วิธีแก้ DNS Leak ของ VPN บน Windows

DNS Leak บนเครื่อง Windows คือสถานการณ์ที่การค้นหาชื่อเว็บไซต์ของคุณเดินทางออกนอกอุโมงค์ VPN ทั้งที่ VPN แสดงว่าเชื่อมต่ออยู่ ทราฟฟิกที่ไปยังเว็บไซต์เองได้รับการปกป้อง แต่คำถามที่ว่า "เว็บนี้อยู่ที่ไหน" ถูกส่งไปที่ตัวแปลงชื่อของผู้ให้บริการอินเทอร์เน็ต หรือเราเตอร์ของร้านกาแฟ บทความนี้เน้นสาเหตุเฉพาะของ Windows และลำดับการแก้ DNS Leak Windows ที่ได้ผลบ่อยที่สุด หากต้องการเข้าใจแนวคิดทั่วไปของ DNS และเหตุผลที่การรั่วสำคัญ ให้เริ่มจากDNS leak คืออะไรและDNS ทำงานอย่างไร ส่วนที่นี่เราเน้นการลงมือทำบน Windows 10 และ 11

ทำไม Windows จึงรั่ว DNS ได้ง่าย

หลายระบบมีการ์ดเครือข่ายที่ใช้งานอยู่ทีละหนึ่งตัว แต่เครื่อง Windows ทั่วไปมีหลายตัว Wi-Fi, พอร์ต Ethernet ของด็อก, เครือข่าย Bluetooth, virtual switch ที่ Hyper-V หรือ Windows Subsystem for Linux สร้างขึ้น และการ์ดเสมือนของ VPN เองสามารถอยู่ร่วมกันได้ และแต่ละตัวมีรายการเซิร์ฟเวอร์ DNS ของตัวเอง

Windows กำหนดค่า interface metric ให้การ์ดแต่ละตัว เป็นตัวเลขบอกลำดับความสำคัญ เมื่อ VPN เชื่อมต่อ มักจะลด metric ของตัวเองเพื่อให้เซิร์ฟเวอร์ DNS ของมันถูกถามก่อน ปัญหาเกิดได้หลายแบบที่คาดเดาได้

• การค้นหาแบบขนาน Windows 8 ขึ้นไปมี smart multi-homed name resolution ซึ่งอาจส่งคำค้นหาไปยังเซิร์ฟเวอร์ DNS ของหลายการ์ดพร้อมกัน แล้วใช้คำตอบที่มาถึงเร็วที่สุด สะดวกบนแล็ปท็อปแต่เสียต่อความเป็นส่วนตัว เพราะ resolver ของการ์ดจริงก็ได้ยินคำถามด้วย
• การ์ดที่ดื้อ การ์ด Wi-Fi จริงยังเก็บ DNS ที่เราเตอร์แจกไว้ และการ์ดของ VPN ไม่ได้เขียนทับสำหรับทุกคำค้น
• resolver ฝั่ง IPv6 เราเตอร์อาจประกาศเซิร์ฟเวอร์ DNS แบบ IPv6 ที่ VPN ไม่ครอบคลุม ทำให้บางคำค้นใช้ทางนั้นโดยไม่รู้ตัว
• เบราว์เซอร์ทำงานของตัวเอง บางเบราว์เซอร์แปลงชื่อผ่านช่องทางเข้ารหัสของตัวเอง ข้ามการตั้งค่าของระบบทั้งหมด
• เครื่องเสมือนและคอนเทนเนอร์ อะไรก็ตามที่สร้างการ์ดใหม่จะเพิ่มเส้นทางที่เป็นไปได้ให้คำค้น

การรั่วจึงมักเป็นความไม่ลงรอยของการตั้งค่าระหว่างการ์ดหลายตัว ไม่ใช่ข้อบกพร่องของอุโมงค์ ซึ่งเป็นข่าวดี เพราะการตั้งค่าแก้ได้

ยืนยันว่ารั่วจริงก่อนแก้อะไร

การแก้สิ่งที่ยังไม่ได้ยืนยันคือที่มาของเครือข่ายพังของหลายคน ใช้เวลาไม่กี่นาทีเก็บหลักฐาน

