วิธีทดสอบ DNS Leak ของ VPN อย่างถูกต้อง

การทดสอบ DNS Leak ดูเหมือนง่าย เปิดหน้าเว็บ กดปุ่ม แล้วอ่านรายการที่อยู่ แต่ในทางปฏิบัติ คนส่วนใหญ่ทดสอบครั้งเดียว เห็นผลที่ดูโอเคหรือน่าตกใจ แล้วก็สบายใจหรือตื่นตระหนกโดยไม่รู้ว่าผลลัพธ์หมายถึงอะไร ตัวหน้าทดสอบเป็นเพียงกระจกเงา วิธีที่คุณจัดการทดลองต่างหากที่ตัดสินว่าภาพที่สะท้อนออกมามีประโยชน์หรือไม่

บทความนี้เป็นเรื่องของวิธีการ ไม่ใช่นิยาม หากต้องการเริ่มจากพื้นฐานว่า DNS Leak คืออะไรและทำไมสำคัญ ให้อ่าน DNS Leak คืออะไร ก่อน ที่นี่เราสมมติว่าคุณเข้าใจแนวคิดแล้ว และอยากทำให้ถูกต้อง คือเก็บค่าฐาน ทดสอบในสภาพที่การรั่วเกิดขึ้นจริง อ่านผลอย่างถูกต้อง และรู้ว่าต้องทำอะไรต่อ

การทดสอบ DNS Leak วัดอะไรกันแน่

ทุกครั้งที่คุณเปิดเว็บไซต์ อุปกรณ์จะถาม DNS resolver ก่อนเพื่อแปลชื่อเป็นที่อยู่ ถ้าไม่มี VPN คำถามนั้นไปที่ resolver ที่เครือข่ายให้มา ซึ่งมักดำเนินการโดยผู้ให้บริการอินเทอร์เน็ต หมายความว่ามันเห็นว่าคุณถามชื่อใดบ้าง เมื่อมี VPN คำถามเหล่านั้นควรเดินทางในอุโมงค์ไปที่ resolver ที่บริการ VPN เลือกไว้ การรั่วคือเมื่อบางคำถามยังออกทางเก่า

การทดสอบจะหลอกให้อุปกรณ์ถามชื่อที่ไม่ซ้ำกันจำนวนมาก ซึ่งมีแต่เซิร์ฟเวอร์ทดสอบเท่านั้นที่รู้จัก เซิร์ฟเวอร์จะบันทึกว่า resolver ตัวใดส่งคำถามมา แล้วแสดงรายการให้คุณ หน้าทดสอบจึงไม่ได้ดูที่ VPN ของคุณ แต่ดูว่าใครส่งคำถามมาให้ นี่คือเหตุผลที่การตีความสำคัญ รายการนั้นเป็นคำตอบของคำถามว่า "ใครถามแทนอุปกรณ์ของฉัน" และคุณต้องรู้ก่อนว่าคาดหวังใคร

ข้อเท็จจริงสองข้อช่วยให้อ่านผลได้

1. ที่อยู่ในรายการคือ resolver ไม่ใช่ตัวคุณ มันบอกว่าเซิร์ฟเวอร์ตัวไหนเป็นผู้ถาม
2. เจ้าของ resolver คือกุญแจ ที่อยู่ที่เป็นของผู้ให้บริการอินเทอร์เน็ตหรือเราเตอร์ที่บ้านคือสัญญาณเตือน ที่อยู่ที่เป็นของบริการ VPN หรือ resolver สาธารณะที่คุณเลือกคือผลที่คาดไว้

อธิบายขั้นตอนการค้นหาแบบเข้าใจง่ายอยู่ใน DNS ทำงานอย่างไร หรือข้อกำหนด RFC 1035 สำหรับรายละเอียดเชิงทางการ

ขั้นที่ 1: เก็บค่าฐานก่อนเชื่อมต่อ

การทดสอบที่ล้มเหลวส่วนใหญ่พลาดตั้งแต่ขั้นแรก เพราะไม่เคยเห็นว่า "ปกติ" ของการเชื่อมต่อตัวเองหน้าตาเป็นอย่างไร

