Private DNS ของ Android ทำงานร่วมกับ VPN อย่างไร

Android มีการตั้งค่า Private DNS มาตั้งแต่เวอร์ชัน 9 ขณะเดียวกัน VPN ก็เปลี่ยนวิธีที่โทรศัพท์ค้นหาชื่อเว็บไซต์ได้เช่นกัน เมื่อเปิดทั้งสองอย่างพร้อมกัน หลายคนจึงสงสัยว่าใครเป็นฝ่ายคุมจริง ๆ ป้องกันสิ่งเดียวกันซ้ำสองชั้นหรือเปล่า และทำไมบางครั้งเว็บถึงโหลดไม่ขึ้นขึ้นมาเฉย ๆ คำตอบขึ้นอยู่กับโหมดที่เลือก เวอร์ชันของ Android และสิ่งที่แอป VPN ขอให้ระบบทำ

บทความนี้พูดเฉพาะจุดที่สองสิ่งนี้มาเจอกัน เราจะไม่อธิบายพื้นฐาน DNS ตั้งแต่ต้น เพราะมีบทความ DNS ทำงานอย่างไร อธิบายไว้แล้ว และจะไม่เปรียบเทียบ DNS แบบเข้ารหัสกับ VPN ในภาพรวม ซึ่งอยู่ใน DNS over HTTPS กับ VPN ที่นี่เราดูแค่มือถือหนึ่งเครื่อง หน้าตั้งค่าหนึ่งหน้า และคำถามเดียวว่า เมื่อ Private DNS เจอ VPN คำขอค้นหาชื่อเว็บของคุณจะเกิดอะไรขึ้น

Private DNS ของ Android ทำอะไรกันแน่

Private DNS คือสวิตช์ DNS แบบเข้ารหัสที่ Android ติดตั้งมาให้ เมื่อเปิดใช้ โทรศัพท์จะส่งคำถามค้นหาชื่อไปยัง resolver ด้วย DNS over TLS (RFC 7858) ซึ่งปกติใช้พอร์ต 853 แทนที่จะส่งเป็นข้อความธรรมดาผ่านพอร์ต 53 ผลคือคนที่นั่งอยู่บน Wi-Fi เดียวกับคุณจะอ่านหรือแอบแก้คำถามประเภท "เว็บนี้อยู่ที่ที่อยู่ไหน" ระหว่างทางไปยัง resolver ไม่ได้อีกต่อไป

ตำแหน่งของเมนูต่างกันไปตามยี่ห้อ ส่วนใหญ่อยู่ที่ การตั้งค่า แล้วไป เครือข่ายและอินเทอร์เน็ต (หรือ การเชื่อมต่อ แล้ว การตั้งค่าการเชื่อมต่ออื่น ๆ) จากนั้นเลือก Private DNS มีให้เลือกสามแบบ

โหมด	ความหมาย	ผลที่มักเกิดขึ้น
ปิด	ใช้ DNS ธรรมดาเท่านั้น	คำขอไปที่ resolver ที่เครือข่ายกำหนด โดยไม่เข้ารหัส
อัตโนมัติ	ลองเข้ารหัสกับ resolver ของเครือข่าย ถ้าไม่รองรับก็ถอยกลับไปแบบธรรมดา	เข้ารหัสเมื่อ resolver รองรับ ไม่เช่นนั้นไม่เข้ารหัส
ชื่อโฮสต์ของผู้ให้บริการ Private DNS	ใช้เฉพาะผู้ให้บริการที่ระบุผ่าน TLS และไม่ถอยกลับ	เข้ารหัสเสมอ แต่ถ้าติดต่อผู้ให้บริการไม่ได้ การค้นหาชื่อก็ล้มเหลว

มีสองจุดที่ควรจำไว้ จุดแรก โหมดระบุชื่อโฮสต์เข้มงวดมาก คือไม่แอบถอยไปใช้ DNS ธรรมดาเมื่อมีปัญหา ถ้ามีอะไรขวางอยู่ คุณจะเห็นเป็นเว็บเปิดไม่ได้ ไม่ใช่ถูกลดระดับความปลอดภัยโดยไม่รู้ตัว จุดที่สอง Private DNS ครอบคลุมแค่ขั้นตอนค้นหาชื่อ ไม่ได้ซ่อนเว็บที่คุณเข้าต่อจากนั้น ไม่ซ่อนที่อยู่ IP และไม่ปกป้องเนื้อหาของทราฟฟิกที่ไม่ใช่ HTTPS

