelling. Muitos clientes de VPN permitem isentar aplicativos escolhidos do túnel, de modo que o aplicativo do banco usa sua conexão real enquanto o navegador viaja pela VPN. As consultas desses aplicativos isentos também viajam por fora, respondidas pelo seu resolvedor comum. Isso não é um bug nem uma traição — é o recurso funcionando —, mas significa que “a VPN está ligada” deixa de ser uma descrição completa do seu tráfego. Duas faixas, dois conjuntos de testemunhas, e um teste de vazamento que amostra só uma faixa sempre vai lhe contar metade da história.

O caso intermediário incômodo: vazamentos de DNS sob uma VPN

É aqui que os dois colidem. Uma VPN deveria rotear também as consultas pelo túnel, usando os próprios resolvedores. Mas sistemas operacionais e navegadores às vezes enviam as consultas para fora do túnel, para o resolvedor antigo, muitas vezes o do provedor. O tráfego das páginas fica oculto enquanto o diário de consultas vaza pela porta lateral — isso é um vazamento de DNS, e é o motivo pelo qual uma configuração de DNS trocada, como as deste guia para trocar de servidor, pode brigar em silêncio com uma VPN em vez de ajudá-la.

Como as duas ferramentas compartilham vocabulário, as pessoas as combinam de jeitos que silenciosamente desfazem uma à outra. Os recorrentes:

• Configurar um resolvedor personalizado por privacidade e depois rodar um teste de vazamento que culpa a VPN — quando as consultas que escapam são a sua própria configuração fazendo exatamente o que você mandou ela fazer.
• Comprar smart DNS por privacidade. Ele não oferece nenhuma: as consultas são todo o produto dele, e o seu tráfego fica exatamente onde estava, sob o seu próprio endereço.
• Usar uma VPN por motivos de região enquanto o DNS criptografado do próprio navegador envia consultas a um resolvedor no seu país real. Alguns serviços leem a localização aparente da consulta, então uma metade de você parece estar no exterior e a outra metade em casa.
• Empilhar as duas ferramentas e culpar pela lentidão a que foi instalada por último. O túnel cobra imposto de cada byte que você move; o resolvedor só cobrou alguma vez das perguntas.

Nenhuma dessas configurações é exótica. Eu mesmo construí duas delas, cada vez adicionando uma ferramenta sensata a uma configuração que já tinha uma, e nunca verificando o que a combinação realmente fazia. A verificação leva cinco minutos e uma pergunta honesta: para uma única consulta, e para um único carregamento de página, as máquinas de quem eu estou realmente usando?

Então, de qual você precisa?

Pergunte-se o que você está realmente tentando resolver. Consultas visíveis para o seu provedor, ou respostas lentas e filtradas? Troque o resolvedor — leva minutos e não custa nada. Conectando-se de uma rede em que você não confia, ou precisando que os sites vejam outra localização de rede? Esse é o trabalho da VPN, túnel e tudo. Muita gente usa razoavelmente os dois, configurados para que a VPN cuide das consultas enquanto estiver conectada.

O que nenhuma das compras lhe dá é invisibilidade. Trate qualquer ferramenta que prometa isso como uma história — e se quiser verificar o que a sua própria configuração está realmente expondo, as consultas são o primeiro lugar para olhar.