Split DNS สำหรับ VPN คืออะไร

ลองนึกภาพว่าคุณอยู่บ้านและพิมพ์ที่อยู่ของเซิร์ฟเวอร์ไฟล์ในออฟฟิศลงในเบราว์เซอร์ ถ้าไม่ได้เปิด VPN จะไม่เกิดอะไรขึ้น เพราะชื่อนั้นมีอยู่เฉพาะในเครือข่ายของบริษัท แต่พอเชื่อมต่อ VPN หน้าเว็บก็เปิดได้ เบื้องหลังเรื่องเล็ก ๆ นี้มีการตัดสินใจอยู่ข้อหนึ่ง คือ DNS resolver ตัวไหนควรเป็นผู้ตอบคำถามว่า "files.corp.example อยู่ที่ที่อยู่อะไร" ถ้าเลือกผิด หน้าเว็บจะเปิดไม่ได้ แม้ VPN จะขึ้นว่าเชื่อมต่อแล้ว

Split DNS คือชื่อเรียกของการจัดการที่ทำให้การตัดสินใจนั้นถูกต้อง บทความนี้อธิบายว่ามันหมายถึงอะไร ต่างจาก split tunneling ที่คนรู้จักกันมากกว่าอย่างไร ระบบปฏิบัติการแต่ละแบบทำอย่างไร และวิธีทดสอบกับแก้ปัญหา โดยสมมติว่าคุณรู้แล้วว่า DNS แปลงชื่อเป็นที่อยู่ ถ้ายังไม่แน่ใจ เริ่มที่ DNS ทำงานอย่างไร

หนึ่งชื่อ สองคำตอบ: แนวคิดเบื้องหลัง split DNS

DNS ระดับโลกรู้จักแต่ชื่อสาธารณะ ส่วนองค์กรก็ใช้ชื่อส่วนตัวที่ไม่มีความหมายนอกกำแพงของตัวเอง เช่น เว็บอินทราเน็ต เซิร์ฟเวอร์สำหรับสร้างซอฟต์แวร์ คิวเครื่องพิมพ์ หรือโฮสต์ฐานข้อมูล ชื่อเหล่านี้เก็บไว้ใน resolver ขององค์กรเอง และบางครั้งชื่อเดียวกันก็มีคำตอบข้างในต่างจากข้างนอก เว็บไซต์หนึ่งอาจชี้ไปยังเว็บเซิร์ฟเวอร์สาธารณะสำหรับคนทั่วโลก และชี้ไปยังสำเนาภายในสำหรับพนักงาน การจัดการแบบนี้มักเรียกว่า split-horizon DNS เป็นวิธีบริหารเครือข่ายที่ปกติและมีมานาน

ปัญหาเริ่มเมื่ออุปกรณ์ที่อยู่ไกลต้องใช้ทั้งสองโลกพร้อมกัน แล็ปท็อปยังต้องเข้าเว็บสาธารณะได้ และต้องหาชื่อส่วนตัวของบริษัทเจอด้วย resolver ตัวเดียวทำสองอย่างได้ไม่ดี

• ถ้าแล็ปท็อปถามเฉพาะ resolver ของบริษัทสำหรับทุกอย่าง การท่องเว็บสาธารณะจะไหลผ่านบริษัท เพิ่มภาระ และอาจถูกกรองตามนโยบายของบริษัท
• ถ้าแล็ปท็อปถามเฉพาะ resolver ของบ้านหรือร้านกาแฟ ชื่อส่วนตัวจะไม่มีอยู่ และล้มเหลวด้วย "ไม่พบเซิร์ฟเวอร์"

Split DNS แก้ปัญหาด้วยรายการกฎสั้น ๆ ว่า ชื่อที่ลงท้ายด้วยโดเมนเหล่านี้ให้ไปที่ resolver ตัวนั้น ที่เหลือทั้งหมดไปที่ตัวนี้ การตัดสินใจทำเป็นรายคำขอ บนอุปกรณ์ ก่อนที่จะส่งทราฟฟิกใด ๆ ออกไป

