ตั้ง DNS บน VPN Router อย่างไรไม่ให้ข้อมูลรั่ว

เวลาติดตั้ง VPN บน Router คนส่วนใหญ่มักโฟกัสที่ตัวอุโมงค์ ว่าเชื่อมต่อได้หรือยัง ไฟสถานะเป็นสีเขียวไหม แต่ DNS ซึ่งเป็นค่าตั้งที่ตัดสินว่าโทรศัพท์ โน้ตบุ๊ก และทีวีในบ้านจะยังบอกผู้ให้บริการอินเทอร์เน็ตอยู่เงียบ ๆ หรือไม่ว่าคุณเปิดเว็บอะไรบ้าง กลับได้รับความสนใจน้อยกว่ามาก อุโมงค์อาจทำงานปกติดีทุกอย่าง ขณะที่ DNS ยังวิ่งอ้อมอุโมงค์ออกไปตามทางเดิม

บทความนี้พูดถึงเรื่อง DNS Router VPN โดยเฉพาะ เราจะอธิบายว่าที่อยู่ DNS ถูกเก็บไว้ได้กี่ที่ ค่าไหนมีผลก่อน ควรตั้งอย่างไร จะรักษาชื่อในบ้านให้ใช้งานต่อได้อย่างไร และจะทดสอบผลอย่างไร โดยสมมติว่าคุณติดตั้ง VPN บน Router เรียบร้อยแล้ว ถ้ายังไม่ได้ทำขั้นตอนนั้น ให้เริ่มจากคู่มือ ตั้งค่า VPN บน Router และถ้ายังไม่คุ้นกับคำว่า DNS แนะนำให้อ่าน DNS ทำงานอย่างไร ก่อน

ทำไม DNS บน Router ต้องดูแลเป็นพิเศษ

DNS เปรียบเหมือนสมุดโทรศัพท์ของอินเทอร์เน็ต ก่อนที่อุปกรณ์จะเปิดเว็บไซต์ได้ มันต้องถามตัวแก้ชื่อ (resolver) ก่อนว่าชื่อเว็บนี้ตรงกับหมายเลข IP อะไร คำถามเหล่านี้มักมีขนาดเล็กและไม่ได้เข้ารหัส จึงบอกได้ว่าคุณเข้าเว็บไหนบ้าง แม้ตัวหน้าเว็บจะใช้ HTTPS ก็ตาม

บนโทรศัพท์เครื่องเดียวที่ใช้แอป VPN ตัวแอปมักจัดการเรื่องนี้ให้ โดยสั่งระบบปฏิบัติการให้ส่งคำถาม DNS เข้าไปในอุโมงค์ แต่บน Router สถานการณ์ซับซ้อนกว่า ด้วยเหตุผลสามข้อ

• Router ทำงานสองหน้าที่ในเวลาเดียวกัน คือเป็นประตูออกอินเทอร์เน็ตของทุกอุปกรณ์ในบ้าน และเป็นลูกข่าย VPN ด้วย แต่ละหน้าที่มีค่า DNS ของตัวเอง
• อุปกรณ์ที่อยู่หลัง Router ไม่ได้อ่านค่าตั้ง VPN พวกมันรับสิ่งที่ Router เสนอให้ผ่าน DHCP ซึ่งเป็นบริการแจกที่อยู่เมื่ออุปกรณ์เข้าร่วมเครือข่าย
• อุปกรณ์บางชนิดไม่สนใจ Router เลย ใช้ DNS ที่ถูกตั้งไว้ในตัว หรือใช้ฟีเจอร์ DNS แบบเข้ารหัสที่มากับเบราว์เซอร์หรือระบบ

ผลคือ VPN บน Router อาจทำให้เรารู้สึกว่าครบแล้วทั้งที่ยังไม่ครบ ทราฟฟิกเว็บไปทางอุโมงค์ แต่สมาร์ททีวียังถามชื่อเว็บกับ DNS ของผู้ให้บริการเหมือนเดิม นี่คือ DNS รั่ว แบบฉบับ และบน Router มันกระทบคนทั้งบ้าน

ที่อยู่ DNS เก็บได้ใน 4 ชั้น

ก่อนแก้อะไร ให้ตรวจก่อนว่า Router ของคุณใช้ชั้นไหนบ้าง ค่าที่ตั้งในชั้นหนึ่งอาจไม่มีผลเลยถ้ามีอีกชั้นที่แรงกว่าทับอยู่