1. จด resolver ปกติขณะปิด VPN เปิด PowerShell แล้วรัน Get-DnsClientServerAddress -AddressFamily IPv4 ผลลัพธ์แสดงการ์ดแต่ละตัวพร้อมเซิร์ฟเวอร์ DNS จดที่อยู่ของ Wi-Fi หรือ Ethernet ซึ่งมักเป็นที่อยู่เราเตอร์หรือ resolver ของผู้ให้บริการอินเทอร์เน็ต
2. เชื่อมต่อ VPN แล้วรันคำสั่งเดิม ดูรายการของการ์ด VPN ควรมีเซิร์ฟเวอร์ DNS ต่างจากการ์ดจริง
3. รัน nslookup example.com สองบรรทัดแรกบอกว่าเซิร์ฟเวอร์ใดตอบ ("Server" และ "Address") ถ้าที่อยู่ตรงกับที่จดในข้อ 1 แสดงว่าการค้นหาไปที่ resolver ของการ์ดจริง
4. ใช้หน้าทดสอบ DNS leak ในเบราว์เซอร์ หน้าเหล่านี้ให้เบราว์เซอร์ขอชื่อสุ่มหลายชื่อ แล้วรายงานว่า resolver ตัวใดมาถามแทน รันการทดสอบมาตรฐานขณะเปิด VPN แล้วเทียบรายการกับที่อยู่จากข้อ 1
5. อ่านผลให้สมเหตุผล ถ้าเห็นเฉพาะ resolver ที่เกี่ยวกับ VPN ไม่มีการรั่ว ถ้าเห็น resolver ของผู้ให้บริการอินเทอร์เน็ตหรือเราเตอร์ แสดงว่ารั่ว ถ้าเห็น resolver สาธารณะที่คุณจำได้เพราะคุณตั้งเอง นั่นเป็นค่าของคุณ ไม่ใช่ของ VPN

หากต้องการขั้นตอนทดสอบที่ครบกว่านี้ รวม WebRTC และ kill switch ดูวิธีทดสอบ VPN

จับคู่อาการกับสาเหตุที่น่าจะเป็น

สิ่งที่เห็น	สาเหตุที่น่าจะเป็น	ต้องดูตรงไหน
resolver ของเราเตอร์หรือ ISP ปรากฏทุกครั้งที่ทดสอบ	DNS ของการ์ดจริงชนะ	ค่า DNS ของการ์ดและ interface metric
resolver ของ ISP ปรากฏเป็นบางคำค้น	การค้นหาแบบขนาน	smart multi-homed name resolution
รั่วเฉพาะบนเครือข่ายที่มี IPv6	เราเตอร์ประกาศ DNS แบบ IPv6	หัวข้อ IPv6 ด้านล่าง
รั่วหายเมื่อปิดเบราว์เซอร์	เบราว์เซอร์มี secure DNS ของตัวเอง	การตั้งค่าเบราว์เซอร์
รั่วเริ่มหลังติดตั้งเครื่องเสมือน	การ์ดเสมือนใหม่เปลี่ยนลำดับความสำคัญ	interface metric และรายการการ์ด
ทดสอบเจอ resolver สาธารณะที่ไม่เคยเลือก	โปรแกรมอื่นเปลี่ยน DNS	แอปที่ติดตั้ง เราเตอร์ ซอฟต์แวร์รักษาความปลอดภัย
รั่วเฉพาะไม่กี่นาทีหลังบูต	คำค้นเกิดก่อนอุโมงค์พร้อม	หน่วงแอปสตาร์ตอัป ใช้ kill switch

ไล่ลงมาตามตาราง อย่าลองทุกวิธีพร้อมกัน แต่ละแถวชี้ไปที่วิธีแก้หนึ่งอย่าง และหัวข้อถัดไปอธิบายแต่ละวิธี

