DNS รั่ว กับ DNS ถูกปลอม: ตรวจและแก้ยังไง

DNS คือวิธีถามทางของอินเทอร์เน็ต คุณพิมพ์ชื่อโดเมน แต่อุปกรณ์ต้องใช้ที่อยู่ IP ขั้นตอนตรงกลางที่ว่า “ชื่อนี้คือที่อยู่ไหน” คือการถามเซิร์ฟเวอร์ DNS โดยปกติจะเป็นเซิร์ฟเวอร์ที่ผู้ให้บริการเน็ตหรือเราเตอร์เลือกให้ และการถาม DNS แบบดั้งเดิมไม่ได้เข้ารหัส อุปกรณ์ที่อยู่ระหว่างทางจึงอ่านคำถามได้ และมีโอกาสตอบกลับก่อนเซิร์ฟเวอร์ตัวจริง

DNS ถูกปลอมคือคำตอบถูกสลับเป็นคำตอบปลอม ชื่อเว็บชี้ไปยังที่อยู่ที่ไม่เกี่ยวข้อง หรือที่อยู่ที่เข้าไม่ได้ ฝั่งผู้ใช้จะเห็นอาการแบบนี้

• บางเว็บหมุนไม่หยุด หมดเวลา หรือขึ้นว่าการเชื่อมต่อถูกรีเซ็ต ทั้งที่เว็บอื่นในเวลาเดียวกันเปิดได้ปกติ
• เปลี่ยนไปใช้ DNS สาธารณะก็ไม่ช่วย เพราะคำตอบปลอมถูกแทรกระหว่างทาง ไม่ว่าจะถามใคร คำตอบปลอมก็มาถึงก่อนอยู่ดี
• ชื่อเดียวกันได้ที่อยู่ไม่ซ้ำกันทุกครั้ง และที่อยู่เหล่านั้นเป็นขององค์กรที่ไม่เกี่ยวอะไรกับเว็บนั้นเลย
• เบราว์เซอร์ขึ้นข้อผิดพลาดใบรับรอง เพราะชื่อถูกชี้ไปที่เซิร์ฟเวอร์ของคนอื่น ซึ่งแสดงใบรับรองของเว็บนั้นไม่ได้ เจอแบบนี้ให้หยุด อย่ากดข้ามไป
• พอเปลี่ยนไปใช้เครือข่ายอื่น (เช่น เน็ตมือถือ) หรือต่อ VPN เว็บเดียวกันกลับเปิดได้ทันที

ถ้าอาการชัดอยู่แล้วว่า “ต่อ VPN เปิดได้ ไม่ต่อเปิดไม่ได้” แค่นี้ก็สรุปได้แล้ว ถ้าอยากยืนยันว่าชื่อไหนแปลงถูกหรือไม่ ให้ทำตามสี่ขั้นนี้

1. ปิด VPN แล้วค้นชื่อในหน้าต่างคำสั่งของคอมพิวเตอร์ เปลี่ยน example.com เป็นโดเมนที่สงสัย แล้วจดที่อยู่ที่ได้: nslookup example.com
2. ต่อ VPN (วิธีที่คลุมทั้งเครื่อง โหมดทั้งหมด) แล้วค้นชื่อเดิมอีกครั้ง ผลไม่ตรงกันเป็นเรื่องปกติ เพราะเว็บใหญ่มีเซิร์ฟเวอร์หลายที่ ขั้นต่อไปต่างหากที่ชี้ขาด
3. เอาที่อยู่จากครั้งแรกไปเช็กในเว็บค้น IP เช่น ipinfo.io ว่าเป็นของใคร ถ้าเป็นของเว็บนั้นเองหรือผู้ให้บริการคลาวด์ของเว็บนั้น แปลว่าแปลงชื่อถูก ถ้าเป็นขององค์กรที่ไม่เกี่ยวข้อง หรือเข้าไม่ได้เลย แปลว่าคำตอบถูกปลอม
4. ทำซ้ำอีกสองสามครั้ง ผลจริงจะวนอยู่ในที่อยู่ชุดเล็ก ๆ ที่ตายตัว ส่วนผลปลอมมักเปลี่ยนทุกครั้งที่ถาม