VPN ทำอะไรกับ DNS

แอป VPN บน Android สร้างเครือข่ายเสมือนขึ้นมาแล้วขอให้ระบบส่งทราฟฟิกผ่านเครือข่ายนั้น ระหว่างตั้งค่า แอปสามารถส่งรายชื่อเซิร์ฟเวอร์ DNS ให้ระบบใช้ตลอดที่อุโมงค์ทำงาน และขอให้การค้นหาชื่อวิ่งอยู่ภายในอุโมงค์พร้อมกับทราฟฟิกอื่นทั้งหมด ในการออกแบบ VPN สำหรับผู้ใช้ทั่วไป resolver มักดำเนินการโดยผู้ให้บริการ VPN คำขอของคุณจึงไปถึง resolver ผ่านอุโมงค์ที่เข้ารหัส ไม่ได้ข้ามเครือข่ายท้องถิ่นเป็นข้อความเปล่า

การจัดแบบนี้ปิดช่องโหว่เดียวกับที่ Private DNS ปิด เพียงแต่ทำจากอีกด้านหนึ่ง เจ้าของ Wi-Fi อ่านคำขอค้นหาชื่อไม่ได้เพราะมันอยู่ในอุโมงค์ และยังย้ายความไว้วางใจด้วย คือคนที่เห็นคำขอของคุณกลายเป็น resolver ของผู้ให้บริการ VPN ไม่ใช่ resolver ของร้านกาแฟหรือของผู้ให้บริการมือถือ VPN ที่ทำมาดียังพยายามป้องกันปัญหาตรงข้ามด้วย คือ DNS leak ซึ่งคำขอบางส่วนหลุดออกไปหา resolver ท้องถิ่น การตั้งค่า Private DNS ของ Android เป็นกลไกแยกต่างหากจากการป้องกันนี้ จึงเกิดผลลัพธ์ที่คาดไม่ถึงได้เมื่อใช้ร่วมกัน

เมื่อเปิดทั้งสองอย่าง ใครเป็นฝ่ายชนะ

ไม่มีกฎข้อเดียวที่ใช้ได้กับทุกเครื่อง แต่พฤติกรรมมักเป็นไปตามรูปแบบด้านล่าง ถือเป็นแนวทางที่ต้องลองเอง ไม่ใช่คำรับรอง

Private DNS แบบอัตโนมัติ และเปิด VPN VPN ส่งเซิร์ฟเวอร์ DNS ให้เครือข่ายอุโมงค์ Android จะลองคุยกับเซิร์ฟเวอร์นั้นผ่าน TLS ถ้า resolver ของ VPN ไม่รองรับ DNS over TLS ซึ่งพบได้บ่อย Android ก็ถอยกลับไปใช้ DNS ธรรมดาภายในอุโมงค์ คำขอของคุณได้รับการปกป้องด้วยตัวอุโมงค์ และไม่มีอะไรพังให้เห็น นี่คือชุดค่าที่สร้างปัญหาน้อยที่สุด และคนส่วนใหญ่ควรปล่อยไว้แบบนี้

Private DNS แบบระบุชื่อโฮสต์ และเปิด VPN Android ถูกสั่งให้ใช้ผู้ให้บริการตามชื่อนั้นผ่าน TLS สำหรับการค้นหาชื่อ ตัวคำขอเองยังออกจากเครื่องผ่านเส้นทางเครือข่ายที่ใช้งานอยู่ ซึ่งปกติคืออุโมงค์ เจ้าของ Wi-Fi จึงยังอ่านคำขอไม่ได้ แต่ผู้ที่ตอบคำขอตอนนี้คือผู้ให้บริการ DNS ที่คุณเลือก ไม่ใช่ resolver ของ VPN บางคนต้องการแบบนี้ เช่นใช้ resolver ที่กรองโดเมนโฆษณาและมัลแวร์ แต่ก็หมายความว่าคุณไว้ใจสองฝ่ายสำหรับงานคนละอย่าง และ resolver ของ VPN รวมถึงชื่อภายในที่มันให้บริการจะไม่ถูกใช้