วิธีแก้ที่ 1 ดูว่าการ์ดแต่ละตัวบอกอะไร แล้วแก้จุดที่ชัดเจนก่อน

เริ่มจากคำถามง่ายที่สุด Windows กำลังถามการ์ดตัวไหน

1. รัน Get-NetIPInterface | Sort-Object InterfaceMetric ใน PowerShell การ์ดที่มี metric ต่ำสุดถูกเลือกก่อน เมื่อ VPN เชื่อมต่อ การ์ดของมันควรอยู่ใกล้ด้านบน
2. รัน ipconfig /all แล้วอ่านบรรทัด DNS Servers ของแต่ละการ์ด จดว่ามีตัวไหนบ้าง
3. ถ้าการ์ด VPN มี metric สูงกว่า Wi-Fi บางแอปอาจถาม resolver ของ Wi-Fi ก่อน คุณตั้งค่า metric เองได้ด้วย Set-NetIPInterface -InterfaceAlias "Wi-Fi" -InterfaceMetric 50 แล้วเชื่อมต่อ VPN ใหม่ ค่านี้เป็นแค่ตัวเลขลำดับความสำคัญ เลือกให้สูงกว่าของการ์ด VPN และจดค่าเดิมไว้เพื่อย้อนกลับ
4. อย่าตั้ง DNS ของการ์ดจริงเป็นค่าสุ่ม ถ้าแอป VPN ระบุที่อยู่ DNS ที่ต้องการให้ใช้ ก็ใช้ตามนั้น ถ้าไม่ ให้ปล่อยให้ VPN จัดหา DNS ของตัวเอง แล้วตั้งการ์ดจริงกลับเป็นอัตโนมัติด้วย Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ResetServerAddresses

เป้าหมายไม่ใช่หาค่าสุดแนบเนียน แต่คือขจัดความคลุมเครือ ให้มีการ์ดเดียวที่เป็นตัวหลัก และเห็น resolver ของ VPN บนการ์ดนั้น หลังแก้แต่ละครั้ง ให้เชื่อมต่อ VPN ใหม่แล้วทดสอบอีกรอบ

วิธีแก้ที่ 2 ปิดการค้นหาแบบขนาน เมื่อหลักฐานชี้มาทางนี้

ถ้ารั่วเป็นช่วง ๆ และ resolver ของเราเตอร์โผล่ในบางการทดสอบแต่ไม่โผล่ในบางครั้ง smart multi-homed name resolution เป็นผู้ต้องสงสัย พฤติกรรมของมันเปลี่ยนไประหว่างบิลด์ของ Windows ดังนั้นให้ยืนยันกับเอกสารของ Microsoft สำหรับเวอร์ชันของคุณก่อนเชื่อสูตรจากบทความใด ๆ รวมถึงบทความนี้

สำหรับ Windows Pro, Enterprise และ Education นโยบายนี้อยู่ใน Group Policy editor (gpedit.msc) ที่ Computer Configuration > Administrative Templates > Network > DNS Client ชื่อ "Turn off smart multi-homed name resolution" ตั้งเป็น Enabled จะหยุดไม่ให้ Windows ส่งคำค้นไปทุกการ์ดพร้อมกัน Windows Home ไม่มีตัวแก้ไขนี้ และผลแบบเดียวกันควบคุมด้วยค่ารีจิสทรี ซึ่งไม่ควรแก้จากความจำ

คำแนะนำภาคปฏิบัติ

• สร้างจุดคืนค่า (restore point) ก่อนเปลี่ยนอะไร
• เปลี่ยนทีละอย่าง รีบูต แล้วทดสอบใหม่
• ถ้าผลไม่เปลี่ยน ให้ตั้งกลับ นโยบายที่ไม่ช่วยคือนโยบายที่เพิ่มความสับสน
• บนเครื่องที่ทำงานซึ่งมีผู้ดูแล อย่าแตะ นโยบาย DNS เป็นเรื่องของฝ่ายไอที และการเปลี่ยนอาจฝ่าฝืนกฎบริษัท

วิธีแก้ที่ 3 อุดช่องว่างของ IPv6

เราเตอร์ตามบ้านจำนวนมากแจกทั้งค่า IPv4 และ IPv6 ถ้าเราเตอร์ประกาศเซิร์ฟเวอร์ DNS แบบ IPv6 และ VPN ไม่ได้พา IPv6 Windows อาจเลือก resolver นั้นสำหรับบางคำค้นIP leak คืออะไรอธิบายภาพรวมของ IPv4 และ IPv6 และข้อกำหนด IPv6 ใน RFC 8200 เป็นเอกสารอ้างอิงเรื่องโครงสร้างที่อยู่

