ใช้ Private DNS ร่วมกับ VPN บน Android อย่างไร

มือถือ Android ส่วนใหญ่มีสองฟีเจอร์ที่ต่างก็เกี่ยวข้องกับ DNS ซึ่งเป็นขั้นตอนแปลงชื่อเว็บไซต์เป็นที่อยู่ปลายทาง ฟีเจอร์แรกคือการตั้งค่าของระบบชื่อ Private DNS ที่เข้ารหัสการค้นหาเหล่านั้น อีกอย่างคือแอป VPN ที่สร้างอุโมงค์ และมักพ่วงการจัดการ DNS ของตัวเองมาด้วย เมื่อสองอย่างทำงานพร้อมกัน บางครั้งก็เข้ากันดีโดยไม่มีใครรู้ แต่บางครั้งก็เกิดอาการสุดคลาสสิก คือ VPN ขึ้นว่าเชื่อมต่อแล้ว แต่หน้าเว็บไม่ยอมโหลด

บทความนี้เป็นคู่มือตั้งค่าสำหรับคนที่อยากใช้ทั้งสองอย่างร่วมกัน เราไม่ได้ทวนทฤษฎีเต็มรูปแบบว่าสองอย่างนี้ทำงานทับกันอย่างไร เพราะมีอยู่แล้วในบทความ Private DNS กับ VPN บน Android แต่จะให้ลำดับขั้นตอนที่ใช้ได้จริง วิธีเลือกโหมด รายละเอียดของชื่อโฮสต์ที่มักทำให้พลาด ขั้นตอนทดสอบ และตารางแก้ปัญหา หากอยากปูพื้นเรื่องการค้นหาชื่อก่อน บทความ DNS ทำงานอย่างไร อ่านได้ในไม่กี่นาที

การตั้งค่าอยู่ตรงไหน และแต่ละโหมดหมายถึงอะไร

Private DNS เริ่มมีใน Android 9 เมนูมักอยู่ในหมวดเครือข่ายหรือการเชื่อมต่อ ในส่วนที่ชื่อ Private DNS หรือ การเชื่อมต่อขั้นสูง ชื่อเมนูจริงต่างกันไปตามยี่ห้อและเวอร์ชัน Android หากหาไม่เจอ ให้พิมพ์ "Private DNS" ในช่องค้นหาของการตั้งค่า

โดยปกติจะมีสามตัวเลือก

• ปิด (Off) Android ใช้เซิร์ฟเวอร์ DNS ที่เครือข่ายปัจจุบันแจกมา แบบดั้งเดิมที่ไม่เข้ารหัส
• อัตโนมัติ (Automatic) Android พยายามใช้การเชื่อมต่อแบบเข้ารหัส (DNS over TLS ตามที่ RFC 7858 อธิบาย) ไปยังเซิร์ฟเวอร์ที่เครือข่ายให้มา หากเซิร์ฟเวอร์นั้นไม่รองรับการเข้ารหัส Android จะถอยกลับไปใช้การค้นหาปกติ
• ชื่อโฮสต์ของผู้ให้บริการ Private DNS คุณพิมพ์ชื่อโฮสต์ของเซิร์ฟเวอร์ที่รองรับ DNS over TLS แล้ว Android จะยึดเซิร์ฟเวอร์นั้นอย่างเดียว ไม่ถอยกลับ หากติดต่อไม่ได้ การค้นหาจะล้มเหลว

ข้อสำคัญคือโหมดชื่อโฮสต์เข้มงวดโดยออกแบบ ความเข้มงวดมีประโยชน์เมื่อคุณไว้ใจ resolver ตัวใดตัวหนึ่งและอยากแน่ใจว่าไม่มีใครอื่นตอบ แต่ก็เป็นโหมดที่ชนกับ VPN บ่อยที่สุด เพราะ VPN เปลี่ยนว่ามือถือจะไปถึงเครือข่ายและเซิร์ฟเวอร์ใดได้บ้าง

