เปิด VPN แล้ว DNS ใช้ไม่ได้ แก้อย่างไร

VPN แสดงเครื่องหมายสีเขียว แอปบอกว่าเชื่อมต่อแล้ว แต่ทุกหน้าที่เปิดกลับจบด้วยข้อความเดิม เช่น "ไม่สามารถเข้าถึงเว็บไซต์นี้ได้", "DNS_PROBE_FINISHED_NO_INTERNET" หรือ "ไม่พบเซิร์ฟเวอร์" บางครั้งแอปแชตยังใช้ได้เพราะเปิดการเชื่อมต่อค้างไว้ จึงทำให้อาการดูสุ่ม เมื่อเป็นเช่นนี้ ผู้ต้องสงสัยอันดับหนึ่งมักไม่ใช่ตัวอุโมงค์เลย แต่เป็น DNS ระบบที่แปลงชื่ออย่าง example.com ให้เป็นที่อยู่ตัวเลขที่อุปกรณ์ต้องใช้

บทความนี้เกี่ยวกับการพิสูจน์ว่าใช่ปัญหานี้จริงและแก้ให้ได้ คุณจะได้รู้ว่าการค้นชื่อที่เสียหน้าตาอย่างไร การทดสอบง่าย ๆ สามแบบที่แยก DNS ออกจากเรื่องอื่น เหตุผลที่ DNS พังหลังเชื่อมต่อ VPN และสิ่งที่ควรเปลี่ยนบนมือถือ โน้ตบุ๊ก และเราเตอร์ หากต้องการพื้นฐาน DNS ทำงานอย่างไร อธิบายลำดับการค้นชื่อ ถ้าตัวแอปเชื่อมต่อไม่ได้เลย ให้ไปที่ VPN เชื่อมต่อไม่ได้ ก่อน และถ้าหน้าเว็บล้มเหลวด้วยเหตุที่ไม่เกี่ยวกับชื่อ VPN เชื่อมต่อแล้วแต่ไม่มีอินเทอร์เน็ต ครอบคลุมสาเหตุที่กว้างกว่า

DNS ที่เสียมีหน้าตาอย่างไร

DNS คือสมุดโทรศัพท์ของอินเทอร์เน็ต อุปกรณ์ถามตัวแปลงชื่อ (resolver) ว่า "ชื่อนี้มีที่อยู่อะไร" แล้วตัวแปลงชื่อตอบกลับ ทุกอย่างที่ใช้ชื่อต้องพึ่งคำตอบนี้ การค้นชื่อที่เสียจึงทำให้ท่องเว็บ แอปส่วนใหญ่ และอีเมลหยุด ส่วนสิ่งที่ถือที่อยู่ไว้แล้วอาจยังทำงานต่อได้

ร่องรอยที่ควรสังเกต

• VPN รายงานว่าเชื่อมต่อแล้ว แต่แอปทดสอบความเร็วหรือเกมอาจยังใช้ได้ เพราะใช้ที่อยู่ที่แคชไว้หรือฝังมาในแอป
• เบราว์เซอร์แสดงข้อผิดพลาดการแปลงชื่อ ไม่ใช่หมดเวลา หรือคำเตือนเรื่องใบรับรอง
• ปัญหาเริ่มทันทีหลังเชื่อมต่อ VPN และหายไปเมื่อตัดการเชื่อมต่อ
• บางเว็บเปิดได้ บางเว็บไม่ได้ เพราะคำตอบบางส่วนถูกแคชไว้ก่อนอุโมงค์ขึ้น
• สลับระหว่าง Wi-Fi กับอินเทอร์เน็ตมือถือแล้วอาการเปลี่ยน