วิธีตรวจ ให้รัน Get-DnsClientServerAddress -AddressFamily IPv6 ขณะเชื่อมต่อ VPN ถ้าการ์ดจริงมีเซิร์ฟเวอร์ DNS แบบ IPv6 และการ์ด VPN ไม่มี นั่นคือเส้นทางรั่ว ตัวเลือกเรียงตามที่ควรทำก่อน

1. มองหาตัวเลือกป้องกันการรั่วของ IPv6 ในแอป VPN
2. ทดสอบโดยปิด IPv6 เฉพาะที่การ์ดจริง ในหน้า Properties ของการ์ด เอาติ๊กออกจาก Internet Protocol Version 6 (TCP/IPv6) แล้วทดสอบใหม่ Microsoft เตือนไม่ให้ปิด IPv6 ทั้งระบบ จึงควรจำกัดการเปลี่ยนไว้ที่การ์ดเดียวและรู้วิธีคืนค่า
3. ถ้านั่นแก้การรั่วได้ แสดงว่าคุณพบสาเหตุแล้ว ตัดสินใจว่าจะคงไว้ หรือรอแอปรุ่นใหม่ที่จัดการ IPv6 ได้

วิธีแก้ที่ 4 จัดการ DNS แบบเข้ารหัสใน Windows 11 และเบราว์เซอร์

Windows 11 ใช้ DNS over HTTPS ได้ ซึ่งเป็นวิธีส่งคำค้นแบบเข้ารหัส (ดู RFC 8484) ตั้งได้ที่ Settings > Network & internet > คุณสมบัติของการเชื่อมต่อ > DNS server assignment เบราว์เซอร์ก็มีตัวเลือก secure DNS ในการตั้งค่าความเป็นส่วนตัวในลักษณะเดียวกัน

DNS แบบเข้ารหัสกับ VPN ทำงานคนละหน้าที่ DNS แบบเข้ารหัสซ่อนเนื้อหาคำค้นจากเครือข่ายระหว่างคุณกับ resolver แต่ resolver ที่คุณเลือกยังเห็นทุกชื่อ ส่วน VPN ย้ายทราฟฟิกของคุณเข้าอุโมงค์ไปยังเครือข่ายของอีกฝ่าย เมื่อใช้ร่วมกัน ต้องรู้ว่าคำค้นไปจบที่ไหน ถ้า secure DNS ของเบราว์เซอร์ชี้ไปที่ resolver สาธารณะ คำค้นของเบราว์เซอร์อาจข้าม resolver ของ VPN ทั้งหมด และการทดสอบจะแสดง resolver นั้น

มีสองแนวทางที่ใช้ได้

• ตั้ง secure DNS ของเบราว์เซอร์เป็น "ใช้การตั้งค่าของระบบ" ขณะเปิด VPN เพื่อให้คำค้นตามอุโมงค์ไป
• คงใช้ DNS แบบเข้ารหัสโดยตั้งใจ เข้าใจว่า resolver ที่เลือกเห็นชื่อทั้งหมด และถือเป็นการตัดสินใจของคุณเอง ไม่ใช่การรั่ว

DNS over HTTPS เทียบกับ VPNอธิบายข้อแลกเปลี่ยนละเอียดกว่านี้

ล้างแคช เชื่อมต่อใหม่ แล้วทดสอบซ้ำ

คำตอบ DNS ถูกแคชไว้ การเปลี่ยนค่าจึงอาจดูเหมือนไม่ได้ผลเพียงเพราะคำตอบเก่ายังเก็บอยู่

1. ตัดการเชื่อมต่อ VPN
2. รัน ipconfig /flushdns ใน Command Prompt ที่เปิดแบบผู้ดูแลระบบ
3. ปิดแล้วเปิดเบราว์เซอร์ใหม่
4. เชื่อมต่อ VPN อีกครั้ง รอจนขึ้นว่าเชื่อมต่อแล้ว
5. รัน nslookup example.com และหน้าทดสอบ DNS leak
6. บันทึกผลเป็นโน้ตสั้น ๆ วันที่ เครือข่าย สิ่งที่เปลี่ยน และสิ่งที่การทดสอบแสดง

