Szyfrowany DNS a VPN: różne narzędzia dla różnej prywatności

Co szyfrowany DNS faktycznie chroni

DoH i DoT szyfrują dokładnie jedną rzecz: krok, w którym twój komputer zamienia nazwę domeny na adres IP. Bez tego zapytanie wędruje jawnym tekstem, a operator — albo ktokolwiek w tej samej sieci — może logować każdą odwiedzaną domenę, niezależnie od tego, czy sama strona używa HTTPS. Z nim te zapytania trafiają do wybranego przez ciebie resolwera po zaszyfrowanym połączeniu, a DNS-owy dziennik operatora gaśnie.

Czego to nie robi, to ukrywanie ruchu. Operator wciąż widzi adresy IP, z którymi się łączysz, pole SNI wciąż rozgłasza nazwę hosta każdej otwieranej strony HTTPS, a serwisy wciąż widzą twoje prawdziwe IP i odcisk palca przeglądarki. Szyfrowany DNS zamyka jedną nieszczelność w rurze, której jest kilka. Warto go włączyć — i jest daleko od VPN-a.

Co robi VPN, czego DNS nigdy nie zrobi

VPN przeprowadza całą rurę: każde połączenie, DNS włącznie, płynie zaszyfrowanym tunelem do serwera dostawcy, a odwiedzane strony widzą IP tego serwera zamiast twojego. Dlatego sprawdza się w sieciach publicznych, do ukrywania lokalizacji i dotykania sieci, którym wolałbyś nie pokazywać domowego IP. Cena to zaufanie: dostawca VPN widzi wszystko, co wcześniej widział operator — obserwatora się nie usuwa, tylko wybiera innego. Żadne z narzędzi nie wchłania drugiego:

• Przy włączonym DoH operator nadal widzi docelowe IP i nazwy hostów z SNI — tylko nie zapytania DNS
• Dostawca DNS widzi każdą domenę, którą rozwiązujesz, więc wybierz takiego, którego polityce logowania naprawdę ufasz
• Serwisy przy szyfrowanym DNS widzą twoje prawdziwe IP; przy VPN — IP serwera VPN
• Dostawca VPN widzi cały ruch i jego timing — zastępuje operatora w roli obserwatora
• W publicznym Wi-Fi tylko VPN chroni przed lokalnym podsłuchem samego połączenia
• Te dwa się warstwują: DoH wewnątrz tunelu VPN usuwa jawny kanał poboczny DNS samego VPN-a

Którego naprawdę potrzebujesz

Dla większości domowych użytkowników szyfrowany DNS jest tanim, wręcz darmowym zyskiem: Windows 11 pozwala ustawić DoH osobno dla każdej karty sieciowej w Ustawienia → Sieć i Internet, a przeglądarki mogą robić to samo na własną rękę. VPN na swoją subskrypcję zarabia w wrogich sieciach, gdy to twoje IP jest rzeczą, którą trzeba ukryć, albo gdy sieć blokuje lub psuje DNS. Jeśli twój model zagrożenia brzmi „operator nie powinien sprzedawać mojego dziennika przeglądania”, zacznij od DoH i uczciwych oczekiwań. Jeśli brzmi „nikt w tej sieci nie powinien wiedzieć, co robię” — to zadanie dla VPN-a, a często dla obu naraz.

Pytania i odpowiedzi

Przeczytaj także