Secure DNS ในเบราว์เซอร์ทำงานร่วมกับ VPN อย่างไร

เบราว์เซอร์สมัยนี้มีตัวเลือกที่มักเรียกว่า Secure DNS หรือ DNS over HTTPS ซึ่งส่งคำถามหาที่อยู่ของเว็บไซต์ผ่านช่องทางเข้ารหัสไปยังตัวแปลงชื่อที่เบราว์เซอร์เลือก ขณะเดียวกัน VPN ก็เปลี่ยนเส้นทางที่คำถาม DNS เดินทางด้วยเช่นกัน เมื่อสองอย่างทำงานพร้อมกันจึงไม่ชัดว่าใครชนะ ใครเห็นคำถามของคุณจริง ๆ และทำไมเว็บที่ทำงานหรือหน้าเราเตอร์ถึงเปิดไม่ได้ขึ้นมากะทันหัน

บทความนี้พูดเรื่องการทำงานร่วมกันนี้เรื่องเดียว หากอยากรู้พื้นฐานของระบบชื่อโดเมนก่อน อ่าน DNS ทำงานอย่างไร และหากอยากเปรียบเทียบ DNS แบบเข้ารหัสกับ VPN เต็มรูปแบบในภาพกว้าง อ่าน DNS over HTTPS กับ VPN ส่วนที่นี่เราดูสถานการณ์จริงบนเครื่องเดียว คือเบราว์เซอร์ที่มีค่า DNS ของตัวเอง VPN ที่จัดการ DNS ของมันเอง และการเลือกตั้งค่าให้สองฝั่งสอดคล้องกัน

ตัวแปลงชื่อสองตัวบนเครื่องเดียว

ทุกการค้นหาเริ่มจากคำถามเดียวว่า ชื่อนี้ตรงกับที่อยู่ไหน บนคอมพิวเตอร์ส่วนใหญ่มีสองที่ที่ถามได้

• ตัวแปลงชื่อของระบบ ระบบปฏิบัติการเก็บค่า DNS ซึ่งมักได้รับจากเครือข่ายโดยอัตโนมัติ เช่น เราเตอร์ที่บ้านหรือโรงแรม โปรแกรมที่ไม่มีค่าของตัวเองจะใช้ค่านี้ เมื่อ VPN เชื่อมต่อ ซอฟต์แวร์ VPN มักแทนที่หรือเพิ่มเซิร์ฟเวอร์ DNS ให้ระบบ
• ตัวแปลงชื่อของเบราว์เซอร์ เมื่อเปิด Secure DNS เบราว์เซอร์จะข้ามค่าของระบบ แล้วคุยกับผู้ให้บริการ DNS ที่ตัวเองเลือก โดยห่อไว้ใน HTTPS (DNS over HTTPS) หรือบางครั้งใน TLS ซึ่ง RFC 8484 เป็นผู้กำหนดแบบ HTTPS

สองอย่างนี้ทำงานพร้อมกันได้ เบราว์เซอร์ของคุณอาจใช้ตัวแปลงชื่อของตัวเอง ขณะที่โปรแกรมอีเมล แอปแชต และตัวอัปเดตระบบใช้ของระบบ การแยกนี้คือหัวใจของเรื่อง VPN สั่งการตัวแปลงชื่อของระบบได้ แต่เบราว์เซอร์ที่กำหนดผู้ให้บริการไว้เองอาจไม่สนใจคำสั่งนั้น

แปลว่าคำถามหลุดออกนอกอุโมงค์หรือไม่ โดยปกติไม่ ถ้า VPN ส่งทราฟฟิกทั้งหมดผ่านอุโมงค์ ทุกอย่างจากอุปกรณ์ รวมถึงคำถาม DNS แบบเข้ารหัสของเบราว์เซอร์ จะไปที่เซิร์ฟเวอร์ VPN ก่อน ผู้ให้บริการ DNS ที่เบราว์เซอร์เลือกจะเห็นที่อยู่ของเซิร์ฟเวอร์ VPN เป็นต้นทาง ไม่ใช่ที่อยู่บ้านของคุณ สิ่งที่เปลี่ยนไม่ใช่ว่าคำถามถูกเข้ารหัสบนเครือข่ายท้องถิ่นหรือไม่ แต่เป็น ใครเป็นผู้ตอบ และ ชื่อไหนตอบได้

