IPv6 Leak เกิดจากอะไร? VPN ป้องกันได้ไหม

VPN สัญญาว่าเว็บไซต์ที่คุณเข้าจะเห็นที่อยู่ของ VPN แทนที่อยู่ของคุณ แต่คำสัญญานี้มีช่องโหว่เล็ก ๆ ที่มักไม่มีใครสังเกต เพราะอินเทอร์เน็ตทุกวันนี้ใช้ระบบที่อยู่สองระบบควบคู่กัน และถ้า VPN จัดการเพียงระบบเดียว อีกเลนหนึ่งก็เปิดโล่งอยู่ เมื่อทราฟฟิกหลุดผ่านเลนนั้นออกไป เราเรียกว่า IPv6 Leak และหลายคนที่ VPN ใช้งานได้ปกติก็มีปัญหานี้โดยไม่รู้ตัว

คู่มือนี้เน้นการลงมือทำ อธิบายว่าช่องโหว่เกิดขึ้นเพราะอะไร ที่อยู่ IPv6 ที่รั่วเปิดเผยอะไรได้บ้าง ทดสอบได้ใน 5 นาทีอย่างไร และแก้ตามลำดับจากง่ายไปหนักอย่างไร หากอยากเห็นภาพรวมของการรั่วไหลก่อน ดู IP Leak คืออะไร ที่นี่เน้นเฉพาะฝั่ง IPv6

ทำไมระบบที่อยู่สองแบบจึงสร้างช่องโหว่

ทุกอุปกรณ์บนอินเทอร์เน็ตต้องมีที่อยู่ ระบบเก่าคือ IPv4 ใช้ตัวเลขสั้น ๆ เช่น 203.0.113.7 และที่อยู่เริ่มหมด ระบบใหม่คือ IPv6 ซึ่งกำหนดไว้ใน RFC 8200 ใช้ที่อยู่ที่ยาวกว่ามากและรองรับอุปกรณ์ได้มหาศาล การเปลี่ยนผ่านเป็นไปอย่างช้า ๆ เครือข่ายส่วนใหญ่วันนี้จึงรันทั้งสองระบบพร้อมกัน เรียกว่า dual stack

บนเครือข่าย dual stack อุปกรณ์ของคุณมีทั้งที่อยู่ IPv4 และ IPv6 พร้อมกัน เมื่อเปิดเว็บที่เข้าถึงได้ทั้งสองทาง อุปกรณ์จะเป็นฝ่ายเลือก ระบบสมัยใหม่มักเลือก IPv6 เมื่อใช้งานได้ เพราะไม่ต้องแชร์ที่อยู่และมักตรงกว่า เบราว์เซอร์ยังเพิ่มตรรกะของตัวเอง โดยลองเชื่อมต่อแข่งกันและใช้ทางที่เร็วกว่า

ทีนี้ลองเพิ่ม VPN ผลิตภัณฑ์ VPN จำนวนมากถูกสร้างโดยยึด IPv4 เป็นหลัก มันสร้างอินเทอร์เฟซอุโมงค์ ให้ที่อยู่ IPv4 และส่งทราฟฟิก IPv4 ผ่านอุโมงค์ ส่วน IPv6 อาจถูกปล่อยไว้ ซึ่งหมายความว่ายังวิ่งผ่านการเชื่อมต่อเครือข่ายปกติ นอกอุโมงค์ ผลคือถูกแบ่งสองทาง คำขอ IPv4 ออกทาง VPN ส่วนคำขอ IPv6 ออกตรง ๆ เว็บที่รองรับ IPv6 จะเห็นที่อยู่ IPv6 จริงที่ผู้ให้บริการอินเทอร์เน็ตกำหนดให้คุณ และใครก็ตามที่สังเกตเส้นทางนั้นก็เห็นเช่นกัน

