DNS over HTTPS กับ VPN ต่างกันอย่างไร ต้องใช้ทั้งคู่ไหม

คำสองคำที่มักโผล่ในหน้าตั้งค่าความเป็นส่วนตัวคือ DNS over HTTPS กับ VPN ทั้งสองฟังดูเหมือนทำงานเดียวกัน และบางหน้าตั้งค่าก็อธิบายทั้งคู่ว่า "เข้ารหัสการเชื่อมต่อของคุณ" ทั้งสองเกี่ยวข้องกัน แต่ครอบคลุมคนละส่วนของสิ่งที่เกิดขึ้นเมื่อคุณเปิดเว็บไซต์ การสับสนระหว่างสองอย่างนี้นำไปสู่ความผิดพลาดสองแบบที่ตรงข้ามกัน คือคิดว่าการตั้งค่า DNS ที่เข้ารหัสทำให้ไม่ต้องใช้ VPN หรือคิดว่า VPN ทำให้การตั้งค่า DNS ทุกอย่างไม่สำคัญ

บทความนี้อธิบายว่า DNS over HTTPS (DoH) และ DNS over TLS (DoT) ปกป้องอะไรจริง ๆ VPN ปกป้องอะไร ทั้งสองทับซ้อนกันตรงไหน และทำงานร่วมกันอย่างไรบนโทรศัพท์ Android และในเว็บเบราว์เซอร์ เมื่ออ่านจบ คุณควรตัดสินใจได้ว่าต้องการอย่างใดอย่างหนึ่งหรือทั้งสอง และรู้วิธีทดสอบ

DNS เปิดเผยอะไรเกี่ยวกับคุณ

ก่อนที่เบราว์เซอร์จะโหลดหน้าเว็บ มันต้องแปลงชื่ออย่าง example.com ให้เป็นที่อยู่ IP นั่นคืองานของระบบชื่อโดเมน (DNS) อุปกรณ์ของคุณส่งคำถามที่เรียกว่า query ไปยัง DNS resolver แล้ว resolver ส่งคำตอบกลับมา หากอยากรู้พื้นหลังทั้งหมด อ่าน DNS ทำงานอย่างไร หรือคำอธิบายทั่วไปจาก Cloudflare Learning

DNS แบบดั้งเดิมไม่ได้เข้ารหัส query มักเดินทางผ่านพอร์ต 53 เป็นข้อความที่อ่านออก ใครก็ตามที่เห็นทราฟฟิกระหว่างคุณกับ resolver เช่น เจ้าของเครือข่าย Wi-Fi สาธารณะหรือผู้ให้บริการอินเทอร์เน็ต อ่านรายชื่อที่คุณถามถึงได้ พวกเขาไม่เห็นหน้าเว็บที่คุณโหลดหรือสิ่งที่คุณพิมพ์ แต่รายการโดเมนตลอดทั้งวันบอกนิสัยของคนคนหนึ่งได้ค่อนข้างมาก

นี่คือปัญหาที่ DoH และ DoT ถูกออกแบบมาแก้ ทั้งสองไม่ได้เปลี่ยนหน้าที่ของ DNS เพียงเพิ่มการเข้ารหัสให้การสนทนากับ resolver

DoH และ DoT ทำงานอย่างไร

DNS over HTTPS กำหนดไว้ใน RFC 8484 อุปกรณ์หรือเบราว์เซอร์ส่ง DNS query เป็นคำขอ HTTPS ไปยัง resolver สำหรับผู้สังเกตภายนอก มันดูเหมือนทราฟฟิกเว็บที่เข้ารหัสปกติบนพอร์ต 443 และเห็นเนื้อหาไม่ได้ DoH มักถูกสร้างไว้ในเบราว์เซอร์ และบางระบบปฏิบัติการก็มีให้ด้วย

DNS over TLS กำหนดไว้ใน RFC 7858 ห่อ DNS query ไว้ในเซสชัน TLS ซึ่งเป็นชั้นเข้ารหัสเดียวกับที่ HTTPS ใช้ แต่ใช้พอร์ตเฉพาะ ปกติคือ 853 ทำให้เครือข่ายเห็นได้ง่ายว่ามีการใช้ DNS over TLS แม้จะไม่เห็นเนื้อหาข้างใน DoT พบมากในระดับระบบปฏิบัติการ และการตั้งค่า Private DNS ของ Android ใช้ DoT

