DNS ทำงานอย่างไร ตั้งแต่ชื่อเว็บไซต์ถึง IP

อุปกรณ์ทุกเครื่องบนอินเทอร์เน็ตถูกระบุด้วยตัวเลขที่เรียกว่า IP address แต่คนเราจำตัวเลขได้ไม่ดี จึงพิมพ์เป็นชื่อ เช่น example.com แทน ระบบที่เชื่อมสองอย่างนี้เข้าด้วยกันคือ Domain Name System หรือ DNS ทุกครั้งที่คุณเปิดเว็บไซต์ ส่งอีเมล หรือใช้แอป อุปกรณ์ของคุณจะถาม DNS เงียบ ๆ ว่าต้องไปที่ไหน

เมื่อเข้าใจขั้นตอนนี้ คุณจะอธิบายได้หลายเรื่อง ทั้งทำไมเว็บบางเว็บโหลดไม่ขึ้นทั้งที่เน็ตปกติ ทำไมการเปลี่ยนค่า DNS ทำให้รู้สึกว่าเร็วขึ้นหรือช้าลง และทำไม DNS จึงเป็นจุดหนึ่งที่ความเป็นส่วนตัวอาจรั่วไหลได้ แม้จะใช้ VPN อยู่

DNS แก้ปัญหาอะไร

โทรศัพท์ของคุณเชื่อมต่อกับ "example.com" โดยตรงไม่ได้ อุปกรณ์เครือข่ายส่งข้อมูลระหว่างที่อยู่ที่เป็นตัวเลข เช่น 93.184.216.34 สำหรับ IPv4 หรือรูปแบบเลขฐานสิบหกที่ยาวกว่าสำหรับ IPv6 DNS ทำหน้าที่เหมือนสมุดโทรศัพท์สาธารณะที่จับคู่ชื่อกับที่อยู่เหล่านั้น

ประโยชน์สำคัญมีสองข้อ ข้อแรกคือชื่อคงที่ แต่ที่อยู่เปลี่ยนได้ บริษัทย้ายเว็บไปเซิร์ฟเวอร์ใหม่แล้วแก้ record ใน DNS เพียงจุดเดียว ผู้เข้าชมก็ไม่รู้สึกถึงความต่าง ข้อสองคือชื่อเดียวชี้ไปยังเซิร์ฟเวอร์ได้หลายเครื่อง เว็บขนาดใหญ่จึงกระจายภาระได้ หากอยากรู้เรื่องตัวที่อยู่เอง อ่านเพิ่มที่ public IP address คืออะไร

ใครเกี่ยวข้องกับการค้นหาบ้าง

การค้นหา DNS มักเกี่ยวข้องกับเซิร์ฟเวอร์สี่ประเภท คุณไม่ได้คุยกับทุกตัวโดยตรง แต่ควรรู้บทบาทของแต่ละตัว

• Stub resolver: ซอฟต์แวร์เล็ก ๆ ในระบบปฏิบัติการ ทำหน้าที่ถาม resolver ที่ใหญ่กว่า และจำคำตอบไว้ชั่วคราว เรียกว่าแคช
• Recursive resolver: เซิร์ฟเวอร์ที่ออกไปตามหาคำตอบให้ โดยปกติผู้ให้บริการอินเทอร์เน็ตหรือเครือข่าย Wi-Fi ที่คุณใช้เป็นผู้กำหนดให้ แต่คุณเลือก resolver สาธารณะเองได้ ตัวนี้แหละที่เห็นคำขอของคุณ
• Root และ top-level domain (TLD) server: รู้ว่าใครรับผิดชอบนามสกุลอย่าง .com .org หรือ .th
• Authoritative name server: เซิร์ฟเวอร์ของเจ้าของโดเมนหรือผู้ที่เจ้าของมอบหมาย เก็บ record จริงของโดเมนนั้น

เกิดอะไรขึ้นเมื่อคุณพิมพ์ที่อยู่เว็บ

สมมติคุณเข้า www.example.com โดยที่ยังไม่มีอะไรอยู่ในแคช

1. เบราว์เซอร์ตรวจแคชของตัวเอง แล้วถาม stub resolver ของระบบปฏิบัติการ
2. stub resolver ส่งคำถามไปยัง recursive resolver ที่ตั้งไว้ในอุปกรณ์หรือเครือข่าย
3. recursive resolver ถาม root server ว่า .com อยู่ที่ไหน และ root server ชี้ไปที่เซิร์ฟเวอร์ของ .com
4. เซิร์ฟเวอร์ของ .com ชี้ต่อไปยัง authoritative name server ของ example.com
5. authoritative server ตอบด้วยที่อยู่ เช่น A record (IPv4) หรือ AAAA record (IPv6)
6. recursive resolver ส่งคำตอบกลับมายังอุปกรณ์ และจำไว้ช่วงหนึ่ง
7. เบราว์เซอร์เชื่อมต่อไปยัง IP address นั้น และหน้าเว็บเริ่มโหลด