เมื่อเปิด VPN แล้ว Android เลือก DNS อย่างไร

แอป VPN บน Android สร้างเครือข่ายเสมือนของตัวเอง เอกสารของ Android เรื่องการเชื่อมต่อ VPN อธิบายว่าระบบจะขอให้คุณอนุมัติการเชื่อมต่อก่อน จากนั้นแอปจึงนำข้อมูลผ่านเครือข่ายเสมือนนั้น โดยปกติเครือข่ายเสมือนมาพร้อมเซิร์ฟเวอร์ DNS ของบริการ VPN เอง เพื่อให้การค้นหาชื่อของคุณวิ่งอยู่ภายในอุโมงค์

สิ่งที่เกิดกับ Private DNS ต่อมาขึ้นกับโหมดและตัวเครื่อง

• โหมดอัตโนมัติ มือถือจะลองค้นหาแบบเข้ารหัสไปยังเซิร์ฟเวอร์ DNS ของเครือข่าย VPN หากรองรับ ถ้าไม่ก็ใช้การค้นหาปกติภายในอุโมงค์ ไม่ว่าทางไหน การค้นหามักอยู่ในขอบเขตของ VPN
• โหมดชื่อโฮสต์ มือถือหลายรุ่นยังส่งการค้นหาไปยังชื่อโฮสต์ที่คุณเลือกต่อไปแม้ VPN เชื่อมต่ออยู่ นั่นอาจหมายความว่าการค้นหาวิ่งในอุโมงค์ไปหาเซิร์ฟเวอร์ของบุคคลที่สาม หรือในบางเครื่องและบางแอป การค้นหาอาจไม่ได้ผ่านอุโมงค์อย่างที่คุณคาด
• ปิด การจัดการ DNS ของ VPN เป็นสิ่งเดียวที่ทำงาน

เนื่องจากพฤติกรรมต่างกันตามเครื่องและแอป อย่าคาดเดา คุณจะได้ทดสอบเองในหัวข้อถัดไป บทเรียนหลักคือชุดค่าที่ปลอดภัยที่สุดคือชุดที่คุณตรวจแล้วบนมือถือเครื่องของคุณเอง หากอยากเข้าใจภาพกว้างว่าการค้นหาแบบเข้ารหัสกับอุโมงค์ทับซ้อนกันแค่ไหน ดู DNS over HTTPS กับ VPN ต่างกันอย่างไร

ลำดับการตั้งค่าที่สมเหตุสมผล

ลำดับที่คุณเปลี่ยนค่าช่วยให้แก้ปัญหาง่ายขึ้นมาก ให้เปลี่ยนทีละตัวแปร

1. เริ่มจาก VPN อย่างเดียว ตั้ง Private DNS เป็นปิด ติดตั้งและล็อกอินแอป VPN ตามคู่มือ ตั้งค่า VPN บน Android แล้วเชื่อมต่อ ยืนยันว่าเว็บโหลดได้และผลทดสอบเป็นอย่างที่คาด
2. จดค่าเริ่มต้นไว้ ดูว่าหน้าทดสอบ DNS leak รายงาน resolver ของใครเมื่อเชื่อมต่อ VPN ค่านี้คือจุดอ้างอิงของคุณ
3. เปลี่ยน Private DNS เป็นอัตโนมัติ เชื่อมต่อ VPN ใหม่ เปิดเว็บสองสามแห่ง แล้วทดสอบซ้ำ จดสิ่งที่เปลี่ยนไป
4. ลองชื่อโฮสต์เฉพาะเมื่ออยากใช้ resolver ที่เจาะจง พิมพ์ให้ตรงทุกตัวอักษร (ดูหัวข้อถัดไป) เชื่อมต่อ VPN ใหม่ แล้วทดสอบซ้ำ
5. ทดสอบทั้งสองเครือข่าย ทำทั้งบน Wi-Fi และบนเน็ตมือถือ เพราะ DNS ที่แต่ละเครือข่ายแจกมาไม่เหมือนกัน
6. เก็บชุดค่าที่ใช้ได้ไว้ และจดบันทึก หากภายหลังมีอะไรเสีย คุณย้อนกลับไปสู่สถานะที่รู้ว่าใช้ได้

