DNS leak คืออะไร

ทุกครั้งที่คุณพิมพ์ชื่อเว็บไซต์ อุปกรณ์ต้องหาก่อนว่าชื่อนั้นตรงกับที่อยู่ใด การค้นหานี้เรียกว่า DNS query เมื่อใช้ VPN คำถามเหล่านี้ควรเดินทางผ่านอุโมงค์เข้ารหัสไปพร้อมกับข้อมูลอื่น DNS leak คือเมื่อมันไม่เป็นเช่นนั้น คำถามออกไปทางปกติ และใครก็ตามที่ดูแลเส้นทางนั้นจะเห็นว่าคุณถามถึงเว็บใด

ทบทวน DNS สั้น ๆ

DNS หรือ Domain Name System ทำหน้าที่เหมือนสมุดโทรศัพท์ของอินเทอร์เน็ต คอมพิวเตอร์เชื่อมต่อกันด้วยที่อยู่ตัวเลข แต่คนใช้ชื่ออย่าง example.com เมื่อคุณเปิดชื่อหนึ่ง อุปกรณ์จะถาม DNS server ให้แปลงเป็นที่อยู่ ระบบนี้อธิบายไว้ใน RFC 1034 และ RFC 1035 และบทความ DNS ทำงานอย่างไร พาไล่ทีละขั้นด้วยภาษาง่าย ๆ

โดยค่าเริ่มต้น อุปกรณ์ใช้ DNS server ที่เครือข่ายกำหนดให้ ซึ่งมักดำเนินการโดยผู้ให้บริการอินเทอร์เน็ตหรือเจ้าของเครือข่าย DNS query แบบดั้งเดิมไม่ได้เข้ารหัส ใครอยู่บนเส้นทางก็อ่านได้

DNS leak เป็นอย่างไร

เปรียบเทียบสองสถานการณ์

	ไม่มีการรั่ว	มีการรั่ว
ข้อมูลเว็บ	ผ่านอุโมงค์ VPN	ผ่านอุโมงค์ VPN
DNS query	ผ่านอุโมงค์ไปยัง DNS server ที่ VPN เลือก	ออกนอกอุโมงค์ไปยัง DNS server ของผู้ให้บริการอินเทอร์เน็ตหรือเครือข่าย
สิ่งที่ผู้ให้บริการอินเทอร์เน็ตเห็น	การเชื่อมต่อเข้ารหัสไปยังเซิร์ฟเวอร์ VPN	เหมือนกัน และเห็นรายชื่อเว็บที่คุณค้นหาเพิ่มด้วย

เนื้อหาของหน้าเว็บยังได้รับการปกป้องในอุโมงค์ DNS leak จึงไม่ได้ส่งรหัสผ่านหรือข้อความของคุณให้ใคร สิ่งที่รั่วคือเมทาดาตา เช่น บันทึกว่าการเชื่อมต่อนี้ค้นหา examplebank.com และ examplenews.com ในเวลาเหล่านี้ สำหรับหลายคน นี่คือข้อมูลที่หวังว่า VPN จะช่วยปิดบังพอดี

ตัวอย่างที่เห็นภาพ

มีอาอยู่ในโรงแรมและเชื่อมต่อ VPN แล้วเปิดฟอรัมท่องเที่ยว เบราว์เซอร์ถามก่อนว่า "ฟอรัมนี้มีที่อยู่อะไร" ถ้าคำถามนี้ผ่านอุโมงค์ VPN เครือข่ายโรงแรมจะเห็นแค่ข้อมูลเข้ารหัส แต่ถ้าคำถามรั่วออกไปที่ DNS server ของโรงแรม เครือข่ายโรงแรมสามารถบันทึกได้ว่ามีอาค้นหาฟอรัมนั้น แม้ตัวหน้าเว็บจะโหลดผ่าน VPN ก็ตาม