	DNS over HTTPS (DoH)	DNS over TLS (DoT)
มาตรฐาน	RFC 8484	RFC 7858
พอร์ตทั่วไป	443 เหมือนทราฟฟิกเว็บ	853 เฉพาะ
เข้ารหัสอะไร	query และคำตอบระหว่างคุณกับ resolver	query และคำตอบระหว่างคุณกับ resolver
มักตั้งค่าที่ไหน	ในเบราว์เซอร์ บางครั้งในระบบปฏิบัติการ	ในระบบปฏิบัติการ เช่น Private DNS บน Android
เครือข่ายรู้ไหมว่ากำลังใช้	รู้ยากกว่า เพราะคล้ายทราฟฟิกเว็บ	รู้ง่ายกว่า เพราะมีพอร์ตเฉพาะ

ทั้งสองทำสิ่งสำคัญเหมือนกัน คือหยุดเครือข่ายในพื้นที่จากการอ่านคำถาม DNS ของคุณระหว่างทาง แต่ไม่ได้ตัด resolver ออกจากภาพ ผู้ให้บริการ DNS ที่คุณเลือกยังเห็นทุก query ที่คุณส่ง คุณแค่ย้ายความไว้วางใจจาก resolver ตั้งต้นของเครือข่ายมาที่ตัวที่คุณเลือก และควรรู้ว่ามันคือใคร

สิ่งที่ DNS แบบเข้ารหัสไม่ได้ซ่อน

คนมักให้เครดิต DNS แบบเข้ารหัสมากเกินไป หลังค้นหาเสร็จ อุปกรณ์ของคุณยังเชื่อมต่อกับที่อยู่ IP ของเว็บไซต์ และเครือข่ายเห็นที่อยู่นั้น ชื่อเว็บไซต์ยังอาจปรากฏในขั้นอื่นของการตั้งค่าการเชื่อมต่อ ขึ้นกับเว็บไซต์และเวอร์ชันของโปรโตคอล ปริมาณและจังหวะเวลาของทราฟฟิกยังมองเห็นได้ และ IP ของคุณเองไม่เปลี่ยน เว็บไซต์ที่คุณเข้าจึงยังเห็น IP นั้น

VPN ทำอะไรกับ DNS

VPN สร้างอุโมงค์เข้ารหัสระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ของผู้ให้บริการ VPN และส่งทราฟฟิกผ่านอุโมงค์นั้น ทราฟฟิกใดบ้างขึ้นกับการตั้งค่า แต่ในการตั้งค่าแบบอุโมงค์เต็ม ครอบคลุม DNS query คำขอเว็บ และทราฟฟิกของแอปอื่น เครือข่ายในพื้นที่เห็นการเชื่อมต่อที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN และเห็นอะไรอีกไม่มาก เว็บไซต์เห็นที่อยู่ของเซิร์ฟเวอร์ VPN แทนที่อยู่ของคุณ บทความเรื่องสิ่งที่ VPN ปกป้องอธิบายรายละเอียดเพิ่มเติม

สำหรับ DNS มีการจัดการที่พบบ่อยสองแบบ

• VPN จัดหา DNS resolver ของตัวเอง และ query ของคุณผ่านอุโมงค์ไปที่มัน เครือข่ายในพื้นที่อ่านไม่ได้ แต่ผู้ให้บริการ VPN อ่านได้ คุณจึงไว้วางใจผู้ให้บริการนั้นในตำแหน่งเดียวกับที่ผู้ให้บริการ DNS จะมี
• VPN ปล่อยให้ resolver ตัวอื่นจัดการ query เช่นตัวที่ตั้งในระบบปฏิบัติการหรือเบราว์เซอร์ query ยังเดินทางในอุโมงค์ถ้าทั้งอุปกรณ์ถูกส่งผ่านอุโมงค์

VPN ที่ทำงานเรียบร้อยจะไม่ส่ง DNS query ออกนอกอุโมงค์ เมื่อพลาดข้อนี้ เรียกว่า DNS leak และคุณทดสอบได้

DoH, DoT และ VPN เทียบกัน

	DoH / DoT	VPN
เข้ารหัสการค้นหา DNS	ใช่	ใช่ เมื่อ DNS ผ่านอุโมงค์
เข้ารหัสทราฟฟิกอื่น	ไม่ (ดู HTTPS กับ VPN ว่า HTTPS ครอบคลุมอะไรอยู่แล้ว)	ใช่ ระหว่างอุปกรณ์กับเซิร์ฟเวอร์ VPN
เปลี่ยน IP ที่เว็บไซต์เห็น	ไม่	ใช่ เป็นที่อยู่ของเซิร์ฟเวอร์ VPN
ซ่อน DNS query จากเครือข่ายในพื้นที่	ใช่	ใช่
ใครยังอ่าน DNS query ของคุณได้	resolver ที่คุณเลือก	ผู้ให้บริการ VPN หรือ resolver ที่มันใช้
การใช้งานทั่วไป	ความเป็นส่วนตัวประจำวันบนอุปกรณ์หรือเครือข่ายบ้านที่ไว้ใจได้	เครือข่ายที่ไว้ใจไม่ได้ การเดินทาง หรือเมื่ออยากให้ IP ที่มองเห็นต่างออกไป
ต้นทุนและการตั้งค่า	มักเป็นการตั้งค่าฟรี	บริการจากผู้ให้บริการ