ถ้าขั้นไหนทำให้พัง ให้ย้อนเฉพาะขั้นนั้น นั่นคือเหตุผลของลำดับนี้

เปรียบเทียบสามรูปแบบการใช้งานในชีวิตประจำวัน

สถานการณ์	โหมด Private DNS ที่แนะนำ	เหตุผล
คนเดินทางทำงานที่เปิดปิด VPN ระหว่างวัน	อัตโนมัติ	ไม่มีเซิร์ฟเวอร์ตายตัวที่จะล้มเมื่อเครือข่ายเปลี่ยน
คนทำงานทางไกลที่บริษัทกำหนด resolver	ชื่อโฮสต์ เฉพาะเมื่อบริษัทขอ	นโยบายบริษัทเป็นผู้กำหนด ให้ทดสอบร่วมกับ VPN
นักศึกษาใช้ Wi-Fi หอพักที่กรองเข้ม	อัตโนมัติ แล้วเปลี่ยนเป็นปิดหากเว็บไม่ขึ้น	ตัวกรองในพื้นที่อาจบล็อกพอร์ตเข้ารหัส
มือถือครอบครัวที่หลายคนใช้ร่วมกัน	อัตโนมัติ	ตั้งค่าน้อย พังยากสำหรับคนไม่ถนัดเทคนิค
นักเดินทางที่ใช้เน็ตโรงแรมและสนามบิน	อัตโนมัติ	หน้าล็อกอินเครือข่ายมักล้มเมื่อใช้ชื่อโฮสต์แบบเข้มงวด
คนที่กำลังทดสอบการรั่วไหล	ปิด แล้วอัตโนมัติ	เทียบผลได้สะอาด

จุดร่วมคืออัตโนมัติเปลี่ยนแปลงน้อยที่สุด เลือกชื่อโฮสต์เฉพาะเมื่อมีเหตุผล และเตรียมใจที่จะสลับกลับ

รายละเอียดของชื่อโฮสต์ที่ทำให้พลาดบ่อย

หากเลือกใช้ชื่อโฮสต์ ข้อผิดพลาดเล็กๆ ก่อปัญหาใหญ่ได้

• ใส่ชื่อโฮสต์ ไม่ใช่ที่อยู่ IP หรือ URL Android คาดหวังรูปแบบอย่าง dns.example.net ไม่มี https:// นำหน้า และไม่มีพาธตามหลัง ที่อยู่ที่เป็นตัวเลขจะถูกปฏิเสธ
• เซิร์ฟเวอร์ต้องรองรับ DNS over TLS บนพอร์ตมาตรฐาน resolver ที่ให้บริการเฉพาะ DNS over HTTPS (RFC 8484) จะใช้ในช่องนี้ไม่ได้ แม้จะดีเพียงใด
• พิมพ์ผิดแล้วเงียบ ตัวอักษรผิดตัวเดียวอาจทำให้มือถือไม่มีการค้นหาที่ใช้ได้เลย เพราะโหมดเข้มงวดไม่ยอมถอย หากเว็บหยุดโหลดหลังบันทึกการตั้งค่า สงสัยการพิมพ์ผิดก่อน
• คัดลอกจากหน้าของผู้ให้บริการเอง ไม่ใช่จากกระทู้ในเว็บบอร์ด และตรวจว่าหน้านั้นใช้ HTTPS
• หน้าล็อกอินเครือข่ายต้องมีทางออก Wi-Fi ในโรงแรมและร้านกาแฟมักแสดงหน้าล็อกอินที่ต้องแปลงชื่อผ่าน DNS ของพื้นที่นั้น เมื่อใช้ชื่อโฮสต์แบบเข้มงวด หน้าล็อกอินอาจไม่เปิด ให้ตั้ง Private DNS เป็นอัตโนมัติหรือปิดไว้จนล็อกอินเสร็จ แล้วค่อยสลับกลับ
• เครือข่ายองค์กรบางแห่งบล็อกพอร์ตเข้ารหัส หากที่ทำงานบล็อกพอร์ต 853 การตั้งชื่อโฮสต์จะใช้ไม่ได้บนเครือข่ายนั้น