ชั้น	หาได้ที่ไหน	มีผลกับใคร	ค่าทั่วไป
DNS ฝั่ง WAN ของ Router	หน้า Internet หรือ WAN	ตัว Router เองเวลาค้นหาชื่อ	ได้จากผู้ให้บริการอัตโนมัติ
DNS ของลูกข่าย VPN	หน้า VPN Client หรือโปรไฟล์ที่นำเข้า	การค้นหาที่ผ่านอุโมงค์	ที่อยู่ที่ฝั่ง VPN ให้มา
DNS ใน DHCP	หน้า LAN หรือ DHCP Server	ทุกอุปกรณ์ที่เข้าเครือข่าย	มักเป็น IP ของ Router เอง เช่น 192.168.1.1
DNS ในอุปกรณ์	ตั้งค่า Wi-Fi ของเครื่อง หรือในเบราว์เซอร์	เฉพาะเครื่องนั้น	อัตโนมัติ หรือกรอกเอง

เวลาไล่ปัญหา ให้อ่านตารางจากล่างขึ้นบน ค่าที่กรอกเองในอุปกรณ์ชนะ DHCP ส่วน DHCP เป็นตัวกำหนดว่าอุปกรณ์ส่วนใหญ่ใช้อะไร การส่งต่อของ Router ตัดสินว่าคำถามจะไปต่อที่ไหน และค่า WAN จะมีความหมายก็ต่อเมื่อไม่มีอะไรในลำดับก่อนหน้าเปลี่ยนเส้นทางไปเสียก่อน

"ที่อยู่ของ Router เอง" หมายถึงอะไร

Router ตามบ้านส่วนใหญ่แจก IP ส่วนตัวของตัวเอง เช่น 192.168.1.1 ให้เป็น DNS ฟังดูเหมือน Router ตอบทุกคำถามเอง แต่จริง ๆ แล้วมันเป็นเพียงตัวส่งต่อ (forwarder) คือรับคำถามจากโทรศัพท์แล้วส่งต่อให้ resolver ต้นทาง ส่วนที่คุณต้องควบคุมคือ resolver ต้นทางนั้นคือใคร ที่อยู่ส่วนตัวแบบนี้กำหนดไว้ใน RFC 1918 และไม่สามารถเข้าถึงได้จากภายนอกบ้านของคุณ

ปลายทางที่เราต้องการ

เป้าหมายสรุปได้ในประโยคเดียว คือทุกอุปกรณ์ถาม Router แล้ว Router ถาม resolver ผ่านอุโมงค์ ในทางปฏิบัติมีรูปแบบที่ยอมรับได้สามแบบ แต่ละแบบมีข้อดีข้อเสียต่างกัน

1. Router ส่งต่อไปยัง DNS ฝั่ง VPN อุปกรณ์ใช้ DHCP ค่าเริ่มต้น Router ส่งต่อคำถามไปที่ DNS ที่ฝั่ง VPN ให้มา และเส้นทางส่งต่อผ่านอุโมงค์ เป็นแบบที่ง่ายที่สุดและพบบ่อยที่สุด
2. Router ส่งต่อไป DNS สาธารณะโดยผ่านอุโมงค์ คุณเลือก resolver เอง แต่ต้องตั้งกฎเส้นทางให้การจราจรไปยัง resolver นั้นออกทางอินเทอร์เฟซ VPN ถ้าเส้นทางผิด ก็รั่วได้ทั้งที่ที่อยู่ดูถูกต้อง
3. Router รัน resolver ในเครื่องและคุยกับต้นทางแบบเข้ารหัส Router ระดับสูงทำได้ แต่ต้องใช้ความรู้มากขึ้น และเป็นเพียงชั้นเสริม ไม่ใช่สิ่งทดแทนอุโมงค์ ดูความสัมพันธ์ได้ใน DNS over HTTPS กับ VPN ต่างกันอย่างไร