Split DNS กับ split tunneling เป็นคนละเรื่อง

สองคำนี้ฟังคล้ายกันและมักถูกตั้งค่าไว้ด้วยกัน แต่ตอบคำถามคนละข้อ

คำถาม	Split tunneling	Split DNS
อะไรถูกแบ่ง	ทราฟฟิกเครือข่าย	คำขอค้นหาชื่อ
ตัดสินจาก	แอป ช่วง IP ปลายทาง หรือเส้นทาง	ส่วนท้ายของชื่อโดเมน
เป้าหมาย	ส่งเฉพาะบางทราฟฟิกผ่าน VPN	ถาม resolver ที่ถูกต้องสำหรับแต่ละชื่อ
ถ้าตั้งผิดจะเกิดอะไร	ทราฟฟิกออกนอกอุโมงค์โดยไม่คาดคิด หรือไปไม่ถึงเป้าหมาย	ชื่อหาไม่เจอ หรือชื่อภายในถูกถามไปยัง resolver สาธารณะ
ผู้ใช้ทั่วไป	ทุกคนที่แอป VPN มีฟีเจอร์นี้	การตั้งค่า VPN ขององค์กรหรือที่โฮสต์เอง

คุณมี split tunneling โดยไม่มี split DNS ได้ เช่น VPN พาทราฟฟิกไปยังเครือข่ายออฟฟิศ แต่คำขอค้นหาชื่อทั้งหมดยังใช้ resolver ของร้านกาแฟ ชื่อภายในจึงล้มเหลว และคุณก็มี split DNS ร่วมกับการส่งทราฟฟิกทั้งหมดผ่านอุโมงค์ได้ โดยโดเมนต่างกันถูกตอบโดย resolver ต่างกันภายในอุโมงค์ บทความ Split tunneling คืออะไร ลงลึกเรื่องฝั่งทราฟฟิก ส่วนบทความนี้พูดเฉพาะเรื่องชื่อ

ระบบปฏิบัติการทำอย่างไร

แนวคิดเหมือนกันทุกที่ แต่แต่ละระบบเก็บรายการไว้คนละที่ การรู้ชื่อเหล่านี้ช่วยตอนแก้ปัญหา

Windows Name Resolution Policy Table หรือ NRPT จับคู่ส่วนท้ายของโดเมนกับเซิร์ฟเวอร์ DNS ไคลเอนต์ VPN หรือนโยบายของบริษัทเพิ่มรายการได้ เช่น "อะไรก็ตามที่ลงท้ายด้วย .corp.example ให้ไปที่ resolver ตัวนี้" ถ้าไม่มีกฎใดตรง ระบบใช้เซิร์ฟเวอร์ DNS ปกติของอะแดปเตอร์

macOS ระบบเก็บการตั้งค่า resolver หลายชุด และชุดเฉพาะโดเมนผูกกับอินเทอร์เฟซของ VPN ได้ ไฟล์ที่วางไว้ในไดเรกทอรี resolver เป็นอีกกลไกที่ผู้ใช้เทคนิคใช้ส่งโดเมนหนึ่งไปยังเซิร์ฟเวอร์หนึ่ง

Linux ด้วย systemd-resolved แต่ละลิงก์เครือข่ายมีรายการเซิร์ฟเวอร์ DNS และรายการ "routing domains" คำขอสำหรับโดเมนเหล่านั้นไปที่เซิร์ฟเวอร์ของลิงก์นั้น โดเมนที่เขียนว่า "~corp.example" หมายถึง "ส่งโดเมนนี้มาทางนี้ แต่ไม่ใช้เติมชื่อสั้น"

Android และ iOS ระบบมือถือเปิดให้ปรับเองน้อยกว่า แอป VPN หรือโปรไฟล์การจัดการอุปกรณ์สามารถขอ resolver เฉพาะโดเมน และระบบนำไปใช้เป็นส่วนหนึ่งของการตั้งค่า VPN

ถ้าคุณใช้แอป VPN สำหรับผู้ใช้ทั่วไปอย่างเดียว แทบไม่ต้องแตะเรื่องเหล่านี้เลย กลไกพวกนี้สำคัญเมื่อมีบริษัท โรงเรียน หรือระบบที่โฮสต์เองเข้ามาเกี่ยวข้อง