มีสี่วิธี ไล่จากแก้ได้บางส่วนไปจนแก้ได้หมด สองวิธีแรกแค่เปลี่ยนว่าถามใคร วิธีที่สามแก้ทั้งเรื่องถามทางและเรื่องเดินทางไปพร้อมกัน

• เปลี่ยนเซิร์ฟเวอร์ DNS: ได้ผลเมื่อ DNS ของผู้ให้บริการเน็ตตอบผิดเองหรือจำที่อยู่เก่าไว้ แต่ทำอะไรกับคำตอบที่ถูกแทรกระหว่างทางไม่ได้
• DNS แบบเข้ารหัส (DoH, DoT): คำถามถูกแก้ระหว่างทางไม่ได้ จึงได้ที่อยู่จริง แต่ที่อยู่จริงอาจยังเข้าไม่ถึงอยู่ดี วิธีนี้จึงแก้ได้แค่ครึ่งเดียว
• ให้ทั้งการแปลงชื่อและข้อมูลวิ่งผ่านเส้นทาง: แก้ได้ครบ ชื่อถูกแปลงที่ปลายทาง คำตอบเป็นของจริง และการเข้าเว็บก็ออกจากปลายทางด้วย
• แก้ไฟล์ hosts เพื่อกำหนดที่อยู่เอง: พอที่อยู่เปลี่ยนก็พัง และใช้กับเว็บเกินไม่กี่เว็บไม่ไหว เหมาะเป็นทางแก้ขัด
• LeoTun ใช้วิธีที่สาม เส้นทางเป็นตัวกำหนด DNS และแปลงชื่อในอุโมงค์ จึงไม่ได้ใช้ DNS เดิมของอุปกรณ์ ถ้าใช้ Web Proxy เซิร์ฟเวอร์พร็อกซีจะแปลงชื่อให้เบราว์เซอร์ ส่วนเราเตอร์ทำแบบนี้ให้ทุกอุปกรณ์ในบ้าน และแปลงชื่อเว็บจีนแบบในจีนเพื่อให้เปิดตรงได้ ใช้เส้นทางของเราแล้วปกติไม่ต้องไปแก้การตั้งค่า DNS อะไรเลย

• DNS ถูกปลอม: คำตอบเป็นของปลอม เว็บเปิดไม่ขึ้นหรือพาคุณไปที่อื่น เกิดตอนที่ไม่ได้ใช้เส้นทาง หรือการแปลงชื่อไม่ได้วิ่งผ่านเส้นทาง
• DNS รั่ว: คำตอบเป็นของจริง แต่คนที่ถูกถามคือผู้ให้บริการเน็ตในพื้นที่ ผู้ให้บริการจึงรู้ว่าคุณกำลังจะเข้าโดเมนไหน และเว็บวิดีโออาจใช้ข้อมูลนี้เดาตำแหน่งจริงของคุณ เกิดตอนที่ต่อ VPN แล้วแต่การค้นชื่อวิ่งนอกอุโมงค์
• สาเหตุที่ทำให้รั่วบ่อย ๆ: เปิด DNS ที่ปลอดภัยไว้ในเบราว์เซอร์หรือในระบบ มี VPN ตัวอื่นหรือเครื่องมือเครือข่ายแบบ mesh รันอยู่พร้อมกัน หรือ IPv6 ของอุปกรณ์ไม่ได้วิ่งผ่านอุโมงค์
• ถ้าอยู่นอกจีนแล้วดูวิดีโอจีน อาการรั่วที่เจอบ่อยคือ “เชื่อมต่อแล้ว IP ก็ถูก แต่ยังขึ้นข้อความจำกัดพื้นที่” วิธีแก้อยู่ใน Tencent Video หรือ iQIYI ดูจากต่างประเทศไม่ได้