ปิด Private DNS และเปิด VPN resolver ของ VPN ตอบภายในอุโมงค์ โดยไม่มีชั้น DNS over TLS ซ้อนทับ ซึ่งภายในอุโมงค์ที่เข้ารหัสอยู่แล้วโดยทั่วไปไม่เป็นปัญหา เพราะอุโมงค์ซ่อนคำขอจากเครือข่ายท้องถิ่นอยู่แล้ว

Private DNS แบบระบุชื่อโฮสต์ และปิด VPN โทรศัพท์เข้ารหัสคำขอไปยังผู้ให้บริการที่เลือก เจ้าของ Wi-Fi อ่านคำขอไม่ได้ แต่ยังเห็นที่อยู่ IP ที่คุณเชื่อมต่อต่อทันทีหลังจากนั้น

เพราะพฤติกรรมต่างกันตามเวอร์ชันและตามแอป วิธีที่พึ่งพาได้คือการทดสอบเอง ซึ่งเช็กลิสต์ด้านล่างทำได้ในไม่กี่นาที

ทำไม DNS ถึงล้มเหลวเมื่อเปิดทั้งสองอย่าง

อาการที่พบบ่อยที่สุดคือ "VPN ขึ้นว่าเชื่อมต่อแล้ว แต่ไม่มีอะไรโหลดเลย" ในโหมดระบุชื่อโฮสต์ที่เข้มงวด สาเหตุหลักมีสามข้อ

1. พอร์ต 853 ถูกบล็อกหรือถูกกรอง เครือข่ายโรงแรม โรงเรียน และออฟฟิศบางแห่งบล็อก DNS over TLS เมื่อผ่านอุโมงค์โอกาสเกิดน้อยลง แต่กฎไฟร์วอลล์ฝั่ง VPN หรือหน้าล็อกอิน Wi-Fi ที่ยังไม่ได้กรอกให้เสร็จก็ยังขัดขวางการจับมือ TLS ได้ เมื่อไม่มีทางถอยกลับ การค้นหาชื่อทุกครั้งจะหมดเวลา
2. ติดต่อผู้ให้บริการจากในอุโมงค์ไม่ได้ ถ้า VPN ส่งทราฟฟิกบางส่วนผ่านอุโมงค์ หรือเส้นทางไปยังที่อยู่ของผู้ให้บริการเปลี่ยนเมื่ออุโมงค์เริ่มทำงาน โทรศัพท์อาจเข้าถึงชื่อโฮสต์ที่สั่งให้ใช้ไม่ได้
3. VPN เริ่มแล้วแต่สถานะ DNS ไม่รีเฟรช บางครั้ง Android ยังจำสถานะ resolver ของเครือข่ายก่อนหน้าไว้ชั่วครู่ การเปิดโหมดเครื่องบินหรือเชื่อมต่อ VPN ใหม่จะล้างสถานะนั้น

อาการดูเหมือนเน็ตตาย แอปที่มีการเชื่อมต่ออยู่แล้วอาจยังใช้ได้อีกพักหนึ่ง ขณะที่การโหลดหน้าใหม่ล้มเหลวพร้อมข้อความทำนอง "ไม่พบเซิร์ฟเวอร์" หรือ DNS_PROBE_FINISHED ถ้าตรงกับที่เจอ ให้ข้ามไปเช็กลิสต์การแก้ปัญหาด้านล่าง และดู VPN เชื่อมต่อแล้วแต่ไม่มีอินเทอร์เน็ต สำหรับรายการสาเหตุที่กว้างกว่านี้

ทดสอบทีละขั้นภายในสิบนาที

ต้องใช้โทรศัพท์ เบราว์เซอร์ และหน้าทดสอบ DNS leak ที่เปิดไว้สองแท็บ หน้าทดสอบที่น่าเชื่อถือหน้าไหนก็ได้ จุดประสงค์คือเปรียบเทียบ ไม่ใช่เชื่อผลจากหน้าเดียว

