DNS против VPN: что каждый делает на самом деле

Пару лет назад я сменил настройки DNS на домашнем роутере, выбрал резолвер, обещавший приватность, и тихо остался доволен собой. Через несколько месяцев я купил подписку на VPN по той же причине. Оба раза я верил, что «стал приватным». Оба раза я ошибался интересным образом, и понадобилось немного покопаться на уровне пакетов, прежде чем я понял, что именно покупал каждый раз.

Путаница понятна, ведь оба продают одними и теми же словами. Но DNS и VPN работают в совершенно разных точках вашего соединения, и как только вы это увидите, остальное — утечки, региональные трюки, скорость — встаёт на свои места само.

Начните с того, что такое запрос на самом деле

Прежде чем ваш браузер сможет загрузить example.com, ему нужно перевести это имя в IP-адрес. Он спрашивает DNS-резолвер, который отвечает чем-то вроде 203.0.113.25. Этот вопрос-и-ответ и есть запрос: крошечный, быстрый и отдельный от самого визита. Только после того, как ответ вернётся, браузер открывает соединение с этим адресом и забирает страницу.

Держите эти две стадии чётко разделёнными в голове, потому что весь вопрос DNS против VPN живёт именно там. Смена DNS касается только первой стадии. VPN берёт на себя и вторую.

Что на самом деле делает смена DNS

Смена резолвера — вручную или через зашифрованный DNS в браузере — меняет то, кто отвечает на вопросы. Резолвер вашего провайдера перестаёт видеть дневник каждого имени, которое вы запрашиваете, а новый резолвер начинает видеть его вместо него. Фильтрующий резолвер может отказывать именам, известным вредоносами или рекламой. Резолвер в другой стране может иметь значение для сервисов, которые решают, что вам показать, по тому, откуда, как кажется, приходит запрос, — в этом весь трюк сервисов умного DNS.

Региональный угол тоже заслуживает честности. Некоторые сервисы проверяют, где, как кажется, находится ваш резолвер, а не где находитесь вы, потому что исторически запросы были довольно приличным заменителем местоположения. Это вся основа умного DNS: ни шифрования, ни туннеля, только ответы, выбранные так, чтобы указать вам на прокси в другом месте. В тот момент, когда сервис проверяет адрес вашего соединения — а так делает большинство, — трюк перестаёт работать, поэтому умный DNS разблокирует одни каталоги и ничего не делает для других.

И это примерно весь список. Сам визит не меняется. Ваши данные по-прежнему уходят из дома по вашему собственному соединению, под вашим собственным IP-адресом, и сайты, которые вы посещаете, видят вас ровно как раньше. Ваш провайдер больше не может читать запросы, если трафик резолвера зашифрован, но он по-прежнему может видеть, к каким IP-адресам вы подключаетесь. Я сменил телефонную книгу, а не дорогу.

Что на самом деле делает VPN

VPN заворачивает весь ваш трафик — и запросы, и загрузки страниц — в зашифрованный туннель к серверу, которым управляет провайдер VPN. Этот сервер затем говорит с интернетом от вашего имени. Веб-сайты видят адрес сервера VPN вместо вашего. Ваш провайдер видит один зашифрованный поток к одному назначению и не намного больше.

Но заметьте, что произошло потихоньку: доверие не исчезло, оно переехало. Провайдер VPN теперь может наблюдать то, что раньше наблюдал ваш провайдер, потому что всё, что вы делаете, проходит через его машины. VPN — это смена того, кто смотрит, а не конец смотрения, и слово «анонимный» в маркетинге заслуживает того скепсиса, который простое объяснение утечек DNS применяет к утечкам.

Есть одна сантехническая деталь, которую стоит знать, потому что она объясняет утечки в следующем разделе. Под капотом запрос — это крошечный пакет, отправленный на адрес резолвера, — порт 53 для обычного DNS, — а VPN перемещает всё, каждый пакет каждой программы, в свой туннель. Когда правила туннеля забывают включить эти маленькие пакеты запросов, они выскальзывают в обычную сеть. Разные стадии — разные виды отказов.

Бок о бок

Последняя строка — та, которую продавцы предпочли бы, чтобы вы пропустили. Ни один из инструментов не стирает аккаунты, в которые вы входите, cookie, которые ставят сайты, или отпечаток, который предъявляет ваш браузер. Войдите в свою почту через VPN — и этот сервис точно знает, кто вы, — он просто видит другой обратный адрес.

