VPN ปกป้องคำขอ DNS ได้อย่างไร

ก่อนที่โทรศัพท์จะโหลดหน้าเว็บได้แม้หน้าเดียว มันต้องตอบคำถามง่าย ๆ ก่อนว่า เว็บนี้อยู่ที่ที่อยู่ไหน คำถามนั้นและคำตอบคือระบบชื่อโดเมน หรือ DNS เพราะ DNS เกิดขึ้นก่อนหน้าเว็บโหลด จึงถูกลืมได้ง่าย และเป็นหนึ่งในจุดที่ความเป็นส่วนตัวรั่วแบบเงียบ ๆ มักมีคนบอกว่า VPN "เข้ารหัสทุกอย่าง" แต่สำหรับ DNS โดยเฉพาะนั้นหมายความว่าอย่างไร เมื่อเปิด VPN แล้วใครยังเห็นการค้นหาของคุณ และจะรู้ได้อย่างไรว่ามีอะไรผิดปกติ

บทความนี้ตามคำขอ DNS หนึ่งครั้งตั้งแต่ต้นจนจบ ทั้งตอนไม่มี VPN และตอนมี VPN คุณจะเห็นว่าส่วนไหนได้รับการปกป้อง ส่วนไหนไม่ได้ การรั่วเกิดอย่างไร และขั้นตอนทดสอบสั้น ๆ สำหรับอุปกรณ์ของคุณ เป็นความรู้ทั่วไป ไม่ได้สัญญาว่าจะปกป้องได้ทุกเครือข่ายหรืออุปกรณ์

คำขอ DNS มีข้อมูลอะไรบ้าง

DNS แปลงชื่ออย่าง example.com เป็นที่อยู่ IP ที่เป็นตัวเลข คำอธิบาย DNS ของ Cloudflare เป็นภาพรวมที่ดี และแนวคิดดั้งเดิมอยู่ใน RFC 1034 บทความDNS ทำงานอย่างไรของเราลงลึกถึงห่วงโซ่ทั้งหมด

คำขอหนึ่งครั้งมักเผย

• ชื่อโดเมนที่คุณต้องการ เช่น ธนาคาร คลินิก เว็บข่าว หรือเว็บบอร์ด ส่วนนี้สำคัญที่สุดต่อความเป็นส่วนตัว เพราะบอกความสนใจของคุณ
• ชนิดของเรกคอร์ด ที่ขอ เช่น ที่อยู่ของเว็บหรือเซิร์ฟเวอร์อีเมล
• IP ของคุณ เพราะคำตอบต้องส่งกลับมาหาคุณ
• เวลา เพราะตัวแก้ชื่อเห็นว่าคำขอมาถึงเมื่อไร

โดยปกติคำขอ DNS เดินทางในรูปแบบที่ไม่เข้ารหัส มักผ่าน UDP พอร์ต 53 ใครก็ตามบนเส้นทางที่ดักทราฟฟิกได้ก็อ่านได้ DNS จึงกลายเป็นเป้าหมายโปรดของทั้งเจ้าของเครือข่ายที่อยากรู้และผู้โจมตี

เส้นทางของการค้นหาเมื่อไม่มี VPN

ลองนึกภาพว่าคุณเปิดเว็บข่าวบนเครือข่ายร้านกาแฟ

1. โทรศัพท์ถามเราเตอร์ร้านกาแฟว่า "เว็บข่าวอยู่ที่ที่อยู่ไหน"
2. เราเตอร์ส่งคำถามต่อไปยังตัวแก้ชื่อ ซึ่งมักเป็นตัวที่ผู้ให้บริการอินเทอร์เน็ตกำหนดให้ เว้นแต่คุณจะเปลี่ยน
3. ตัวแก้ชื่อตอบ หรือถามเซิร์ฟเวอร์อื่นต่อหากไม่รู้
4. โทรศัพท์ได้ที่อยู่แล้วเชื่อมต่อกับเว็บ

หลายฝ่ายเห็นคำถามนี้ได้ ทั้งเจ้าของเครือข่ายร้านกาแฟ เราเตอร์ ผู้ให้บริการอินเทอร์เน็ตที่ดูแลตัวแก้ชื่อ และใครก็ตามที่ดักเครือข่าย ไม่มีใครต้องเห็นตัวหน้าเว็บก็รู้ได้ว่าคุณต้องการเว็บไหน นอกจากนี้ ผู้โจมตีที่คุมเราเตอร์ยังตอบคำถามด้วยที่อยู่ปลอมได้ ซึ่งเป็นพื้นฐานของ DNS hijacking อ่านเพิ่มที่ DNS hijacking ว่าทำงานอย่างไร