1. ตั้ง Private DNS เป็น ปิด และตัดการเชื่อมต่อ VPN รันการทดสอบและจดชื่อ resolver ที่รายงาน นี่คือค่าตั้งต้น ซึ่งมักเป็นของผู้ให้บริการมือถือหรือเราเตอร์ Wi-Fi
2. เชื่อมต่อ VPN โดยยังตั้ง Private DNS เป็นปิด รันการทดสอบอีกครั้ง ถ้า resolver ที่รายงานเปลี่ยนเป็นสิ่งที่ไม่เกี่ยวกับผู้ให้บริการมือถือหรือ Wi-Fi แปลว่า VPN เป็นผู้จัดการการค้นหาชื่อ
3. ตั้ง Private DNS เป็น อัตโนมัติ โดย VPN ยังเปิดอยู่ แล้วรันการทดสอบ ส่วนใหญ่ผลจะเหมือนข้อ 2 ซึ่งบอกว่าโหมดอัตโนมัติไม่ได้แย่งหน้าที่ของ VPN
4. ตั้ง Private DNS เป็น ชื่อโฮสต์ของผู้ให้บริการ โดย VPN เปิดอยู่ แล้วรันการทดสอบ ถ้า resolver ที่รายงานเป็นผู้ให้บริการที่คุณระบุ แปลว่าการตั้งชื่อโฮสต์เข้ามาคุมการค้นหาชื่อ ถ้าเว็บโหลดไม่ขึ้น คุณเจอจุดขัดแย้งแล้ว
5. ตัดการเชื่อมต่อ VPN แล้วทดสอบอีกรอบโดยยังตั้งชื่อโฮสต์ไว้ ขั้นนี้ยืนยันว่าการตั้งชื่อโฮสต์ใช้งานเดี่ยว ๆ ได้หรือไม่ คุณจะรู้ว่าฝั่งไหนมีปัญหา

จดผลไว้ เพราะรูปแบบของผลคือสิ่งที่คุณต้องการ ถ้าข้อ 4 ล้มเหลวแต่ข้อ 5 ใช้ได้ แปลว่าเส้นทาง VPN กับชื่อโฮสต์เข้ากันไม่ได้ ถ้าล้มเหลวทั้งคู่ อาจพิมพ์ชื่อโฮสต์ผิดหรือผู้ให้บริการล่ม ความผิดพลาดจากการพิมพ์พบบ่อย ช่องนี้ต้องการชื่อโฮสต์ เช่น dns.example.net ไม่ใช่ที่อยู่ IP และไม่ใช่ลิงก์เว็บที่มี https:// นำหน้า

วิธีแก้เมื่อทั้งสองขัดกัน

เริ่มจากสิ่งที่กระทบน้อยที่สุด

• ตั้ง Private DNS กลับเป็นอัตโนมัติ เป็นขั้นแรกเพราะยังเข้ารหัสเมื่อทำได้ และไม่ทำให้การค้นหาชื่อพัง ปัญหาส่วนใหญ่หายตรงนี้
• เชื่อมต่อ VPN ใหม่หลังเปลี่ยนค่า DNS แอป VPN แจ้งเซิร์ฟเวอร์ DNS ให้ระบบทราบตอนเชื่อมต่อ การปิดแล้วเปิดใหม่หลังเปลี่ยนค่าจะทำให้เริ่มจากสถานะสะอาด
• เปิดโหมดเครื่องบินสิบวินาที ช่วยรีเซ็ตสถานะเครือข่าย รวมถึงตัวเลือก resolver ที่แคชไว้
• ตรวจชื่อโฮสต์ว่าพิมพ์ผิดหรือไม่ ช่องว่างเกินหนึ่งตัว ตัวอักษรหาย หรือการวางลิงก์เต็ม ก็ทำให้ทุกคำขอล้มเหลวได้
• ลองเครือข่ายอื่น ถ้าชื่อโฮสต์ใช้ได้บนเน็ตมือถือแต่ใช้ไม่ได้บน Wi-Fi บางแห่ง แปลว่า Wi-Fi นั้นกรองพอร์ต 853 และคุณปล่อย Private DNS ไว้ที่อัตโนมัติเมื่ออยู่ที่นั่นได้
• ลบแอปอื่นที่เปลี่ยน DNS ตัวบล็อกโฆษณาที่ทำงานเป็น VPN ในเครื่อง แอปกรองเนื้อหาสำหรับเด็ก และชุดความปลอดภัยบางตัวล้วนต้องการคุม DNS และ Android อนุญาตให้บริการ VPN ทำงานได้ครั้งละหนึ่งตัว ตัวกรองในเครื่องกับแอป VPN จึงแย่งช่องเดียวกัน
• อัปเดตแอป VPN และ Android การจัดการ resolver ถูกปรับในหลายรุ่น บั๊กที่คุณเจออาจถูกแก้ไปแล้ว