สี่การผสมและความหมายของแต่ละแบบ

Secure DNS ในเบราว์เซอร์	VPN	ใครเห็นคำถาม DNS ของคุณ	ผลที่มักเกิด
ปิด	ปิด	เครือข่ายของคุณและเซิร์ฟเวอร์ DNS ของมัน	คำถามอ่านได้บนเส้นทางท้องถิ่น
เปิด	ปิด	ผู้ให้บริการ DNS ที่คุณเลือก	เส้นทางท้องถิ่นเห็นเพียงทราฟฟิกเข้ารหัสไปหาตัวแปลงชื่อ แต่ยังเห็นว่าคุณเชื่อมต่อไปที่ไหน
ปิด	เปิด	เซิร์ฟเวอร์ DNS ที่ VPN ใช้	คำถามเดินทางในอุโมงค์และ VPN เป็นผู้กำหนดผู้ตอบ
เปิด	เปิด	ผู้ให้บริการ DNS ที่คุณเลือก โดยเห็นที่อยู่ของ VPN	คำถามอยู่ในอุโมงค์ แต่ชื่อภายในอาจล้มเหลว และผู้ตอบไม่ใช่ตัวเดียวกับของ VPN

แถวสุดท้ายคือแถวที่ทำให้คนแปลกใจ ไม่ได้มี "สิ่งที่พัง" ในเชิงความปลอดภัย แต่ DNS ของคุณถูกจัดการโดยผู้ให้บริการที่คุณเลือกไว้ในเบราว์เซอร์ ไม่ใช่รายที่ VPN กำหนด ซึ่งมีผลในทางปฏิบัติสามข้อ

1. ผู้ที่รู้พฤติกรรมการท่องเว็บของคุณเปลี่ยนไป DNS ของ VPN กับตัวแปลงชื่อสาธารณะเป็นคนละองค์กรที่มีข้อตกลงต่างกัน เลือกรายที่คุณสบายใจและอ่านเอกสารความเป็นส่วนตัวของเขา
2. ชื่อที่มีเฉพาะในเครือข่ายอาจล้มเหลว อินทราเน็ตของบริษัท เครื่องพิมพ์ที่บ้าน หรือหน้าเราเตอร์อยู่ในพื้นที่ชื่อส่วนตัวที่ตัวแปลงชื่อสาธารณะตอบไม่ได้
3. คำตอบที่ขึ้นกับตำแหน่งอาจต่างไป บางเว็บตอบที่อยู่ต่างกันตามที่ตั้งของตัวแปลงชื่อ เบราว์เซอร์อาจได้เซิร์ฟเวอร์ที่ไม่ใช่ตัวที่ใกล้ที่สุดสำหรับจุดออกของ VPN

ตรวจให้ชัดว่าเบราว์เซอร์ใช้ตัวแปลงชื่อตัวไหนอยู่

อย่าเดา ทดสอบสั้น ๆ ก็เห็นได้

1. ตัดการเชื่อมต่อ VPN แล้วเปิดเครื่องมือตรวจ DNS เช่นส่วนที่เกี่ยวกับ DNS ในเว็บ Cover Your Tracks ของ EFF หรือหน้าทดสอบ DNS leak ทั่วไป จดชื่อตัวแปลงชื่อที่แสดง
2. เชื่อมต่อ VPN แล้วรีเฟรชการทดสอบเดิม ถ้าตัวแปลงชื่อยังเหมือนเดิม แสดงว่าเบราว์เซอร์ใช้ผู้ให้บริการของตัวเอง ถ้าเปลี่ยนเป็นอย่างอื่น แสดงว่าใช้ตัวแปลงชื่อของระบบที่ VPN สั่งการอยู่
3. สลับการตั้งค่าในเบราว์เซอร์ ปิด Secure DNS แล้วโหลดการทดสอบใหม่ จากนั้นเปิดกลับ ผลสามชุดเทียบกันจะบอกชัดว่าระบบของคุณทำงานอย่างไร
4. ทำซ้ำบนเครือข่ายที่สอง เช่นฮอตสปอตมือถือ ถ้าผลต่างกันตามเครือข่าย มักเป็นเพราะวิธีที่เครือข่ายแจก DNS