อย่าสับสนกับเว็บที่ล่มหรือเว็บที่กั้นที่อยู่ของ VPN เว็บที่กั้นผู้เข้าชมที่ใช้ VPN มักโหลดได้บางส่วน แสดงหน้าท้าทาย หรือข้อความปฏิเสธการเข้าถึง ส่วนความล้มเหลวของ DNS ไม่ได้หน้าอะไรเลย ถ้าอาการเป็นหน้ายืนยันตัวตน ให้ดู เว็บโหลดไม่ขึ้นหรือขึ้น CAPTCHA

ทดสอบสามแบบที่พิสูจน์ว่าเป็น DNS

คุณตัดสินได้ในราวสองนาที

ทดสอบที่ 1: ที่อยู่เทียบกับชื่อ ในเบราว์เซอร์ ลองเปิดเว็บด้วยที่อยู่ตัวเลข เช่นที่อยู่สาธารณะที่รู้จักกันดีอย่าง 1.1.1.1 ถ้าโหลดได้ (บางการตั้งค่าอาจขึ้นคำเตือนใบรับรอง ซึ่งก็ยังพิสูจน์ว่าข้อมูลไหลอยู่) แสดงว่าอุโมงค์ส่งข้อมูลได้ จากนั้นเปิดบริการเดียวกันด้วยชื่อ ถ้าที่อยู่ได้แต่ชื่อไม่ได้ DNS เสีย

ทดสอบที่ 2: ถามตรง ๆ บนคอมพิวเตอร์ เปิดเทอร์มินัลหรือ Command Prompt แล้วสั่งค้นชื่อ บน Windows, macOS และ Linux ใช้คำสั่ง nslookup example.com ได้ อ่านผลลัพธ์

• แสดงเซิร์ฟเวอร์ที่ถามและที่อยู่หนึ่งรายการขึ้นไป: การค้นชื่อทำงานผ่านเซิร์ฟเวอร์นั้น
• ขึ้น "timed out", "no servers could be reached" หรือ "server failed": ตัวแปลงชื่อที่ถามไม่ตอบ
• แสดงที่อยู่ แต่บรรทัด "Server" เป็นสิ่งที่ไม่คาดคิด เช่นที่อยู่เราเตอร์ที่ไม่ได้ใช้ในอุโมงค์: การค้นชื่อถูกส่งไปที่อื่นที่ไม่ใช่ที่คุณตั้งใจ

ทดสอบที่ 3: เทียบกับตอนปิดอุโมงค์ ตัดการเชื่อมต่อ VPN แล้วทำการทดสอบที่ 2 ซ้ำ ถ้าค้นชื่อได้เมื่อปิด VPN และล้มเมื่อเปิด แสดงว่าอุโมงค์เปลี่ยนวิธีตอบชื่อ ซึ่งเป็นสถานการณ์ที่บทความนี้แก้ ถ้าค้นชื่อไม่ได้แม้ปิด VPN ก็แปลว่าเครือข่ายปกติของคุณมีปัญหา DNS ให้แก้ตรงนั้นก่อน โดยเริ่มที่เราเตอร์

ทำไม DNS พังเมื่อ VPN เชื่อมต่อ

เมื่ออุโมงค์ขึ้น มักมีสามอย่างบนอุปกรณ์ที่เปลี่ยนไป คือเส้นทางที่ข้อมูลใช้ ที่อยู่ของอุปกรณ์ภายในอุโมงค์ และตัวแปลงชื่อที่ถูกถาม ข้อที่สามคือจุดที่ปัญหาเริ่ม สาเหตุทั่วไปมีดังนี้

ตัวแปลงชื่อเดิมเข้าถึงไม่ได้แล้ว

ก่อนมี VPN อุปกรณ์ถามตัวแปลงชื่อที่เราเตอร์แจกให้ ซึ่งมักเป็นที่อยู่ส่วนตัว เช่น 192.168.x.x หลังอุโมงค์เริ่ม ข้อมูลควรไปผ่านเส้นทางที่เข้ารหัส ถ้าอุปกรณ์ยังถามตัวแปลงชื่อส่วนตัวเดิม แต่เส้นทางไปหามันตอนนี้เข้าไปในอุโมงค์ คำถามจะไม่ถึงปลายทางและหมดเวลา ไคลเอนต์ VPN ที่ตั้งค่าดีจะเปลี่ยนตัวแปลงชื่อสำหรับอุโมงค์เพื่อเลี่ยงเรื่องนี้ เมื่อไม่ได้ทำ คุณจะเจออาการข้างต้นพอดี

