ตรวจ DNS Leak บน macOS อย่างไร

คุณเปิด VPN ไอคอนบอกว่าเชื่อมต่อแล้ว เว็บเช็ก IP ก็แสดงที่อยู่ใหม่ ทุกอย่างดูถูกต้อง แต่ Mac ของคุณอาจยังถามผู้ผิดคนอยู่ว่าเว็บไซต์อยู่ที่ไหน และไอคอนที่ขึ้นว่าเชื่อมต่อไม่ได้บอกเรื่องนี้ คู่มือนี้แสดงวิธีตรวจ DNS Leak Mac ด้วยเครื่องมือที่มีอยู่ในเครื่องอยู่แล้ว บวกกับการทดสอบออนไลน์ และวิธีอ่านผลที่เห็น

หากต้องการทฤษฎีก่อน บทความDNS Leak คืออะไร อธิบายแนวคิด และDNS ทำงานอย่างไร อธิบายสายการค้นหา ในที่นี้เราสมมติว่าคุณรู้พื้นฐานแล้ว และต้องการขั้นตอนที่ทำซ้ำได้บน macOS

DNS Leak บน Mac หมายถึงอะไร

ทุกครั้งที่คุณเปิดเว็บ Mac จะถาม DNS resolver เพื่อแปลงชื่อเป็นที่อยู่ IP เมื่อ VPN ทำงานถูกต้อง คำถามนั้นควรเดินทางภายในอุโมงค์ไปยัง resolver ที่ VPN เลือก ส่วนกรณี leak คำถามจะออกทางการเชื่อมต่อปกติไปยัง resolver ของเราเตอร์ ผู้ให้บริการอินเทอร์เน็ต หรือเครือข่ายร้านกาแฟ หน้าเว็บยังโหลด ไอคอน VPN ยังเป็นสีเขียว สิ่งเดียวที่เปลี่ยนคือผู้ที่ดูแล resolver นั้นมองเห็นรายชื่อเว็บที่คุณค้นหา

รายชื่อนั้นไม่ใช่เรื่องเล็ก มันบอกว่าคุณใช้บริการอะไรและเมื่อไร การรั่วไม่ได้เปิดเผยเนื้อหาของหน้าเว็บ เพราะส่วนนั้นเข้ารหัสในอุโมงค์ แต่ทำลายเหตุผลข้อหนึ่งที่หลายคนเปิด VPN

บน Mac มีจุดพิเศษ macOS ไม่ได้เก็บเซิร์ฟเวอร์ DNS ตัวเดียวแบบทั่วทั้งระบบ แต่เก็บชุดของ resolver แต่ละตัวผูกกับอินเทอร์เฟซเครือข่าย และบางครั้งผูกกับชื่อโดเมนเฉพาะ แล้วระบบเลือกในแต่ละการค้นหาว่าจะใช้ตัวไหน ความยืดหยุ่นนี้เองทำให้ leak ซ่อนอยู่ในที่ที่ระบบอื่นไม่มี และเป็นเหตุผลที่การดูผ่าน Terminal มีประโยชน์

macOS เลือกเซิร์ฟเวอร์ DNS อย่างไร

ภาพในหัวสั้น ๆ จะช่วยให้ส่วนที่เหลือง่ายขึ้น

• เครือข่ายแต่ละบริการ (Wi-Fi, Ethernet, VPN) ส่งเซิร์ฟเวอร์ DNS ได้ ทั้งที่รับมาอัตโนมัติจากเครือข่ายหรือที่คุณพิมพ์เอง
• บริการ resolver ของระบบคือ mDNSResponder ตอบการค้นหาให้เกือบทุกแอป โดยตัดสินใจเลือก resolver จากลำดับอินเทอร์เฟซ กฎเฉพาะโดเมน และสถานะว่าเข้าถึงได้หรือไม่
• VPN ที่ทำงานถูกต้องจะเพิ่ม resolver ที่ผูกกับอินเทอร์เฟซของอุโมงค์ และจัดให้มีลำดับความสำคัญสำหรับการค้นหาทั่วไป
• แอปบางตัวข้ามระบบไปเลย เบราว์เซอร์ที่มีการตั้งค่า secure DNS ของตัวเองจะส่งการค้นหาตรงไปยังผู้ให้บริการที่เลือก ไม่ว่าระบบจะตั้งไว้อย่างไร