ถ้าไม่แน่ใจ ให้เลือกแบบแรก การตั้งค่าที่ไม่ซับซ้อนทดสอบง่ายและย้อนกลับง่าย

ขั้นตอนเปลี่ยน DNS บน Router อย่างระมัดระวัง

ชื่อเมนูต่างกันไปตามผู้ผลิตและเวอร์ชันเฟิร์มแวร์ ขั้นตอนด้านล่างจึงอธิบายแนวคิด ไม่ใช่ชื่อปุ่มเป๊ะ ๆ จดค่าทุกอย่างก่อนแก้ เพื่อที่จะย้อนกลับได้

1. จดสถานะปัจจุบัน เปิดหน้า WAN, LAN หรือ DHCP และ VPN Client บันทึกช่อง DNS ของแต่ละหน้า ถ้า Router ให้แคปหน้าจอได้ก็ทำไว้
2. ทดสอบก่อนแก้ ใช้โน้ตบุ๊กที่ต่อกับ Router ขณะที่ VPN เปิดอยู่ที่ Router แล้วรันการทดสอบ DNS leak บันทึกรายชื่อ resolver ที่แสดง นี่คือภาพ "ก่อน"
3. หาตัวเลือกให้ใช้ DNS ของ VPN หน้า VPN Client หลายรุ่นมีช่องให้รับ DNS ที่ฝั่ง VPN ส่งมา ให้เปิดใช้
4. ตรวจหน้า DHCP ช่อง DNS ที่แจกให้อุปกรณ์ควรว่างไว้ (หมายถึงให้ใช้ Router เอง) หรือเป็นที่อยู่ของ Router เอง ถ้ามี DNS ของผู้ให้บริการอินเทอร์เน็ตอยู่ อุปกรณ์จะเลี่ยงอุโมงค์
5. ปิดฟีเจอร์ DNS เพิ่มเติมที่คุณไม่ได้เลือก Router บางรุ่นมีบริการกรองเนื้อหาหรือ DNS "อัจฉริยะ" ที่อาจทับค่าใหม่ของคุณ
6. บันทึกแล้วรีสตาร์ตบริการ VPN Router บางรุ่นใช้ค่า DNS ใหม่ก็ต่อเมื่ออุโมงค์เริ่มต้นใหม่ การรีสตาร์ต Router ทั้งตัวเป็นทางเลือกสุดท้าย แต่ทำได้
7. ต่ออุปกรณ์ทดสอบใหม่ ตัดการเชื่อมต่อ Wi-Fi แล้วต่อกลับ เพื่อให้ได้ข้อมูล DHCP ชุดใหม่ บนคอมพิวเตอร์ควรล้างแคช DNS ด้วย
8. ทดสอบ DNS leak อีกครั้ง แล้วเทียบกับผลในข้อ 2

อย่าลืม IPv6

อินเทอร์เน็ตบ้านจำนวนมากให้อุปกรณ์ได้ทั้ง IPv4 และ IPv6 Router อาจแจกข้อมูล DNS ของ IPv6 แยกจากการตั้งค่า DHCP ของ IPv4 ถ้า VPN ส่งเฉพาะ IPv4 DNS ของผู้ให้บริการผ่าน IPv6 อาจยังถูกใช้อยู่เงียบ ๆ ให้ดูว่า Router มีช่อง DNS สำหรับ IPv6 แยกหรือไม่ และถ้า VPN ไม่รองรับ IPv6 ให้ปิด IPv6 ฝั่ง LAN หรือทำให้ Router ไม่ประกาศ resolver ของผู้ให้บริการ ดูพื้นหลังได้ใน IP leak คืออะไร

ทำให้ชื่อในบ้านยังใช้ได้

หลังเปลี่ยน DNS สิ่งที่คนมักเจอคือของในบ้านใช้ไม่ได้ เครื่องพิมพ์หายไป NAS เปิดด้วยชื่อไม่ได้ หรือหน้าตั้งค่า Router ไม่เปิดด้วยชื่อที่คุ้นเคย เหตุผลคือชื่อเหล่านั้นมีอยู่เฉพาะใน Router ของคุณ resolver ภายนอกไม่เคยรู้จัก และถ้า Router ส่งทุกคำถามเข้าอุโมงค์ คำตอบที่ได้คือ "ไม่พบชื่อนี้"