ทำไม DNS leak จึงเกิด

• ระบบปฏิบัติการใช้ DNS server มากกว่าหนึ่งตัว บางระบบส่งคำถามไปหลายเซิร์ฟเวอร์พร้อมกัน หรือไปตัวที่ตอบเร็วที่สุด ซึ่งอาจรวมเซิร์ฟเวอร์นอกอุโมงค์
• การตั้งค่า DNS เอง ถ้าคุณหรือแอปตั้ง DNS server ตายตัวบนอุปกรณ์หรือเราเตอร์ VPN อาจไม่เขียนทับ
• เครือข่ายเปลี่ยน การสลับระหว่าง Wi-Fi กับข้อมูลมือถืออาจรีเซ็ตว่าใช้ DNS server ตัวไหน
• การจัดการ IPv6 ถ้า VPN จัดการเฉพาะ IPv4 (RFC 8200 อธิบาย IPv6) และเครือข่ายมี IPv6 บาง query อาจเลี่ยงอุโมงค์
• DNS ในระดับเบราว์เซอร์ บางเบราว์เซอร์ใช้ DNS แบบเข้ารหัสผ่าน HTTPS (RFC 8484) กับเซิร์ฟเวอร์ที่ตนเลือกเอง ซึ่งปกป้อง query จากเครือข่ายในพื้นที่ได้ แต่ก็หมายความว่าการค้นหาไม่เป็นไปตามการตั้งค่า DNS ของ VPN
• แอปที่ถูกยกเว้นจากอุโมงค์ ถ้าตั้งให้บางแอปไม่ผ่าน VPN การค้นหาของแอปเหล่านั้นก็ตามไปด้วย
• การเชื่อมต่อไม่เสถียร ถ้า VPN หลุดแล้วเชื่อมต่อใหม่ query อาจออกไปในช่วงที่ขาด

การรั่วมักเป็นปัญหาการตั้งค่า ไม่ใช่มีใครโจมตีคุณ ซึ่งเป็นข่าวดี เพราะการตั้งค่าแก้ไขได้

วิธีทดสอบ DNS leak

1. ตัดการเชื่อมต่อ VPN แล้วรันทดสอบ DNS leak จากเว็บทดสอบที่น่าเชื่อถือ จด DNS server ที่แสดง ซึ่งเป็นตัวปกติของคุณ มักเป็นของผู้ให้บริการอินเทอร์เน็ตหรือเราเตอร์
2. เชื่อมต่อ VPN และรอให้แสดงว่าเชื่อมต่อแล้ว
3. รันทดสอบอีกครั้ง เซิร์ฟเวอร์ที่แสดงควรต่างจากครั้งแรก และไม่ควรเป็นของผู้ให้บริการอินเทอร์เน็ตตามปกติ
4. ทำซ้ำบนเครือข่ายอื่นที่ใช้เป็นประจำ เช่น ข้อมูลมือถือ
5. ทำซ้ำหลังสลับแอปหรือเบราว์เซอร์ เพราะเบราว์เซอร์อาจทำงานต่างกัน

ถ้าผลหลังเชื่อมต่อยังแสดง DNS server ของผู้ให้บริการ น่าจะมีการรั่ว คู่มือ วิธีเช็กว่า VPN ทำงานอยู่หรือไม่ รวมการทดสอบนี้ไว้กับการทดสอบอื่น ปัญหาที่เกี่ยวข้องคือ WebRTC leak ซึ่งอาจเปิดเผย IP จริงผ่านเบราว์เซอร์ และทดสอบแยกต่างหาก