ตามดูสองคำขอผ่านระบบแบบ split

ตัวอย่างจริง มายาเป็นที่ปรึกษาที่ทำงานจากบ้าน VPN ของบริษัทมีกฎข้อเดียว คือชื่อที่ลงท้ายด้วย .corp.example ไปที่ resolver ที่ 10.20.0.2 ภายในอุโมงค์ ที่เหลือใช้เราเตอร์ที่บ้านของเธอ

1. เธอเปิดเบราว์เซอร์และพิมพ์ wiki.corp.example ระบบตรวจรายการกฎ พบว่าส่วนท้ายตรงกัน และส่งคำถามผ่านอุโมงค์ไปที่ 10.20.0.2 resolver ของบริษัทตอบด้วยที่อยู่ภายใน เช่น 10.20.5.14 หน้าเว็บจึงโหลดได้
2. เธอเปิดแท็บที่สองไปยังเว็บข่าวสาธารณะ ไม่มีกฎใดตรง คำถามจึงไปที่ resolver ของเราเตอร์ที่บ้าน ซึ่งถามต่อ DNS สาธารณะแล้วตอบกลับ VPN ไม่เกี่ยวกับการค้นหานี้
3. เธอพิมพ์ชื่อสั้น ๆ ว่า wiki โดยไม่มีส่วนท้าย ระบบเติม search suffix .corp.example จากการตั้งค่า VPN และลอง wiki.corp.example ถ้าไม่มีรายการ suffix ชื่อสั้นนี้จะล้มเหลว
4. แล็ปท็อปพยายามหาเครื่องพิมพ์ด้วยชื่อ office-printer.local ชื่อนี้ใช้การค้นหาแบบ multicast ในเครือข่ายท้องถิ่น และไม่ถูกส่งไปยัง resolver เลย กฎของ VPN จึงไม่เกี่ยวข้อง

รายละเอียดข้อ 3 อธิบายเรื่องที่คนบ่นบ่อย คือชื่อเต็มใช้ได้ แต่ชื่อสั้นใช้ไม่ได้ VPN ให้ resolver แก่อุปกรณ์ แต่ไม่ได้ให้โดเมนสำหรับค้นหา

split DNS ปรากฏในชีวิตจริงที่ไหน

• พนักงานที่ทำงานระยะไกล กรณีที่พบมากที่สุด พนักงานเข้าเว็บและเครื่องมือภายในด้วยชื่อ ส่วนการท่องเว็บส่วนตัวใช้ resolver ที่บ้าน
• นักศึกษาและนักวิจัย มหาวิทยาลัยอาจเปิดบริการห้องสมุดและห้องปฏิบัติการด้วยชื่อเฉพาะในเครือข่ายของตัวเอง VPN ที่มี split DNS ช่วยให้นักศึกษาเข้าถึงได้ ขณะที่การเชื่อมต่อส่วนอื่นยังอยู่ในเครื่อง
• แล็บที่บ้าน คนที่รัน NAS เซิร์ฟเวอร์สื่อ และฮับบ้านอัตโนมัติ มักตั้งชื่อส่วนตัวให้อุปกรณ์เหล่านั้น VPN ที่โฮสต์เองพร้อม split DNS แปลงชื่อเหล่านั้นได้ตอนเจ้าของอยู่นอกบ้าน โดยไม่ต้องส่งคำขอเว็บทั้งหมดกลับบ้าน
• สำนักงานขนาดเล็ก ร้านที่มีไฟล์เซิร์ฟเวอร์ในร้านและโปรแกรมบัญชีบนคลาวด์ ต้องการให้ชื่อเซิร์ฟเวอร์ใช้ได้จากแล็ปท็อปของพนักงานที่บ้าน
• องค์กรหลายสาขา แต่ละสำนักงานมีชื่อส่วนตัวของตัวเอง และลิงก์ VPN ระหว่างกันใช้กฎรายโดเมนเพื่อส่งแต่ละคำขอไปยังสำนักงานที่ถูกต้อง