1. ตัดการเชื่อมต่อ VPN ให้สนิท ไม่ใช่แค่พัก
2. ปิดหน้าต่างเบราว์เซอร์ส่วนเกินและแอปอื่นที่ส่งคำขอเครือข่าย
3. เปิดหน้าทดสอบการรั่ว รันการทดสอบมาตรฐาน แล้วรันแบบขยายหากมี
4. จด resolver เจ้าของ และประเทศที่ปรากฏ
5. จดที่อยู่ IP สาธารณะที่มองเห็น

ค่าฐานของคุณอาจแสดง resolver ของผู้ให้บริการอินเทอร์เน็ต ที่อยู่ของเราเตอร์ หรือ resolver สาธารณะที่คุณตั้งไว้ก่อนหน้า นี่คือรายการอ้างอิงของคุณ อะไรที่ปรากฏในนั้นไม่ควรปรากฏในการทดสอบถัดไป เว้นแต่คุณตั้งใจเก็บไว้

ควรเก็บค่าฐานของแต่ละเครือข่ายที่คุณใช้ ผลที่บ้านต่างจากผลในร้านกาแฟ และ VPN ควรซ่อนทั้งสองอย่าง

ขั้นที่ 2: เชื่อมต่อและทดสอบในสภาพที่สะอาด

ตอนนี้เชื่อมต่อ VPN แล้วทดสอบด้วยเงื่อนไขควบคุมต่อไปนี้

1. รอจนแอปแสดงสถานะเชื่อมต่อชัดเจน
2. เปิดหน้าต่างเรียกดูแบบส่วนตัวใหม่ แท็บเก่าอาจมีการค้นหาที่แคชไว้
3. เข้าหน้าทดสอบ รันการทดสอบมาตรฐาน แล้วรันแบบขยาย
4. บันทึกรายการ resolver และเจ้าของชุดใหม่
5. เทียบกับค่าฐาน

อ่านผลด้วยตารางนี้ได้

สิ่งที่เห็น	น่าจะหมายถึง	ควรทำ
มีแต่ resolver ของบริการ VPN	อุโมงค์พา DNS ไปด้วย	ผ่านในสถานการณ์นี้
resolver สาธารณะที่คุณเลือกในแอป VPN	แอปใช้ resolver ที่คุณตั้ง	ผ่านหากเป็นเจตนาของคุณ
เหมือนค่าฐานของคุณ	DNS ออกนอกอุโมงค์	ถือว่ารั่ว
ผสมสองกลุ่ม	บางการค้นหาข้ามอุโมงค์	ถือว่ารั่วและตรวจสอบต่อ
resolver ที่เบราว์เซอร์เลือก	เบราว์เซอร์มี DNS ของตัวเอง	ตรวจการตั้งค่า DNS ในเบราว์เซอร์
ไม่มีอะไรหรือเกิดข้อผิดพลาด	การทดสอบถูกบล็อกหรือหน้าล้มเหลว	ลองใหม่บนเครือข่ายอื่น

ผลครั้งเดียวคือจุดข้อมูลหนึ่งจุด ขั้นถัดไปจะแสดงว่ามันยืนหยัดหรือไม่

ขั้นที่ 3: ทดสอบในที่ที่การรั่วเกิดขึ้นจริง

DNS Leak ไม่ค่อยเกิดตลอดเวลา มักเกิดตอนเปลี่ยนสถานะ ขณะซอฟต์แวร์กำลังตัดสินใจว่าจะส่งทราฟฟิกไปทางไหน ให้ทดสอบซ้ำในสถานการณ์เหล่านี้