มีวิธีที่ใช้ได้จริงสามวิธีที่จะให้ทั้งสองโลกทำงานคู่กัน

• ให้ Router เป็น resolver ตัวแรก คงที่อยู่ของ Router ไว้เป็น DNS ที่ DHCP แจก Router จะตอบชื่อในบ้านเอง แล้วส่งต่อชื่ออื่น วิธีนี้ใช้ได้เกือบทุกกรณี
• ใช้ IP คงที่กับอุปกรณ์สำคัญ จอง IP ให้เครื่องพิมพ์และที่เก็บข้อมูลในหน้า DHCP แล้วพิมพ์ IP แทนชื่อ
• ใช้กฎตามโดเมน เฟิร์มแวร์บางรุ่นให้กำหนดว่าชื่อที่ลงท้ายด้วยคำใดไปที่ resolver ในบ้าน ที่เหลือส่งออกไปต้นทาง แนวคิดคล้ายกับ split DNS บนคอมพิวเตอร์

ถ้าของในบ้านพังหลังเปลี่ยน DNS สาเหตุเกือบทั้งหมดคือชื่อในบ้านถูกส่งไปผิดที่ ให้ตั้ง Router กลับเป็น resolver ตัวแรกแล้วทดสอบใหม่

สามสถานการณ์ในบ้าน

ครอบครัวที่มีอุปกรณ์หลายแบบ คุณอรุณมีโทรศัพท์สองเครื่อง โน้ตบุ๊ก ทีวี และเครื่องเล่นเกมต่อกับ Router ที่เปิด VPN เธอตั้ง VPN Client ให้ใช้ DNS ของฝั่ง VPN ปล่อย DHCP เป็นค่าเริ่มต้น แล้วทดสอบด้วยโน้ตบุ๊ก ผลดูปกติ แต่ทีวียังแสดง resolver ของผู้ให้บริการ เพราะในหน้าตั้งค่าเครือข่ายของทีวีมี DNS ที่กรอกไว้เองเมื่อหลายปีก่อน เธอเปลี่ยนเป็นอัตโนมัติ ปัญหารั่วก็หายไป

ออฟฟิศที่บ้านและเครื่องพิมพ์ร่วม คุณพีทำงานในห้องว่างและสั่งพิมพ์ไปยังเครื่องพิมพ์ในเครือข่ายด้วยชื่อ หลังเปลี่ยน DNS บน Router เครื่องพิมพ์หายไป เขาตั้ง DNS ใน DHCP กลับเป็นที่อยู่ของ Router เอง และให้ Router ใช้ DNS ของ VPN เป็นต้นทาง เครื่องพิมพ์กลับมา และผลทดสอบแสดงเฉพาะ resolver ของฝั่ง VPN

ห้องเช่าที่ใช้ Router ของเจ้าของ คุณเหมยล็อกอินหน้าตั้งค่า Router ไม่ได้ จึงเปลี่ยนค่าอะไรไม่ได้เลย เธอจึงติดตั้งแอป VPN บนโน้ตบุ๊กและโทรศัพท์ของตัวเอง ซึ่งแอปจัดการ DNS ภายในเครื่อง นี่เป็นทางเลือกที่ใช้ได้จริง ข้อดีข้อเสียของสองแนวทางอธิบายไว้ใน VPN Router เทียบกับแอป VPN

ทดสอบผลให้ครบถ้วน

การทดสอบครั้งเดียวไม่พอ เพราะอุปกรณ์แต่ละชนิดทำตัวต่างกัน ให้ใช้ขั้นตอนสั้น ๆ ดังนี้

1. ทดสอบกับคอมพิวเตอร์ที่ต่อสายแลน ถ้ามี เพราะเห็นพฤติกรรมของ Router โดยไม่มีเรื่อง Wi-Fi มาเกี่ยว
2. ทดสอบกับโทรศัพท์ที่ต่อ Wi-Fi โดยปิดอินเทอร์เน็ตมือถือ เพื่อให้แน่ใจว่าใช้ Router จริง
3. ทดสอบกับทีวีหรือเครื่องเกม โดยเปิดแอปแล้วดูรายชื่ออุปกรณ์หรือบันทึก DNS ใน Router ถ้าเฟิร์มแวร์มีให้
4. ทดสอบซ้ำหลังรีสตาร์ต Router เพราะบางค่าไม่ถูกบันทึกอย่างที่เห็น
5. ทดสอบซ้ำตอนที่ตั้งใจตัด VPN เพื่อดูว่าเครือข่ายทำอะไรเมื่ออุโมงค์หลุด ถ้า Router กลับไปใช้ DNS ของผู้ให้บริการเงียบ ๆ ก็ควรรู้ไว้ก่อน ไม่ใช่มารู้ทีหลัง