มีแอปอื่นตั้งค่า DNS อยู่

ซอฟต์แวร์หลายชนิดอยากควบคุม DNS เช่น ตัวบล็อกโฆษณา แอป "DNS ปลอดภัย" ชุดความปลอดภัย ตัวกรองสำหรับผู้ปกครอง และตัวเลือก DNS แบบเข้ารหัสในเบราว์เซอร์และระบบปฏิบัติการ โปรแกรมสองตัวที่อ้างสิทธิ์ตั้งค่าตัวแปลงชื่อพร้อมกันจะแย่งกัน ผลคือได้ตัวแปลงชื่อที่ไม่ใช่ของใครทั้งคู่ กรณีเบราว์เซอร์พบบ่อย คือเบราว์เซอร์ที่ใช้ DNS over HTTPS ของตัวเอง (แนวคิดอธิบายไว้ใน RFC 8484) อาจส่งการค้นชื่อไปยังผู้ให้บริการโดยตรง ขณะที่ระบบใช้ตัวแปลงชื่อของอุโมงค์ เมื่อเส้นทางหนึ่งล้มเหลว จะพังเฉพาะแอปนั้น

DNS ที่ตั้งตายตัวบนอุปกรณ์หรือเราเตอร์

บางคนตั้งเซิร์ฟเวอร์ DNS แบบตายตัวบนโน้ตบุ๊ก มือถือ หรือเราเตอร์ไว้เมื่อหลายปีก่อน ค่านั้นอาจทับสิ่งที่ VPN ให้มา ปกติ VPN ยังทำงานได้ แต่เซิร์ฟเวอร์ที่ตั้งตายตัวอาจเข้าถึงได้เฉพาะจากเครือข่ายในบ้าน หรือปฏิเสธคำขอที่มาจากที่อยู่ของอุโมงค์ ผลคือค้นชื่อล้มเหลว

ชื่อภายในและเครือข่ายแบบแยก

สำนักงานและห้องทดลองที่บ้านมักมีชื่อภายใน เช่นเครื่องพิมพ์หรือเซิร์ฟเวอร์ไฟล์ ที่มีเพียงตัวแปลงชื่อภายในที่เข้าใจ เมื่ออุโมงค์ขึ้นและทุกการค้นชื่อไปที่ตัวแปลงชื่อของอุโมงค์ ชื่อภายในเหล่านั้นจะใช้ไม่ได้ นี่คือด้านตรงข้ามของปัญหาก่อนหน้า คือชื่อสาธารณะใช้ได้แต่ชื่อภายในล้ม ฟีเจอร์ที่เรียกว่า split DNS ส่งเฉพาะบางชื่อไปยังตัวแปลงชื่อหนึ่งและที่เหลือไปอีกตัวหนึ่ง บทความ split DNS อธิบายกลไกและข้อจำกัด

ได้คำตอบ IPv6 แต่ไม่มีเส้นทาง IPv6

ตัวแปลงชื่อจำนวนมากส่งคืนทั้งที่อยู่ IPv4 และ IPv6 ถ้าอุปกรณ์ได้ที่อยู่ IPv6 ของเว็บและลองใช้ก่อน แต่ในอุโมงค์ไม่มีเส้นทาง IPv6 ที่ใช้ได้ หน้าเว็บจะค้างระหว่างที่อุปกรณ์รอก่อนถอยไปใช้ทางอื่น อาการเหมือน DNS แต่จริง ๆ เป็นความไม่ตรงกันของเส้นทาง บทความเรื่อง IPv6 รั่ว และ IPv4 เทียบ IPv6 กับ VPN อธิบายว่าสิ่งนี้ขวางทางอย่างไร