1. หลังเปลี่ยนเซิร์ฟเวอร์ เปลี่ยนสถานที่ในแอป รอการเชื่อมต่อใหม่ แล้วทดสอบซ้ำ
2. หลังเปลี่ยนเครือข่าย ย้ายจาก Wi-Fi ไปข้อมูลมือถือ หรือระหว่าง Wi-Fi สองเครือข่าย แล้วทดสอบอีกครั้ง
3. หลังสลีปหรือไฮเบอร์เนต ปิดฝาโน้ตบุ๊ก เปิดใหม่ แล้วรันการทดสอบทันทีที่เครือข่ายกลับมา จากนั้นรันอีกครั้งหลังหนึ่งนาที
4. หลังหลุดช่วงสั้น ๆ ปิดแล้วเปิด Wi-Fi ชั่วครู่ แล้วทดสอบเมื่อ VPN เชื่อมต่อใหม่
5. เปิดและปิด IPv6 เครือข่ายบางแห่งให้อุปกรณ์ได้ทั้ง IPv4 และ IPv6 และคำถาม DNS อาจออกทางที่ VPN ไม่ครอบคลุม ดู คำอธิบายเรื่อง IPv6 รั่ว เพื่อแยกแยะ
6. เปิดและปิด DNS ที่ปลอดภัยของเบราว์เซอร์ เบราว์เซอร์ใช้ DNS แบบเข้ารหัสของตัวเองและมองข้าม resolver ของระบบได้ บทความ DNS over HTTPS เทียบกับ VPN อธิบายว่าสองอย่างนี้ทำงานร่วมกันอย่างไร
7. เมื่อเปิด split tunneling แอปที่คุณยกเว้นจากอุโมงค์จะใช้ DNS ภายนอกด้วย เป็นเรื่องที่คาดไว้ แต่ให้ทดสอบว่าเกิดกับแอปที่คุณเลือกเท่านั้น

หากการรั่วปรากฏเพียงสถานการณ์เดียว คุณก็รู้แล้วว่าต้องแก้ตรงไหน

ขั้นที่ 4: ไปให้พ้นหน้าเว็บ

หน้าทดสอบวัดการค้นหาของเบราว์เซอร์ ซอฟต์แวร์อื่นอาจทำงานต่างออกไป จึงควรตรวจไขว้จากบรรทัดคำสั่งหรือด้วยแอปที่สอง

• ถามชื่อแล้วดูว่าใครตอบ เครื่องมืออย่าง nslookup หรือ dig แสดงว่าเซิร์ฟเวอร์ใดตอบ รันกับซับโดเมนสมมติของโดเมนที่คุณดูแล หรือชื่อที่รู้จัก แล้วดูบรรทัด "Server"
• ตรวจ DNS ที่ตั้งไว้ ในการตั้งค่าเครือข่ายของระบบ ดูว่าอะแดปเตอร์ VPN ใช้ที่อยู่ resolver อะไร บน Windows คำสั่ง ipconfig /all แสดงรายการ บน macOS scutil --dns แสดงลำดับ resolver บน Linux ตรวจไฟล์ตั้งค่า resolver ของระบบ คู่มือแต่ละแพลตฟอร์มเรื่อง DNS รั่วบน Windows และ DNS รั่วบน Mac มีรายละเอียด
• ดักแพ็กเก็ตหากคุณถนัด การดักแพ็กเก็ตที่อินเทอร์เฟซเครือข่าย กรองเฉพาะ DNS พอร์ต 53 จะแสดงว่าการค้นหาแบบธรรมดาออกจากเครื่องนอกอุโมงค์หรือไม่ เป็นหลักฐานตรงที่สุด แต่ต้องมีทักษะ
• ใช้อุปกรณ์ที่สอง ถ้าทำได้ ทดสอบจากโทรศัพท์และโน้ตบุ๊กด้วยบัญชีเดียวกัน หากรั่วเพียงเครื่องเดียว สาเหตุคือแอปหรือการตั้งค่าระบบปฏิบัติการบนเครื่องนั้น

ภาพรวม วิธีทดสอบ VPN วางการทดสอบ DNS ไว้ข้าง IP, kill switch และการเช็กความเร็ว ส่วนคู่มือเน้นเบราว์เซอร์เรื่อง การทดสอบรั่วในเบราว์เซอร์ อธิบายว่าหน้าเหล่านั้นเปิดเผยอะไรได้และไม่ได้