คอลัมน์ขวาครอบคลุมกว้างกว่า คอลัมน์ซ้ายเบากว่าและมีให้ใช้เสมอ ทั้งสองไม่ใช่คู่แข่ง แต่ตอบคำถามต่างกัน

ต้องใช้ทั้งคู่ไหม

ขึ้นกับว่าคุณจะปกป้องอะไรและจากใคร วิธีตัดสินใจง่าย ๆ คือไล่ดูสถานการณ์ทั่วไป

1. อยู่บ้านกับเราเตอร์ของตัวเอง ความกังวลหลักอาจเป็นผู้ให้บริการอินเทอร์เน็ตที่เห็นทุกการค้นหา DNS DNS แบบเข้ารหัสปิดช่องนี้ได้ในต้นทุนต่ำ VPN ซ่อนได้มากกว่า แต่คุณก็เพิ่มบริษัทหนึ่งที่ตอนนี้เห็นสิ่งที่ผู้ให้บริการเคยเห็น
2. ใช้ Wi-Fi สาธารณะในร้านกาแฟ โรงแรม หรือสนามบิน คุณไว้ใจเครือข่ายไม่ได้ DNS แบบเข้ารหัสหยุดไม่ให้เครือข่ายอ่านการค้นหาของคุณ ซึ่งมีประโยชน์ แต่ทราฟฟิกส่วนที่เหลือยังเหมือนเดิม HTTPS ปกป้องส่วนใหญ่ แต่ไม่ใช่ทั้งหมด และ VPN เพิ่มอีกชั้นครอบคลุมทุกแอป กรณีนี้อธิบายได้ง่ายว่าทำไมใช้ทั้งคู่ และหลักการเดียวกันใช้ได้กับเครือข่ายสาธารณะทุกแห่งที่คุณควบคุมไม่ได้
3. เมื่ออยากให้ IP ที่มองเห็นต่างออกไป มีแต่ VPN เท่านั้นที่ทำได้ DNS แบบเข้ารหัสเปลี่ยนสิ่งที่เว็บไซต์เห็นไม่ได้
4. เมื่อ VPN เปิดอยู่แล้ว โดยปกติไม่ต้องเพิ่มอะไรเรื่อง DNS ตราบที่ VPN เก็บการค้นหาไว้ในอุโมงค์ ตรวจได้ด้วยการทดสอบ leak การตั้งค่า DNS เพิ่มไม่เป็นอันตราย แต่อาจทำให้ไม่ชัดว่าใช้ resolver ตัวไหน
5. เมื่อปิด VPN สำหรับบางแอป ถ้าคุณใช้ split tunneling หรือปิด VPN สำหรับบางเว็บ DNS แบบเข้ารหัสในเบราว์เซอร์หรือระบบยังปกป้องการค้นหาเหล่านั้น

คำตอบสั้น ๆ คือ DNS แบบเข้ารหัสเป็นค่าเริ่มต้นที่สมเหตุสมผล และ VPN เป็นชั้นเสริมสำหรับเครือข่ายหรือสถานการณ์ที่คุณไว้ใจน้อยกว่า ไม่ควรมองสิ่งใดเป็นคำสัญญาว่าไม่เปิดเผยตัวตน

Private DNS บน Android กับแอป VPN

Android มีตัวเลือก DNS เข้ารหัสทั้งระบบชื่อ Private DNS ตั้งแต่ Android 9 อิงกับ DNS over TLS ดังนั้น query จากทุกแอปบนโทรศัพท์จึงเข้ารหัสได้โดยไม่ต้องติดตั้งอะไร ชื่อเมนูต่างกันไปตามผู้ผลิต แต่มักหาได้โดยค้นคำว่า "Private DNS" ในตั้งค่า โดยมักอยู่ใต้ เครือข่ายและอินเทอร์เน็ต