เส้นทางของการค้นหาเมื่อมี VPN

ลองเล่นฉากเดิมอีกครั้งโดยเปิด VPN

1. อุปกรณ์ต้องการค้นหาเว็บข่าว แอป VPN สั่งให้ระบบปฏิบัติการส่งทราฟฟิก รวมถึง DNS ผ่านอุโมงค์เข้ารหัส
2. คำถามถูกเข้ารหัสและเดินทางไปยังเซิร์ฟเวอร์ VPN เราเตอร์ร้านกาแฟเห็นเพียงข้อมูลเข้ารหัสที่ไปยังที่อยู่เดียว
3. เซิร์ฟเวอร์ VPN ส่งคำถามต่อไปยังตัวแก้ชื่อ DNS ซึ่งมักดำเนินการโดยหรือเพื่อผู้ให้บริการ
4. คำตอบกลับมาทางอุโมงค์ อุปกรณ์เชื่อมต่อกับเว็บ ซึ่งผ่านอุโมงค์เช่นกัน

อะไรเปลี่ยนไป เจ้าของเครือข่ายร้านกาแฟ เราเตอร์ และผู้ให้บริการอินเทอร์เน็ตอ่านคำถามหรือแก้คำตอบระหว่างทางไม่ได้อีก อะไรไม่เปลี่ยน ตัวแก้ชื่อยังเห็นคำถาม และเว็บปลายทางยังเห็นการเชื่อมต่อจากเซิร์ฟเวอร์ VPN คุณย้ายความไว้วางใจจากเครือข่ายท้องถิ่นไปยังผู้ให้บริการ VPN นี่คือวิธีอธิบาย VPN ที่ถูกต้อง คือมันย้ายตำแหน่งที่มองเห็นได้ ไม่ได้ลบมันทิ้ง หากอยากรู้เพิ่มว่าผู้ให้บริการเรียนรู้อะไรได้บ้าง ดูผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง

อะไรได้รับการปกป้อง อะไรไม่ได้

แง่มุมของ DNS	ไม่มี VPN	มี VPN ที่ทำงานถูกต้อง
เครือข่ายท้องถิ่นอ่านคำขอได้	ได้	ไม่ได้ เพราะเข้ารหัส
ผู้ให้บริการอินเทอร์เน็ตอ่านคำขอได้	ได้ ถ้าเป็นผู้ดูแลตัวแก้ชื่อหรือเห็น DNS แบบธรรมดา	ไม่ได้ เห็นเพียงอุโมงค์เข้ารหัส
เราเตอร์แก้คำตอบได้	ได้	ยากขึ้นมาก เพราะคำตอบกลับมาในอุโมงค์
ตัวแก้ชื่อเห็นชื่อโดเมน	เห็น (ตัวแก้ชื่อของผู้ให้บริการอินเทอร์เน็ต)	เห็น (ตัวแก้ชื่อของ VPN)
เว็บปลายทางเห็น IP จริงของคุณ	เห็น	ไม่เห็น เห็นที่อยู่เซิร์ฟเวอร์ VPN
เว็บนั้นเป็นของจริงหรือไม่	ไม่ตรวจ	ไม่ตรวจ
การรั่วจากการตั้งค่าอุปกรณ์	ไม่เกี่ยวข้อง	เป็นไปได้ถ้าตั้งค่าผิด

ตารางแสดงบทเรียนหลัก คือ VPN ปกป้อง DNS จากคนที่อยู่ระหว่างคุณกับเซิร์ฟเวอร์ VPN และไปไว้ใจตัวแก้ชื่อของ VPN แทน

DNS leak เกิดขึ้นได้อย่างไร

DNS leak เกิดเมื่อคำขอบางส่วนเดินทางนอกอุโมงค์ทั้งที่ VPN ดูเหมือนเชื่อมต่ออยู่ บทความเฉพาะเรื่อง DNS leak อธิบายอาการ ส่วนนี่คือกลไกที่พบบ่อย