อ่านสัญญาณเตือนเท็จและความสบายใจเท็จ

ไม่ใช่ทุกความแปลกใจคือการรั่ว และไม่ใช่ทุกผลที่สะอาดคือสะอาดจริง

สัญญาณเตือนเท็จ

• ผลทดสอบแสดง resolver ในประเทศที่ต่างจากที่คุณคาด ผู้ให้บริการ resolver รายใหญ่ใช้หลายแห่ง และการทดสอบแสดงตัวที่ตอบ
• ผลทดสอบแสดงหลายที่อยู่ของผู้ให้บริการรายเดียว เป็นการกระจายโหลดตามปกติ
• resolver เป็นของบริการสาธารณะที่คุณตั้งในแอป VPN นั่นคือทางเลือกของคุณ ไม่ใช่การรั่ว
• VPN ขององค์กรหรือโรงเรียนใช้ resolver ขององค์กรโดยเจตนา ตรวจนโยบายของเครือข่ายที่คุณใช้

ความสบายใจเท็จ

• หน้าแสดงเพียง resolver ของ VPN แต่คุณทดสอบครั้งเดียวในสภาพนิ่งและไม่เคยทดสอบซ้ำ
• ที่อยู่ IP ดูถูกต้อง ซึ่งบอกเรื่องทราฟฟิก ไม่ใช่ DNS
• DNS ที่ปลอดภัยของเบราว์เซอร์ซ่อนการรั่วจากหน้าเว็บ แต่ไม่ซ่อนจากแอปอื่น
• การค้นหาที่แคชไว้ทำให้การทดสอบไม่ต้องถามคำถามใหม่

จำไว้ว่าผลที่สะอาดพิสูจน์พฤติกรรม ณ ขณะที่ทดสอบ ไม่ได้รับประกันชั่วโมงถัดไป

สามตัวอย่างการทำงานจริง

โน้ตบุ๊กที่รั่วหลังสลีป เมียทดสอบที่โต๊ะแล้วเห็นแต่ resolver ของ VPN ภายหลังเธอปิดฝา เปิดอีกครั้งในร้านกาแฟ และทดสอบทันที รายการมี resolver ของร้านกาแฟอยู่ราวสามสิบวินาทีก่อนจะแก้ตัวเอง เธอเรียนรู้ว่าโน้ตบุ๊กตอบ DNS ก่อนที่ VPN จะเชื่อมต่อใหม่ เธอเปิดตัวเลือกป้องกันอัตโนมัติของแอป และหลีกเลี่ยงการเปิดแท็บใหม่จนกว่าสถานะจะขึ้นว่าเชื่อมต่อแล้ว

เบราว์เซอร์ที่มี DNS ของตัวเอง โยนัสรันการทดสอบแล้วเห็น resolver สาธารณะที่เขาไม่รู้จัก แอป VPN เปิดอยู่และ DNS ของระบบถูกต้อง หลังตรวจ เขาพบว่าตัวเลือก DNS ที่ปลอดภัยของเบราว์เซอร์ชี้ไปที่ resolver สาธารณะ เขาตัดสินใจว่าอยากให้การค้นหาเป็นไปตาม VPN จึงตั้งเบราว์เซอร์ให้ใช้ resolver ของระบบ การทดสอบครั้งถัดไปแสดงเฉพาะ resolver ของ VPN

ทางอ้อมของ IPv6 เครือข่ายบ้านของอายโกะให้ IPv6 ควบคู่กับ IPv4 ค่าฐานของเธอแสดง resolver ของผู้ให้บริการทั้งสองแบบ เมื่อเปิด VPN รายการ IPv4 สะอาด แต่การทดสอบแบบขยายยังแสดงผู้ให้บริการของเธอบน IPv6 เธอปิด IPv6 ที่อะแดปเตอร์เครือข่าย ทดสอบใหม่ และเห็นรายการสะอาด เธอจดไว้สำหรับเครือข่ายถัดไปด้วย เพราะแต่ละเครือข่ายทำงานต่างกัน