ทำซ้ำบนทุกเครือข่ายที่สำคัญกับคุณ วิธีที่ได้ผลบน Wi-Fi ที่บ้านอาจไม่ได้ผลบนเครือข่ายโรงแรมซึ่งแจกค่า DNS คนละชุด

ตัวอย่างสองกรณี

แล็ปท็อปที่มีเครื่องเสมือน มายใช้แล็ปท็อปทำงานและรันสภาพแวดล้อม Linux ผ่าน Windows Subsystem for Linux หลังติดตั้ง การทดสอบ leak ของเธอเริ่มแสดง resolver ของเราเตอร์ รายการการ์ดแสดงการ์ดเสมือนใหม่ที่มี metric ต่ำกว่าการ์ด VPN เธอปรับ metric ของการ์ดเสมือนให้สูงขึ้น เชื่อมต่อใหม่ ล้างแคช แล้วการทดสอบผ่าน เธอจดการเปลี่ยนไว้ เผื่อ Windows Update รีเซ็ตค่า

นักศึกษาบนเครือข่ายหอพัก เครือข่ายหอพักของอรุณแจกทั้งค่า IPv4 และ IPv6 การทดสอบเห็น resolver ของหอพักเฉพาะบางคำค้น ผลปรากฏว่าสาเหตุคือคำค้นแบบ IPv6 เพราะเราเตอร์หอพักประกาศที่อยู่ DNS แบบ IPv6 ที่ VPN ไม่ครอบคลุม การปิด IPv6 เฉพาะที่การ์ดจริงแก้ได้ เขาเก็บค่านี้ไว้และจดบันทึก เพราะรู้ว่าย้อนกลับได้ง่าย

ข้อจำกัดและสิ่งที่ควรระวัง

ผลทดสอบที่สะอาดไม่ได้พิสูจน์อะไรถาวร ค่า DNS เปลี่ยนเมื่อเครือข่ายเปลี่ยน เมื่อ Windows อัปเดต และเมื่อติดตั้งซอฟต์แวร์ ควรทดสอบใหม่หลังเหตุการณ์เหล่านั้น

ควรชัดเจนด้วยว่ากำลังปกป้องอะไร การแก้ DNS Leak ทำให้เครือข่ายในพื้นที่ไม่เห็นว่าคุณค้นหาชื่ออะไร แต่ไม่ได้ซ่อนเว็บที่คุณเข้าจากผู้ให้บริการ VPN หรือจากตัวเว็บเอง ไม่หยุดฟิชชิง และไม่ทำให้คุณนิรนามสิ่งที่ VPN ปกป้องคุณไม่ได้เป็นตัวเช็กความเป็นจริงที่ดี ถ้าการรั่วกลับมาซ้ำหลังทำตามขั้นตอนทั้งหมดที่นี่ ให้รวบรวมบันทึกของคุณแล้วขอความช่วยเหลือจากฝ่ายสนับสนุนของ VPN แทนที่จะแก้รีจิสทรีเพิ่มซ้อนกันหน้าดาวน์โหลดมีลิงก์ตัวติดตั้งแอปอย่างเป็นทางการ เผื่อต้องติดตั้งใหม่ให้สะอาด

สรุป

การแก้ DNS Leak บน Windows ให้พิสูจน์ก่อนด้วยการตรวจทางบรรทัดคำสั่งและหน้าทดสอบ แล้วไล่ตามสาเหตุ ลำดับการ์ดและ interface metric การค้นหาแบบขนาน resolver ฝั่ง IPv6 และ secure DNS ของเบราว์เซอร์ เปลี่ยนทีละอย่าง ล้างแคช เชื่อมต่อใหม่ แล้วทดสอบซ้ำ และบันทึกสิ่งที่ทำไว้เพื่อย้อนกลับได้ ถือว่าการอัปเดต Windows และซอฟต์แวร์เครือข่ายใหม่เป็นเหตุผลที่ต้องทดสอบอีกครั้ง

หากต้องการแพ็กเกจไว้ลองทำตามนี้ ดูตัวเลือกได้ที่หน้าราคาตามสะดวก