อย่าลืมว่าผล DNS สะอาดบอกได้เฉพาะเรื่อง DNS ควรตรวจด้วยว่า IP สาธารณะเปลี่ยนจริงหรือไม่ ตามขั้นตอนใน วิธีตรวจว่า VPN ทำงานอยู่

ข้อผิดพลาดที่พบบ่อยและข้อจำกัด

• กรอก DNS สาธารณะในหน้า DHCP แล้วคิดว่าเป็นส่วนตัว อุปกรณ์จะข้ามตัวส่งต่อของ Router และคำถามจะเข้าอุโมงค์หรือไม่ขึ้นกับเส้นทาง ไม่ใช่ที่อยู่
• ตั้ง DNS เฉพาะหน้า WAN ค่านี้กระทบเฉพาะการค้นหาของ Router เอง ไม่ใช่สิ่งที่อุปกรณ์ถาม
• ลืมอุปกรณ์ที่ล็อก DNS ไว้ กล่อง Streaming รุ่นเก่า เครื่องเกม และลำโพงอัจฉริยะบางรุ่นมี resolver ฝังในตัวซึ่ง Router แก้ไม่ได้
• มองข้าม DNS เข้ารหัสในเบราว์เซอร์ เบราว์เซอร์ที่ใช้ resolver เข้ารหัสของตัวเองจะข้ามสิ่งที่ Router เลือก ซึ่งทำได้และบางครั้งมีประโยชน์ แต่คุณควรรู้ว่ามีอยู่
• บล็อกพอร์ต 53 โดยไม่ทดสอบ บางคนเพิ่มกฎไฟร์วอลล์บังคับให้ DNS ทั้งหมดผ่าน Router ทำได้ผลดี แต่ต้องทดสอบ เพราะทำให้อุปกรณ์ที่พึ่งค่าตั้งของตัวเองใช้งานไม่ได้
• คาดหวังว่าการตั้ง DNS จะทำให้เป็นนิรนาม DNS เป็นเพียงสัญญาณหนึ่ง บัญชี คุกกี้ และแอปยังระบุตัวคุณได้ อ่านเพิ่มที่ สิ่งที่ VPN ปกป้องคุณไม่ได้

นอกจากนี้ยังมีข้อจำกัดด้านฮาร์ดแวร์ Router ราคาประหยัดอาจมีช่อง DNS เดียว อาจไม่ยอมให้ลูกข่าย VPN ส่ง DNS ของตัวเองเข้ามา หรือไม่มีหน้าตั้งค่าไฟร์วอลล์ กรณีนั้นทางเลือกที่เป็นจริงคือใช้แอป VPN บนอุปกรณ์สำคัญแต่ละเครื่อง หรือเปลี่ยนไปใช้ Router ที่เฟิร์มแวร์ให้ควบคุมได้มากพอ ไม่ว่าเลือกทางใด อย่าลืมว่า VPN บน Router มีผลกับทุกอุปกรณ์พร้อมกัน ดังนั้นถ้าตั้งผิดก็ผิดพร้อมกันทั้งบ้านเช่นกัน

สรุป

บน Router ที่ใช้ VPN ที่อยู่ DNS เก็บได้ใน 4 ที่ คือหน้า WAN หน้า VPN Client หน้า DHCP และตัวอุปกรณ์แต่ละเครื่อง โดยค่าที่อยู่ใกล้อุปกรณ์ที่สุดมักชนะ ให้ตั้งเป้าที่สายโซ่ง่าย ๆ คืออุปกรณ์ถาม Router และ Router ถาม resolver ผ่านอุโมงค์ เก็บ Router ไว้เป็น resolver ตัวแรกเพื่อให้ชื่อในบ้านยังใช้ได้ จัดการ IPv6 ไม่ให้เป็นช่องโหว่ และทดสอบหลายชนิดอุปกรณ์ทั้งก่อนและหลังเปลี่ยน

ถ้าคุณอยากป้องกันเป็นรายเครื่องแทนทั้งบ้าน ลองดู หน้าราคา ว่าแพ็กเกจแบบเติมเงินล่วงหน้าเหมาะกับการใช้งานของคุณหรือไม่