ทั้งหมดนี้ปกติใช้เวลาเพียงไม่กี่สิบมิลลิวินาที และเมื่อมีแคช การเข้าครั้งต่อไปก็ข้ามขั้นตอนส่วนใหญ่ได้ รายละเอียดกำหนดไว้ใน RFC 1034 และ RFC 1035

ชนิด record ที่พบบ่อย

Record	เก็บอะไร	ใช้ทำอะไร
A	IPv4 address	ชี้ example.com ไปยังเว็บเซิร์ฟเวอร์
AAAA	IPv6 address	เหมือนกัน แต่สำหรับ IPv6
CNAME	ชื่อแทนของอีกชื่อหนึ่ง	ชี้ www ไปยังชื่อหลัก
MX	เซิร์ฟเวอร์อีเมลของโดเมน	บอกว่าจะส่งอีเมลไปที่ใด
TXT	ข้อความทั่วไป	ยืนยันอีเมลและตรวจสอบความเป็นเจ้าของ

แคชและ TTL

คำตอบ DNS ทุกรายการมีค่า time to live หรือ TTL เป็นวินาที บอก resolver ว่าใช้คำตอบนี้ซ้ำได้นานเท่าไรก่อนต้องถามใหม่ TTL สั้น เช่น 60 วินาที ทำให้เจ้าของย้ายเว็บได้เร็ว ส่วน TTL ยาว เช่นหนึ่งวัน ลดปริมาณคำขอและทำให้ค้นหาเร็วขึ้น

นี่คือเหตุผลที่ "DNS propagation" ต้องใช้เวลา เมื่อเจ้าของเว็บแก้ record resolver ทั่วโลกยังคงให้คำตอบเดิมจนกว่าแคชจะหมดอายุ

ความเป็นส่วนตัวเกี่ยวข้องอย่างไร

คำขอ DNS แบบดั้งเดิมส่งเป็นข้อความธรรมดา ทั้งตัว resolver และคนที่อยู่ระหว่างทางเห็นได้ว่าอุปกรณ์ของคุณค้นหาชื่ออะไร แม้จะไม่เห็นเนื้อหาในหน้าเว็บ แต่รายชื่อโดเมนก็บอกอะไรได้มาก เช่น เว็บธนาคาร คลินิก หรือสำนักข่าว

ผลที่ตามมาในทางปฏิบัติมีสามข้อ

• บนเครือข่ายที่ใช้ร่วมกัน เช่นร้านกาแฟ ผู้ดูแลเครือข่ายกำหนด resolver ที่คุณใช้โดยค่าเริ่มต้น และเห็นหรือแม้แต่แก้ไขคำตอบได้
• ผู้ให้บริการอินเทอร์เน็ต มักเห็นโดเมนที่คุณค้นหา หากคุณใช้ resolver ของเขา
• resolver สาธารณะ ที่คุณเลือกเองจะเป็นฝ่ายเห็นคำขอแทน คุณจึงแค่เลือกว่าจะไว้ใจใคร ไม่ได้ทำให้ความไว้ใจหายไป

โปรโตคอล DNS แบบเข้ารหัส เช่น DNS over HTTPS (RFC 8484) และ DNS over TLS (RFC 7858) ซ่อนคำขอจากอุปกรณ์อื่นระหว่างทาง แต่ resolver ยังเห็นอยู่ และ IP address ที่คุณเชื่อมต่อต่อไปก็ยังมองเห็นได้โดยเครือข่าย เว้นแต่จะมีสิ่งอื่น เช่น VPN ห่อทราฟฟิกนั้นไว้ HTTPS ปกป้องเนื้อหาหน้าเว็บแต่ไม่ปกป้องการค้นหานี้ ความต่างระหว่างสองอย่างอธิบายไว้ใน HTTPS กับ VPN

VPN เปลี่ยน DNS อย่างไร

เมื่อเชื่อมต่อ VPN อุปกรณ์ควรส่งคำขอ DNS ผ่านอุโมงค์ที่เข้ารหัสไปยัง resolver ที่ผู้ให้บริการ VPN กำหนด เครือข่ายในพื้นที่จึงเห็นแค่ทราฟฟิกที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN อ่านคำค้นของคุณไม่ได้ ส่วน resolver ปลายทางจะเห็นคำขอ คุณจึงย้ายความไว้ใจจากร้านกาแฟหรือผู้ให้บริการอินเทอร์เน็ตไปที่ผู้ให้บริการ VPN แทน