ชื่อตัวแปลงชื่อที่ไม่ใช่ของ VPN ไม่ได้แปลว่ารั่วโดยอัตโนมัติ การรั่วที่อันตรายคือการที่คำถามของคุณไปถึงเครือข่ายท้องถิ่นหรือผู้ให้บริการอินเทอร์เน็ตทั้งที่คุณคาดว่าซ่อนอยู่ ผู้ให้บริการที่เบราว์เซอร์เลือกซึ่งเข้าถึงผ่านอุโมงค์เป็นการเลือก ไม่ใช่การรั่ว แต่คุณควรรู้ว่าตัวเองเลือกไว้ หากอยากรู้ว่าแบบอันตรายเป็นอย่างไรและสังเกตอย่างไร อ่าน DNS leak คืออะไร

หาตัวเลือกนี้ได้ที่ไหน

ชื่อเมนูต่างกันตามเบราว์เซอร์และเวอร์ชัน แต่เส้นทางคล้ายกันในเบราว์เซอร์หลัก

• เบราว์เซอร์ตระกูล Chromium เปิดการตั้งค่า ไปที่ความเป็นส่วนตัวและความปลอดภัย แล้วไปที่ความปลอดภัย มองหาตัวเลือกใช้ DNS แบบปลอดภัย โดยมากเลือกได้ระหว่าง "ใช้ผู้ให้บริการปัจจุบัน" หรือเลือกผู้ให้บริการที่มีชื่อ
• Firefox เปิดการตั้งค่า ไปที่ความเป็นส่วนตัวและความปลอดภัย เลื่อนไปส่วน DNS over HTTPS แล้วเลือกระดับการป้องกัน เช่น ปิด ค่าเริ่มต้น เพิ่มขึ้น หรือสูงสุด
• Safari และเบราว์เซอร์มือถือหลายตัว DNS แบบเข้ารหัสถูกควบคุมที่ระดับระบบปฏิบัติการ ไม่ใช่ในเบราว์เซอร์ จึงอาจไม่มีสวิตช์แยก

ตัวเลือกสำคัญคือระหว่าง "ใช้ DNS ของระบบ" (หรือ "ผู้ให้บริการปัจจุบัน" ซึ่งปล่อยให้ระบบหรือ VPN ตัดสินใจ) กับ "ใช้ผู้ให้บริการที่ระบุ" แบบแรกเคารพสิ่งที่ VPN กำหนด แบบที่สองเขียนทับ

ควรเลือกแบบไหน

ไม่มีคำตอบเดียวที่ถูกสำหรับทุกคน แต่สถานการณ์ต่อไปนี้ชี้ไปที่ค่าเริ่มต้นที่สมเหตุสมผล

สถานการณ์ของคุณ	การตั้งค่าเบราว์เซอร์ที่แนะนำ	เหตุผล
ใช้ที่บ้าน เปิด VPN เฉพาะเวลาใช้ Wi-Fi สาธารณะ	เปิด Secure DNS กับผู้ให้บริการที่ไว้ใจ	ช่วยในช่วงที่ไม่ได้เปิด VPN
เชื่อมต่อเครือข่ายที่ทำงานหรืออินทราเน็ต	ใช้ DNS ของระบบ	ทำให้ชื่อภายในยังใช้ได้
อยากให้องค์กรเดียวเห็นคำถามของคุณ	ใช้ DNS ของระบบขณะเปิด VPN	VPN เป็นผู้กำหนดตัวแปลงชื่อ
ต้องการตัวแปลงชื่อที่กรองเนื้อหา (ครอบครัว ความปลอดภัย)	เปิด Secure DNS กับผู้ให้บริการที่ระบุชื่อ	เป็นการเลือกที่ชัดเจน
แก้ปัญหาเว็บที่เปิดไม่ได้	สลับเป็น DNS ของระบบชั่วคราว	ตัดตัวแปรหนึ่งออก