จึงมีสองคำถาม คือระบบเชื่อว่าอย่างไร และแต่ละแอปทำอะไรจริง การตรวจที่ละเอียดต้องดูทั้งสองด้าน

ขั้นที่หนึ่ง จดค่า DNS ก่อนเชื่อมต่อ

คุณต้องมีค่าตั้งต้นสำหรับเทียบ ตัดการเชื่อมต่อ VPN แล้วทำดังนี้

1. เปิด การตั้งค่าระบบ ไปที่ เครือข่าย เลือกการเชื่อมต่อที่ใช้อยู่ (Wi-Fi หรือ Ethernet) กด รายละเอียด แล้วเปิดแท็บ DNS ชื่อเมนูต่างกันเล็กน้อยตามเวอร์ชัน macOS จดเซิร์ฟเวอร์ที่แสดง ถ้ารายการเป็นสีเทาและอัตโนมัติ แปลว่าเราเตอร์เป็นผู้ส่งให้
2. ใน Terminal พิมพ์ scutil --dns ผลลัพธ์ยาว ให้ดูบล็อกแรกที่ชื่อ resolver #1 จดบรรทัด nameserver และ if_index ซึ่งบอกชื่ออินเทอร์เฟซ (เช่น en0)
3. หากต้องการ ให้พิมพ์ networksetup -getdnsservers Wi-Fi จะแสดงเซิร์ฟเวอร์ที่คุณตั้งเอง หรือบอกว่า "There aren't any DNS Servers set" แปลว่า Mac ใช้ที่เครือข่ายแจกให้ หากการเชื่อมต่อของคุณใช้ชื่ออื่น ดูรายชื่อด้วย networksetup -listallnetworkservices

จดที่อยู่ของ resolver ไว้ ผลที่พบทั่วไปคือที่อยู่ส่วนตัวเช่น 192.168.1.1 (เราเตอร์ของคุณ อยู่ในช่วงส่วนตัวตาม RFC 1918) หรือที่อยู่ของ resolver สาธารณะที่คุณเคยเลือกไว้

ขั้นที่สอง เชื่อมต่อแล้วเทียบ

เชื่อมต่อ VPN แล้วรอสองสามวินาที จากนั้นรัน scutil --dns อีกครั้งและเทียบ

ผลที่ดีมักมีลักษณะดังนี้

• มี resolver ที่ผูกกับอินเทอร์เฟซ utun ปรากฏขึ้น และอยู่ต้น ๆ ของรายการ
• resolver เริ่มต้นสำหรับการค้นหาทั่วไปไม่ใช่ที่อยู่เราเตอร์ที่คุณจดไว้ในขั้นที่หนึ่ง
• resolver ที่ยังชี้ไป en0 ผูกกับชื่อโดเมนเฉพาะ (เช่น ชื่อเครือข่ายภายใน) ไม่ใช่ทุกอย่าง

สัญญาณเตือน

• Resolver #1 เหมือนค่าตั้งต้น และยังชี้ไป en0 พร้อมที่อยู่เราเตอร์
• ไม่มี resolver ของ utun เลย
• มีหลาย resolver และตัวบน en0 อยู่ก่อนตัวของอุโมงค์

อย่าด่วนสรุปจากข้อมูลนี้อย่างเดียว ผลลัพธ์แสดงการตั้งค่า ไม่ใช่เส้นทางที่คำถามหนึ่ง ๆ เดินจริง ถือเป็นตัวชี้เบื้องต้นแล้วยืนยันด้วยการทดสอบ

ขั้นที่สาม ทดสอบ DNS Leak ออนไลน์

เปิดหน้าทดสอบ DNS leak ในเบราว์เซอร์ เลือกแบบ extended หรือแบบเต็มถ้ามี เพราะจะส่งการค้นหาที่ไม่ซ้ำกันจำนวนมากและรวบรวมคำตอบ หน้าเว็บจะแสดง resolver ที่ถามแทนคุณจริง ๆ มักระบุองค์กรที่ดูแลแต่ละตัว