คู่มือแก้ปัญหา VPN บน Android รวมการตรวจพื้นฐานเรื่องสิทธิ์ของแอป ข้อจำกัดแบตเตอรี่ และการตั้งค่า always-on ซึ่งควรดูหากสาเหตุไม่ใช่ DNS

เลือกการตั้งค่าที่เหมาะกับสถานการณ์ของคุณ

แต่ละคนต้องการชุดค่าไม่เหมือนกัน นี่คือกรณีที่พบบ่อย

นักท่องเที่ยวที่ใช้ Wi-Fi โรงแรมและสนามบิน ปล่อย Private DNS ไว้ที่อัตโนมัติ และเปิด VPN ทุกครั้งที่เข้าเครือข่ายสาธารณะ คุณได้อุโมงค์ครอบทุกอย่าง โดยไม่มีชื่อโฮสต์เข้มงวดที่หน้าล็อกอินของโรงแรมอาจทำให้พัง ถ้าหน้าล็อกอินของโรงแรมไม่ขึ้น ให้ปิด VPN สักครู่ ล็อกอินให้เสร็จ แล้วเปิดกลับ

ผู้ปกครองที่ใช้ resolver สำหรับครอบครัว ชื่อโฮสต์ของผู้ให้บริการที่กรองเนื้อหาจะบล็อกโดเมนผู้ใหญ่และมัลแวร์ที่รู้จักบนทุกเครือข่าย เหมาะกับมือถือของเด็ก ถ้าต้องการ VPN บนเครื่องนั้นด้วย ให้ทดสอบชุดค่าก่อน ถ้าไม่ได้ใช้ resolver ของ VPN ตัวกรองก็ยังทำงาน แต่ชื่อภายในที่ VPN ให้บริการจะค้นไม่เจอ สำหรับการใช้เว็บทั่วไปรับได้

ผู้ที่ใส่ใจความเป็นส่วนตัวและไม่อยากไว้ใจ resolver ตัวเดียว ใช้ชื่อโฮสต์ของผู้ให้บริการที่คุณไว้ใจ แล้วใช้ VPN สำหรับเส้นทางเครือข่าย จะแบ่งหน้าที่ได้ คือ VPN ปกป้องเส้นทาง และผู้ให้บริการเป็นฝ่ายตอบ ซับซ้อนขึ้น และต้องยอมรับว่าผู้ให้บริการจะเห็นคำขอของคุณ เลือกรายที่คุณอ่านนโยบายแล้ว

คนทำงานระยะไกลที่ต้องใช้ชื่อภายในของบริษัท resolver ของบริษัทมักมีชื่อที่มีอยู่เฉพาะภายใน การตั้งชื่อโฮสต์แบบเข้มงวดทำให้ชื่อเหล่านั้นค้นไม่เจอ เพราะผู้ให้บริการสาธารณะตอบแทนไม่ได้ ตั้ง Private DNS เป็นอัตโนมัติหรือปิดขณะใช้ VPN ของที่ทำงาน

คนที่แค่อยากให้ใช้งานได้ ปล่อย Private DNS ไว้ที่อัตโนมัติ ใช้แอป VPN ที่คุณไว้ใจ และไม่เพิ่มชั้นมากกว่าที่คุณทดสอบไหว