ถ้าคุณพอใจกับข้อแลกเปลี่ยน การใช้ Secure DNS ร่วมกับ VPN เต็มรูปแบบก็ไม่มีปัญหา เพียงจำไว้ว่าตอนนี้คุณต้องไว้ใจสองฝ่าย คือ VPN และผู้ให้บริการ DNS

สถานการณ์ตัวอย่าง

นักเดินทางบน Wi-Fi โรงแรม พลอยถึงเมืองใหม่และเชื่อมต่อเครือข่ายโรงแรม ซึ่งแสดงหน้าล็อกอินที่เปิดได้เฉพาะชื่อที่เครือข่ายโรงแรมแปลงเอง เมื่อเปิด Secure DNS และยังไม่ได้ต่อ VPN หน้านั้นเปิดไม่ขึ้นเพราะเบราว์เซอร์ถามตัวแปลงชื่อสาธารณะซึ่งไม่รู้จักชื่อนั้น เธอสลับ Secure DNS เป็นแบบระบบสักครู่ ล็อกอินหน้าโรงแรม แล้วค่อยต่อ VPN และเปิด Secure DNS กลับ ลำดับขั้นตอนนี้อธิบายเพิ่มใน วิธีใช้ VPN บน Wi-Fi โรงแรม

พนักงานออฟฟิศกับอินทราเน็ต มาร์คัสเชื่อมต่อ VPN ของบริษัทแต่เปิดวิกิภายในด้วยชื่อไม่ได้ ทั้งที่โปรแกรมอื่นเปิดชื่อเดียวกันได้ สาเหตุคือ Secure DNS ของเบราว์เซอร์ที่ส่งชื่อนั้นไปยังตัวแปลงชื่อสาธารณะที่ไม่เคยได้ยิน เขาเปลี่ยนเบราว์เซอร์ให้ใช้ DNS ของระบบ วิกิก็เปิดได้ทันที บริษัทที่พึ่งชื่อภายในมักมีเอกสารเรื่องนี้ไว้อยู่แล้ว

ครอบครัวที่ใช้ตัวแปลงชื่อกรองเนื้อหา ครอบครัวหนึ่งตั้งตัวแปลงชื่อที่ระบุชื่อไว้ในเบราว์เซอร์เพื่อกรองเว็บที่ไม่เหมาะสมให้เด็ก เมื่อผู้ปกครองเปิด VPN ส่วนตัว ตัวกรองดูเหมือนจะไม่ทำงานในแอปอื่นแต่ยังทำงานในเบราว์เซอร์ เพราะเบราว์เซอร์ยังคงใช้ผู้ให้บริการของตัวเอง พวกเขาจึงเข้าใจว่าตัวกรองครอบคลุมเฉพาะเบราว์เซอร์ และตัดสินใจจัดการอุปกรณ์ที่เหลือแยกต่างหาก