การรั่วนี้เกิดเมื่อสามเงื่อนไขเป็นจริงพร้อมกัน เครือข่ายของคุณมี IPv6 VPN ไม่ส่ง IPv6 ผ่านอุโมงค์หรือบล็อกมัน และปลายทางรองรับ IPv6 ขาดข้อใดข้อหนึ่งก็ไม่มีอะไรให้รั่ว ผู้ใช้ตามบ้านจำนวนมากเข้าเงื่อนไขครบทั้งสามโดยไม่รู้ตัว

ที่อยู่ IPv6 ที่รั่วเปิดเผยอะไร

ที่อยู่ IPv6 ยาว และน่าดูว่ามีอะไรอยู่ข้างใน ที่อยู่ทั่วไปมีสองครึ่ง

• ส่วนนำหน้า (ครึ่งแรก) กำหนดโดยผู้ให้บริการอินเทอร์เน็ตให้ครัวเรือนหรือสายของคุณ ระบุเครือข่าย และมักบอกถึงพื้นที่หรือผู้ให้บริการ เว็บที่เห็นส่วนนี้มักบอกได้ว่าคุณใช้ผู้ให้บริการรายใดและอยู่โซนไหนคร่าว ๆ และมันคงที่สำหรับครัวเรือนเมื่อเวลาผ่านไป
• ส่วนอินเทอร์เฟซ (ครึ่งหลัง) ระบุอุปกรณ์ภายในเครือข่าย ระบบเก่าสร้างจากที่อยู่ฮาร์ดแวร์ของการ์ดเครือข่าย ซึ่งเป็นป้ายคงที่ของอุปกรณ์นั้น ระบบสมัยใหม่ใช้ที่อยู่ชั่วคราวแบบสุ่มสำหรับการเชื่อมต่อขาออก เพื่อป้องกันการติดตามระยะยาวแบบนั้น

ดังนั้น Leak ทำสองอย่าง บอกปลายทางว่าคุณใช้ผู้ให้บริการใด และมอบตัวระบุครัวเรือนที่คงที่ในส่วนนำหน้า ไม่ได้บอกชื่อ เบอร์โทร หรือที่อยู่บ้านที่แน่นอน แต่ขัดกับจุดประสงค์ของ VPN เพราะ VPN ควรแทนข้อมูลนั้นด้วยของตัวเอง ว่าเว็บไซต์รู้และไม่รู้อะไรจากที่อยู่ของคุณโดยทั่วไป อ่านได้ใน VPN ซ่อน IP ของคุณจริงหรือ

สี่วิธีที่ Leak เกิดขึ้น

อาการเดียวกันมีหลายสาเหตุ การรู้ว่าตรงกับข้อไหนช่วยเลือกวิธีแก้

สาเหตุ	เกิดอะไรขึ้น	สัญญาณที่เห็น
VPN จัดการแค่ IPv4	อุโมงค์ไม่มีเส้นทาง IPv6 จึงใช้การเชื่อมต่อปกติ	หน้าทดสอบแสดง IPv4 ของ VPN แต่ IPv6 ของผู้ให้บริการคุณ
เส้นทาง IPv6 ถูกเพิ่มหลังอุโมงค์	ระบบเลือกเส้นทาง IPv6 ที่เฉพาะเจาะจงกว่าเส้นทางเริ่มต้นของ VPN	รั่วบนบางเครือข่าย แต่ไม่รั่วบนบางเครือข่าย
เราเตอร์ส่งค่า IPv6 มา	เราเตอร์ประกาศ IPv6 ให้อุปกรณ์ซึ่งเริ่มใช้หลังอุโมงค์ขึ้นแล้ว	รั่วหลังรีสตาร์ตเราเตอร์หรือเมื่อมีอุปกรณ์ใหม่เข้าร่วม
VPN หลุดแล้วต่อใหม่	IPv6 ใช้งานได้ต่อระหว่างที่อุโมงค์ล่ม	เปิดเผยสั้น ๆ ซึ่งการทดสอบครั้งเดียวมองเห็นยาก