ข้อจำกัดและสิ่งที่ควรระวัง

• Private DNS ไม่ใช่ VPN มันซ่อนคำขอค้นหาชื่อ แต่ไม่ซ่อนเว็บที่คุณเข้าหรือที่อยู่ IP หลังการค้นหา การเชื่อมต่อไปยังเว็บยังมองเห็นได้โดยผู้ที่ขนส่งทราฟฟิก
• การระบุชื่อโฮสต์คือการเลือกผู้ที่ไว้ใจ ผู้ให้บริการที่คุณระบุเห็นทุกคำขอค้นหาชื่อของคุณบนทุกเครือข่าย รวมถึงเน็ตมือถือ อ่านนโยบายก่อน
• โหมดเข้มงวดไม่มีทางถอย นั่นคือจุดประสงค์ของมัน แต่ก็ทำให้ผู้ให้บริการที่มีปัญหาดูเหมือนมือถือพังทั้งเครื่อง
• ยี่ห้อต่างกันก็ต่างกัน ชื่อเมนูและพฤติกรรมอาจต่างกัน และบางเครื่องใช้ค่านี้กับเน็ตมือถือและ Wi-Fi ไม่เหมือนกัน
• แอปอาจมี DNS ของตัวเอง เบราว์เซอร์บางตัวใช้ DNS แบบเข้ารหัสของตัวเองและไม่สนใจการตั้งค่าของระบบ ให้ทดสอบในเบราว์เซอร์ที่คุณใช้จริง
• ไม่มีการตั้งค่าใดแก้ปัญหาฟิชชิงหรือบัญชีถูกขโมย ถ้าการค้นหาชื่อคืนที่อยู่ที่ถูกต้องของเว็บปลอม การตั้งค่า DNS ใดก็ไม่ทำให้หน้านั้นเป็นของจริง
• การล็อกอินแอป VPN เป็นคนละเรื่อง ถ้าใช้แอป VPNclient ฟรีกับแพ็กเกจ XPASS ชื่อผู้ใช้และรหัสผ่านมาจากหน้า My Pass ของคุณ การล็อกอินผิดจะเห็นต่างจากปัญหา DNS คือ VPN ไม่เชื่อมต่อเลย ไม่ใช่เชื่อมต่อแล้วโหลดหน้าไม่ได้

ความผิดพลาดที่พบบ่อย

• พิมพ์ที่อยู่ IP หรือลิงก์เว็บเต็ม ๆ ลงในช่อง Private DNS
• ทิ้งชื่อโฮสต์ที่ตั้งไว้ตอนทดลองจนลืม
• เปิดแอปแนว VPN สองตัวพร้อมกัน เช่นตัวบล็อกโฆษณากับ VPN
• ทดสอบในเบราว์เซอร์เดียวแล้วคิดว่าใช้ได้กับทุกแอป
• โทษ VPN ทั้งที่ปัญหาหายไปเมื่อใช้เน็ตมือถือ ซึ่งแปลว่า Wi-Fi นั้นกรองพอร์ต 853
• คิดว่า DNS แบบเข้ารหัสกับ VPN ใช้แทนกันได้ แล้วปิด VPN เพราะ "เปิด Private DNS แล้ว"

สรุป

Private DNS ของ Android เข้ารหัสขั้นตอนการค้นหาชื่อด้วย DNS over TLS ส่วน VPN เข้ารหัสทั้งเส้นทาง ในโหมดอัตโนมัติ ทั้งสองมักอยู่ร่วมกันได้โดยไม่มีปัญหา การระบุชื่อโฮสต์จะเข้ามาคุมการค้นหาชื่อ และอาจล้มเหลวเมื่อเครือข่ายหรืออุโมงค์บล็อกมัน ซึ่งเห็นเป็น VPN ที่เชื่อมต่อแล้วแต่ไม่มีอะไรโหลด ให้ทดสอบชุดค่าต่าง ๆ ในไม่กี่นาที ถอยกลับมาที่โหมดอัตโนมัติเมื่อไม่แน่ใจ และจำไว้ว่าทั้งสองอย่างไม่ช่วยหยุดการหลอกลวงและไม่ทำให้คุณเป็นนิรนาม

ถ้ากำลังพิจารณา VPN สำหรับมือถือ Android หน้า ดาวน์โหลด มีลิงก์ไปยังแอป VPNclient ฟรี เพื่อให้คุณลองทดสอบเหล่านี้ได้ด้วยตัวเอง