Одна загрузка страницы — обоими способами

Сделаем это конкретным. Вы набираете название магазина в браузере, сидя на Wi-Fi кафе. Когда на месте только смена DNS, ваш запрос уходит к резолверу, который вы выбрали, — зашифрованным, если вы так настроили, — и возвращается с адресом магазина, скажем 198.51.100.25. Затем ваш ноутбук подключается напрямую к этому адресу, через сеть кафе, открыто. Магазин видит настоящий адрес вашего ноутбука. Роутер кафе видит, куда вы ходили и сколько данных прошло. Дневник имён переехал; само путешествие не изменилось вовсе.

То же кафе, VPN включён. Запрос теперь происходит внутри туннеля, и отвечает на него резолвер VPN. Загрузка страницы тоже путешествует внутри туннеля, к серверу VPN, который забирает страницу и пересылает её вам. Кафе видит один зашифрованный поток к одному назначению. Магазин видит адрес сервера VPN, в стране сервера VPN. Обратите внимание, однако, на зрителя: он не покинул театр. Он пересел — с роутера кафе в серверную комнату провайдера VPN.

Есть гибрид, заслуживающий имени, потому что он порождает сбивающие с толку отчёты об утечках: split tunnelling. Многие клиенты VPN позволяют выводить выбранные приложения из туннеля, так что банковское приложение пользуется вашим настоящим соединением, пока браузер едет через VPN. Запросы этих выведенных приложений тоже путешествуют снаружи, и отвечает на них ваш обычный резолвер. Это не баг и не предательство — это функция, которая работает, — но это означает, что фраза «VPN включён» перестаёт быть полным описанием вашего трафика. Две полосы, два набора свидетелей, и тест на утечку, который пробует только одну полосу, всегда расскажет вам половину истории.

Неудобный промежуточный случай: утечки DNS под VPN

Вот где эти двое сталкиваются. Предполагается, что VPN тоже направляет запросы через туннель, используя собственные резолверы. Но операционные системы и браузеры иногда отправляют запросы за пределы туннеля, к старому резолверу, часто провайдерскому. Трафик страниц скрыт, пока дневник запросов утекает через боковую дверь, — это утечка DNS, и именно поэтому изменённая настройка DNS, как те, что в этом руководстве по смене серверов, может тихо бороться с VPN вместо того, чтобы помогать ему.

Поскольку два инструмента делят один словарь, люди комбинируют их способами, которые тихо отменяют друг друга. Повторяющиеся:

• Настроить собственный резолвер ради приватности, а потом запускать тест на утечку, который винит VPN, — тогда как сбегающие запросы являются вашей собственной настройкой, делающей ровно то, что вы ей велели.
• Покупать smart DNS ради приватности. Он не предлагает никакой: запросы — весь его продукт, а ваш трафик остаётся точно там, где был, под вашим собственным адресом.
• Использовать VPN по региональным причинам, пока собственный зашифрованный DNS браузера шлёт запросы резолверу в вашей настоящей стране. Некоторые сервисы читают кажущееся местоположение запроса, так что одна ваша половина кажется заграничной, а другая — домашней.
• Складывать оба инструмента и винить в замедлении тот, что установили последним. Туннель облагает налогом каждый байт, который вы перемещаете; резолвер облагал налогом только вопросы.

Ни одна из этих конфигураций не экзотична. Я лично построил две из них, каждый раз добавляя разумный инструмент к настройке, где уже был один, и ни разу не проверив, что комбинация делает на самом деле. Проверка занимает пять минут и один честный вопрос: для одного запроса и для одной загрузки страницы — чьи машины я на самом деле использую?

Так какой нужен вам?

Спросите себя, что вы на самом деле пытаетесь исправить. Запросы, видимые вашему провайдеру, или медленные и отфильтрованные ответы? Смените резолвер — это занимает минуты и ничего не стоит. Подключаетесь из сети, которой не доверяете, или нужно, чтобы сайты видели другое сетевое местоположение? Это работа VPN, со всем его туннелем. Многие люди разумно используют оба, настроив так, чтобы VPN занимался запросами, пока он подключён.

Чего ни одна из покупок вам не даёт, так это невидимости. Относитесь к любому инструменту, обещающему это, как к сказке — и если хотите проверить, что ваша собственная настройка на самом деле раскрывает, запросы — первое место, куда стоит посмотреть.