มีสามโหมด

• ปิด ฟีเจอร์นี้ไม่เข้ารหัส DNS
• อัตโนมัติ โทรศัพท์พยายามใช้ DNS เข้ารหัสกับเซิร์ฟเวอร์ DNS ของเครือข่าย และถอยกลับไปใช้ DNS ปกติถ้าทำไม่ได้
• ชื่อโฮสต์ของผู้ให้บริการ Private DNS คุณใส่ชื่อโฮสต์ของ resolver โทรศัพท์จะเชื่อมต่อเฉพาะเมื่อ resolver นั้นรองรับ DNS over TLS มิฉะนั้นการค้นหาจะล้มเหลว เป็นโหมดที่เข้มที่สุด

เมื่อ VPN เชื่อมต่ออยู่ มีสามเรื่องที่ควรใส่ใจ

• คำขอ DNS ของคุณมักเดินทางในอุโมงค์ VPN ซึ่งซ่อนจากเครือข่ายในพื้นที่อยู่แล้ว
• VPN ใช้เซิร์ฟเวอร์ DNS ของตัวเองหรือของระบบขึ้นกับแอป VPN และการทำงานร่วมกันระหว่าง Private DNS กับ VPN อาจต่างกันตามเวอร์ชัน Android และผู้ผลิต อย่าเดา
• ถ้าคุณตั้งชื่อโฮสต์ Private DNS แบบเข้มแล้วการค้นหาล้มเหลวทันทีเมื่อเปิด VPN การตั้งค่า DNS ของ VPN อาจเข้ากันไม่ได้ การสลับเป็นอัตโนมัติ หรือทดสอบโดยปิด Private DNS จะบอกว่าส่วนไหนเป็นต้นเหตุ

วิธีที่ใช้ได้จริงคือปล่อย Private DNS เป็นอัตโนมัติ หรือตั้งผู้ให้บริการที่คุณไว้ใจไว้ใช้ตอนปิด VPN และพึ่งอุโมงค์ของ VPN ตอนเปิด แล้วทดสอบ DNS leak ในทั้งสองสถานะ ถ้าคุณใช้ XPASS บน Android คู่มือ ตั้งค่า VPN บน Android อธิบายการติดตั้งแอป VPNclient และเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านที่แสดงบนหน้า My Pass ของคุณ และหน้าของ Google เรื่อง การเชื่อมต่อ VPN บน Android ครอบคลุมฝั่งระบบ

การตั้งค่า DNS ในเบราว์เซอร์กับ VPN

เบราว์เซอร์อย่าง Firefox และ Chrome ใช้ DoH เองได้ แยกจากระบบปฏิบัติการ ในหน้าตั้งค่ามักเรียกว่า "secure DNS" เมื่อเปิด เบราว์เซอร์อาจส่งการค้นหาไปที่ผู้ให้บริการที่คุณเลือก หรือที่ถูกเลือกอัตโนมัติ แทนที่จะใช้ resolver ของระบบ

เมื่อ VPN เชื่อมต่ออยู่ มีผลที่ควรรู้

• query ยังคงเข้ารหัส ถูกส่งผ่าน HTTPS ไปยังผู้ให้บริการ DoH และเมื่อเปิด VPN การเชื่อมต่อ HTTPS นั้นเดินทางผ่านอุโมงค์
• resolver อาจต่างจากของ VPN ผู้ให้บริการ DoH เห็น query ของคุณ โดยมาจากที่อยู่ของเซิร์ฟเวอร์ VPN ส่วน resolver ของ VPN เองอาจไม่เห็นเลย
• ผลทดสอบ leak อาจดูต่างออกไป การทดสอบที่รันในเบราว์เซอร์อาจแสดงเซิร์ฟเวอร์ของผู้ให้บริการ DoH แทนของ VPN ไม่จำเป็นต้องเป็นการรั่วไปยังผู้ให้บริการอินเทอร์เน็ตของคุณ แต่ก็ไม่ใช่สิ่งที่คุณคาดไว้
• กระทบเฉพาะเบราว์เซอร์ แอปอื่นยังใช้ resolver ของระบบหรือของ VPN ต่อไป

ถ้าอยากให้ resolver ตัวเดียวจัดการทุกอย่าง ให้เลือกอย่างตั้งใจ จะให้ VPN จัดการ DNS แล้วปิด secure DNS ของเบราว์เซอร์ หรือจะคงการตั้งค่าเบราว์เซอร์ไว้ แล้วยอมรับว่าการค้นหาของเบราว์เซอร์ไปคนละเส้นทาง ทั้งสองไม่ผิด เป้าหมายคือรู้ว่าอะไรกำลังถูกใช้ คู่มือ วิธีเช็กว่า VPN ทำงานอยู่หรือไม่ พาทำการทดสอบ leak ทีละขั้น