อ่านผลดังนี้

สิ่งที่เห็น	ความหมายที่เป็นไปได้
มีแต่ resolver ฝั่ง VPN หรือต่างจากค่าตั้งต้นของคุณ	ไม่พบ leak ในเบราว์เซอร์นี้
resolver ของเราเตอร์ที่บ้านหรือผู้ให้บริการอินเทอร์เน็ตของคุณ	เกิด leak การค้นหาออกนอกอุโมงค์
resolver สาธารณะขนาดใหญ่ที่คุณไม่ได้ตั้ง	อาจเป็น secure DNS ของเบราว์เซอร์ โปรไฟล์ หรือค่าที่ลืมไว้ ควรตรวจสอบ
รายการ resolver เหมือนก่อนเชื่อมต่อ	VPN อาจไม่ได้เปลี่ยน DNS เลย
ปนกันทั้งสองแบบ	รั่วบางส่วน มักเป็น IPv6 หรือกฎเฉพาะโดเมน

มีข้อควรระวังบางข้อ การทดสอบแสดง resolver ที่เว็บทดสอบมองเห็น และผู้ให้บริการ DNS รายใหญ่ตอบจากหลายที่อยู่ จึงอาจเห็นหลายบรรทัดสำหรับผู้ให้บริการรายเดียว ประเทศที่แสดงข้างชื่อ resolver เป็นการคาดเดาจากที่อยู่ และหน้าออนไลน์รายงานได้เฉพาะเบราว์เซอร์ที่คุณใช้ ผลที่สะอาดในเบราว์เซอร์หนึ่งจึงบอกอะไรเกี่ยวกับแอปอื่นได้น้อย

หากต้องการภาพกว้างขึ้น เว็บ Cover Your Tracks ของ EFF ก็ทดสอบสิ่งที่เบราว์เซอร์เปิดเผย แม้จะเน้นเรื่องลายนิ้วมือเบราว์เซอร์มากกว่า DNS

ขั้นที่สี่ ตรวจ resolver ของระบบจาก Terminal

การทดสอบออนไลน์ทำงานในเบราว์เซอร์ หากต้องการดูว่าระบบเองทำอะไร ให้ถามตรง ๆ

• dscacheutil -q host -a name example.com แปลงชื่อด้วยเส้นทางเดียวกับแอปส่วนใหญ่บน Mac แสดงที่อยู่ แต่ไม่บอกว่าเซิร์ฟเวอร์ไหนตอบ จึงยืนยันได้แค่ว่าการแปลงชื่อทำงานได้
• nslookup example.com แสดงบรรทัด Server: ควรรู้ว่า nslookup อ่านสำเนาค่า resolver ของตัวเอง ซึ่งอาจต่างจากที่ mDNSResponder ใช้กับแอป ถ้าบรรทัด Server: เป็นเราเตอร์ แต่ scutil --dns แสดง resolver ของอุโมงค์ ก็ไม่ได้พิสูจน์ว่ามี leak
• dig example.com แสดงคำตอบและบรรทัด SERVER: ด้วยข้อควรระวังเดียวกัน ถ้า Mac ของคุณไม่มี dig ใช้ nslookup แทนได้

คุณบังคับให้ถาม resolver ตัวใดตัวหนึ่งได้ด้วย dig @address example.com ซึ่งช่วยตรวจว่า resolver เข้าถึงได้หรือไม่ แต่จำไว้ว่าการทำเช่นนั้นข้ามการเลือกของระบบ และไม่ใช่หลักฐานของ leak

สรุปอย่างตรงไปตรงมา เครื่องมือ Terminal บอกว่า Mac ถูกตั้งค่าให้ทำอะไร ส่วนการทดสอบออนไลน์บอกว่าอะไรไปถึงเซิร์ฟเวอร์ DNS บนอินเทอร์เน็ตจริง การวินิจฉัยที่ดีใช้ทั้งสองอย่าง