ทดสอบชุดค่าที่เลือกภายในสิบนาที

การทดสอบคือขั้นตอนเดียวที่แยกการตั้งค่าที่ใช้ได้จริงออกจากการตั้งค่าที่แค่หวังว่าจะใช้ได้

1. ทดสอบตอนปิด VPN โดยให้ Private DNS อยู่ในโหมดที่เลือก เปิดหน้าทดสอบ DNS leak แล้วจดชื่อ resolver
2. เชื่อมต่อ VPN แล้วเปิดหน้าเดิม จด resolver อีกครั้ง หากเปลี่ยนเป็นของบริการ VPN แปลว่าการค้นหาวิ่งตามอุโมงค์ หากยังเป็นของผู้ให้บริการเครือข่ายของคุณเอง แปลว่าไม่ได้ตาม
3. เปิดหน้าตรวจ IP ด้วย ที่อยู่ควรเป็นของ VPN ไม่ใช่ของบ้านหรือเครือข่ายมือถือ คู่มือ DNS leak คืออะไร อธิบายวิธีอ่านผล
4. เปิดเว็บสามประเภท เว็บข่าว เว็บวิดีโอ และแอปที่ใช้เซิร์ฟเวอร์ของตัวเอง เว็บที่เสียเพียงแห่งเดียวในขณะที่ที่อื่นโหลดได้ อาจชี้ไปที่ปัญหา DNS เฉพาะบริการนั้น
5. สลับเครือข่าย ระหว่าง Wi-Fi กับเน็ตมือถือ แล้วทำขั้นที่ 2 ซ้ำ
6. ตรวจหลังตัดการเชื่อมต่อ เมื่อปิด VPN การค้นหาควรกลับไปเป็นไปตามการตั้งค่า Private DNS ของคุณ

หากต้องการรายการตรวจการเชื่อมต่อที่กว้างกว่า DNS คู่มือ ตรวจว่า VPN ทำงานอยู่หรือไม่ เป็นตัวช่วยที่ดี

แก้ปัญหาตามอาการ

อาการ	สาเหตุที่น่าจะเป็น	สิ่งที่ลอง
VPN เชื่อมต่อแล้ว แต่ไม่มีหน้าใดโหลด	เซิร์ฟเวอร์ชื่อโฮสต์แบบเข้มงวดเข้าถึงไม่ได้จากเครือข่าย VPN	ตั้ง Private DNS เป็นอัตโนมัติ แล้วเชื่อมต่อใหม่
หน้าโหลดช้า แล้วจึงใช้ได้	การค้นหาหมดเวลาก่อนถอยกลับ	ตรวจตัวสะกดชื่อโฮสต์ ลองโหมดอัตโนมัติ
เสียเฉพาะบางเว็บ	บริการหนึ่งใช้ resolver ของตัวเองหรือกรองการค้นหา	ทดสอบเว็บเดียวกันตอนปิดและเปิด VPN
หน้าทดสอบแสดงผู้ให้บริการเครือข่ายของคุณขณะเชื่อมต่อ	การค้นหาไม่ได้ตามอุโมงค์	ลองโหมดปิดหรืออัตโนมัติ แล้วเชื่อมต่อใหม่
หน้าล็อกอินโรงแรมไม่เปิด	โหมดเข้มงวดบล็อกการค้นหาของหน้าพอร์ทัล	สลับเป็นอัตโนมัติ ล็อกอิน แล้วสลับกลับ
ใช้ได้บน Wi-Fi แต่ล้มบนเน็ตมือถือ	เครือข่ายของค่ายมือถือบล็อกพอร์ตเข้ารหัส	ใช้โหมดอัตโนมัติบนเครือข่ายนั้น
เมื่อวานใช้ได้ วันนี้ไม่ได้	อัปเดต Android หรือแอปเปลี่ยนพฤติกรรม	ทดสอบค่าเริ่มต้นใหม่