เมื่อพบการรั่วควรทำอย่างไร

1. เชื่อมต่อใหม่แล้วทดสอบซ้ำ ตัดการเชื่อมต่อให้สนิท เชื่อมต่อใหม่ รอสถานะเชื่อมต่อ แล้วทดสอบอีกครั้ง ผลแย่ครั้งเดียวหลังเปลี่ยนสถานะอาจไม่เกิดซ้ำ
2. อัปเดตแอปและระบบปฏิบัติการ การแก้ไขเรื่องการรั่วพบได้บ่อยในอัปเดต
3. มองหาตัวเลือก DNS หรือการป้องกันการรั่ว ในแอป และเปิดหากปิดอยู่
4. ปิดเส้นทางที่แข่งกัน ปิด IPv6 ที่อะแดปเตอร์ หรือปิด DNS ของเบราว์เซอร์เอง หากการทดสอบชี้ไปที่นั่น
5. ตรวจ split tunneling ให้แน่ใจว่าแอปที่ทดสอบไม่ได้ถูกยกเว้น
6. ล้างแคช DNS บนอุปกรณ์เพื่อไม่ให้การค้นหาเก่าบิดเบือนผล
7. ลองเครือข่ายอื่น หากการรั่วปรากฏเฉพาะ Wi-Fi เครือข่ายเดียว เราเตอร์อาจกำลังเปลี่ยนเส้นทาง DNS เทียบกับข้อมูลมือถือ
8. ติดต่อฝ่ายสนับสนุน พร้อมค่าฐาน รายการที่รั่ว สถานการณ์ที่เกิด และเวอร์ชันของแอป

หากคุณใช้แอป VPNclient ฟรีกับแพ็กเกจ XPASS หน้า My Pass และคู่มือช่วยเหลือจะอธิบายการตั้งค่าและการแก้ปัญหา คู่มือตรวจว่า VPN ทำงานอยู่หรือไม่ พาคุณผ่านการตรวจพื้นฐานในมุมกว้างกว่า

ข้อจำกัดของการทดสอบการรั่วทุกแบบ

• หน้าทดสอบเห็นได้เฉพาะสิ่งที่มาถึงเซิร์ฟเวอร์ของตัวเอง
• พิสูจน์ไม่ได้ว่าจะไม่มีการรั่วเลยในอนาคต
• ไม่ทดสอบแอปของคุณที่ใช้วิธี DNS ของตัวเอง
• บอกไม่ได้ว่าผู้ให้บริการ VPN ทำอะไรกับการค้นหาที่ได้รับ นั่นเป็นเรื่องของเงื่อนไขและความน่าเชื่อถือของผู้ให้บริการ
• การทดสอบบนเครือข่ายที่บล็อกเว็บไซต์ทดสอบจะไม่แสดงอะไรเลย

ให้ถือการทดสอบเป็นการวัดหนึ่งครั้งในกิจวัตร คือ เก็บค่าฐาน เชื่อมต่อ ทดสอบ กดดันช่วงเปลี่ยนสถานะ และทำซ้ำหลังอัปเดต

สรุป

การทดสอบ DNS Leak ที่ดีเริ่มจากค่าฐานที่เก็บตอนไม่มี VPN แล้วเทียบกับสภาพที่เชื่อมต่อสะอาด อ่านผลจากเจ้าของ resolver ไม่ใช่จำนวนหรือตำแหน่งที่ดูเหมือนจะเป็น ทดสอบซ้ำหลังเปลี่ยนเซิร์ฟเวอร์และเครือข่าย หลังสลีป เปิดและปิด IPv6 และเปิดปิด DNS ของเบราว์เซอร์ เพราะการรั่วส่วนใหญ่เกิดช่วงเปลี่ยนสถานะ ตรวจไขว้ด้วยเครื่องมือบรรทัดคำสั่งเมื่อทำได้ และเมื่อพบการรั่ว ให้ไล่แก้ตามลำดับ

หากต้องการแพ็กเกจแบบเติมเงินไว้ทดสอบบนอุปกรณ์ของคุณเอง ดูตัวเลือกได้ที่ หน้าราคา