1. IP ขาออก: พอเชื่อมต่อแล้ว เปิดเว็บค้น IP เช่น ipinfo.io หรือ ip.sb ที่อยู่และตำแหน่งควรเป็นปลายทางที่คุณเลือก ไม่ใช่เน็ตบ้านของคุณ
2. DNS: เปิดเว็บทดสอบ DNS รั่ว (dnsleaktest.com หรือหน้า DNS ของ browserleaks.com) จะเห็นรายชื่อเซิร์ฟเวอร์ที่แปลงชื่อให้คุณ ในโหมดทั้งหมด ไม่ควรมีผู้ให้บริการเน็ตในพื้นที่อยู่ในรายชื่อ
3. IPv6: เปิด test-ipv6.com ถ้าขึ้นว่าไม่มี IPv6 หรือขึ้นที่อยู่ที่ไม่ใช่ของในพื้นที่ แปลว่าปกติดี
4. ในโหมดแยกเส้นทางต้องอ่านผลอีกแบบ เว็บจีนตั้งใจให้แปลงชื่อแบบในจีน หน้าทดสอบขึ้นเซิร์ฟเวอร์ในจีนจึงไม่ได้แปลว่ารั่วเสมอไป ถ้าอยากแน่ใจ ให้สลับเป็นโหมดทั้งหมดแล้วทดสอบใหม่
5. ตัดการเชื่อมต่อแล้วทดสอบทั้งหมดอีกรอบ แล้วเทียบกัน ถ้าสองรอบได้ผลเหมือนกันเป๊ะ แปลว่าข้อมูลไม่ได้วิ่งผ่านเส้นทาง ให้เช็กว่าแอปเชื่อมต่ออยู่จริงไหม

ถ้าเปิดแยกเส้นทางอยู่ เรื่องนี้ปกติ และจริง ๆ คือการแยกเส้นทางกำลังทำงาน ถ้าอยู่ในจีนแล้วเลือกภูมิภาคต่างประเทศ เว็บเช็ก IP ของจีนจะวิ่งตรง เห็นที่อยู่เน็ตบ้านของคุณ ส่วนเว็บเช็ก IP ต่างประเทศจะวิ่งผ่านเส้นทาง เห็นที่อยู่ขาออก ถูกทั้งคู่ อันหนึ่งตอบว่า “เว็บจีนเห็นฉันอยู่ที่ไหน” อีกอันตอบว่า “เว็บต่างประเทศเห็นฉันอยู่ที่ไหน”

ทางเข้าจีนก็เป็นแบบเดียวกัน เว็บจีนออกจากจีน ส่วนเว็บต่างประเทศไปออกผ่านไลน์ต่างประเทศ เว็บเช็ก IP ต่างประเทศจึงเห็นปลายฝั่งต่างประเทศ

ความไม่ตรงกันแบบที่สามมาจากฐานข้อมูล IP หนึ่งอยู่ประเทศหรือเมืองไหน ขึ้นกับฐานข้อมูลตำแหน่งที่แต่ละเว็บใช้ ซึ่งอัปเดตไม่พร้อมกัน IP เดียวขึ้นคนละเมือง หรือแม้แต่คนละประเทศบนสองเว็บจึงไม่ใช่เรื่องแปลก สิ่งที่เว็บหรือแอปใช้ตัดสินจริง ๆ คือฐานข้อมูลของตัวเอง

ถ้าอยากเห็นขาออกตอนที่ทุกอย่างวิ่งผ่านเส้นทาง ให้สลับแอปเป็นโหมดทั้งหมดแล้วเช็กใหม่ ทิศทางการแยกเส้นทางของเราเตอร์และวิธีตรวจสอบอยู่ใน การแยกเส้นทางบนเราเตอร์ VPN ทำงานยังไง

คะแนนความสะอาดของ IP หรือที่เรียกว่า IP reputation หรือ fraud score คือคะแนนความเสี่ยงที่เว็บตรวจบางเว็บให้กับที่อยู่หนึ่ง ไม่มีมาตรฐานกลาง แต่ละเว็บมีสูตรของตัวเอง ที่อยู่เดียวกันจึงได้คะแนนต่างกันมากในแต่ละเว็บ มันวัดว่าเว็บไซต์มองที่อยู่นี้เป็นผู้ใช้บ้านธรรมดาแค่ไหน ไม่ได้บอกว่าข้อมูลของคุณปลอดภัยหรือไม่ ปัจจัยหลักมีสี่อย่าง