สามตัวอย่าง

นักศึกษาในเครือข่ายมหาวิทยาลัย พลอยใช้แล็ปท็อปบน Wi-Fi ของมหาวิทยาลัย เธอเปิด secure DNS ในเบราว์เซอร์ เครือข่ายมหาวิทยาลัยจึงอ่านการค้นหาของเธอไม่ได้ เธอรู้ว่าเครือข่ายยังเห็นว่าเธอเชื่อมต่อกับที่อยู่ไหน จึงไม่พึ่งมันกับเรื่องอ่อนไหว เมื่อทำธุรกรรมธนาคารที่ร้านกาแฟ เธอเพิ่ม VPN เป็นชั้นที่สอง

นักเดินทางที่ใช้ Android คาริมถึงเมืองใหม่และเชื่อมต่อเครือข่ายสนามบิน เขาปล่อย Private DNS เป็นอัตโนมัติและเปิด VPN VPN ครอบคลุมทุกแอปของเขา เขารันการทดสอบ DNS leak สั้น ๆ และเห็นว่าการค้นหาผ่านอุโมงค์ ไม่ใช่ผู้ให้บริการปกติของเขา

คนทำงานระยะไกลที่บ้าน น้องทำงานจากเราเตอร์ที่บ้าน เธอตั้ง DNS แบบเข้ารหัสที่เราเตอร์และแล็ปท็อป เพราะความเสี่ยงหลักคือผู้ให้บริการอินเทอร์เน็ตอ่านการค้นหา เธอเปิด VPN เฉพาะเมื่อทำงานจากที่อื่น และเข้าใจว่า resolver ที่เธอเลือกเห็นการค้นหาของเธอได้ จึงเลือกตัวที่เธออ่านข้อมูลความเป็นส่วนตัวแล้ว

ข้อผิดพลาดที่พบบ่อยและข้อจำกัด

• คิดว่า DoH แทน VPN ได้ มันปกป้องแค่การค้นหา IP ของคุณและตัวการเชื่อมต่อยังมองเห็นได้สำหรับเครือข่าย
• คิดว่า VPN ทำให้การตั้งค่า DNS ของเบราว์เซอร์ไม่สำคัญ มันเปลี่ยน resolver ที่ตอบจริงได้
• ตั้งชื่อโฮสต์ Private DNS แบบเข้มแล้วโทษ VPN เมื่อการค้นหาล้มเหลว ให้ทดสอบโดยปิด Private DNS
• เชื่อว่า DNS แบบเข้ารหัสคือการไม่เปิดเผยตัวตน resolver เห็น query ของคุณ และเว็บไซต์เห็น IP ของคุณ
• ปรับ DNS หลายอย่างพร้อมกัน เปลี่ยนทีละอย่างแล้วทดสอบ จะได้รู้ว่าอันไหนได้ผล
• ข้ามการทดสอบ leak หน้าตั้งค่าบอกว่าตั้งอะไรไว้ ไม่ได้บอกว่ากำลังเกิดอะไร
• ไม่สนกฎหมายและเงื่อนไขการใช้งาน ทั้ง VPN และ DNS แบบเข้ารหัสไม่ใช่วิธีหลบเลี่ยงกฎของเครือข่ายหรือบริการที่คุณใช้
• ลืมว่า DNS เป็นเพียงชั้นเดียว การอัปเดต รหัสผ่านที่แข็งแรง และการยืนยันตัวตนสองขั้นตอนสำคัญไม่น้อยกว่ากัน

สรุป

DNS over HTTPS และ DNS over TLS เข้ารหัสการค้นหา DNS ระหว่างอุปกรณ์กับ resolver และทำได้ดีในต้นทุนต่ำ ส่วน VPN เข้ารหัสทุกอย่างที่ผ่านอุโมงค์และเปลี่ยน IP ที่เว็บไซต์เห็น แต่ต้องให้คุณไว้ใจผู้ให้บริการ ทั้งสองแก้ปัญหาต่างกัน จึงเสริมกันไม่ใช่ใช้แทนกันได้ ใช้ DNS แบบเข้ารหัสเป็นค่าเริ่มต้นที่สมเหตุสมผล เพิ่ม VPN บนเครือข่ายที่ไว้ใจน้อยกว่า รู้ว่า resolver ตัวไหนตอบ query ของคุณ และตรวจสอบด้วยการทดสอบ DNS leak

ถ้าคุณต้องการ VPN สำหรับเครือข่ายเหล่านั้น หน้าราคาของ XPASS แสดงว่าพาสแบบกำหนดจำนวนวันทำงานอย่างไร โดยไม่ต่ออายุอัตโนมัติ