แถวสุดท้ายเกี่ยวกับ kill switch ซึ่งควรหยุดทราฟฟิกทั้งหมดเมื่ออุโมงค์หลุด อ่าน kill switch ของ VPN คืออะไร เพื่อดูว่าสองการป้องกันนี้ทำงานร่วมกันอย่างไร และทำไม kill switch ที่ไม่สนใจ IPv6 จึงมีประสิทธิภาพเพียงครึ่งเดียว

ทดสอบใน 5 นาที

คุณต้องมีอุปกรณ์หนึ่งเครื่อง เบราว์เซอร์ และหน้าทดสอบ IP ใดก็ได้ที่ตรวจทั้งสองชนิด Cover Your Tracks ของ EFF แสดงได้หลายอย่างเกี่ยวกับสิ่งที่เบราว์เซอร์ของคุณเปิดเผย และเครื่องมือตรวจ IP ทั่วไปหลายตัวแสดง IPv4 กับ IPv6 แยกกัน

1. จดค่าตั้งต้น ปิด VPN แล้วเปิดหน้าทดสอบ จดที่อยู่ IPv4 และ IPv6 ถ้ามี ที่อยู่เหล่านี้ระบุผู้ให้บริการของคุณ ถ้าหน้านั้นไม่แสดง IPv6 แสดงว่าสายของคุณน่าจะเป็น IPv4 อย่างเดียว คุณหยุดได้เลย ตอนนี้ไม่มีอะไรให้รั่ว
2. เชื่อมต่อ VPN รอจนแอปแสดงการเชื่อมต่อที่นิ่ง แล้วโหลดหน้าทดสอบใหม่
3. เทียบผล ที่อยู่ IPv4 ควรต่างจากค่าตั้งต้น ดูบรรทัด IPv6 มีสามกรณี
   • ไม่แสดง IPv6 VPN บล็อกหรือไม่ให้ IPv6 ถือว่าผ่าน
   • IPv6 ที่ต่างจากค่าตั้งต้น VPN ส่ง IPv6 ผ่านอุโมงค์ ถือว่าผ่าน ซึ่งควรเป็นช่วงที่อยู่ของ VPN ไม่ใช่ของคุณ
   • IPv6 เดียวกับค่าตั้งต้น นี่คือ Leak
4. ทำซ้ำบนเครือข่ายอื่น ทดสอบบน Wi-Fi ที่บ้านและบนข้อมูลมือถือ เพราะบางเครือข่ายมี IPv6 บางเครือข่ายไม่มี ผ่านบนเครือข่ายหนึ่งไม่ได้บอกอะไรเกี่ยวกับอีกเครือข่าย
5. ทดสอบการเชื่อมต่อใหม่ ตัดแล้วต่อใหม่ หรือสลับจาก Wi-Fi ไปข้อมูลมือถือขณะ VPN เปิดอยู่ แล้วทดสอบอีกครั้ง ผลที่ดีในสถานะหนึ่งไม่ใช่ผลที่ดีในทุกสถานะ

คู่มือภาพรวม วิธีทดสอบ VPN วางการตรวจนี้ไว้คู่กับการทดสอบ DNS และ kill switch และหากต้องการเช็กอย่างเร็วจากศูนย์ช่วยเหลือ ดู วิธีเช็กว่า VPN ทำงานอยู่ไหม