สาเหตุเฉพาะของ Mac ที่ทำให้เกิด leak

หาก leak เกิดขึ้นจริง เกือบทุกครั้งมาจากสาเหตุใดสาเหตุหนึ่งต่อไปนี้

1. พิมพ์เซิร์ฟเวอร์ DNS เอง หากเคยตั้ง DNS ด้วยมือในหน้าเครือข่าย แอป VPN บางตัวไม่สามารถแทนที่ได้ และเซิร์ฟเวอร์ที่พิมพ์ไว้ยังคงตอบอยู่ ลบออกเพื่อกลับไปใช้อัตโนมัติ
2. โปรไฟล์ DNS หรือการตั้งค่า DNS แบบเข้ารหัส โปรไฟล์การตั้งค่าที่กำหนด DNS เข้ารหัสทั้งระบบอาจมีลำดับความสำคัญเหนือ resolver ของ VPN ดูในส่วนโปรไฟล์ของการตั้งค่าระบบ (ทั่วไป แล้ว การจัดการอุปกรณ์ หรือ โปรไฟล์) ว่ามีรายการที่คุณไม่รู้จักหรือไม่
3. iCloud Private Relay เปลี่ยนวิธีที่ทราฟฟิก Safari และบางส่วนออกจาก Mac ทำให้ตีความผลยาก ลองเทียบเมื่อปิดไว้ และจำไว้ว่ารีเลย์ความเป็นส่วนตัวกับ VPN เต็มรูปแบบเป็นคนละเครื่องมือกัน
4. secure DNS ของเบราว์เซอร์ Chrome, Firefox และเบราว์เซอร์อื่นส่งการค้นหาผ่าน HTTPS ไปยังผู้ให้บริการที่เลือกได้ RFC 8484 อธิบายกลไกนี้ หากเปิดอยู่ เบราว์เซอร์อาจเพิกเฉย resolver ของ VPN โดยตั้งใจ
5. IPv6 หากเครือข่ายของคุณมี IPv6 และ VPN ครอบคลุมเฉพาะ IPv4 การค้นหาหรือทราฟฟิกอาจใช้ IPv6 นอกอุโมงค์
6. ลำดับบริการเครือข่าย เมื่อใช้ทั้ง Wi-Fi และ Ethernet หรืออะแดปเตอร์ USB ลำดับของบริการเครือข่ายมีผลต่อ resolver ที่ถูกลองก่อน
7. เครื่องมือเครือข่ายอื่น VPN ตัวที่สอง ตัวกรองเนื้อหา ชุดซอฟต์แวร์ความปลอดภัย หรือแคช DNS ในเครื่อง เช่น resolver สำหรับงานพัฒนา อาจดักการค้นหา
8. Captive portal และการเชื่อมต่อใหม่ที่ไม่เสถียร หลังตื่นจากสลีปหรือเพิ่งเข้า Wi-Fi โรงแรม Mac อาจใช้ resolver ของเครือข่ายอยู่ชั่วครู่ก่อนอุโมงค์จะกลับมา

วิธีแก้ เรียงตามความยากง่าย

ไล่จากการเปลี่ยนที่ง่ายที่สุดไปยากที่สุด และทดสอบทุกครั้งหลังเปลี่ยน

1. ตัดการเชื่อมต่อ VPN แล้วเชื่อมใหม่ จากนั้นทดสอบซ้ำ leak จำนวนมากเป็นเพียงชั่วคราว
2. ล้างแคช ด้วย sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder คำตอบที่แคชไว้อาจบังสิ่งที่เกิดขึ้นจริง
3. ตั้ง DNS กลับเป็นอัตโนมัติ ในเครือข่าย รายละเอียด DNS หากเคยพิมพ์เซิร์ฟเวอร์เอง
4. ปิด secure DNS ของเบราว์เซอร์ ระหว่างทดสอบ และปิด Private Relay ด้วย ถ้า leak หายไป แสดงว่าพบสาเหตุแล้ว และคุณตัดสินใจได้ว่าตั้งค่าไหนสำคัญกว่าสำหรับคุณ
5. ลบโปรไฟล์ที่ไม่รู้จัก หลังยืนยันว่าไม่ได้มาจากนายจ้างหรือสถานศึกษา
6. ตรวจ IPv6 หาก VPN ไม่ครอบคลุม ลองปิดสำหรับการเชื่อมต่อที่ทดสอบ ที่เครือข่าย รายละเอียด TCP/IP เพื่อดูว่าเป็นต้นเหตุหรือไม่
7. รีสตาร์ต Mac เพื่อล้างสถานะ resolver แล้วเชื่อมต่อใหม่ก่อนเปิดแอปอื่น
8. ติดต่อฝ่ายสนับสนุน พร้อมค่าตั้งต้นและผลทดสอบ หากไม่มีอะไรเปลี่ยนคู่มือแก้ปัญหา VPN บน Mac บอกว่าควรเตรียมอะไรไว้