วิธีแก้ DNS leak

ทำตามลำดับ และทดสอบใหม่หลังเปลี่ยนแต่ละอย่าง

1. เชื่อมต่อ VPN ใหม่ ตัดการเชื่อมต่อ รอสักครู่ เชื่อมต่ออีกครั้ง แล้วรันทดสอบใหม่
2. อัปเดตแอปและระบบปฏิบัติการ การรั่วหลายกรณีแก้ได้ในการอัปเดต
3. ตรวจแอปที่ถูกยกเว้น ถ้ามีแอปที่ตั้งให้เลี่ยง VPN ให้เอาการยกเว้นออกหรือทดสอบโดยไม่มีแอปเหล่านั้น
4. ตรวจการตั้งค่า DNS เอง ถ้าอุปกรณ์หรือเราเตอร์ตั้ง DNS server ด้วยมือ ให้ตั้งกลับเป็นอัตโนมัติ เพื่อให้ VPN กำหนด DNS ของตัวเอง
5. ตรวจการตั้งค่า DNS ของเบราว์เซอร์ ถ้าเปิดตัวเลือก DNS ปลอดภัยในเบราว์เซอร์ ลองปิดระหว่างทดสอบแล้วเปรียบเทียบ
6. สลับเครือข่ายแล้วทดสอบใหม่ ลองใช้ข้อมูลมือถือ เพื่อดูว่าปัญหาผูกกับ Wi-Fi ใดโดยเฉพาะหรือไม่
7. ลองวิธีเชื่อมต่ออื่น ถ้าแอปให้เลือก หน้า My Pass ในบัญชีของคุณแสดงวิธีที่รองรับ
8. ติดต่อฝ่ายสนับสนุน ถ้ายังรั่ว แจ้งผู้ให้บริการว่าผลทดสอบแสดงอะไร

อย่าปิดฟีเจอร์ความปลอดภัย เช่น ไฟร์วอลล์ เพียงเพื่อให้ผ่านการทดสอบ

ข้อจำกัดและสิ่งที่ควรระวัง

• ผลทดสอบที่สะอาดในวันเดียวบนเครือข่ายเดียวเป็นเพียงภาพถ่ายชั่วขณะ ไม่ใช่การรับประกัน ควรทดสอบใหม่หลังมีการเปลี่ยนแปลง เช่น อัปเดตระบบปฏิบัติการ เปลี่ยนเราเตอร์ หรือเปลี่ยนเครือข่าย
• เว็บทดสอบแต่ละแห่งต่างกัน และบางแห่งดีกว่า ใช้มากกว่าหนึ่งแห่งถ้าไม่แน่ใจผล
• การแก้ DNS leak ไม่ทำให้คุณไม่เปิดเผยตัวตน คุกกี้ บัญชี และ fingerprint ยังระบุตัวคุณได้ ดู VPN ทำให้ไม่เปิดเผยตัวตนได้หรือไม่ สำหรับภาพกว้าง
• เครื่องมือ VPN บางตัวมี kill switch ที่บล็อกข้อมูลเมื่อ VPN หลุด ถ้าแอปของคุณมี จะช่วยป้องกันการรั่วระหว่างเชื่อมต่อใหม่
• การกรอง DNS ระดับเครือข่ายที่ทำงานหรือโรงเรียนเป็นการตั้งค่าอีกแบบ อย่าพยายามเปลี่ยนการตั้งค่าบนอุปกรณ์ที่องค์กรดูแลโดยไม่ได้รับอนุญาต

สรุป

DNS leak หมายความว่าการค้นหาชื่อเว็บไซต์ของคุณออกนอกอุโมงค์ VPN ผู้ให้บริการอินเทอร์เน็ตหรือเครือข่ายในพื้นที่จึงเห็นว่าคุณเข้าเว็บใด แม้เนื้อหาหน้าเว็บจะได้รับการปกป้อง สาเหตุส่วนใหญ่เป็นการตั้งค่า เช่น DNS server หลายตัว การตั้งค่าเอง IPv6 DNS ของเบราว์เซอร์ แอปที่ถูกยกเว้น หรือการเชื่อมต่อไม่เสถียร ทดสอบทั้งตอนมีและไม่มี VPN แก้การตั้งค่าทีละขั้น และทดสอบใหม่ทุกครั้งที่การตั้งค่าเปลี่ยน

ถ้าอยากเช็กการเชื่อมต่อของคุณเอง ศูนย์ช่วยเหลือ มีคู่มือทีละขั้น และ พาส XPASS แบบเติมเงิน ให้ช่วงเวลาที่แน่นอนสำหรับลองใช้โดยไม่ต่ออายุอัตโนมัติ