แคชเก็บคำตอบเก่า

อุปกรณ์และเบราว์เซอร์เก็บคำตอบล่าสุดไว้เพื่อให้เร็วขึ้น ถ้าคำตอบเหล่านั้นถูกเก็บก่อนอุโมงค์ขึ้น หรือเป็นความล้มเหลวที่ถูกแคชไว้ มันอาจยังใช้อยู่หลังเชื่อมต่อ ผลคือบางชื่อล้มและบางชื่อไม่ล้ม และการรีสตาร์ตดูเหมือนช่วยได้ทันที

หน้าล็อกอินเครือข่ายหรือตัวกรองเครือข่าย

บน Wi-Fi โรงแรมและที่สาธารณะ เครือข่ายอาจตอบการค้นชื่อเองจนกว่าคุณจะล็อกอินผ่านพอร์ทัล ถ้าเชื่อมต่อ VPN ก่อนทำพอร์ทัลเสร็จ แอปกับเครือข่ายอาจเหยียบกัน ให้ทำพอร์ทัลให้เสร็จก่อนแล้วค่อยเชื่อมต่อ

วิธีแก้บนมือถือ

ทั้ง Android และ iPhone ขั้นตอนคล้ายกัน ทำตามลำดับและทดสอบหลังแต่ละขั้น

1. ปิดแล้วเปิด VPN ใหม่ รอสิบวินาทีระหว่างนั้น เป็นการสร้างค่าตัวแปลงชื่อที่แอปส่งมาใหม่
2. สลับเครือข่าย ลองใช้อินเทอร์เน็ตมือถือแทน Wi-Fi หรือกลับกัน ถ้าปัญหาเกิดเฉพาะแบบเดียว แสดงว่าเราเตอร์หรือเครือข่ายเกี่ยวข้อง
3. ตรวจการตั้งค่า DNS อื่น บน Android ระบบมีตัวเลือก "DNS ส่วนตัว" (Private DNS) ถ้าตั้งเป็นชื่อโฮสต์เฉพาะ อาจขัดกับ VPN ให้ตั้งเป็นอัตโนมัติเพื่อทดสอบ ดู DNS ส่วนตัวกับ VPN บน Android บน iPhone ให้ดูในการตั้งค่า Wi-Fi ว่ามี DNS ที่ตั้งเอง หรือโปรไฟล์ DNS และแอปบล็อกโฆษณาที่เพิ่มค่านี้หรือไม่ แล้วปิดเพื่อทดสอบ
4. ปิดแอป VPN หรือแอปกรองอื่น หนึ่งช่อง VPN หนึ่งเจ้าของ
5. เปิดแล้วปิดโหมดเครื่องบิน สักครู่ เพื่อล้างสถานะเครือข่ายมือถือ
6. รีสตาร์ตโทรศัพท์ ซึ่งล้างแคช DNS ของระบบ
7. อัปเดตหรือติดตั้งแอปใหม่ จากลิงก์ทางการในหน้า ดาวน์โหลด ถ้าปัญหาเริ่มหลังอัปเดต

ถ้าล้มเฉพาะเบราว์เซอร์เดียว ให้ดูในการตั้งค่าของเบราว์เซอร์ว่ามี "DNS ที่ปลอดภัย" หรือ "DNS over HTTPS" แล้วตั้งให้ใช้ตัวแปลงชื่อของระบบเพื่อทดสอบ

วิธีแก้บนคอมพิวเตอร์

ล้างแคช

การล้างแคชในเครื่องทำได้เร็วและปลอดภัย บน Windows เปิดเทอร์มินัลแบบผู้ดูแลระบบแล้วสั่ง ipconfig /flushdns บน macOS คำสั่งต่างกันเล็กน้อยตามเวอร์ชัน การรีสตาร์ตบริการ DNS หรือรีสตาร์ตเครื่องให้ผลเหมือนกัน บน Linux ให้ล้างแคชของบริการตัวแปลงชื่อที่ดิสโทรของคุณใช้ จากนั้นสั่ง nslookup ซ้ำ