เมื่ออุโมงค์เชื่อมต่อแล้วแต่เปิดอะไรไม่ได้เลย คู่มือ VPN เชื่อมต่อแล้วแต่ไม่มีอินเทอร์เน็ต ครอบคลุมสาเหตุที่ไม่เกี่ยวกับ DNS ด้วย

ข้อผิดพลาดที่พบบ่อย

• มอง Private DNS เป็นตัวแทนของ VPN หรือมอง VPN เป็นตัวแทนของการค้นหาแบบเข้ารหัส ทั้งสองคุ้มครองคนละเรื่อง
• พิมพ์ชื่อโฮสต์พร้อม https:// หรือเครื่องหมายทับท้าย
• ตั้งชื่อโฮสต์แล้วลืม ต่อมาโทษ VPN ว่าเว็บช้าหรือไม่ขึ้น
• เปลี่ยน Private DNS ค่าของแอป VPN และเครือข่ายพร้อมกัน จนบอกไม่ได้ว่าอะไรแก้หรือทำให้พัง
• ทดสอบเฉพาะบน Wi-Fi แล้วคิดว่าเน็ตมือถือก็เหมือนกัน
• เชื่อว่าป้าย "เชื่อมต่อแล้ว" พิสูจน์ว่าการค้นหาปลอดภัย มีแต่การทดสอบการรั่วไหลที่บอกได้ว่ามันไปที่ไหน
• คัดลอกชื่อโฮสต์จากแหล่งที่ไม่รู้จัก ใครก็ตามที่ดูแล resolver นั้นเห็นชื่อเว็บที่คุณค้นหา
• เปิดชื่อโฮสต์แบบเข้มงวดทิ้งไว้ตอนเดินทาง แล้วใช้หน้าล็อกอินเครือข่ายไม่ได้

ข้อจำกัดและสิ่งที่ควรระวัง

Private DNS เข้ารหัสการค้นหาระหว่างมือถือกับเซิร์ฟเวอร์ตัวเดียว ช่วยป้องกันคนในเครือข่ายเดียวกันอ่านชื่อที่คุณขอ แต่ไม่ได้ซ่อนว่าคุณเชื่อมต่อไปยังที่อยู่ใดหลังจากนั้น ไม่ได้ให้ IP ใหม่ และไม่ได้ป้องกันเว็บไซต์ที่ประสงค์ร้าย อุโมงค์ VPN ซ่อนข้อมูลของคุณจากเครือข่ายในพื้นที่และให้เว็บไซต์เห็นที่อยู่ของ VPN แต่ไม่ได้ทำให้คุณไม่เปิดเผยตัวตน เมื่อใช้ร่วมกัน ทั้งสองปิดช่องว่างคนละจุด หากทำงานเข้ากันได้

อย่าลืมด้วยว่าเซิร์ฟเวอร์ DNS ที่คุณเลือกมีคนดูแลอยู่เสมอ การเลือกชื่อโฮสต์คือการย้ายความไว้วางใจจากผู้ให้บริการเครือข่ายของคุณไปที่ผู้ดูแล resolver ซึ่งอาจเป็นการแลกเปลี่ยนที่ดี แต่ควรทำอย่างรู้ตัว

สรุป

สำหรับคนส่วนใหญ่ การตั้งค่าที่ยุ่งยากน้อยที่สุดคือ ตั้ง VPN ก่อน ปล่อย Private DNS เป็นอัตโนมัติ แล้วทดสอบด้วยหน้า leak test ทั้งบน Wi-Fi และเน็ตมือถือ ใช้ชื่อโฮสต์ตายตัวเมื่อมีเหตุผลเท่านั้น พิมพ์ให้ตรงทุกตัว และพร้อมสลับกลับเป็นอัตโนมัติเมื่อเครือข่ายหรือหน้าล็อกอินเป็นอุปสรรค เปลี่ยนทีละอย่างและจดบันทึกว่าชุดไหนใช้ได้

หากอยากได้ VPN ง่ายๆ ไว้ลองการตั้งค่าเหล่านี้ พาสแบบเติมเงินในหน้าราคาใช้ได้กับแอป VPNclient ฟรี และหน้าดาวน์โหลดรวมลิงก์แอปทางการไว้ให้