• ประเภทที่อยู่: เน็ตบ้าน เครือข่ายมือถือ หรือดาต้าเซ็นเตอร์
• ถูกระบุว่าเป็นพร็อกซีหรือ VPN หรือไม่: บางฐานข้อมูลเก็บที่อยู่ประเภทนี้โดยเฉพาะ
• ประวัติ: ที่อยู่นี้เคยส่งสแปม ยิง API ถี่ ๆ หรือถูกรายงานหรือเปล่า
• มีกี่คนใช้พร้อมกัน: เมื่อหลายคนใช้ขาออกเดียวกัน พฤติกรรมของทุกคนจะถูกบันทึกไว้กับที่อยู่เดียวกัน

ขาออกที่ใช้ร่วมกันได้คะแนนต่ำโดยธรรมชาติ ผู้ใช้หลายคนใช้ที่อยู่ขาออกเดียวกัน ถ้ามีใครเคยโดนระบบตรวจความเสี่ยงสักครั้ง ประวัติก็ติดอยู่กับที่อยู่นั้น และที่อยู่ยังอยู่ในช่วงของดาต้าเซ็นเตอร์ ซึ่งโดนหักคะแนนเพราะประเภทอย่างเดียว เรื่องนี้เป็นกับขาออกของ VPN และพร็อกซีทั่วไป

ในทางปฏิบัติ คะแนนต่ำหมายถึงเจอ CAPTCHA บ่อยขึ้น บางเว็บขอยืนยันเพิ่ม และมีบริการส่วนน้อยที่ไม่รับที่อยู่ของดาต้าเซ็นเตอร์ ให้ถือผลเป็นแค่ข้อมูลอ้างอิง ถ้าเว็บไหนไม่ให้เข้า ให้เชื่อมต่อใหม่ผ่านภูมิภาคอื่น แต่ละภูมิภาคมีที่อยู่ขาออกไม่เหมือนกัน และแต่ละภูมิภาคมีเครื่องอยู่ข้างหลังหลายเครื่อง

เราเตอร์ต้องเห็นก่อนว่าอุปกรณ์ถามหาชื่ออะไร ถึงจะตัดสินได้ว่าการเข้าเว็บนั้นควรวิ่งผ่านเส้นทางหรือวิ่งตรง อุปกรณ์ที่เปิด DNS แบบเข้ารหัส (DoH หรือ DoT) จะถามเซิร์ฟเวอร์ภายนอกผ่านช่องทางเข้ารหัสของตัวเอง เราเตอร์ไม่เห็นคำถามเลย การแยกเส้นทางของอุปกรณ์นั้นจึงจับไม่ได้ อะไรที่ควรผ่านเส้นทางก็ไม่ผ่าน หรือเว็บจีนกลับอ้อมไปไกล ถ้ามีอุปกรณ์เครื่องเดียวในบ้านที่มีอาการแปลก ๆ ให้เช็กข้อนี้ก่อน

• Android: การตั้งค่า → เครือข่ายและอินเทอร์เน็ต → DNS ส่วนตัว (Private DNS) เลือก “ปิด” ชื่อเมนูต่างกันไปตามยี่ห้อ ค้นคำว่า “DNS ส่วนตัว” ในการตั้งค่าก็เจอ
• Chrome: การตั้งค่า → ความเป็นส่วนตัวและความปลอดภัย → ความปลอดภัย → ใช้ DNS ที่ปลอดภัย (Use secure DNS) แล้วปิด Edge และ Firefox มีตัวเลือกแบบเดียวกันในการตั้งค่าความเป็นส่วนตัว Firefox เรียกว่า “DNS over HTTPS”
• iPhone และ Mac: ไม่มีสวิตช์เดียวของระบบ ถ้าเคยติดตั้งแอป DNS หรือโปรไฟล์ DNS ให้ปิดที่ การตั้งค่า → ทั่วไป → VPN และการจัดการอุปกรณ์ และถ้าเปิดรีเลย์ส่วนตัว iCloud (iCloud Private Relay) อยู่ก็ให้ปิดด้วย
• จากนั้นให้อุปกรณ์เครื่องนั้นต่อ Wi‑Fi ใหม่ แล้วตรวจด้วยวิธีในหัวข้อสุดท้ายของ คู่มือการแยกเส้นทางบนเราเตอร์