วิธีแก้ตามลำดับ

ลองจากบนลงล่าง และทดสอบซ้ำหลังทุกขั้น หยุดทันทีที่ทดสอบผ่าน

1. อัปเดตแอป VPN และระบบปฏิบัติการ Leak จำนวนมากถูกแก้ในเวอร์ชันใหม่ ไม่เสียอะไรและมักได้ผล
2. หาตัวเลือก IPv6 ในการตั้งค่าแอป VPN บางแอปให้บล็อก IPv6 ระหว่างเชื่อมต่อ หรือส่งผ่านอุโมงค์ เลือกอย่างใดอย่างหนึ่ง ไม่ใช่ปล่อยไว้ทั้งสองอย่าง ถ้อยคำต่างกันตามแอปและเวอร์ชัน ให้อ่านป้ายชื่อในแอปเอง และคงค่าอื่นเป็นค่าเริ่มต้นเว้นแต่ฝ่ายสนับสนุนแนะนำ
3. เชื่อมต่อใหม่แล้วทดสอบซ้ำ หลังสลับการตั้งค่า ให้ตัดและต่อใหม่เพื่อให้สร้างเส้นทางใหม่
4. ปิด IPv6 บนการ์ดเครือข่ายที่ใช้ เป็นวิธีที่ตรงและเชื่อถือได้ ในระบบส่วนใหญ่เป็นช่องติ๊กต่อการ์ดเครือข่ายหรือการตั้งค่าในตัวเลือกเครือข่าย ถ้อยคำต่างกันตามระบบและเวอร์ชัน ให้หารายการ IPv6 ในคุณสมบัติของการเชื่อมต่อ Wi-Fi หรือ Ethernet
5. ปิด IPv6 ที่เราเตอร์ ถ้าเราเตอร์มีการตั้งค่า IPv6 การปิดจะหยุดทั้งบ้านไม่ให้รับค่า IPv6 ครอบคลุมโทรศัพท์ ทีวี และเครื่องเกมที่ตั้งค่าเป็นรายเครื่องไม่ได้ จดค่าเดิมไว้ก่อนเปลี่ยน
6. ติดต่อฝ่ายสนับสนุน ถ้าแอปไม่มีการจัดการ IPv6 และอุปกรณ์ไม่ยอมปล่อยที่อยู่ ให้ถามผู้ให้บริการว่าแนะนำอะไรสำหรับอุปกรณ์ของคุณ

ไม่มีขั้นไหนรุนแรง การปิด IPv6 เป็นวิธีแก้ที่พบบ่อยและย้อนกลับได้ ใช้กันมาหลายปี และเว็บส่วนใหญ่ยังทำงานผ่าน IPv4

หมายเหตุตามอุปกรณ์

แต่ละแพลตฟอร์มจัดการ IPv6 ต่างกัน อาการ Leak จึงต่างกัน

• Windows IPv6 เปิดโดยค่าเริ่มต้นและตั้งค่าเป็นรายการ์ดเครือข่าย โดยทั่วไปแก้ได้ด้วยการปิด IPv6 สำหรับการ์ดที่ใช้ หรืออัปเดตแอป การปิดบนการ์ดหนึ่งไม่กระทบอีกการ์ด
• macOS IPv6 ตั้งค่าเป็นรายบริการเครือข่าย เช่น Wi-Fi เปลี่ยนได้ แต่เป็นของบริการนั้น บริการใหม่ต้องเปลี่ยนเหมือนกัน
• Android โดยปกติไม่มีสวิตช์เปิดปิด IPv6 ง่าย ๆ ในการตั้งค่าระบบ วิธีแก้ที่เชื่อถือได้คือแอปที่จัดการเรื่องนี้ การตั้งค่าเครือข่ายมือถือจากผู้ให้บริการถ้ามี หรือปรับที่เราเตอร์สำหรับ Wi-Fi
• iPhone และ iPad ก็ไม่มีสวิตช์ IPv6 ทั่วไปเช่นกัน ทางที่ทำได้จริงคือพฤติกรรมของแอป เราเตอร์สำหรับ Wi-Fi และการทดสอบทั้ง Wi-Fi และข้อมูลมือถือ
• เราเตอร์และเครื่องเกม อุปกรณ์ที่รันแอป VPN ไม่ได้มักอยู่หลังเราเตอร์ที่ให้ IPv6 หากคุณรัน VPN บนเราเตอร์เอง ต้องจัดการฝั่ง IPv6 ที่นั่นด้วย ดูคู่มือตั้งค่าบนเราเตอร์ สำหรับภาพรวม

เครือข่ายมือถือและระบบ IPv6 อย่างเดียว

ผู้ให้บริการมือถือบางรายใช้ IPv6 เป็นหลัก โทรศัพท์มีที่อยู่ IPv6 และระบบแปลให้เข้าเว็บที่รองรับ IPv4 อย่างเดียวได้ ด้วยเหตุนี้คุณอาจเห็นที่อยู่ IPv6 บนข้อมูลมือถือแม้ Wi-Fi ที่บ้านไม่มี ซึ่งเป็นเรื่องปกติ และเป็นเหตุผลที่ต้องทดสอบทั้งสองเครือข่าย