อย่าคัดลอกคำสั่ง Terminal แบบสุ่มจากกระทู้ในเว็บบอร์ดไปรันบน Mac ที่คุณพึ่งพา คำสั่งข้างต้นเพียงอ่านการตั้งค่าหรือล้างแคช ซึ่งพอเพียงสำหรับการตรวจตามปกติ

ตัวอย่างการตรวจจริง

โซเฟียทำงานที่ร้านกาแฟด้วย MacBook ที่บ้าน scutil --dns แสดง resolver #1 ที่ 192.168.1.1 บน en0 ที่ร้านกาแฟเธอเชื่อมต่อ VPN แล้วรันคำสั่งอีกครั้ง Resolver #1 ชี้ไปยังที่อยู่บน utun4 และที่อยู่เราเตอร์ถูกย้ายลงไปในรายการ ผูกกับโดเมนภายใน เธอรันการทดสอบออนไลน์แบบ extended พบว่า resolver ที่แสดงไม่ใช่ผู้ให้บริการของร้าน เธอทดสอบซ้ำในเบราว์เซอร์ที่สองและได้ผลเหมือนกัน

จากนั้นเธอลองเปิด secure DNS ในเบราว์เซอร์ที่ใช้ประจำเพื่อดูว่าเปลี่ยนอะไร ผลทดสอบแสดง resolver สาธารณะรายใหญ่ที่เธอเลือกไว้เมื่อปีก่อน VPN ไม่มีปัญหา เป็นการตั้งค่าของเบราว์เซอร์ที่ทำงานแบบของมันเอง เธอตัดสินใจปิดไว้เมื่ออยู่บนเครือข่ายสาธารณะ แล้วจดไว้ในเช็กลิสต์สั้น ๆ ตอนนี้ขั้นตอนของเธอใช้เวลาสามนาที คือ จดค่าตั้งต้น เชื่อมต่อ เทียบ และทดสอบในสองเบราว์เซอร์

ควรตรวจซ้ำเมื่อไร และผลที่สะอาดหมายความว่าอย่างไร

ตรวจซ้ำหลังอัปเดต macOS หลังติดตั้งเครื่องมือเครือข่ายหรือโปรไฟล์อื่น หลังเปลี่ยนเราเตอร์ใหม่ และเมื่อตั้งค่า VPN บน Mac เครื่องใหม่ เก็บค่าตั้งต้นไว้เพื่อเทียบได้เร็ว

ผลที่สะอาดหมายความว่าในเงื่อนไขที่ทดสอบ การค้นหาของคุณไม่ได้ไปถึง resolver ปกติของคุณ ไม่ได้พิสูจน์ว่า VPN สมบูรณ์แบบ และไม่ได้บอกว่า resolver ของผู้ให้บริการ VPN มองเห็นอะไร เพราะจุดประสงค์ของ VPN คือย้ายความไว้วางใจ ไม่ใช่ทำให้ความไว้วางใจหายไป นอกจากนี้ยังไม่ครอบคลุม leak ประเภทอื่น หากต้องการขั้นตอนครบชุดบทความการทดสอบ VPN ครอบคลุมการตรวจ IP, WebRTC และ kill switch ส่วนคู่มือตรวจว่า VPN ทำงานหรือไม่ เป็นฉบับย่อ

สรุป

เพื่อตรวจ DNS Leak Mac ให้จดค่า resolver ก่อนเชื่อมต่อ เชื่อมต่อแล้วเทียบด้วย scutil --dns จากนั้นยืนยันด้วยการทดสอบออนไลน์แบบ extended ในมากกว่าหนึ่งเบราว์เซอร์ หากพบ leak ผู้ต้องสงสัยทั่วไปคือเซิร์ฟเวอร์ DNS ที่พิมพ์เอง โปรไฟล์ Private Relay secure DNS ของเบราว์เซอร์ IPv6 ลำดับบริการ หรือเครื่องมือเครือข่ายอื่น แก้ทีละอย่างและทดสอบซ้ำทุกครั้ง เมื่อ Mac พร้อม คุณดาวน์โหลดแอป VPNclient และดูแพ็กเกจที่หน้าราคา ได้