• พฤติกรรมของระบบปฏิบัติการ บางระบบส่ง DNS ไปยังตัวแก้ชื่อหลายตัวพร้อมกันและรับคำตอบที่เร็วที่สุด หากตัวหนึ่งอยู่นอกอุโมงค์ สำเนาคำขอของคุณก็รั่ว
• การตั้งค่าเบราว์เซอร์ เบราว์เซอร์อาจใช้บริการ DNS เข้ารหัสของตัวเองแทนของระบบ คำขอจึงข้ามตัวแก้ชื่อของ VPN ซึ่งไม่ใช่ปัญหาเสมอไป แต่ควรรู้ว่าตัวแก้ชื่อคือใคร ดู VPN กับ DNS ของเบราว์เซอร์
• IPv6 ถ้าอุโมงค์รองรับเฉพาะ IPv4 คำขอและทราฟฟิก IPv6 อาจอ้อมไป ดูIP leak คืออะไร
• Split tunneling แอปที่คุณยกเว้นจากอุโมงค์ใช้ตัวแก้ชื่อปกติตามที่ตั้งใจ ซึ่งเป็นสิ่งที่คาดไว้ แต่ควรรู้ว่าเป็นแอปใด
• ช่องว่างตอนเชื่อมต่อใหม่ ชั่วขณะหลัง VPN หลุด ระบบอาจกลับไปใช้ DNS ปกติก่อนอุโมงค์จะกลับมา
• ตั้งค่า DNS เอง เซิร์ฟเวอร์ DNS ที่ตั้งตายตัวบนอุปกรณ์หรือเราเตอร์อาจทับค่าที่ VPN ให้

ตัวอย่าง ร้านกาแฟ สามผลลัพธ์

ลองดูณัฐา ที่อ่านอีเมลงานและเว็บข่าวสองสามเว็บในร้านกาแฟ เราตามหนึ่งชั่วโมงเดียวกันในสามรูปแบบ

ไม่มี VPN Wi-Fi ของร้านส่งคำขอของเธอไปยังตัวแก้ชื่อของผู้ให้บริการอินเทอร์เน็ต เราเตอร์ของเจ้าของร้านอาจบันทึกทุกโดเมน หน้าล็อกอินบังคับขึ้นมาก่อนซึ่งเป็นเรื่องปกติ และเธอพิมพ์อีเมลลงไปโดยไม่ทันสังเกตว่าเครือข่ายนี้ไม่คุ้นเคย

เปิด VPN แต่รั่ว เธอเชื่อมต่อ VPN และแอปขึ้นสีเขียว การทดสอบ leak แสดงตัวแก้ชื่อของผู้ให้บริการอินเทอร์เน็ตของร้าน การตั้งค่าในเบราว์เซอร์หรือที่อยู่ DNS ที่ตั้งตายตัวทับ VPN อยู่ เนื้อหาหน้าเว็บถูกเข้ารหัส แต่รายชื่อโดเมนมองเห็นได้

เปิด VPN และไม่รั่ว การทดสอบเดียวกันแสดงตัวแก้ชื่อของบริการ VPN เครือข่ายร้านกาแฟเห็นเพียงอุโมงค์เข้ารหัส โดเมนเป็นที่รับรู้ของตัวแก้ชื่อของ VPN ซึ่งเป็นความไว้วางใจที่เธอเลือกเอง

ความต่างระหว่างรูปแบบที่สองและสามมีเพียงรายละเอียดการตั้งค่า ด้วยเหตุนี้การทดสอบจึงสำคัญกว่าการสันนิษฐาน

ทดสอบการตั้งค่าของคุณเองใน 5 นาที

1. ตัดการเชื่อมต่อ VPN แล้วเปิดหน้าทดสอบ DNS leak จดชื่อตัวแก้ชื่อและองค์กรเจ้าของ นี่คือค่าพื้นฐานปกติของคุณ
2. เชื่อมต่อ VPN รอสองสามวินาทีแล้วโหลดการทดสอบอีกครั้ง รายชื่อตัวแก้ชื่อควรเปลี่ยนเป็นของบริการ VPN ไม่ใช่ของผู้ให้บริการอินเทอร์เน็ต
3. ทำซ้ำในเบราว์เซอร์ที่ใช้ทุกวัน ถ้ามีตัวเลือก DNS ปลอดภัยของตัวเอง ให้ดูว่าผลต่างหรือไม่
4. ทดสอบทั้งบนเน็ตมือถือและบน Wi-Fi บางครั้งการรั่วเกิดบนเครือข่ายหนึ่งแต่ไม่เกิดอีกเครือข่าย
5. ตรวจ IPv6 ถ้าการทดสอบแสดงที่อยู่ IPv6 ของผู้ให้บริการของคุณ แปลว่าอุโมงค์ไม่ครอบคลุม IPv6
6. ทดสอบการเชื่อมต่อใหม่ ปิดแล้วเปิด Wi-Fi และรันการทดสอบทันทีหลังจากนั้น
7. จดสิ่งที่พบ ถ้ายังรั่ว คู่มือตรวจว่า VPN ทำงานอยู่หรือไม่แสดงวิธีไปต่อ