หากเครือข่ายมือถือของคุณเป็น IPv6 อย่างเดียวพร้อมการแปล การปิด IPv6 บนโทรศัพท์อาจทำไม่ได้เลย และการพยายามทำที่อื่นอาจทำให้การเชื่อมต่อเสีย ในสถานการณ์นั้นวิธีแก้ที่ถูกคือแอป VPN ที่รองรับ IPv6 อย่างถูกต้อง ไม่ใช่การแก้ขัด ถ้าวิธีแก้ขัดทำให้เกิดปัญหา ให้ย้อนกลับก่อนและทดสอบสถานะปกติอีกครั้ง

ผลข้างเคียงและวิธีย้อนกลับ

ก่อนปิด IPv6 ที่ใดก็ตาม ให้จำสามข้อ

• จดค่าเดิม ภาพหน้าจอหรือบรรทัดหนึ่งในแอปโน้ตก็พอ
• คาดหวังการเปลี่ยนแปลงเล็กน้อย เว็บ แอป และเกมส่วนใหญ่ยังทำงานผ่าน IPv4 บริการไม่กี่ตัวที่ชอบ IPv6 อาจรู้สึกต่างไปเล็กน้อย
• รู้วิธีย้อนกลับ การเปิดกลับคือขั้นตอนเดียวกันในทางกลับกัน ถ้ามีอะไรที่ไม่เกี่ยวข้องพัง เช่น อุปกรณ์ในบ้านบนเครือข่ายเดียวกัน ให้ย้อนกลับแล้วทดสอบใหม่

หากคุณดูแลอุปกรณ์ที่ทำงาน ให้ถามผู้ดูแลก่อนเปลี่ยนการตั้งค่าเครือข่าย เพราะนโยบายและเครื่องมือของบริษัทอาจพึ่งพา IPv6

ควรทดสอบซ้ำเมื่อไร

ผลผ่านครั้งเดียวไม่ได้อยู่ตลอดไป ให้ทดสอบอีกครั้ง

• หลังอัปเดตระบบปฏิบัติการหรือแอป VPN
• หลังย้ายไปเครือข่ายใหม่ เช่นโรงแรมหรือบ้านใหม่
• หลังเปลี่ยนเราเตอร์หรือเฟิร์มแวร์
• หลังมีการเปลี่ยน kill switch หรือการตั้งค่าที่เกี่ยวข้อง
• ทุกครั้งที่หน้าทดสอบแสดงผู้ให้บริการหรือตำแหน่งที่ไม่คาดคิด

สรุป

IPv6 Leak เกิดเมื่ออุปกรณ์ที่มี IPv6 ส่งทราฟฟิกบางส่วนออกนอกอุโมงค์ VPN ที่จัดการแค่ IPv4 ทำให้เว็บที่รองรับ IPv6 เห็นที่อยู่ IPv6 ที่ผู้ให้บริการอินเทอร์เน็ตกำหนดให้คุณ ซึ่งบั่นทอนประโยชน์หลักของ VPN ทดสอบด้วยการเทียบที่อยู่ตอนปิดและเปิด VPN บนมากกว่าหนึ่งเครือข่าย แก้ตามลำดับ คืออัปเดต ใช้ตัวเลือก IPv6 ในแอป เชื่อมต่อใหม่ ปิด IPv6 บนการ์ดเครือข่าย แล้วที่เราเตอร์ และถามฝ่ายสนับสนุนถ้าไม่ได้ผล ทดสอบซ้ำหลังการเปลี่ยนใด ๆ ที่อาจกระทบเส้นทางของคุณ

หากกำลังเลือกแพ็กเกจ VPN คุณเปรียบเทียบตัวเลือกได้ที่หน้าราคา