ถ้าที่ทำงานให้บัญชี VPN แก่คุณ ให้ถามว่าชื่อภายในควรใช้ได้หรือไม่ ถ้าใช่ รายการกฎ split DNS เป็นส่วนหนึ่งของการตั้งค่า ดูเพิ่มที่ VPN ธุรกิจกับ VPN ส่วนบุคคล เพื่อดูว่าสภาพแวดล้อมเหล่านี้ต่างจากการใช้งานทั่วไปอย่างไร

ตรวจสอบว่าตั้งค่าอะไรไว้

ไม่ต้องเดา แต่ละระบบพิมพ์ตาราง resolver ออกมาได้

1. macOS เปิด Terminal แล้วรัน scutil --dns มองหา resolver ที่ระบุโดเมนและ nameserver รายการที่มี "domain : corp.example" คือกฎ split
2. Linux ที่ใช้ systemd-resolved รัน resolvectl status แต่ละลิงก์แสดงเซิร์ฟเวอร์ DNS และรายการ DNS Domain โดเมนที่ขึ้นต้นด้วย ~ ใช้เพื่อกำหนดเส้นทางอย่างเดียว
3. Windows ใน PowerShell รัน Get-DnsClientNrptPolicy เพื่อดูกฎ และ ipconfig /all เพื่อดูเซิร์ฟเวอร์ DNS ของแต่ละอะแดปเตอร์และรายการ DNS suffix search list
4. ทดสอบชื่อกับ resolver เฉพาะตัว nslookup wiki.corp.example 10.20.0.2 ถาม resolver ตัวนั้นโดยตรง ถ้ามันตอบได้แต่เส้นทางปกติตอบไม่ได้ แปลว่ารายการกฎผิดหรือหายไป
5. ทดสอบด้านการรั่ว จากเครื่องเดียวกัน ลองค้นชื่อภายในขณะไม่ได้เชื่อมต่อ VPN แล้วดูว่าถามอะไรและถามที่ไหน ชื่อส่วนตัวที่ถูกส่งไปยัง resolver สาธารณะเปิดเผยว่าชื่อนั้นมีอยู่ ซึ่งบางองค์กรถือเป็นข้อมูลอ่อนไหว

เก็บผลลัพธ์ของคำสั่งเหล่านี้ไว้เมื่อขอความช่วยเหลือจากทีมไอที มันบอกพวกเขาในหนึ่งนาทีในสิ่งที่ต้องคุยกันไปมาเป็นชั่วโมง

อะไรที่อาจผิดพลาด

• รายการกฎไม่ครบ โดเมนภายในใหม่ถูกเพิ่มในเครือข่ายแต่ไม่อยู่ในโปรไฟล์ VPN จึงล้มเหลวขณะที่ชื่อเก่ายังใช้ได้
• โดเมนซ้อนทับกัน ชื่อสาธารณะกับชื่อส่วนตัวใช้ส่วนท้ายเดียวกัน เช่นอยู่ใต้ corp.example ทั้งคู่ และคำขอของชื่อสาธารณะไปที่ resolver ที่ตอบไม่ได้
• resolver เข้าถึงได้เฉพาะในอุโมงค์ ที่อยู่ของ resolver ส่วนตัวซึ่งมักอยู่ในช่วงส่วนตัวตาม RFC 1918 เข้าถึงไม่ได้เมื่อ VPN หลุด คำขอจึงหมดเวลาและแอปดูเหมือนค้าง
• เครือข่ายที่เขียนทับคำขอ เครือข่ายโรงแรมหรือ captive portal บางแห่งดักจับ DNS และทำให้กฎ split พัง ถ้าชื่อใช้ได้บนเน็ตมือถือแต่ไม่ได้บน Wi-Fi โรงแรม ให้สงสัยตัวเครือข่าย
• การตั้งค่า DNS ที่แย่งกัน Private DNS ของ Android หรือ DNS แบบเข้ารหัสในเบราว์เซอร์ข้ามกฎของระบบและถาม resolver สาธารณะเรื่องชื่อส่วนตัวได้ ผลคือ "ไม่พบเซิร์ฟเวอร์" สำหรับเว็บภายใน
• แคชเก่า ระบบหรือเบราว์เซอร์จำคำขอที่ล้มเหลวไว้ ล้างแคช DNS หรือรีสตาร์ตแอปหลังแก้กฎ
• ไม่มี search domain ชื่อเต็มใช้ได้ แต่ชื่อสั้นไม่ได้ ดังตัวอย่างข้างต้น