ถ้าผลเปลี่ยนไป แปลว่าส่วน DNS ของคุณทำหน้าที่ตามที่ควร

DNS over HTTPS, DNS over TLS และ VPN

โปรโตคอล DNS แบบเข้ารหัส เช่น DNS over HTTPS (RFC 8484) และ DNS over TLS (RFC 7858) ซ่อนการค้นหาจากเครือข่ายท้องถิ่นโดยไม่ต้องมี VPN มันแก้ปัญหาการมองเห็นเฉพาะ DNS และย้ายความไว้วางใจไปยังผู้ให้บริการ DNS เข้ารหัส แต่ไม่ซ่อนที่อยู่ของเว็บที่คุณเชื่อมต่อต่อจากนั้น ส่วน VPN ครอบคลุมทั้งการเชื่อมต่อ หากต้องการเปรียบเทียบอย่างละเอียด บทความ DNS over HTTPS เทียบกับ VPN อธิบายว่าเมื่อไรอย่างใดอย่างหนึ่งก็พอ และเมื่อไรการใช้ทั้งสองควบคู่กันสมเหตุสมผล

ข้อจำกัดที่ควรจำ

• VPN ไม่ตัดสินว่าเว็บเป็นของจริงหรือไม่ ร้านค้าปลอมที่เหมือนจริงก็แปลงชื่อได้เหมือนเว็บอื่น
• ตัวแก้ชื่อของ VPN ยังเห็นการค้นหาของคุณ ความซื่อสัตย์ของผู้ให้บริการจึงสำคัญ
• ถ้าอุปกรณ์มีมัลแวร์อยู่แล้ว มันอาจแก้การตั้งค่า DNS ได้
• VPN ไม่ลบการติดตามโดยเว็บที่คุณล็อกอิน
• หน้าล็อกอิน Wi-Fi สาธารณะบางครั้งต้องใช้ DNS ปกติก่อน VPN จึงเชื่อมต่อได้ ช่วงสั้น ๆ ที่ไม่มี VPN จึงเป็นเรื่องปกติ หลังล็อกอินแล้วให้เชื่อมต่อและทดสอบใหม่
• เครือข่ายองค์กรและโรงเรียนอาจบังคับใช้ DNS ของตัวเองและไม่ยอมให้ VPN ทับ

เช็กลิสต์สั้น ๆ ที่ควรเก็บไว้

• เชื่อมต่อ VPN ก่อนเปิดอีเมลหรือธนาคารบนเครือข่ายที่ใช้ร่วมกัน
• ทดสอบ leak หลังติดตั้ง หลังอัปเดตระบบใหญ่ และหลังเปลี่ยนเบราว์เซอร์
• อย่าตั้งที่อยู่ DNS เองบนอุปกรณ์ เว้นแต่รู้ว่าทำไป ทำไม
• นึกถึง IPv6 ตอนทดสอบ
• ใช้เว็บ HTTPS และดูแถบที่อยู่ การปกป้อง DNS ไม่ได้แทนสิ่งนั้น
• อัปเดตแอป VPN และระบบเป็นประจำ

ลูกค้า XPASS ล็อกอินแอป VPNclient ฟรีด้วยชื่อผู้ใช้และรหัสผ่านจากหน้า My Pass หน้าดาวน์โหลดแสดงรายการแอป และการตั้งค่าเริ่มต้นของแอปคือจุดเริ่มต้นที่สมเหตุสมผล

สรุป

DNS คือคำถามที่อุปกรณ์ถามก่อนการเข้าเว็บทุกครั้ง และโดยปกติถามกันแบบเปิดเผย VPN ที่ทำงานถูกต้องพาคำถามนั้นไปในอุโมงค์ เครือข่ายท้องถิ่นและผู้ให้บริการอินเทอร์เน็ตจึงอ่านหรือแก้ไขไม่ได้ แต่ตัวแก้ชื่อของ VPN เองเห็นได้ การรั่วเกิดเมื่อการตั้งค่าส่งคำขอวนอ้อมอุโมงค์ และการทดสอบห้านาทีบอกได้ว่าของคุณเป็นเช่นนั้นหรือไม่ ตั้งความคาดหวังให้สมจริง การปกป้อง DNS ลดการเปิดเผย ไม่ได้ตัดสินว่าเว็บไหนน่าไว้ใจ

หากวิธีเติมเงินแบบเรียบง่ายเหมาะกับการเพิ่มการปกป้องนี้ คุณสามารถดูหน้าราคาได้ตามสะดวก