เรื่องนี้ใช้ได้ผลก็ต่อเมื่อแอปและระบบปฏิบัติการใช้อุโมงค์สำหรับ DNS จริง บางครั้งคำขอหลุดออกไปทางปกติ เรียกว่า DNS leak การทดสอบ leak ขณะเชื่อมต่ออยู่เป็นวิธีตรวจสอบที่รวดเร็ว

ตัวอย่างจริง

คุณพักโรงแรมและใช้ Wi-Fi ของโรงแรมเปิดเว็บข่าว

• ถ้าไม่มี VPN โทรศัพท์จะถาม resolver ของโรงแรมว่าเว็บนี้อยู่ที่ไหน เครือข่ายโรงแรมเห็นชื่อเว็บ แล้วเห็นโทรศัพท์ของคุณเชื่อมต่อไปยัง IP ที่ได้กลับมา
• ถ้ามี VPN ที่ทำงานถูกต้อง คำถามเดินทางอยู่ในอุโมงค์ เครือข่ายโรงแรมเห็นเพียงทราฟฟิกที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN ส่วนเว็บข่าวเห็นที่อยู่ของเซิร์ฟเวอร์ VPN เป็นผู้เข้าชม

ไม่ว่ากรณีไหน เว็บข่าวก็ยังรู้ว่ามีคนเข้าชม และถ้าคุณล็อกอินอยู่ก็รู้ว่าคุณคือใคร ความเป็นส่วนตัวด้าน DNS เป็นเพียงส่วนหนึ่งของภาพรวม

ข้อจำกัดและสิ่งที่ควรระวัง

• DNS ไม่ใช่เรื่องทั้งหมด การซ่อนคำค้นไม่ได้ซ่อน IP address ที่คุณเชื่อมต่อจาก resolver หรือผู้ให้บริการ VPN
• VPN ย้ายความไว้ใจ ไม่ได้ลบทิ้ง ไม่ว่าจะใช้ resolver ตัวไหนก็มีใครสักคนดูแลอยู่
• เบราว์เซอร์อาจมีค่า DNS ของตัวเอง เบราว์เซอร์ที่มี DNS แบบเข้ารหัสในตัวอาจข้ามค่าของระบบหรือ VPN จึงควรตรวจว่าเบราว์เซอร์ตั้งค่าไว้อย่างไร
• แคชอาจซ่อนปัญหา หลังเปลี่ยนค่า DNS ให้รีสตาร์ตเบราว์เซอร์หรือล้างแคชของระบบก่อนทดสอบ
• ข้อผิดพลาดของ DNS ไม่ใช่ความผิดของคุณเสมอไป ถ้าเว็บเดียวเปิดไม่ได้ ปัญหาอาจอยู่ที่ name server ของเว็บนั้นเอง

ขั้นตอนที่ทำได้จริง

1. ตรวจดูว่าตอนนี้คุณใช้ resolver ตัวไหน ระบบปฏิบัติการส่วนใหญ่แสดงเซิร์ฟเวอร์ DNS ในหน้าตั้งค่าเครือข่าย และมีเว็บทดสอบหลายแห่งที่บอกว่า resolver ตัวใดเป็นผู้ตอบ
2. หากเว็บหนึ่งเปิดไม่ได้แต่เว็บอื่นเปิดได้ ลองเปลี่ยนเครือข่ายหรือรีสตาร์ตเราเตอร์ก่อนแก้ค่าอื่น
3. เมื่อใช้ VPN ให้รันการทดสอบ DNS leak และตรวจว่า resolver ที่แสดงไม่ได้เป็นของเครือข่ายในพื้นที่ของคุณ
4. หากต้องการ DNS แบบเข้ารหัสโดยไม่ใช้ VPN ให้ดูการตั้งค่า DNS over HTTPS หรือ DNS over TLS ในเบราว์เซอร์หรือระบบปฏิบัติการ และเลือก resolver ที่คุณยอมไว้ใจ
5. ล้างแคช DNS หากเว็บที่คุณดูแลเพิ่งเปลี่ยนที่อยู่แต่คุณยังเห็นของเดิม

สรุป

DNS แปลงชื่อเป็น IP address ผ่านสายของ resolver และ name server โดยมีแคชช่วยให้เร็ว การค้นหาแบบมาตรฐานอ่านได้โดย resolver และผู้ที่อยู่ระหว่างทาง DNS จึงเป็นแหล่งข้อมูลเกี่ยวกับสิ่งที่คุณทำออนไลน์ การเข้ารหัส DNS และการใช้ VPN ที่ทำงานถูกต้องช่วยลดจำนวนคนที่เห็นได้ แต่ไม่ได้ทำให้การค้นหามองไม่เห็นสำหรับทุกฝ่าย หากสนใจแพ็กเกจ VPN แบบเติมเงินที่ไม่ต่ออายุอัตโนมัติ ดูได้ที่ ราคา XPASS