ตรวจว่าใช้ตัวแปลงชื่อตัวไหน

สั่ง nslookup example.com อีกครั้งขณะอุโมงค์ขึ้น แล้วอ่านบรรทัด "Server" ถ้าเป็นที่อยู่ของเครือข่ายบ้านแทนที่จะเป็นของอุโมงค์ แสดงว่าระบบยังถามตัวแปลงชื่อเดิม ให้เปิดการตั้งค่าอะแดปเตอร์เครือข่ายแล้วดูช่อง DNS เซิร์ฟเวอร์ที่พิมพ์เองควรลบออกเพื่อให้เป็นอัตโนมัติ อย่างน้อยเพื่อทดสอบ บทความเรื่อง DNS รั่วบน Windows และ DNS รั่วบน Mac แสดงว่าการตั้งค่าเหล่านั้นอยู่ที่ไหน และพฤติกรรมที่ถูกต้องเป็นอย่างไร

ปิดซอฟต์แวร์ที่แย่งกัน

หยุดตัวบล็อกโฆษณาในเครื่องที่ทำงานด้วยตัวแปลงชื่อของตัวเอง ชุดความปลอดภัยที่มีฟีเจอร์ "ป้องกันเว็บ" หรือไคลเอนต์ VPN ตัวที่สอง แล้วทดสอบอีกครั้ง ถ้า VPN เริ่มใช้ได้ ให้เปิดกลับทีละตัวและจดไว้ว่าตัวไหนทำให้พัง

ตรวจไฟล์ hosts และพร็อกซี

รายการค้างในไฟล์ hosts ของระบบ หรือพร็อกซีที่ตั้งไว้ในระบบ จะทับ DNS สำหรับชื่อที่เกี่ยวข้อง ถ้าเว็บเดียวล้มแต่เว็บอื่นปกติ ให้หาในไฟล์ hosts ถ้าทุกอย่างล้มเฉพาะในเบราว์เซอร์ ให้ตรวจการตั้งค่าพร็อกซีของเบราว์เซอร์

เชื่อมต่อใหม่หลังเครื่องหลับ

โน้ตบุ๊กที่หลับไปทั้งที่ VPN เปิดอยู่ บางครั้งตื่นขึ้นมาพร้อมค่าตัวแปลงชื่อจากเครือข่ายก่อนหน้า ให้ตัดการเชื่อมต่อ รอให้ Wi-Fi นิ่ง แล้วเชื่อมต่อใหม่ แทนการปล่อยเซสชันเก่าไว้

วิธีแก้บนเราเตอร์และเครือข่ายในบ้าน

ถ้า DNS ล้มบนทุกอุปกรณ์และเฉพาะตอนเปิด VPN ให้ตรวจเราเตอร์

1. รีสตาร์ตโดยถอดปลั๊กสามสิบวินาที
2. เปิดหน้าตั้งค่าและดูช่อง DNS ถ้ามีคนตั้งเซิร์ฟเวอร์ตายตัวไว้ ให้เปลี่ยนเป็นอัตโนมัติเพื่อทดสอบ
3. มองหาฟีเจอร์ที่ดักหรือเปลี่ยนเส้นทาง DNS ไปยังตัวแปลงชื่อของมันเอง เราเตอร์บางรุ่นทำเช่นนี้เพื่อควบคุมผู้ปกครองหรือบล็อกโฆษณา ฟีเจอร์นั้นอาจขัดกับอุโมงค์
4. ตรวจว่า "DNS rebinding protection" หรือฟีเจอร์ความปลอดภัยคล้ายกันกำลังบล็อกคำตอบที่ชี้ไปยังที่อยู่ส่วนตัวอยู่หรือไม่ ซึ่งสำคัญถ้าคุณใช้ชื่อภายใน
5. อัปเดตเฟิร์มแวร์ถ้ามี