รายการตรวจเมื่อเกิดปัญหา

ถ้าเว็บเปิดไม่ได้หลังเปิด VPN, Secure DNS หรือทั้งสอง ให้ไล่ตามลำดับนี้

1. ที่อยู่ตัวเลขเปิดได้ไหม ถ้าเปิดได้ ปัญหาอยู่ที่การแปลงชื่อ
2. ตั้งเบราว์เซอร์ให้ใช้ DNS ของระบบ แล้วลองใหม่
3. ตัดแล้วเชื่อมต่อ VPN ใหม่ จากนั้นรีสตาร์ตเบราว์เซอร์ เพื่อให้รับค่าเครือข่ายใหม่
4. ล้างแคช DNS ของเบราว์เซอร์ เบราว์เซอร์ส่วนใหญ่มีหน้าภายในสำหรับเรื่องนี้ หรือรีสตาร์ตก็พอ
5. ลองเว็บเดียวกันในเบราว์เซอร์อื่นหรือหน้าต่างส่วนตัว ถ้าเปิดได้ แสดงว่า Extension หรือการตั้งค่าของเบราว์เซอร์เป็นต้นเหตุ
6. ลองอินเทอร์เน็ตมือถือ เว็บที่เปิดได้บนมือถือแต่ไม่ได้บน Wi-Fi ชี้ไปที่ DNS ท้องถิ่นที่เครือข่ายแจก
7. ดูตัวเลือก DNS ในแอป VPN ถ้ามี และปล่อยเป็นค่าเริ่มต้นเว้นแต่ฝ่ายสนับสนุนแนะนำ คู่มือ split DNS อธิบายว่าทำไมบางชื่อจึงถูกส่งไปที่อื่นโดยตั้งใจ

ถ้า VPN เชื่อมต่อได้แต่ไม่มีหน้าไหนเปิดเลย VPN เชื่อมต่อแล้วแต่ไม่มีอินเทอร์เน็ต มีรายการตรวจที่กว้างกว่า

ข้อจำกัดที่ควรจำ

• DNS แบบเข้ารหัสไม่ใช่ความเป็นส่วนตัวสมบูรณ์ ผู้ให้บริการที่คุณเลือกเห็นคำถามของคุณ และที่อยู่ปลายทางของแต่ละการเชื่อมต่อยังถูกมองเห็นโดยผู้ที่ขนส่งทราฟฟิก เว้นแต่ VPN ซ่อนจากเครือข่ายท้องถิ่น
• VPN ไม่หยุดการติดตามของเบราว์เซอร์เอง คุกกี้และ fingerprint ยังอยู่ ไม่ว่าจะเลือก DNS แบบใด
• ไม่ใช่ทุกเครือข่ายอนุญาต DNS แบบเข้ารหัส บางที่ทำงานหรือโรงเรียนบล็อกหรือบังคับตัวแปลงชื่อของตัวเอง เบราว์เซอร์จึงถอยกลับมาใช้ค่าของระบบ
• การตั้งค่าเปลี่ยนตามการอัปเดต อัปเดตเบราว์เซอร์อาจรีเซ็ตหรือเปลี่ยนชื่อตัวเลือก ควรตรวจซ้ำหลังอัปเดตใหญ่
• อย่าเดาว่าตัวเองใช้ตัวแปลงชื่อรายไหน ทดสอบทั้งตอนเปิดและปิด VPN

สรุป

Secure DNS ของเบราว์เซอร์และ VPN เป็นการควบคุมสองอย่างที่แยกกัน และทั้งคู่มีผลต่อ DNS เมื่อ VPN ส่งทราฟฟิกทั้งหมดผ่านอุโมงค์ คำถามแบบเข้ารหัสของเบราว์เซอร์ก็ยังเดินทางในอุโมงค์ แต่เบราว์เซอร์อาจข้ามเซิร์ฟเวอร์ DNS ของ VPN ซึ่งเปลี่ยนว่าใครเป็นผู้ตอบ และอาจทำให้ชื่อภายในหรือชื่อท้องถิ่นใช้ไม่ได้ ให้ทดสอบว่าคุณใช้ตัวแปลงชื่อรายไหนทั้งตอนเปิดและปิด VPN เลือก DNS ของระบบเมื่อต้องการให้ชื่อภายในทำงาน และเลือกผู้ให้บริการที่ระบุชื่อเมื่อต้องการตัวเลือกนั้นโดยเฉพาะ

ถ้าอยากลองตั้งค่าเหล่านี้กับพาสแบบเติมเงินระยะสั้น ดูตัวเลือกได้ที่ หน้าราคา ตามจังหวะของคุณเอง