มุมความเป็นส่วนตัวและความปลอดภัย

Split DNS เป็นเครื่องมืออำนวยความสะดวกในการเข้าถึงทรัพยากรส่วนตัว ไม่ใช่ฟีเจอร์ความเป็นส่วนตัวในตัวมันเอง มีสองเรื่องที่ควรรู้

เรื่องแรก resolver ที่คุณถามจะเห็นชื่อที่คุณถาม เมื่อ split ถูกต้อง resolver ของบริษัทเห็นเฉพาะชื่อของบริษัท ส่วน resolver ที่บ้านหรือสาธารณะเห็นที่เหลือ บางครั้งดีต่อความเป็นส่วนตัวกว่าการส่งทุกอย่างไปที่บริษัท และบางครั้งแย่กว่าการส่งทุกอย่างผ่านอุโมงค์ที่เชื่อถือได้ ไม่มีกฎสากลข้อใดข้อหนึ่ง

เรื่องที่สอง กฎที่ผิดพลาดอาจเปิดเผยชื่อ ถ้าชื่อโฮสต์ภายในถูกถามไปยัง resolver สาธารณะ resolver นั้นก็รู้ว่าชื่อนั้นมีอยู่ และคนที่ดักดูเครือข่ายท้องถิ่นก็อาจรู้ด้วย เพราะ DNS แบบธรรมดาไม่เข้ารหัส ชื่ออย่าง "payroll-db" หรือรหัสโครงการให้ข้อมูลได้แม้โฮสต์จะเข้าไม่ถึง นี่เป็นรูปแบบหนึ่งของปัญหาที่อธิบายใน DNS leak คืออะไร คือคำขอที่ไปในที่ที่คุณไม่ได้ตั้งใจ

สำหรับการเข้าถึงระยะไกลโดยทั่วไป คู่มือ telework ของ NIST (SP 800-46) เน้นการตั้งค่าที่ปลอดภัยของการเข้าถึงระยะไกลและอุปกรณ์ปลายทาง ซึ่งรวมถึงการตรวจว่า DNS ทำงานตามที่ออกแบบ แทนที่จะสันนิษฐานเอาเอง

VPN สำหรับผู้ใช้ทั่วไปต้องใช้ split DNS ไหม

น่าจะไม่ แอป VPN สำหรับผู้ใช้ทั่วไปมักออกแบบให้ส่งทราฟฟิกและคำขอค้นหาชื่อทั้งหมดผ่านอุโมงค์ไปยัง resolver ตัวเดียว ไม่มีชื่อส่วนตัวให้เข้าถึง จึงไม่มีอะไรให้แบ่ง สิ่งที่ควรตรวจในกรณีนั้นเป็นอีกด้านหนึ่ง คือไม่มีคำขอหลุดออกนอกอุโมงค์

Split DNS เกี่ยวข้องเมื่อคุณรันเซิร์ฟเวอร์เอง เข้าร่วม VPN ของบริษัทหรือโรงเรียน หรือดูแลเราเตอร์ที่มีชื่อภายใน ถ้าคุณใช้แอป VPNclient ฟรีกับแพ็กเกจเติมเงินจากหน้า ราคา ให้ใช้พฤติกรรมเริ่มต้นของแอป ไม่ต้องตั้งกฎโดเมนเอง

สรุป

Split DNS ให้อุปกรณ์เลือก resolver ตามชื่อโดเมน ชื่อส่วนตัวไปที่ resolver ส่วนตัวผ่าน VPN ที่เหลือไปที่ resolver ปกติ ไม่เหมือน split tunneling แม้สองอย่างมักปรากฏด้วยกัน ระบบปฏิบัติการทำผ่านตารางกฎ เช่น NRPT บน Windows และ routing domains บน Linux เมื่อมีอะไรผิดพลาด ให้พิมพ์การตั้งค่า resolver ออกมา ถาม resolver ส่วนตัวโดยตรง และมองหา suffix ที่หายไป โดเมนที่ซ้อนทับกัน และการตั้งค่า DNS แบบเข้ารหัสที่แย่งกัน