ถ้าคุณใช้ตัวบล็อกโฆษณาทั้งเครือข่าย ให้ทดสอบโดยยกเว้นอุปกรณ์ที่ใช้ VPN ออกจากกฎ การเปลี่ยน DNS บนเราเตอร์กระทบทุกคนในบ้าน จึงควรจดค่าเดิมไว้ก่อนแก้

ตัวอย่างการแก้จริง

อรุณเปิด VPN บนโน้ตบุ๊กที่ร้านกาแฟ แอปขึ้นว่าเชื่อมต่อแล้ว แต่เบราว์เซอร์ขึ้นข้อผิดพลาดเรื่องชื่อในทุกเว็บ ยกเว้นเว็บที่เปิดค้างไว้ก่อนหน้า เขาสั่ง nslookup ผลคือหมดเวลาและแสดงที่อยู่ส่วนตัวเป็นเซิร์ฟเวอร์ เมื่อปิด VPN คำสั่งเดิมทำงานสำเร็จผ่านตัวแปลงชื่อของร้านกาแฟ แปลว่าเครือข่ายไม่มีปัญหา

เขาเปิดการตั้งค่าอะแดปเตอร์ และพบว่าเมื่อหลายเดือนก่อนเคยพิมพ์เซิร์ฟเวอร์ DNS เองสำหรับเครือข่ายในบ้าน ซึ่งเข้าถึงไม่ได้จากร้านกาแฟเมื่ออุโมงค์ทำงาน เขาเปลี่ยนช่องนั้นเป็นอัตโนมัติ ล้างแคช และเชื่อมต่อใหม่ คราวนี้ nslookup แสดงตัวแปลงชื่อของอุโมงค์และคืนที่อยู่ หน้าเว็บเปิดได้ ใช้เวลาแก้หกนาที โดยไม่ได้แตะอะไรในแอป VPN

ข้อผิดพลาดที่พบบ่อย

• ติดตั้งแอป VPN ใหม่ ทั้งที่ต้นเหตุคือรายการ DNS ที่ตั้งตายตัว
• พิมพ์ที่อยู่ DNS สาธารณะ "เพื่อแก้" แล้วลืมไปหลายเดือน
• ปิดชุดความปลอดภัยหรือตัวกรองถาวร แทนที่จะปิดเพื่อทดสอบครั้งเดียว
• ทดสอบด้วยเบราว์เซอร์อย่างเดียว ซึ่งอาจมีการตั้งค่า DNS ของตัวเอง
• สับสนระหว่าง DNS ล้มเหลวกับ DNS รั่ว แล้วใช้วิธีแก้เรื่องรั่วที่ไม่ได้ช่วยอะไร
• ข้ามการเทียบกับตอนปิด VPN ซึ่งเป็นการทดสอบที่พิสูจน์ว่าความผิดพลาดอยู่ตรงไหน

สรุป

เมื่อ VPN ขึ้นว่าเชื่อมต่อแล้วแต่หน้าเว็บล้มด้วยข้อผิดพลาดเรื่องชื่อ ให้ตรวจ DNS พิสูจน์ด้วยการโหลดที่อยู่ตัวเลขโดยตรง สั่งค้นชื่อ และเทียบกับตอนปิด VPN สาเหตุทั่วไปคือตัวแปลงชื่อเดิมที่เข้าถึงไม่ได้ การตั้งค่า DNS ที่แย่งกัน เซิร์ฟเวอร์ที่ตั้งตายตัว ชื่อภายใน การไม่ตรงกันของ IPv6 และแคชเก่า ตั้ง DNS เป็นอัตโนมัติ ปิดเครื่องมือที่แย่งกันทีละตัว และล้างแคช

หากต้องการพาสใหม่เพื่อทดสอบบนเครือข่ายอื่น ดูตัวเลือกได้ที่หน้าราคา